Việc xây dựng chính sách bảo vệ dữ liệu cá nhân cho người lao động là một nghĩa vụ pháp lý bắt buộc và là nền tảng của một môi trường làm việc minh bạch. Tại DPVN, chúng tôi cung cấp hướng dẫn chi tiết về nội dung chính sách, giúp doanh nghiệp của bạn bảo vệ dữ liệu nhân sự một cách toàn diện và tuân thủ pháp luật.
Tại sao doanh nghiệp cần có một chính sách bảo vệ dữ liệu cá nhân riêng cho người lao động?
Doanh nghiệp cần một chính sách riêng vì mối quan hệ lao động có những đặc thù riêng biệt, nơi người sử dụng lao động xử lý một lượng lớn dữ liệu cá nhân, bao gồm cả dữ liệu nhạy cảm của nhân viên. Một chính sách rõ ràng giúp đảm bảo tuân thủ Nghị định 13 về bảo vệ dữ liệu cá nhân, xây dựng lòng tin và tạo ra một môi trường làm việc minh bạch.
Không giống như mối quan hệ với khách hàng, mối quan hệ với người lao động có sự mất cân bằng về quyền lực. Người sử dụng lao động có quyền và nghĩa vụ thu thập nhiều loại thông tin để phục vụ cho việc quản lý nhân sự, trả lương, và thực hiện các nghĩa vụ pháp lý khác. Dữ liệu này bao gồm từ thông tin cơ bản (họ tên, CCCD) đến các dữ liệu cá nhân nhạy cảm (thông tin sức khỏe, dữ liệu sinh trắc học để chấm công).
Về chuyên môn sâu, một chính sách quyền riêng tư của nhân viên không chỉ là một tài liệu pháp lý. Nó là một công cụ quản trị, giúp:
- Thiết lập sự minh bạch: Giúp người lao động hiểu rõ dữ liệu của họ được sử dụng như thế nào trong suốt vòng đời làm việc, từ tuyển dụng đến khi nghỉ việc.
- Quản lý rủi ro pháp lý: Là bằng chứng cho thấy doanh nghiệp đã thực hiện nghĩa vụ thông báo và xây dựng các quy trình nội bộ để tuân thủ pháp luật.
- Xây dựng văn hóa doanh nghiệp: Thể hiện sự tôn trọng của doanh nghiệp đối với quyền riêng tư của nhân viên, góp phần tạo nên một môi trường làm việc tích cực.
Một chính sách bảo vệ dữ liệu cá nhân cho người lao động cần bao gồm những nội dung cốt lõi nào?
Một chính sách toàn diện cần bao quát toàn bộ vòng đời của dữ liệu nhân sự. Nó phải bao gồm tối thiểu 8 nội dung chính: phạm vi và đối tượng áp dụng; các loại dữ liệu được thu thập; mục đích xử lý cho từng loại; cơ sở pháp lý; các biện pháp bảo vệ; việc chia sẻ dữ liệu cho bên thứ ba; thời gian lưu trữ; và quyền của người lao động.
Dựa trên kinh nghiệm soạn thảo và tư vấn, DPVN đề xuất cấu trúc 8 phần sau đây cho một chính sách bảo vệ dữ liệu nhân sự hiệu quả.
1. Phạm vi và Đối tượng áp dụng
Phần này cần nêu rõ chính sách này áp dụng cho ai và cho những hoạt động nào.
- Đối tượng: Toàn thể người lao động, bao gồm cả nhân viên chính thức, thử việc, thực tập sinh, và cả các ứng viên trong quá trình tuyển dụng.
- Phạm vi: Mọi hoạt động thu thập, lưu trữ, sử dụng, chia sẻ và hủy dữ liệu cá nhân của người lao động do công ty thực hiện.
2. Các loại dữ liệu cá nhân được thu thập
Để đảm bảo tính minh bạch, chính sách cần liệt kê chi tiết các loại dữ liệu mà công ty thu thập trong suốt quá trình lao động, phân loại rõ ràng giữa dữ liệu cơ bản và dữ liệu nhạy cảm.
| Loại dữ liệu | Ví dụ cụ thể |
|---|---|
| Dữ liệu cá nhân cơ bản | Họ tên, ngày sinh, số CCCD, địa chỉ, số điện thoại, email, thông tin liên hệ khẩn cấp, thông tin tài khoản ngân hàng… |
| Dữ liệu cá nhân nhạy cảm | Thông tin sức khỏe (giấy khám sức khỏe), dữ liệu sinh trắc học (vân tay, khuôn mặt để chấm công), thông tin về tiền án tiền sự (nếu có yêu cầu cho vị trí đặc thù). |
3. Mục đích xử lý dữ liệu cá nhân
Đây là phần cực kỳ quan trọng. Chính sách phải nêu rõ công ty sử dụng từng loại dữ liệu vào mục đích gì. Mục đích phải cụ thể, rõ ràng và hợp pháp.
- Quản lý tuyển dụng: Đánh giá hồ sơ, liên lạc với ứng viên.
- Quản lý hợp đồng và tiền lương: Soạn thảo, ký kết hợp đồng lao động; tính và chi trả lương, thưởng.
- Tuân thủ nghĩa vụ pháp lý: Kê khai và nộp thuế TNCN, đóng BHXH, BHYT.
- Quản lý hiệu suất và đào tạo: Đánh giá kết quả công việc, xây dựng kế hoạch đào tạo.
- An ninh và an toàn lao động: Quản lý ra vào, giám sát an ninh tại nơi làm việc.
4. Cơ sở pháp lý cho hoạt động xử lý
Chính sách nên nêu rõ cơ sở pháp lý cho các hoạt động xử lý chính.
- Thực hiện hợp đồng: Hầu hết các hoạt động xử lý dữ liệu nhân sự cơ bản đều dựa trên cơ sở pháp lý này.
- Nghĩa vụ pháp lý: Việc xử lý dữ liệu cho mục đích thuế, bảo hiểm xã hội.
- Sự đồng ý: Đối với các mục đích không bắt buộc, ví dụ như sử dụng hình ảnh nhân viên cho các hoạt động marketing của công ty, hoặc thu thập dữ liệu sức khỏe cho chương trình phúc lợi tự nguyện. Tìm hiểu thêm về thu thập sự đồng ý của người lao động.
5. Các biện pháp bảo vệ dữ liệu được áp dụng
Chính sách cần khẳng định cam kết của công ty trong việc bảo vệ dữ liệu nhân sự thông qua các biện pháp quản lý và kỹ thuật, ví dụ như:
- Giới hạn quyền truy cập vào hồ sơ nhân sự chỉ cho các bộ phận có thẩm quyền (Nhân sự, Kế toán, Lãnh đạo trực tiếp).
- Mã hóa các dữ liệu nhạy cảm.
- Tổ chức đào tạo định kỳ cho nhân viên về bảo mật thông tin.
6. Việc chia sẻ dữ liệu cho bên thứ ba
Cần liệt kê các loại bên thứ ba mà công ty có thể chia sẻ dữ liệu nhân sự và cho mục đích gì. Ví dụ:
- Cơ quan nhà nước (Cơ quan Thuế, Bảo hiểm xã hội).
- Nhà cung cấp dịch vụ tính lương, quản lý phúc lợi.
- Công ty bảo hiểm (để mua bảo hiểm sức khỏe cho nhân viên).
7. Thời gian lưu trữ dữ liệu
Chính sách cần nêu rõ nguyên tắc về thời gian lưu trữ dữ liệu cá nhân của người lao động. Cần nêu rõ các loại hồ sơ chính và thời hạn lưu trữ tương ứng theo quy định của Luật Lưu trữ, Luật Kế toán…
8. Quyền của người lao động và thông tin liên hệ
Phần cuối cùng phải tóm tắt các quyền của người lao động (truy cập, chỉnh sửa, xóa…) và cung cấp thông tin liên hệ rõ ràng của bộ phận/nhân sự phụ trách bảo vệ dữ liệu để người lao động có thể thực hiện quyền của mình.
DPVN: Dịch Vụ Soạn Thảo và Rà Soát Chính Sách Bảo Vệ Dữ Liệu Nhân Sự
Xây dựng một chính sách bảo vệ dữ liệu cho người lao động vừa tuân thủ pháp luật, vừa phù hợp với văn hóa và quy trình hoạt động của doanh nghiệp là một công việc đòi hỏi chuyên môn cao.
DPVN với đội ngũ chuyên gia do Luật sư Nguyễn Lâm Sơn dẫn dắt, có kinh nghiệm sâu sắc trong việc tư vấn và soạn thảo các chính sách nhân sự. Hãy liên hệ với chúng tôi để được hỗ trợ.
Hotline: 0982976486
Email: lamson@baovedlcn.vn
Địa chỉ: Tầng 6 Tòa Star Tower, Phố Trương Công Giai, Phường Yên Hòa, Thành Phố Hà Nội
Câu hỏi thường gặp về chính sách bảo vệ dữ liệu của người lao động
1. Chính sách này có cần phải được người lao động ký tên không?
Không bắt buộc phải ký riêng. Tuy nhiên, một thực hành tốt là doanh nghiệp cần có bằng chứng cho thấy chính sách đã được phổ biến đến toàn thể người lao động. Điều này có thể được thực hiện bằng cách gửi email thông báo, tổ chức các buổi đào tạo và yêu cầu nhân viên ký xác nhận đã đọc hiểu, hoặc tích hợp vào Sổ tay nhân viên.
2. Doanh nghiệp có được giám sát email hoặc hoạt động máy tính của nhân viên không?
Doanh nghiệp có thể có lợi ích chính đáng trong việc giám sát để đảm bảo an ninh và hiệu quả công việc, nhưng việc này phải được thực hiện một cách minh bạch và tương xứng. Chính sách bảo vệ dữ liệu phải nêu rõ các hình thức giám sát, mục đích và phạm vi giám sát. Việc giám sát bí mật có thể là hành vi vi phạm pháp luật.
3. Dữ liệu của ứng viên không trúng tuyển cần được xử lý như thế nào?
Mục đích thu thập dữ liệu của ứng viên là để tuyển dụng. Khi đợt tuyển dụng kết thúc, mục đích này đã hoàn thành. Doanh nghiệp phải xóa hồ sơ của các ứng viên không trúng tuyển. Nếu muốn lưu lại để xem xét cho các vị trí trong tương lai, doanh nghiệp phải có được sự đồng ý riêng của ứng viên cho mục đích mới này.
4. Chính sách này có áp dụng cho dữ liệu được tạo ra trên các thiết bị cá nhân của nhân viên (BYOD) không?
Có, nếu các thiết bị đó được sử dụng cho công việc và có chứa dữ liệu của công ty hoặc khách hàng. Doanh nghiệp cần có một chính sách BYOD (Bring Your Own Device) riêng, trong đó quy định rõ các biện pháp bảo mật mà nhân viên phải tuân thủ trên thiết bị cá nhân và quyền của công ty trong việc quản lý, xóa dữ liệu công việc trên các thiết bị đó.
5. Khi nào cần cập nhật chính sách này?
Chính sách cần được rà soát và cập nhật định kỳ (ít nhất mỗi năm một lần) hoặc khi có những thay đổi lớn như: có quy định pháp luật mới, công ty áp dụng một công nghệ quản lý nhân sự mới, hoặc có sự thay đổi trong mục đích xử lý dữ liệu.
Nguồn tham khảo:
- Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: https://thuvienphapluat.vn/van-ban/Cong-nghe-thong-tin/Nghi-dinh-13-2023-ND-CP-bao-ve-du-lieu-ca-nhan-562955.aspx
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: https://thuvienphapluat.vn/van-ban/Bo-may-hanh-chinh/Luat-Bao-ve-du-lieu-ca-nhan-2025-so-91-2025-QH15-625628.aspx
- Bộ luật Lao động 2019: https://thuvienphapluat.vn/van-ban/Lao-dong-Tien-luong/Bo-luat-lao-dong-2019-323667.aspx
- Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân: https://baovedlcn.gov.vn
- ICO (UK) – Data protection and employee data: https://ico.org.uk/for-organisations/guide-to-data-protection/employment-practices/
