Thu thập sự đồng ý của người lao động bằng hợp đồng lao động là bước pháp lý nền tảng và bắt buộc để doanh nghiệp tuân thủ toàn diện Luật Bảo vệ dữ liệu cá nhân 2025. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO nhằm xây dựng hệ thống quản trị nhân sự an toàn, đáp ứng yêu cầu tuân thủ và ngăn chặn triệt để rủi ro bị xử phạt hành chính lên đến hàng trăm triệu đồng.

Thu thập sự đồng ý của người lao động bằng hợp đồng lao động: Hướng dẫn tuân thủ chuẩn pháp lý

Sự đồng ý của chủ thể dữ liệu cá nhân là gì theo quy định của pháp luật?

Tóm tắt chuyên môn: Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025, sự đồng ý của chủ thể dữ liệu là việc người lao động tự nguyện cho phép doanh nghiệp xử lý dữ liệu cá nhân của mình. Sự đồng ý này chỉ có hiệu lực khi người lao động được thông báo rõ ràng về loại dữ liệu, mục đích xử lý, danh tính bên kiểm soát dữ liệu và các quyền, nghĩa vụ liên quan.

Trong quá trình tuyển dụng và quản lý nhân sự, doanh nghiệp (với tư cách là Bên kiểm soát dữ liệu) bắt buộc phải xử lý một lượng lớn dữ liệu cá nhân của người lao động. Do đó, việc xác định rõ ranh giới pháp lý và các trường hợp bắt buộc phải có sự đồng ý là ưu tiên hàng đầu. Doanh nghiệp cần thiết lập chính sách bảo vệ dữ liệu cá nhân minh bạch ngay từ khâu tiếp nhận hồ sơ ứng viên.

Chính sách này không chỉ là một văn bản hành chính đơn thuần mà phải được tích hợp khéo léo vào Hợp đồng lao động hoặc Phụ lục hợp đồng, thể hiện rõ các hoạt động xử lý, mục đích cụ thể và cơ chế để người lao động thực hiện quyền của mình (như quyền rút lại sự đồng ý, quyền yêu cầu xóa dữ liệu).

Trường hợp nào doanh nghiệp cần phải thu thập sự đồng ý của người lao động?

Căn cứ theo Khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, cơ quan, tổ chức trong quản lý, sử dụng người lao động phải tuân thủ nghiêm ngặt pháp luật về lao động và dữ liệu. Doanh nghiệp phải lưu trữ dữ liệu trong thời hạn luật định và có nghĩa vụ xóa, hủy dữ liệu khi chấm dứt hợp đồng lao động, trừ khi có thỏa thuận khác.

Trong thực tiễn vận hành, doanh nghiệp thường xuyên áp dụng các biện pháp công nghệ như: lắp đặt camera giám sát tại nơi làm việc, sử dụng phần mềm ERP/HRM để quản lý KPI, hoặc cấp phát thiết bị có gắn định vị (GPS). Đối với tất cả các hoạt động này, doanh nghiệp bắt buộc phải thông báo và thu thập sự đồng ý của người lao động một cách minh bạch, tránh vi phạm quyền riêng tư.

Đặc biệt trong giai đoạn tuyển dụng, khi thu thập CV, biểu mẫu trực tuyến hay phỏng vấn ghi âm/ghi hình, doanh nghiệp phải thiết lập cơ chế “Opt-in” (chủ động đồng ý) rõ ràng trước khi ứng viên nhấn nút nộp hồ sơ.

Những loại dữ liệu cá nhân nào của người lao động doanh nghiệp cần lưu ý khi xử lý?

Theo Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP, doanh nghiệp cần phân định rạch ròi giữa dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm để áp dụng các tiêu chuẩn bảo mật tương ứng.

Việc phân loại chính xác giúp doanh nghiệp giới hạn phạm vi thu thập theo nguyên tắc “chỉ thu thập những gì thực sự cần thiết”, ngăn chặn triệt để tình trạng lạm dụng dữ liệu vượt quá mục đích quản lý lao động.

Quyền và nghĩa vụ của người lao động liên quan đến việc xử lý dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân 2025 trao cho người lao động quyền lực kiểm soát mạnh mẽ đối với thông tin của chính họ. Các quyền cốt lõi bao gồm: Quyền được biết, quyền đồng ý, quyền rút lại sự đồng ý, quyền xem, chỉnh sửa và quyền yêu cầu xóa dữ liệu.

Khi người lao động thực hiện quyền rút lại sự đồng ý, doanh nghiệp (Bên kiểm soát dữ liệu) có nghĩa vụ phải phản hồi trong vòng 02 ngày làm việc và tiến hành ngừng xử lý dữ liệu trong thời hạn 15 ngày (theo Điều 5 Nghị định 356/2025/NĐ-CP). Doanh nghiệp cần xây dựng sẵn quy trình (SOP) nội bộ để tiếp nhận và xử lý các yêu cầu này một cách trơn tru, tránh bị khiếu kiện.

Ngược lại, người lao động cũng bị ràng buộc bởi nghĩa vụ cung cấp thông tin trung thực, chính xác để phục vụ việc giao kết hợp đồng lao động, đóng BHXH, quyết toán thuế TNCN và tuân thủ nội quy lao động.

DỊCH VỤ PHÁP LÝ LIÊN QUAN

TƯ VẤN DOANH NGHIỆP & SOẠN THẢO HỢP ĐỒNG

Đội ngũ Luật sư DPO hỗ trợ rà soát, chuẩn hóa toàn bộ hệ thống Hợp đồng lao động, Nội quy lao động và Thỏa thuận bảo mật (NDA), đảm bảo tuân thủ khắt khe Luật Lao động và Luật Bảo vệ dữ liệu cá nhân 2025.

Hotline: 0976926655
YÊU CẦU TƯ VẤN

Điều khoản trong hợp đồng lao động về xử lý dữ liệu cá nhân cần đáp ứng những yêu cầu gì?

Tóm tắt chuyên môn: Theo Điều 11 Nghị định 356/2025/NĐ-CP, phương thức xin sự đồng ý phải rõ ràng, cụ thể, có thể in hoặc sao chép dưới dạng định dạng kiểm chứng được. Tuyệt đối không được sử dụng sự im lặng, không phản hồi, hoặc các ô check-box đánh dấu sẵn làm căn cứ xác định sự đồng ý.

Để việc thu thập sự đồng ý của người lao động bằng hợp đồng lao động có giá trị pháp lý vững chắc, bộ phận Pháp chế và Nhân sự (HR) cần thiết kế các điều khoản thỏa mãn các tiêu chí khắt khe sau:

• Bóc tách mục đích rõ ràng: Không sử dụng một câu văn chung chung. Phải liệt kê chi tiết: Dữ liệu dùng để trả lương, đóng bảo hiểm; Dữ liệu dùng để đánh giá năng lực (camera, phần mềm); Dữ liệu dùng để làm hồ sơ năng lực công ty gửi đối tác.
• Quyền tự quyết (Opt-in/Opt-out): Đối với các mục đích không phục vụ trực tiếp cho việc thực hiện hợp đồng lao động (ví dụ: dùng hình ảnh nhân viên để quảng cáo truyền thông), người lao động phải có quyền từ chối mà không bị ảnh hưởng đến việc làm.
• Cấm ép buộc: Không được lấy việc đồng ý xử lý dữ liệu (ngoài phạm vi luật định) làm điều kiện tiên quyết để ký kết hợp đồng lao động.
• Lưu vết bằng chứng: Mọi văn bản đồng ý (chữ ký tươi hoặc chữ ký điện tử) phải được lưu trữ an toàn để phục vụ công tác thanh tra, kiểm tra của Cục A05.

Những sai lầm thường gặp khi xây dựng văn bản về xử lý dữ liệu cá nhân

💡 Luật DPO chia sẻ kinh nghiệm thực chiến: Rất nhiều doanh nghiệp hiện nay vẫn đang sử dụng các biểu mẫu Hợp đồng lao động cũ, chỉ chèn thêm một câu “Người lao động đồng ý cho công ty sử dụng mọi thông tin cá nhân”. Đây là một sai lầm chí mạng.

Cơ quan chức năng sẽ coi đây là hành vi “tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm” (vi phạm điểm c khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP). Doanh nghiệp cần rà soát và thiết lập các Phụ lục đồng ý xử lý dữ liệu độc lập, trong đó phân định rõ ràng từng loại dữ liệu và từng mục đích cụ thể.

Quy trình soạn thảo và hoàn thiện hồ sơ nộp cơ quan có thẩm quyền (SOP)

Việc ký kết hợp đồng lao động chuẩn chỉnh chỉ là bước đầu. Để tuân thủ toàn diện, doanh nghiệp (Bên kiểm soát dữ liệu) có trách nhiệm lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) theo Mẫu số 10 và nộp về Cục A05 – Bộ Công an trong thời hạn 60 ngày kể từ ngày bắt đầu xử lý dữ liệu (theo Điều 19 Nghị định 356/2025/NĐ-CP).

Quy trình thực thi chuẩn mực do Luật DPO khuyến nghị bao gồm 5 bước:

1. Kiểm toán dữ liệu (Data Audit): Rà soát toàn bộ luồng dữ liệu ứng viên và người lao động đang được thu thập qua email, form tuyển dụng, phần mềm HRM, máy chấm công sinh trắc học.
2. Chuẩn hóa văn bản: Cập nhật Hợp đồng lao động, Nội quy lao động, Thỏa ước lao động tập thể và ban hành Chính sách bảo mật dữ liệu nội bộ.
3. Lập bản đồ dữ liệu (Data Mapping): Vẽ sơ đồ luân chuyển thông tin, xác định rõ dữ liệu được lưu trữ ở đâu (Server nội bộ hay Cloud), có chuyển giao cho bên thứ ba (Ngân hàng, Bảo hiểm, Đối tác) hay không.
4. Đánh giá rủi ro & Lập phương án: Nhận diện các nguy cơ rò rỉ từ nhân sự nội bộ hoặc tấn công mạng, từ đó thiết lập biện pháp mã hóa, phân quyền truy cập.
5. Hoàn thiện Mẫu số 10: Điền đầy đủ thông tin vào Báo cáo đánh giá tác động, ký đóng dấu và nộp trực tuyến qua Cổng dịch vụ công quốc gia.

Hậu quả pháp lý và chế tài xử phạt theo Nghị định 330/2026/NĐ-CP

Cảnh báo pháp lý: Sự ra đời của Nghị định 330/2026/NĐ-CP đã thiết lập khung hình phạt cực kỳ nghiêm khắc đối với các vi phạm về dữ liệu trong lĩnh vực nhân sự.

Cụ thể, theo Điều 61 Nghị định 330/2026/NĐ-CP (Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng lao động), doanh nghiệp sẽ phải đối mặt với các chế tài sau:

• Phạt tiền từ 20.000.000 VNĐ đến 50.000.000 VNĐ: Nếu xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý, hoặc sử dụng sai mục đích tuyển dụng, hoặc không xóa dữ liệu khi ứng viên trượt phỏng vấn.
• Phạt tiền từ 50.000.000 VNĐ đến 70.000.000 VNĐ: Nếu lưu trữ dữ liệu người lao động vượt quá thời hạn luật định; không xóa dữ liệu khi chấm dứt hợp đồng; hoặc áp dụng các biện pháp công nghệ (camera, phần mềm theo dõi) mà không thông báo cho người lao động biết.
• Phạt tiền từ 70.000.000 VNĐ đến 100.000.000 VNĐ: Nếu xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

Ngoài ra, cơ quan chức năng sẽ áp dụng biện pháp khắc phục hậu quả là buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập trái phép. Điều này sẽ gây tê liệt toàn bộ hệ thống quản trị nhân sự của doanh nghiệp.

Câu hỏi thường gặp về việc xử lý dữ liệu cá nhân của người lao động (FAQs)

Doanh nghiệp có bắt buộc phải ký lại hợp đồng lao động mới với người lao động cũ không?

Không bắt buộc. Để tối ưu chi phí và thời gian, doanh nghiệp có thể ban hành Phụ lục hợp đồng lao động bổ sung hoặc thiết lập một Thỏa thuận đồng ý xử lý dữ liệu cá nhân độc lập, yêu cầu người lao động ký xác nhận là hoàn toàn hợp lệ.

Gắn camera tại văn phòng làm việc có cần xin phép người lao động không?

Có. Theo Điều 61 Nghị định 330/2026/NĐ-CP, việc áp dụng biện pháp công nghệ (camera) mà không thông báo cho người lao động sẽ bị phạt nặng. Doanh nghiệp phải dán biển cảnh báo và đưa nội dung này vào thỏa thuận đồng ý xử lý dữ liệu.

Chia sẻ danh sách nhân viên cho ngân hàng để trả lương cần lưu ý gì?

Doanh nghiệp phải xác định rõ đây là hành vi “Chuyển giao dữ liệu cho bên thứ ba”. Việc này phải được quy định rõ trong văn bản xin sự đồng ý của người lao động, nêu đích danh tên Ngân hàng tiếp nhận và mục đích chỉ giới hạn ở việc chi trả lương.

Xử lý hồ sơ của ứng viên không trúng tuyển như thế nào để không phạm luật?

Theo quy định, doanh nghiệp phải xóa, hủy hồ sơ (CV) của ứng viên không trúng tuyển. Nếu muốn lưu trữ để dành cho các đợt tuyển dụng sau, doanh nghiệp bắt buộc phải gửi email thông báo và xin sự đồng ý gia hạn thời gian lưu trữ từ ứng viên.

Làm sao biết hồ sơ DPIA nộp cho Bộ Công an đã đạt yêu cầu?

Theo Điều 19 Nghị định 356/2025/NĐ-CP, trong thời hạn 15 ngày kể từ ngày nhận hồ sơ, Cục A05 sẽ đánh giá và trả kết quả. Nếu hồ sơ chưa đạt, doanh nghiệp sẽ nhận được văn bản yêu cầu bổ sung, hoàn thiện trong thời hạn 30 ngày.

Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO

Việc thu thập sự đồng ý của người lao động bằng hợp đồng lao động và lập hồ sơ DPIA là một quy trình pháp lý phức tạp, đòi hỏi sự am hiểu sâu sắc về cả Luật Lao động và Luật Bảo vệ dữ liệu cá nhân. Với triết lý “Đam mê và Danh dự”, Công ty Luật TNHH DPO cam kết mang đến dịch vụ tư vấn cá nhân hóa tối đa, giúp doanh nghiệp thiết lập hệ thống tuân thủ tinh gọn, an toàn và triệt tiêu mọi rủi ro phạt vạ. Hãy liên hệ ngay với chúng tôi qua Hotline 0976926655 hoặc trực tiếp tại trụ sở: Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để được các chuyên gia pháp lý hàng đầu hỗ trợ.

Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO. Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.