Luật Bảo Vệ Dữ Liệu Cá Nhân 2025: Doanh Nghiệp FDI Cần Kiểm Soát Gì Trong Quy Trình Định Danh Và Ký Kết Điện Tử?

Một lượt ký hợp đồng lao động trên điện thoại chỉ mất vài phút. Trong vài phút đó, doanh nghiệp đã xử lý dữ liệu sinh trắc học, hình ảnh căn cước và có thể đã chuyển chúng ra nước ngoài. Kể từ ngày 19/8/2026, khi Nghị định 330/2026/NĐ-CP có hiệu lực, những khâu này đều gắn với mức phạt cụ thể.

Hãy hình dung một giờ đổi ca ở khu công nghiệp Bắc Ninh. Công nhân mới áp thẻ căn cước gắn chip vào điện thoại, nhìn vào camera vài giây rồi ký. Tối hôm đó, hồ sơ tự đồng bộ sang hệ thống nhân sự (HRIS) của tập đoàn đặt tại Singapore. Với bộ phận nhân sự, đó là một quy trình trơn tru. Với Luật Bảo vệ dữ liệu cá nhân 2025, đó là nhiều hoạt động xử lý dữ liệu nối tiếp nhau, mỗi hoạt động có nghĩa vụ riêng.

Nhiều doanh nghiệp FDI đã dồn sức cho chuỗi kỹ thuật của hợp đồng lao động điện tử theo Nghị định 337/2025/NĐ-CP. Chuỗi đó trả lời câu hỏi hợp đồng có chặt chẽ và có nền tảng pháp lý vững vàng hay không. Bài viết này bàn về câu hỏi còn lại: doanh nghiệp có đang xử lý dữ liệu của người ký đúng luật hay không.

Khung pháp lý đang áp dụng

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026, áp dụng cho cả tổ chức nước ngoài tại Việt Nam và tổ chức nước ngoài tham gia xử lý dữ liệu của công dân Việt Nam.

• Nghị định 356/2025/NĐ-CP, cùng hiệu lực với Luật, hướng dẫn chi tiết và thay thế Nghị định 13/2023/NĐ-CP.

• Nghị định 330/2026/NĐ-CP, hiệu lực từ 19/8/2026, quy định hành vi vi phạm và mức xử phạt.

Nếu chính sách nội bộ vẫn dẫn chiếu Nghị định 13, đã đến lúc cập nhật. Tin tốt là theo Điều 39 của Luật, sự đồng ý đã lấy hợp lệ cho hoạt động đang diễn ra không phải xin lại, và hồ sơ đánh giá tác động đã được tiếp nhận vẫn tiếp tục được dùng.

Một lượt ký chạm vào những dữ liệu nào?

Điểm dễ bỏ sót nhất: số định danh cá nhân là dữ liệu cơ bản, nhưng hình ảnh của chính tấm thẻ căn cước chứa số đó lại là dữ liệu nhạy cảm (Điều 3 và Điều 4, Nghị định 356). Đặt cạnh quy trình định danh 5 bước bằng eKYC và VNeID, bản đồ dữ liệu trông như sau:

6 điểm doanh nghiệp FDI cần kiểm soát

1. Sự đồng ý phải tách khỏi nút ký. Sự đồng ý chỉ có hiệu lực khi tự nguyện, thể hiện cho từng mục đích và kiểm chứng được (Điều 9). Im lặng không được coi là đồng ý. Doanh nghiệp phải lưu bằng chứng, tự chứng minh khi có tranh chấp và báo cho người lao động biết dữ liệu nào là nhạy cảm (Điều 6, Nghị định 356).

Một ô tích sẵn gộp vào màn hình ký là rủi ro dễ thấy nhất: mức phạt 30 đến 50 triệu đồng, kèm khả năng bị buộc xóa dữ liệu đã thu thập. Điều 19 của Luật có trường hợp không cần đồng ý, nên bộ phận pháp lý cần chốt căn cứ xử lý cho từng mục đích. Theo chúng tôi, nên giữ phương án ký giấy cho người từ chối xác thực khuôn mặt. Hợp đồng điện tử không bắt buộc, nên một lựa chọn thay thế có thật cũng giúp sự đồng ý tự nguyện đúng nghĩa.

2. Hợp đồng với nhà cung cấp phải nói rõ về dữ liệu. Thuê ngoài eKYC hay eContract không chuyển trách nhiệm đi đâu cả. Doanh nghiệp thường là bên kiểm soát dữ liệu và chịu trách nhiệm trước người lao động về thiệt hại (Điều 37). Bên xử lý chỉ được nhận dữ liệu sau khi có thỏa thuận. Hợp đồng ký ở cấp tập đoàn thường không có phần này cho Việt Nam, nên hãy rà lại mục đích, loại dữ liệu, thời hạn xử lý, việc xóa và trách nhiệm của từng bên.

3. Luồng dữ liệu qua biên giới phải được nhìn thấy. Theo Điều 20, dùng nền tảng đặt ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam cũng là chuyển dữ liệu xuyên biên giới, dù không ai chủ động gửi tệp nào. Công cụ ký toàn cầu và HRIS khu vực đều cần được soi theo quy định này.

Doanh nghiệp FDI có hai trường hợp được miễn lập hồ sơ đánh giá tác động: lưu dữ liệu của chính người lao động trên điện toán đám mây (Điều 20 của Luật), và chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể (Điều 17, Nghị định 356). Tuy nhiên, cần lưu ý ba giới hạn:

• Đây là miễn lập hồ sơ, không phải miễn các nghĩa vụ về đồng ý, thông báo, hợp đồng và biện pháp bảo vệ.

• Ngoại lệ thứ hai gắn với quy chế lao động, nên tài liệu nội bộ cần phản ánh đúng luồng dữ liệu đang chạy.

• Ứng viên, đại diện đối tác và khách hàng ký trên cùng hệ thống không phải người lao động của doanh nghiệp, nên cần đánh giá riêng.

Không thuộc diện miễn thì phải lập hồ sơ và gửi trong 60 ngày kể từ ngày đầu tiên chuyển dữ liệu. Không lập hoặc không gửi có thể bị phạt 30 đến 50 triệu đồng. Vi phạm quy định về chuyển dữ liệu có mức trần 5% doanh thu năm liền trước, hoặc 3 tỷ đồng nếu mức tính theo doanh thu thấp hơn. Đây là con số CFO nên đọc đầu tiên, vì các vi phạm thông thường khác có mức trần 3 tỷ đồng, không tính theo doanh thu.

4. Hồ sơ đánh giá tác động và người chịu trách nhiệm. Bên kiểm soát phải lập hồ sơ đánh giá tác động xử lý dữ liệu và gửi trong 60 ngày kể từ ngày đầu tiên xử lý (Điều 21). Hồ sơ chỉ lập một lần nhưng phải cập nhật: định kỳ 6 tháng khi có mục đích mới hoặc đổi bên xử lý, và trong 10 ngày với một số thay đổi lớn như tổ chức lại doanh nghiệp. Vì vậy, thêm eKYC hay đổi nhà cung cấp eContract không chỉ là việc của phòng CNTT.

Doanh nghiệp cũng phải chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu, hoặc thuê dịch vụ ngoài. Nhân sự này cần trình độ từ cao đẳng, ít nhất 2 năm kinh nghiệm liên quan và được đào tạo về bảo vệ dữ liệu. Kinh nghiệm quản trị nhân sự cũng được tính, nên người phù hợp có thể đã ở trong công ty. Doanh nghiệp nhỏ trực tiếp xử lý dữ liệu nhạy cảm cũng không được hưởng ưu đãi miễn trừ (Điều 38).

5. Hai đồng hồ lưu trữ. Nghị định 337 yêu cầu lưu dữ liệu hợp đồng, phụ lục và nhật ký giao dịch 10 năm kể từ khi chấm dứt. Luật Bảo vệ dữ liệu cá nhân yêu cầu xóa dữ liệu người lao động khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc quy định khác (Điều 25). Hai quy định này không mâu thuẫn, nhưng 10 năm được đặt ra cho hồ sơ hợp đồng, không tự động áp cho mọi thứ thu được lúc định danh.

Theo chúng tôi, doanh nghiệp nên cùng luật sư chốt riêng một câu hỏi: ảnh khuôn mặt gốc và video kiểm tra người thật cần giữ bao lâu, hay chỉ cần giữ kết quả xác thực và nhật ký? Lưu quá thời gian cần thiết có thể bị phạt 20 đến 40 triệu đồng và buộc hủy dữ liệu. Không xóa dữ liệu ứng viên không trúng tuyển, khi không có thỏa thuận khác, có thể bị phạt 20 đến 50 triệu đồng.

Cũng cần một quy trình tiếp nhận yêu cầu từ người lao động: phản hồi trong 2 ngày làm việc, hoàn tất trong 10 ngày với yêu cầu xem hoặc sửa, 15 ngày với yêu cầu rút đồng ý và 20 ngày với yêu cầu xóa (Điều 5, Nghị định 356).

6. Sự cố phải được báo đúng giờ. Bên kiểm soát phải báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện vi phạm có thể gây tổn hại (Điều 23). Với dữ liệu sinh trắc học, Nghị định 356 còn yêu cầu thông báo cho người bị ảnh hưởng, và biên bản sự cố phải lưu ít nhất 5 năm. Luật chỉ yêu cầu bên xử lý báo "kịp thời", nên hợp đồng với nhà cung cấp nên ghi số giờ cụ thể và tên người nhận thông báo tại Việt Nam. Một cảnh báo gửi về trụ sở Seoul vào tối thứ Sáu sẽ không tự tìm đến đúng người.

Kyta Platform hỗ trợ ở đâu trong bức tranh này?

Không nền tảng nào có thể lập hồ sơ đánh giá tác động hay soạn nội dung đồng ý thay doanh nghiệp. Điều nền tảng làm được là gom các bước vào một luồng để dữ liệu và chứng cứ không nằm rải rác ở nhiều công cụ. Kyta Platform của FPT IS được hơn 4.500 doanh nghiệp tin dùng cho định danh và giao kết điện tử:

• Kyta eKYC: đọc chip căn cước qua NFC, so khớp khuôn mặt, kiểm tra người thật và đối chiếu với dữ liệu Bộ Công an ngay trong luồng ký.

• Kyta Signature: chữ ký số từ xa với dấu thời gian (TSA) và xác thực lâu dài (LTV).

• Kyta eFlow và Kyta eRequest: phê duyệt nhiều cấp, phân quyền theo vai trò giữa nhân sự, pháp chế và người đại diện theo pháp luật.

• Kyta eCLM: kho lưu trữ tập trung, tra cứu theo hợp đồng, phụ lục và giai đoạn vòng đời.

• Nhật ký kiểm toán: ghi nhận quá trình từ lúc thu thập dữ liệu đến lúc ký, sẵn sàng xuất trình khi thanh tra hoặc tranh chấp.

Kyta được xây trên kiến trúc low-code và kết nối với HRIS doanh nghiệp đang dùng. Khi thiết kế phần tích hợp, đó cũng là lúc nên quyết định trường dữ liệu nào được phép ra khỏi Việt Nam.

Kết luận

Thử tự kiểm tra bằng một câu hỏi: nếu đoàn kiểm tra đến vào ngày mai và chọn ngẫu nhiên một hợp đồng lao động điện tử, bạn có xuất trình được bằng chứng đồng ý, hồ sơ đánh giá tác động và thỏa thuận với bên xử lý cho đúng hợp đồng đó không? Nếu còn phải gọi ba phòng ban mới trả lời được, nên bắt đầu từ bản đồ dữ liệu ở trên, với một nhóm lao động và một nhà máy.

Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.

Liên hệ Kyta Platform để được tư vấn triển khai:

• Website: kyta.fpt.com

• Hotline: 1900 636 121 (ext. 2)

• Email: support.kyta@fpt.com