Chấm công bằng khuôn mặt, vân tay cần những hồ sơ pháp lý gì?

Chấm công bằng khuôn mặt, vân tay cần những hồ sơ pháp lý gì?

Doanh nghiệp dùng khuôn mặt, vân tay để nhận diện và chấm công cần làm rõ căn cứ xử lý, thông tin cho người lao động, phân quyền, lưu giữ và trách nhiệm nhà cung cấp. Đây là dữ liệu cá nhân nhạy cảm; mua thiết bị hoặc ký hợp đồng phần mềm chưa đủ để xác định hệ thống tuân thủ.

Dữ liệu nào trong máy chấm công là dữ liệu sinh trắc học?

Khoản 2 Điều 31 Luật 91/2025/QH15 xác định dữ liệu sinh trắc học theo thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định dùng để xác định một người. Điểm đ khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP xếp dữ liệu này vào nhóm nhạy cảm.

Cần hỏi nhà cung cấp hệ thống lưu ảnh, đặc trưng khuôn mặt, mẫu vân tay hay chỉ nhận kết quả đối chiếu. Mẫu đặc trưng vẫn có thể là dữ liệu sinh trắc học dù không giữ ảnh gốc. Mã hóa cũng không tự làm dữ liệu mất khả năng nhận diện.

Ảnh chỉ dùng để hiển thị và dữ liệu trích xuất để nhận diện cần được phân biệt theo chức năng thực tế. Không nên phân loại chỉ theo tên trường dữ liệu.

Có phải xin người lao động đồng ý chấm công bằng khuôn mặt, vân tay?

Doanh nghiệp phải xác định căn cứ cho hoạt động cụ thể. Khi dựa vào sự đồng ý, Điều 9 Luật 91/2025/QH15 yêu cầu người lao động tự nguyện, biết rõ thông tin và đồng ý theo từng mục đích, bằng cách kiểm chứng được. Theo Điều 6 Nghị định 356/2025/NĐ-CP, doanh nghiệp phải lưu bằng chứng; khi xin đồng ý xử lý dữ liệu nhạy cảm phải thông báo rõ tính chất này.

Điểm d khoản 1 Điều 19 Luật cho phép xử lý không cần đồng ý để thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo pháp luật. Nếu viện dẫn hợp đồng lao động, cần chỉ rõ hoạt động sinh trắc học phục vụ thỏa thuận nào và phạm vi dữ liệu cần dùng. Không thể chỉ suy luận rằng đã ký hợp đồng lao động thì doanh nghiệp được thu mọi dữ liệu.

Khoản 3 Điều 25 Luật còn yêu cầu người lao động biết rõ biện pháp công nghệ được dùng trong quản lý. Thông báo biện pháp và xác định căn cứ xử lý là hai việc cần được kiểm tra riêng.

Hồ sơ thông báo và đồng ý nên ghi nội dung gì?

Tài liệu nên giải thích dữ liệu được lấy khi nào, mục đích, bên xử lý, nơi lưu, thời hạn, người được tiếp cận và cách thực hiện quyền. Nếu dùng thêm để kiểm soát cửa hoặc phân tích hành vi, cần xác định riêng mục đích.

Nên dự kiến phương án chấm công khác khi không nhận diện được hoặc khi cần giải quyết việc không đồng ý, rút lại đồng ý. Đây là khuyến nghị quản trị để kiểm tra tính tự nguyện và tránh ảnh hưởng việc ghi nhận công; không phải kết luận mọi doanh nghiệp bắt buộc dùng cùng một phương án thay thế.

Ký nhận đã đọc thông báo không đương nhiên là đồng ý. Nội dung, phiên bản và thời điểm đồng ý cần đối chiếu được.

Cần chuẩn bị những nhóm tài liệu nào?

Bảng sau giúp phòng nhân sự kiểm tra hệ thống cùng pháp chế và công nghệ thông tin. Có thể tích hợp các nội dung vào tài liệu sẵn có nếu vẫn đầy đủ và dễ truy xuất.

Nghĩa vụ áp dụng cần xác định theo hoạt động và vai trò thực tế.

Hợp đồng phần mềm chấm công cần kiểm tra gì?

Cần xác định nhà cung cấp chỉ bán thiết bị hay còn lưu trữ, truy cập từ xa, đối chiếu và sử dụng dữ liệu. Khoản 2 Điều 37 Luật 91/2025/QH15 yêu cầu bên xử lý chỉ tiếp nhận dữ liệu sau khi có hợp đồng hoặc thỏa thuận với bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu, đồng thời xử lý đúng thỏa thuận.

Điều khoản nên làm rõ người được hỗ trợ từ xa, bên cung cấp phụ, mục đích được phép, thông báo sự cố, trả lại hoặc xóa dữ liệu khi kết thúc dịch vụ. Không nên để quyền sử dụng dữ liệu để huấn luyện sản phẩm nằm trong một điều khoản chung mà chưa được rà soát căn cứ và mục đích.

Ví dụ minh họa: thiết bị đặt tại văn phòng nhưng đồng bộ mẫu khuôn mặt lên máy chủ ở nước ngoài. Doanh nghiệp cần ghi nhận cả luồng đồng bộ và quyền truy cập của nhà cung cấp; vị trí đặt máy không đủ để kết luận dữ liệu chỉ xử lý trong nước.

Doanh nghiệp nhỏ có được miễn hồ sơ đánh giá tác động không?

Điều 21 Luật quy định hồ sơ đánh giá tác động xử lý dữ liệu. Cơ chế tại Điều 38 Luật và Điều 41 Nghị định 356/2025/NĐ-CP không áp dụng cho trường hợp trực tiếp xử lý dữ liệu nhạy cảm. Vì vậy, doanh nghiệp trực tiếp thu, xử lý dữ liệu sinh trắc học không thể chỉ dựa vào quy mô nhỏ để kết luận được miễn.

Nếu có luồng ra nước ngoài, cần kiểm tra riêng Điều 20 Luật và Điều 17 Nghị định. Ngoại lệ lưu trữ dữ liệu người lao động của chính đơn vị trên dịch vụ đám mây tại điểm b khoản 6 Điều 20 liên quan đến đánh giá tác động chuyển dữ liệu; không tự miễn hồ sơ xử lý hoặc hợp pháp hóa mọi mục đích của nhà cung cấp.

Với hệ thống đã vận hành trước ngày 01/01/2026, cần đối chiếu Điều 39 Luật về chuyển tiếp của sự đồng ý, thỏa thuận và hồ sơ đã được tiếp nhận. Không mặc nhiên yêu cầu làm lại toàn bộ, cũng không bỏ qua các thay đổi phát sinh.

Phải chuẩn bị gì cho lưu giữ và sự cố sinh trắc học?

Khoản 4 Điều 31 Luật yêu cầu bảo mật vật lý thiết bị lưu, truyền dữ liệu, hạn chế truy cập và có hệ thống theo dõi để phòng ngừa, phát hiện xâm phạm. Doanh nghiệp cần yêu cầu bộ phận kỹ thuật xác nhận khả năng thực hiện, thay vì chỉ lưu bản cam kết bảo mật.

Khi người lao động nghỉ việc, khoản 2 Điều 25 Luật yêu cầu xóa, hủy dữ liệu, trừ thỏa thuận hoặc quy định pháp luật khác. Cần tách mẫu sinh trắc học khỏi tài liệu chấm công, tiền lương có căn cứ lưu riêng.

Điều 29 Nghị định 356/2025/NĐ-CP yêu cầu bên kiểm soát hoặc bên kiểm soát và xử lý thông báo người bị ảnh hưởng không quá 72 giờ từ khi phát hiện vi phạm liên quan dữ liệu sinh trắc học; báo cáo theo Điều 28 và lưu hồ sơ vi phạm tối thiểu 5 năm từ ngày khắc phục xong. Nếu không thể thông báo hết vì lý do kỹ thuật hoặc khẩn cấp, phải công khai trên kênh điện tử chính thức và gửi thông báo cho người liên quan ngay khi điều kiện kỹ thuật cho phép.

Rà soát pháp lý trước khi triển khai hoặc thay hệ thống chấm công

Doanh nghiệp có thể gửi mô tả hệ thống, thông báo hiện có và hợp đồng nhà cung cấp để Justix đề xuất phạm vi chuẩn hóa pháp lý dữ liệu nhân sự. Luật sư hỗ trợ rà soát căn cứ xử lý, soạn tài liệu và xác định nghĩa vụ hồ sơ; trao đổi qua 0372717888 / 0878853686.