Doanh nghiệp dùng chấm công sinh trắc học có còn được miễn hồ sơ?

Doanh nghiệp dùng chấm công sinh trắc học có còn được miễn hồ sơ?

Chấm công bằng dữ liệu sinh trắc học có thể khiến doanh nghiệp nhỏ hoặc siêu nhỏ không còn được áp dụng cơ chế riêng về hồ sơ. Sơ đồ kiểm tra giúp phân biệt loại dữ liệu, vai trò thực tế và việc phải làm khi sử dụng máy hoặc dịch vụ chấm công.

Doanh nghiệp trực tiếp xử lý dữ liệu sinh trắc học để chấm công không được dựa vào cơ chế dành cho doanh nghiệp nhỏ, khởi nghiệp hoặc siêu nhỏ để bỏ các nghĩa vụ được Điều 38 Luật Bảo vệ dữ liệu cá nhân liệt kê. Lý do là dữ liệu sinh trắc học thuộc nhóm nhạy cảm và việc trực tiếp xử lý dữ liệu nhạy cảm là một trường hợp loại trừ. Tuy nhiên, phải xác định đúng chức năng và dữ liệu thực tế; không mặc nhiên coi mọi ảnh khuôn mặt hoặc mọi bảng chấm công là dữ liệu sinh trắc học. Căn cứ trực tiếp là khoản 2 Điều 31, khoản 2–3 Điều 38 Luật 91/2025/QH15, điểm đ khoản 1 Điều 4 và Điều 41 Nghị định 356/2025/NĐ-CP.

Dữ liệu nào trong chấm công là dữ liệu sinh trắc học?

Khoản 2 Điều 31 Luật 91 xác định dữ liệu sinh trắc học theo thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người dùng để xác định người đó. Vì vậy, cần xem hệ thống có lấy mẫu vân tay, trích xuất đặc trưng khuôn mặt, tạo mẫu đối chiếu hoặc sử dụng đặc điểm sinh học để nhận diện người lao động hay không.

Một ảnh chỉ để hiển thị trên hồ sơ nhân viên và một mẫu đặc trưng được tạo để nhận diện có chức năng khác nhau. Khoản 6 Điều 3 Nghị định 356 liệt kê hình ảnh cá nhân trong dữ liệu cơ bản, còn dữ liệu sinh trắc học được liệt kê tại điểm đ khoản 1 Điều 4. Không thể chỉ nhìn tên trường “ảnh” rồi kết luận; cũng phải kiểm tra xem ảnh hoặc ngữ cảnh có thuộc nhóm nhạy cảm khác hay không.

Ngược lại, việc nhà cung cấp không giữ ảnh gốc chưa chứng minh hệ thống không có dữ liệu sinh trắc học. Mẫu đặc trưng dùng để xác định người có thể vẫn thuộc định nghĩa, dù được đặt tên là mã, chuỗi số hoặc mẫu đối chiếu. Mã hóa dữ liệu để bảo vệ cũng không tự biến dữ liệu còn giúp xác định người thành dữ liệu đã khử nhận dạng theo khoản 1 Điều 2 Luật 91.

Trực tiếp xử lý dữ liệu nhạy cảm ảnh hưởng điều kiện miễn thế nào?

Khoản 2 Điều 38 Luật 91 cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp quyền lựa chọn đối với Điều 21, Điều 22 và khoản 2 Điều 33 trong thời hạn 5 năm từ khi Luật có hiệu lực. Khoản 3 Điều 38 quy định cơ chế không phải thực hiện các quy định này đối với hộ kinh doanh, doanh nghiệp siêu nhỏ. Cả hai đều có ngoại lệ khi trực tiếp xử lý dữ liệu nhạy cảm, được cụ thể tại Điều 41 Nghị định 356.

Nếu doanh nghiệp trực tiếp thu mẫu, đối chiếu hoặc xử lý dữ liệu sinh trắc học theo hoạt động thực tế, phải đánh giá theo ngoại lệ đó. Không có điều kiện phải đạt một số lượng nhân viên nhất định hoặc xử lý đủ 100.000 người thì ngoại lệ dữ liệu nhạy cảm mới áp dụng. Ngưỡng 100.000 chủ thể là một căn cứ loại trừ khác, không phải điều kiện đi kèm để xử lý sinh trắc học mới làm mất cơ chế.

Hệ quả cần được ghi đúng phạm vi: doanh nghiệp không tiếp tục dựa vào cơ chế Điều 38 tương ứng để không thực hiện các nghĩa vụ được liệt kê. Sau đó, phải xác định nghĩa vụ lập, lưu, gửi và cập nhật theo vai trò, tình trạng hồ sơ. Việc một chức năng chấm công có dữ liệu nhạy cảm cũng không có nghĩa doanh nghiệp chỉ cần rà soát riêng chiếc máy rồi bỏ qua dữ liệu khác trong phạm vi hồ sơ.

Sơ đồ kiểm tra nghĩa vụ hồ sơ khi dùng chấm công

Sơ đồ dưới đây là công cụ rà soát do Justix biên soạn. Nhánh “chưa rõ” cần được giải quyết bằng thông tin hệ thống và hợp đồng, không được dùng như một kết luận miễn tạm thời.

Cách sử dụng: Bắt đầu từ chức năng thực tế, đối chiếu dữ liệu với khoản 2 Điều 31 Luật 91 và danh mục Điều 4 Nghị định 356. Nếu đã xác định doanh nghiệp trực tiếp xử lý dữ liệu sinh trắc học, chuyển sang xác định nghĩa vụ theo vai trò. Nếu chưa đủ thông tin, ghi câu hỏi cần nhà cung cấp trả lời trước khi kết luận. Phần cuối vẫn cần kiểm tra các căn cứ loại trừ khác và nghĩa vụ xuyên biên giới nếu có.

Mua máy đặt tại văn phòng hoặc thuê dịch vụ có làm thay đổi kết luận không?

Vị trí đặt máy chưa mô tả đầy đủ hoạt động xử lý. Doanh nghiệp có thể lấy mẫu ở thiết bị, lưu cục bộ, đồng bộ lên máy chủ, cho bộ phận hỗ trợ truy cập từ xa hoặc gửi dữ liệu cho nhà cung cấp đối chiếu. Cần phân biệt từng hoạt động để xác định ai quyết định mục đích, phương tiện và ai trực tiếp tác động đến dữ liệu theo khoản 6–9 Điều 2 Luật 91.

Nếu doanh nghiệp tự lấy mẫu, quản trị cơ sở dữ liệu hoặc dùng hệ thống để đối chiếu nhận diện, không thể chỉ viện dẫn hợp đồng thuê phần mềm để phủ nhận các hoạt động đang thực hiện. Nếu mô hình cho rằng doanh nghiệp chỉ nhận kết quả giờ công, cần kiểm tra việc đăng ký mẫu ban đầu, quyền điều khiển quy trình, người vận hành thiết bị, dữ liệu có thể truy cập và việc nhà cung cấp làm theo yêu cầu của ai. Không kết luận được miễn chỉ vì người quản lý không nhìn thấy mẫu vân tay trên màn hình.

Tên gọi trong hợp đồng cũng cần khớp thực tế. Một điều khoản ghi nhà cung cấp “chịu toàn bộ trách nhiệm dữ liệu” không tự xóa vai trò và nghĩa vụ của doanh nghiệp. Bài Chấm công bằng khuôn mặt, vân tay cần những hồ sơ pháp lý gì? hướng dẫn sâu hơn về thông báo, căn cứ xử lý và tài liệu vận hành.

Những câu hỏi nên gửi cho nhà cung cấp

Bảng câu hỏi là khuyến nghị khảo sát, không phải một bộ thành phần hồ sơ hành chính bắt buộc. Doanh nghiệp có thể yêu cầu mô tả kỹ thuật, ảnh cấu hình và điều khoản dịch vụ; không yêu cầu gửi mẫu sinh trắc học thật của nhân viên chỉ để trao đổi ban đầu với đơn vị tư vấn.

Tình huống giả định: từ thẻ từ sang nhận diện khuôn mặt

Một doanh nghiệp dịch vụ đã có kết luận đủ điều kiện lựa chọn theo khoản 2 Điều 38 dựa trên hoạt động được kiểm tra tại thời điểm đó. Doanh nghiệp dùng mã nhân viên và thẻ từ để ghi giờ, sau đó bổ sung tính năng nhận diện khuôn mặt. Trong mô hình mới, bộ phận nhân sự trực tiếp đăng ký mẫu, hệ thống do doanh nghiệp vận hành đối chiếu để xác định người và dữ liệu đặc trưng được lưu trên máy chủ.

Điểm cần đánh giá là hoạt động mới có trực tiếp xử lý dữ liệu sinh trắc học hay không, không phải tên nhà cung cấp có thay đổi hay không. Nếu đúng dữ kiện trên, doanh nghiệp phải kiểm tra lại ngoại lệ nhạy cảm và không tiếp tục dựa vào kết luận lựa chọn cũ. Hồ sơ đánh giá cần phản ánh các hoạt động, luồng dữ liệu và rủi ro thực tế, cùng tình trạng tài liệu đã có.

Đầu ra gồm kết luận về loại dữ liệu và vai trò, danh mục hồ sơ cần thực hiện hoặc cập nhật, trách nhiệm nhà cung cấp và phương án bảo vệ. Ví dụ minh họa này không phải câu chuyện triển khai thực tế của Justix. Việc chỉ dùng thẻ từ trong mô hình ban đầu cũng không tự bảo đảm được miễn nếu doanh nghiệp có dữ liệu nhạy cảm ở hoạt động khác.

Cần làm gì nếu không còn áp dụng cơ chế miễn hoặc lựa chọn?

Làm rõ thời điểm và tình trạng hồ sơ. Pháp chế cùng nhân sự, kỹ thuật ghi thời điểm bắt đầu hoạt động nhạy cảm, hồ sơ đã lập và bằng chứng đã gửi, tiếp nhận nếu có. Không tự coi mua máy là ngày đầu tiên xử lý dữ liệu của toàn doanh nghiệp. Khoản 2 Điều 39 Luật 91 có cơ chế chuyển tiếp cho hồ sơ theo Nghị định 13 đã được cơ quan chuyên trách tiếp nhận trước 01/01/2026; cần kiểm tra đúng điều kiện, tránh yêu cầu lập lại chỉ vì có luật mới.

Xác định nghĩa vụ theo vai trò. Khoản 1 Điều 21 Luật 91 quy định lập, lưu trữ và gửi đối với bên kiểm soát, bên kiểm soát và xử lý; khoản 3 quy định việc lập, lưu của bên xử lý theo thỏa thuận. Cần đối chiếu thêm Điều 19 Nghị định 356 theo trường hợp; không gộp các vai trò thành một nghĩa vụ giống nhau. Bài Doanh nghiệp nào phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân? giải thích khung nghĩa vụ này.

Kiểm tra nghĩa vụ về lực lượng bảo vệ dữ liệu. Khi không được dùng cơ chế loại trừ tương ứng, khoản 2 Điều 33 phải được xem xét cùng quy định về điều kiện, phân công hoặc thuê dịch vụ. Có thể đối chiếu bài Chỉ định nhân sự bảo vệ dữ liệu cá nhân cần hồ sơ gì?. Không mặc nhiên coi nhà cung cấp máy chấm công đã đảm nhận công việc bảo vệ dữ liệu cho doanh nghiệp.

Duy trì yêu cầu bảo vệ trong vận hành. Khoản 3 Điều 25 Luật 91 yêu cầu biện pháp công nghệ quản lý người lao động phù hợp pháp luật, bảo đảm quyền và lợi ích, trên cơ sở người lao động biết rõ. Điểm a khoản 4 Điều 31 còn yêu cầu bảo mật vật lý thiết bị lưu, truyền dữ liệu sinh trắc học, hạn chế truy cập và có hệ thống theo dõi để phòng ngừa, phát hiện xâm phạm. Nhân sự, kỹ thuật và nhà cung cấp cần cung cấp bằng chứng thực hiện; một cam kết chung trong hồ sơ chưa thay được khả năng vận hành đó.

Câu hỏi thường gặp

Nhân viên đã đồng ý thì doanh nghiệp có được miễn hồ sơ không?

Sự đồng ý và điều kiện hồ sơ là hai vấn đề khác nhau. Nếu dựa vào đồng ý, phải đáp ứng Điều 9 Luật 91; khoản 4 Điều 6 Nghị định 356 yêu cầu thông báo rõ tính nhạy cảm khi xin đồng ý xử lý dữ liệu nhạy cảm. Dù đồng ý hợp lệ, việc doanh nghiệp trực tiếp xử lý sinh trắc học vẫn cần xét ngoại lệ tại Điều 41.

Dữ liệu đã mã hóa hoặc chỉ lưu trên máy có còn phải xem xét không?

Có. Đây là đặc điểm bảo vệ hoặc nơi lưu, không tự làm mất tính chất sinh trắc học. Phải kiểm tra dữ liệu còn giúp xác định người và hoạt động ai đang thực hiện. Không đồng bộ lên đám mây không đồng nghĩa được miễn hồ sơ đánh giá tác động xử lý.

Dùng đám mây để lưu dữ liệu nhân viên có được miễn cả hai loại hồ sơ không?

Điểm b khoản 6 Điều 20 Luật 91 có ngoại lệ đánh giá tác động chuyển dữ liệu đối với việc cơ quan, tổ chức lưu dữ liệu người lao động của chính mình trên dịch vụ đám mây. Ngoại lệ này không tự miễn hồ sơ đánh giá tác động xử lý theo Điều 21 và không mở rộng cho mọi hoạt động của nhà cung cấp. Cần tách đúng luồng, mục đích và loại nghĩa vụ.

Bỏ máy sinh trắc học thì có tự khôi phục cơ chế miễn không?

Chưa thể kết luận chỉ từ việc ngừng một thiết bị. Phải xác minh việc xử lý, lưu giữ dữ liệu sinh trắc học cũ, các dữ liệu nhạy cảm khác, hoạt động dịch vụ và quy mô chủ thể tích lũy. Đồng thời kiểm tra quy mô doanh nghiệp và thời hạn áp dụng của cơ chế tương ứng. Tài liệu kết luận trước đó cần được rà soát trên dữ kiện mới.

Justix hỗ trợ rà soát điều kiện và nghĩa vụ hồ sơ

Nếu doanh nghiệp sắp dùng nhận diện khuôn mặt, vân tay hoặc chưa rõ vai trò với nhà cung cấp, Justix có thể rà soát nghĩa vụ, điều kiện miễn hoặc lựa chọn và tài liệu cần chuẩn bị trong dịch vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Đầu vào nên gồm mô tả chức năng, loại dữ liệu, luồng lưu và truy cập, hợp đồng, thông báo cùng hồ sơ đang có. Liên hệ 037 27 17 888 hoặc legal@justix.vn để thống nhất phạm vi hỗ trợ.