Thuê đơn vị tính lương, BHXH: hợp đồng dữ liệu nhân sự cần gì?

Doanh nghiệp có thể thuê đơn vị bên ngoài tính lương và hỗ trợ thủ tục bảo hiểm xã hội, nhưng việc thuê ngoài không làm mất trách nhiệm quản lý dữ liệu người lao động. Nhà cung cấp chỉ được nhận và xử lý dữ liệu trong phạm vi có căn cứ, đúng hợp đồng và mục đích được xác định. Trường hợp nhà cung cấp quyết định sử dụng dữ liệu cho mục đích riêng, cần đánh giá lại vai trò và căn cứ xử lý của hoạt động đó. Điều 2 và Điều 37 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 là cơ sở phân định trước khi soạn phụ lục hợp đồng.

1. Phân biệt đơn vị dịch vụ tiền lương với cơ quan bảo hiểm xã hội

Điểm khởi đầu là xác định ai quyết định mục đích xử lý. Theo các khoản 7, 8 và 9 Điều 2 Luật Bảo vệ dữ liệu cá nhân, bên kiểm soát quyết định mục đích và phương tiện; bên xử lý thực hiện theo yêu cầu thông qua hợp đồng; bên kiểm soát và xử lý vừa quyết định vừa trực tiếp thực hiện. Một công ty có thể giữ vai trò khác nhau đối với những nghiệp vụ khác nhau.

Ví dụ, hợp đồng ghi nhà cung cấp là “đối tác bảo mật” không quyết định vai trò pháp lý. Cần xem thực tế nhà cung cấp có được tự xây dựng tập khách hàng, phân tích bảng lương để tiếp thị dịch vụ hoặc chuyển dữ liệu cho đơn vị khác hay không. Nếu có, cần xem xét riêng hoạt động và căn cứ sử dụng đó, thay vì đưa toàn bộ vào một điều khoản “bảo mật thông tin”.

2. Những nhóm dữ liệu cần được liệt kê trong hợp đồng

Điều 3 Luật Bảo vệ dữ liệu cá nhân yêu cầu thu thập, xử lý đúng phạm vi và mục đích cụ thể, đồng thời giới hạn thời gian lưu. Vì vậy, phụ lục hợp đồng nên xác định từng nhóm dữ liệu theo nghiệp vụ, thay vì cho phép truy cập toàn bộ hồ sơ nhân sự.

Không nên gắn nhãn “dữ liệu nhạy cảm” cho mọi trường tài khoản ngân hàng hoặc mọi thông tin về thu nhập chỉ dựa vào tên trường. Khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP liệt kê cụ thể thông tin sức khỏe, thông tin đăng nhập ngân hàng, thẻ ngân hàng, lịch sử giao dịch và các nhóm dữ liệu tài chính trong phạm vi được xác định. Doanh nghiệp cần đối chiếu nội dung và ngữ cảnh thực tế; khoản 2 Điều 4 yêu cầu phân quyền, quy trình và biện pháp bảo mật khi xử lý dữ liệu nhạy cảm.

3. Căn cứ xử lý không đồng nghĩa với việc phải xin một giấy đồng ý cho toàn bộ bảng lương

Pháp luật lao động và bảo hiểm xã hội có những nghĩa vụ đòi hỏi sử dụng dữ liệu người lao động. Chẳng hạn, Điều 13 Luật Bảo hiểm xã hội số 41/2024/QH15 quy định trách nhiệm đăng ký tham gia BHXH bắt buộc và lập hồ sơ để người lao động hưởng chế độ. Khi thuê đơn vị dịch vụ, doanh nghiệp phải phân biệt việc xử lý phục vụ nghĩa vụ này với các mục đích không cần thiết như phân tích dữ liệu để bán dịch vụ, quảng cáo hoặc chia sẻ cho đối tác khác.

Điều 9 và Điều 19 Luật Bảo vệ dữ liệu cá nhân quy định sự đồng ý và các trường hợp xử lý không cần sự đồng ý. Không có nguyên tắc rằng “đã ký hợp đồng lao động thì mọi xử lý đều được miễn đồng ý”, cũng không có nguyên tắc phải xin lại một giấy đồng ý cho mọi thao tác thực hiện nghĩa vụ BHXH. Căn cứ cần xác định theo từng mục đích, thỏa thuận hợp pháp và quy định chuyên ngành. Khi doanh nghiệp dựa vào sự đồng ý thì phải đáp ứng điều kiện có hiệu lực và giữ bằng chứng phù hợp.

Riêng thông tin sức khỏe hoặc hồ sơ phát sinh từ chế độ ốm đau cần đối chiếu thêm Điều 26 Luật Bảo vệ dữ liệu cá nhân, vì đây là nhóm dữ liệu có yêu cầu riêng. Không đưa những bản sao hồ sơ khám chữa bệnh không phục vụ nghiệp vụ vào tệp gửi hàng tháng.

4. Mẫu phụ lục bảo vệ dữ liệu trong hợp đồng dịch vụ tiền lương và BHXH

Mẫu tham khảo do Justix biên soạn để doanh nghiệp điều chỉnh theo giao dịch; không phải biểu mẫu bắt buộc do cơ quan nhà nước ban hành. Mẫu dưới đây giả định bên A là doanh nghiệp sử dụng lao động, bên B là nhà cung cấp chỉ xử lý dữ liệu theo chỉ dẫn của A. Nếu vai trò thực tế khác, phải sửa phần định nghĩa và nghĩa vụ tương ứng.

Điều 1. Phạm vi dữ liệu và mục đích xử lý

“Bên A cung cấp cho Bên B các trường thông tin quy định tại Danh mục dữ liệu kèm Phụ lục này để thực hiện tính lương, lập bảng thanh toán, chuẩn bị hồ sơ và hỗ trợ nghiệp vụ BHXH, thuế trong phạm vi Hợp đồng dịch vụ. Bên B không được sử dụng các thông tin đó cho hoạt động tiếp thị, lập cơ sở dữ liệu khách hàng riêng, huấn luyện công cụ hoặc mục đích khác nếu chưa có căn cứ và thỏa thuận hợp pháp riêng.”

Điều 2. Chỉ dẫn và giới hạn tiếp nhận

“Bên B tiếp nhận dữ liệu thông qua kênh chuyển giao được Bên A phê duyệt; chỉ nhân sự được phân công mới được mở, sửa, tải hoặc gửi tiếp. Yêu cầu bổ sung dữ liệu ngoài danh mục phải có giải trình nghiệp vụ và được Bên A chấp thuận trước khi tiếp nhận. Bên B lưu vết các lần nhận, xuất và bàn giao dữ liệu theo phương thức phù hợp.”

Điều 3. Biện pháp bảo vệ

“Bên B phải tổ chức phân quyền theo nhiệm vụ, xác thực tài khoản, hạn chế lưu bản sao tại thiết bị cá nhân, bảo vệ tệp chuyển giao và kiểm soát quyền truy cập của người hỗ trợ kỹ thuật. Bên B kịp thời rà soát, khắc phục điểm yếu được phát hiện; chứng minh được việc thực hiện các biện pháp đã cam kết khi Bên A yêu cầu hợp lý.”

Điều 4. Người được tiếp cận và nhà cung cấp phụ

“Bên B chỉ giao dữ liệu cho nhân sự hoặc nhà cung cấp phụ thuộc phạm vi dịch vụ đã thống nhất. Trước khi sử dụng nhà cung cấp phụ, Bên B cung cấp cho Bên A tên, nhiệm vụ, nhóm dữ liệu, nơi xử lý và biện pháp bảo vệ để Bên A xem xét; Bên B bảo đảm nghĩa vụ bảo vệ dữ liệu thích hợp được ràng buộc với bên tiếp theo. Việc chuyển dữ liệu ra nước ngoài, nếu có, phải được đánh giá theo quy định riêng trước khi thực hiện.”

Điều 5. Phối hợp khi có yêu cầu của người lao động

“Khi Bên A nhận yêu cầu truy cập, chỉnh sửa, xóa hoặc hạn chế xử lý hợp lệ, Bên B phối hợp xác định bản dữ liệu liên quan, thực hiện phần việc thuộc phạm vi quản lý và cung cấp xác nhận cho Bên A. Bên B không tự cung cấp dữ liệu nhân sự cho người thứ ba trên cơ sở yêu cầu chưa được kiểm tra thẩm quyền.”

Điều 6. Sự cố và thông báo

“Ngay khi phát hiện dấu hiệu mất, truy cập trái phép hoặc gửi nhầm dữ liệu, Bên B phải thông báo cho đầu mối do Bên A chỉ định theo thời hạn thông báo nội bộ đã được các bên thống nhất trong Hợp đồng; nêu thời gian phát hiện, nhóm dữ liệu có thể bị ảnh hưởng, biện pháp cô lập, tình trạng điều tra và người chịu trách nhiệm cập nhật. Hai bên phối hợp xác định trách nhiệm thông báo cho cơ quan có thẩm quyền nếu đủ điều kiện luật định.”

Lưu ý: thời hạn Bên B báo cho Bên A là thời hạn hợp đồng. Không được đồng nhất với mốc thông báo cơ quan nhà nước theo Điều 23 Luật Bảo vệ dữ liệu cá nhân.

Điều 7. Bàn giao khi kết thúc hợp đồng

“Khi Hợp đồng chấm dứt, Bên B bàn giao cho Bên A bảng lương, báo cáo, chứng từ và tệp dữ liệu thuộc phạm vi dịch vụ theo danh mục nghiệm thu. Sau khi Bên A xác nhận nhận đủ dữ liệu, Bên B ngừng sử dụng và xử lý xóa, hủy các bản sao không còn căn cứ lưu. Phần dữ liệu phải tiếp tục lưu theo quy định pháp luật hoặc thỏa thuận phù hợp phải được liệt kê riêng, hạn chế truy cập và ấn định thời điểm xem xét xóa tiếp theo. Hai bên lập biên bản ghi nhận kết quả.”

Điều 8. Kiểm tra và xử lý vi phạm

“Bên B cung cấp tài liệu hợp lý để Bên A kiểm tra việc thực hiện nghĩa vụ bảo vệ dữ liệu trong phạm vi Hợp đồng; khắc phục vi phạm được xác định và phối hợp xác minh thiệt hại. Trách nhiệm bồi thường, giới hạn trách nhiệm và cơ chế giải quyết tranh chấp được áp dụng theo Hợp đồng, pháp luật và mức độ lỗi, thiệt hại của từng bên.”

Những điều khoản trên cần đi kèm Danh mục dữ liệu theo nghiệp vụ, danh sách người được tiếp cận, đầu mối liên hệ sự cố, địa điểm/hệ thống xử lý, quy định về bản sao. Phụ lục không thay thế việc xác định căn cứ thu thập ban đầu, hồ sơ đánh giá tác động hoặc nghĩa vụ chuyên ngành nếu phát sinh.

5. Tình huống giả định: doanh nghiệp 80 nhân viên thuê dịch vụ tính lương

Công ty A có 80 nhân viên, sử dụng phần mềm chấm công nội bộ và thuê Công ty B tính lương hàng tháng, chuẩn bị tệp thanh toán và hỗ trợ hồ sơ BHXH. Trước khi ký phụ lục, A dự kiến gửi B toàn bộ thư mục nhân sự, gồm bản sao giấy tờ tùy thân, bảng đánh giá công việc, hồ sơ bệnh lý và lịch sử kỷ luật.

Phương án cần điều chỉnh: A lập danh mục riêng theo từng công việc, chỉ chuyển bảng chấm công, thông tin thu nhập, thông tin thanh toán và trường BHXH, thuế thực sự cần. Hồ sơ liên quan sức khỏe hoặc người phụ thuộc chỉ gửi khi có nghiệp vụ cụ thể, xác định căn cứ và người nhận. A phê duyệt người của B được xem dữ liệu; B cam kết không dùng tệp để huấn luyện sản phẩm của mình. Cuối mỗi kỳ, A đối soát tệp lương đã xử lý và chứng từ thực hiện.

Đầu ra: phụ lục xử lý dữ liệu, danh mục trường dữ liệu và mục đích, danh sách người truy cập, nhật ký chuyển nhận, quy trình sự cố và biên bản trả/xóa dữ liệu khi chấm dứt hợp đồng. Đây là tình huống minh họa, không phải vụ việc Justix công bố đã thực hiện.

6. Các bước doanh nghiệp cần thực hiện trước khi giao bảng lương

1. HR và kế toán thống kê nghiệp vụ giao cho nhà cung cấp: tính lương, thuế, BHXH, chuyển khoản hay chỉ làm báo cáo; xác định trường dữ liệu đầu vào và tài liệu phải nhận lại.
2. Pháp chế hoặc đầu mối bảo vệ dữ liệu xác định vai trò từng bên, căn cứ theo từng mục đích, dữ liệu nhạy cảm và nghĩa vụ theo hợp đồng; kiểm tra sự cần thiết của hoạt động chuyển dữ liệu ra nước ngoài.
3. IT và người quản lý hợp đồng kiểm tra công cụ lưu, kênh gửi, phân quyền, nhà cung cấp phụ, khả năng xuất dữ liệu và xóa bản sao.
4. Đại diện có thẩm quyền phê duyệt và ký hợp đồng/phụ lục trước khi nhà cung cấp nhận dữ liệu thực tế.
5. HR, kế toán và nhà cung cấp kiểm tra đối soát theo kỳ; khi đổi nhà cung cấp, lập biên bản bàn giao và xác định rõ dữ liệu còn phải lưu.

Doanh nghiệp có thể tham khảo thêm bài thời hạn lưu hồ sơ ứng viên và nhân viên nghỉ việc để phân loại dữ liệu sau khi hoàn tất quan hệ lao động. Việc phân quyền theo chức năng có thể đối chiếu với bài quy trình phân quyền truy cập dữ liệu cá nhân.

7. Câu hỏi thường gặp

Thuê dịch vụ trả lương có phải ký phụ lục dữ liệu riêng không?

Luật yêu cầu có thỏa thuận hoặc hợp đồng về xử lý dữ liệu trước khi bên xử lý tiếp nhận dữ liệu (điểm a khoản 2 Điều 37). Thỏa thuận có thể nằm trong hợp đồng chính hoặc một phụ lục nếu nội dung xác định rõ vai trò, mục đích và trách nhiệm. Tên gọi văn bản không quan trọng bằng nội dung và tính hiệu lực thực tế.

Công ty payroll có được lưu bảng lương để làm tài liệu đào tạo nhân viên của mình?

Không thể mặc nhiên. Mục đích đào tạo nội bộ của nhà cung cấp cần được đánh giá riêng về dữ liệu thực, khả năng nhận diện và căn cứ sử dụng. Phương án quản trị phù hợp là dùng dữ liệu mô phỏng hoặc dữ liệu đã được khử nhận dạng thực sự, thay vì sao chép bảng lương khách hàng.

Hợp đồng chấm dứt có bắt buộc xóa toàn bộ dữ liệu ngay không?

Cần phân loại. Dữ liệu không còn căn cứ phải được xử lý xóa, hủy theo quy định; chứng từ có nghĩa vụ lưu theo pháp luật hoặc thỏa thuận hợp pháp cần có danh mục, hạn chế truy cập và kế hoạch xem xét lại. Không thể dùng lý do “phòng tranh chấp” để giữ vô thời hạn mọi tệp nhân sự.

8. Justix hỗ trợ rà soát hợp đồng và dữ liệu nhân sự thuê ngoài

Trong dịch vụ chuẩn hóa pháp lý dữ liệu nhân sự, Justix có thể rà soát danh mục dữ liệu giao cho đơn vị tính lương, BHXH, phân định vai trò các bên, soạn hoặc rà soát điều khoản hợp đồng, quy định phân quyền và quy trình bàn giao khi kết thúc. Doanh nghiệp nên chuẩn bị hợp đồng dịch vụ hiện tại, danh sách nghiệp vụ thuê, mô tả các tệp dữ liệu đang gửi và thông tin phần mềm sử dụng; không cần chuyển toàn bộ bảng lương hoặc dữ liệu thật của người lao động trong lần trao đổi ban đầu. Liên hệ qua trang liên hệ Justix, điện thoại 037 27 17 888 hoặc email legal@justix.vn.