Nhiều doanh nghiệp hào hứng triển khai hệ thống thông tin quản lý nhân sự (HRIS) để số hóa dữ liệu, nhưng lại bỏ qua một bước quan trọng: đánh giá xem toàn bộ dữ liệu cá nhân của hàng trăm, hàng nghìn nhân viên sẽ được thu thập, lưu trữ và xử lý ra sao cho đúng quy định pháp luật. Đây là rủi ro âm thầm nhưng có thể gây hậu quả pháp lý nghiêm trọng nếu bị bỏ qua.
Các bước triển khai hệ thống thông tin quản lý nhân sự
Một dự án triển khai HRIS bài bản thường trải qua các bước: (1) khảo sát và chuẩn hóa dữ liệu nhân sự hiện có (nhiều doanh nghiệp có dữ liệu rải rác ở Excel, giấy tờ, email); (2) lựa chọn nền tảng phù hợp với quy mô và ngân sách; (3) phân quyền truy cập theo vai trò (ai được xem, sửa, xuất dữ liệu nào); (4) đào tạo người dùng nội bộ; và (5) vận hành song song với hệ thống cũ trong giai đoạn chuyển đổi trước khi chính thức thay thế hoàn toàn.
Bước phân quyền truy cập thường bị xem nhẹ nhất, trong khi đây lại là yếu tố quyết định mức độ an toàn dữ liệu — một hệ thống HRIS để tất cả nhân viên nhân sự truy cập toàn bộ hồ sơ (bao gồm lương, thông tin sức khỏe, số CCCD) mà không phân tầng quyền hạn là rủi ro bảo mật phổ biến.
Tuân thủ bảo vệ dữ liệu cá nhân khi triển khai HRIS
Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, doanh nghiệp khi thu thập, xử lý dữ liệu cá nhân của người lao động (họ tên, số CCCD, thông tin sức khỏe, tài khoản ngân hàng…) cần đảm bảo các nguyên tắc: có sự đồng ý của người lao động (hoặc căn cứ pháp lý phù hợp như thực hiện hợp đồng lao động), chỉ thu thập dữ liệu cần thiết cho mục đích nhân sự, có biện pháp bảo mật kỹ thuật phù hợp, và thông báo rõ ràng về việc xử lý dữ liệu. Với các doanh nghiệp có yêu cầu từ khách hàng quốc tế, việc đối chiếu thêm với khung quản lý an toàn thông tin theo tiêu chuẩn ISO 27001 giúp hệ thống hóa toàn diện hơn các biện pháp kiểm soát truy cập, mã hóa và sao lưu dữ liệu.
Với chủ doanh nghiệp/CEO, cần xem xét chi phí tuân thủ bảo vệ dữ liệu là một phần bắt buộc của ngân sách triển khai HRIS, không phải hạng mục có thể cắt giảm. Với trưởng phòng nhân sự, nên phối hợp với bộ phận IT/pháp chế để rà soát điều khoản đồng ý xử lý dữ liệu trong hợp đồng lao động trước khi go-live hệ thống mới. Với quản lý IT/bộ phận công nghệ, việc thiết lập nhật ký truy cập (access log) và cơ chế cảnh báo khi có truy xuất bất thường là biện pháp kỹ thuật nên có ngay từ đầu.
Câu hỏi thường gặp
1. Doanh nghiệp nhỏ có bắt buộc tuân thủ Nghị định 13/2023 khi dùng HRIS không?
Có, quy định áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam, không phân biệt quy mô, dù mức độ yêu cầu hồ sơ có thể khác nhau tùy loại dữ liệu.
2. Có cần xin lại sự đồng ý của nhân viên cũ khi chuyển sang HRIS mới không?
Nên rà soát và bổ sung điều khoản đồng ý xử lý dữ liệu rõ ràng nếu hợp đồng lao động hiện tại chưa đề cập đầy đủ phạm vi xử lý trên hệ thống mới.
3. HRIS lưu trữ trên nền tảng cloud nước ngoài có vi phạm quy định không?
Cần đánh giá kỹ điều khoản về chuyển dữ liệu xuyên biên giới theo Nghị định 13/2023 và lựa chọn nhà cung cấp có cam kết bảo mật rõ ràng.
4. Ai chịu trách nhiệm chính về bảo mật dữ liệu khi triển khai HRIS?
Thường là sự phối hợp giữa trưởng phòng nhân sự (chủ sở hữu dữ liệu nghiệp vụ), bộ phận IT (bảo mật kỹ thuật) và pháp chế (tuân thủ quy định).
Kết luận
Triển khai hệ thống thông tin quản lý nhân sự mang lại hiệu quả vận hành rõ rệt, nhưng chỉ thực sự an toàn khi đi kèm với việc tuân thủ nghiêm túc các quy định bảo vệ dữ liệu cá nhân. Đầu tư đúng mức cho khâu này ngay từ đầu giúp doanh nghiệp tránh được rủi ro pháp lý và mất niềm tin từ chính đội ngũ nhân viên của mình.