Máy chấm công vân tay, camera nhận diện khuôn mặt, thẻ từ ra vào — những thiết bị công nghệ quen thuộc ở nhiều doanh nghiệp thực chất đang thu thập một loại dữ liệu cá nhân đặc biệt nhạy cảm: dữ liệu sinh trắc học. Không phải doanh nghiệp nào cũng ý thức đầy đủ về trách nhiệm bảo mật đi kèm khi triển khai các thiết bị này.
Các thiết bị công nghệ thu thập dữ liệu cá nhân nhân viên phổ biến
Trong quản lý nhân sự, các thiết bị thường gặp bao gồm: máy chấm công vân tay/khuôn mặt (thu thập dữ liệu sinh trắc học), camera giám sát an ninh tại khu vực làm việc (thu thập hình ảnh, có thể liên quan đến quyền riêng tư cá nhân), thẻ từ/thẻ RFID kiểm soát ra vào (ghi nhận lịch trình di chuyển trong khuôn viên doanh nghiệp), và các thiết bị đeo theo dõi sức khỏe (wearable devices) mà một số doanh nghiệp sản xuất sử dụng để giám sát an toàn lao động ở môi trường có rủi ro cao.
Mỗi loại thiết bị này đều tạo ra dữ liệu cá nhân cần được bảo vệ theo đúng quy định, đặc biệt dữ liệu sinh trắc học (vân tay, khuôn mặt) được xếp vào nhóm dữ liệu cá nhân nhạy cảm, đòi hỏi mức độ bảo mật và sự đồng ý rõ ràng cao hơn so với dữ liệu cá nhân thông thường.
Bảo mật dữ liệu thiết bị theo khung ISO 27001
Việc áp dụng các nguyên tắc từ tiêu chuẩn ISO 27001 về quản lý an toàn thông tin giúp doanh nghiệp hệ thống hóa các biện pháp kiểm soát cần thiết: mã hóa dữ liệu sinh trắc học khi lưu trữ và truyền tải; giới hạn nghiêm ngặt số lượng người có quyền truy cập dữ liệu thô từ thiết bị; thiết lập chính sách xóa dữ liệu định kỳ với hình ảnh camera giám sát (không lưu trữ vô thời hạn); và có quy trình ứng phó sự cố nếu xảy ra rò rỉ dữ liệu từ các thiết bị này.
Với chủ doanh nghiệp/giám đốc điều hành, cần cân nhắc kỹ giữa lợi ích quản lý (chính xác, chống gian lận chấm công) và chi phí tuân thủ bảo mật đi kèm khi quyết định đầu tư vào các thiết bị thu thập dữ liệu sinh trắc học — đặc biệt với doanh nghiệp có yêu cầu tuân thủ cao từ khách hàng quốc tế.
Với trưởng phòng nhân sự/IT, cần đảm bảo có văn bản thông báo và xin sự đồng ý rõ ràng từ người lao động trước khi triển khai các thiết bị thu thập dữ liệu sinh trắc học, đúng theo tinh thần của Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân — đây là bước dễ bị bỏ qua nhất trong thực tế triển khai.
Câu hỏi thường gặp
1. Chấm công vân tay có cần sự đồng ý của nhân viên không?
Có, vì đây là dữ liệu sinh trắc học nhạy cảm — doanh nghiệp nên có văn bản thông báo rõ mục đích thu thập và xin sự đồng ý trước khi triển khai.
2. Dữ liệu camera giám sát nên lưu trữ trong bao lâu?
Nên có chính sách xóa định kỳ (ví dụ 30-90 ngày) trừ trường hợp cần lưu giữ làm bằng chứng cho sự cố cụ thể, tránh lưu trữ vô thời hạn không cần thiết.
3. Doanh nghiệp nhỏ có cần tuân thủ ISO 27001 đầy đủ không?
Không bắt buộc phải chứng nhận đầy đủ, nhưng áp dụng các nguyên tắc cơ bản (mã hóa, phân quyền, xóa dữ liệu định kỳ) là thực hành tốt nên có ở mọi quy mô.
4. Ai chịu trách nhiệm khi xảy ra rò rỉ dữ liệu từ thiết bị chấm công?
Doanh nghiệp với vai trò bên kiểm soát dữ liệu chịu trách nhiệm chính theo quy định pháp luật về bảo vệ dữ liệu cá nhân, kể cả khi sự cố xuất phát từ lỗi nhà cung cấp thiết bị/phần mềm.
Kết luận
Các thiết bị công nghệ thu thập dữ liệu cá nhân nhân viên mang lại hiệu quả quản lý rõ rệt, nhưng đi kèm với đó là trách nhiệm bảo mật không thể xem nhẹ. Áp dụng các nguyên tắc quản lý an toàn thông tin bài bản ngay từ khi triển khai giúp doanh nghiệp vừa khai thác được lợi ích công nghệ, vừa tránh được rủi ro pháp lý và mất niềm tin từ người lao động.