TIN PHÁP LUẬT

Quy định và chế tài xử lý dữ liệu cá nhân người lao động

17
Apr

Xử lý dữ liệu cá nhân người lao động là hoạt động phổ biến trong các doanh nghiệp hiện nay, gắn liền với quá trình quản lý nhân sự, trả lương, đánh giá hiệu suất và thực hiện nghĩa vụ pháp lý. Tuy nhiên, đi kèm với đó là yêu cầu nghiêm ngặt về bảo mật và tuân thủ pháp luật. Nghị định 13/2023/NĐ-CP đã quy định rõ các nguyên tắc, nghĩa vụ và chế tài liên quan đến việc thu thập, xử lý và bảo vệ dữ liệu cá nhân.

Trong bài viết này, VDPC sẽ phân tích các quy định pháp lý hiện hành nhằm giúp doanh nghiệp nhận diện đầy đủ trách nhiệm và hạn chế rủi ro khi xử lý dữ liệu cá nhân của người lao động.

1. Dữ liệu cá nhân của người lao động

📌 Căn cứ: Khoản 3, khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP

🔸 Dữ liệu cá nhân của người lao động bao gồm:

  • Dữ liệu cá nhân cơ bản (họ tên, ngày tháng năm sinh, giới tính, nơi sinh, nơi ở, các thông tin gắn liền với một con người cụ thể,…).
  • Dữ liệu cá nhân nhạy cảm (dấu vân tay, nhận dạng khuôn mặt, thông tin về sức khỏe,…).

2. Nguyên tắc xử lý dữ liệu

📌 Căn cứ: Điều 3 Nghị định 13/2023/NĐ-CP

  • Hợp pháp: Chỉ được xử lý dữ liệu khi có sự đồng ý của người lao động và theo quy định của pháp luật.
  • Mục đích rõ ràng: Chỉ sử dụng dữ liệu cho mục đích đã thông báo trước. Dữ liệu cá nhân phải được cập nhật, bổ sung phù hợp với mục đích xử lý.
  • Tối thiểu: Không thu thập thông tin dư thừa, chỉ lấy những gì cần thiết. Dữ liệu thu thập phải phù hợp và giới hạn trong phạm vi, mục đích cần xử lý.
  • Bảo mật: Phải có biện pháp bảo vệ, bảo mật dữ liệu, tránh rò rỉ, đánh cắp thông tin. Dữ liệu chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác.

3. Trách nhiệm của doanh nghiệp khi xử lý dữ liệu cá nhân của người lao động

3.1. Thông báo trước khi thu thập dữ liệu của người lao động

📌 Căn cứ: Điều 13 Nghị định 13/2023/NĐ-CP

📬 Số lần thông báo: một lần trước khi tiến hành xử lý dữ liệu cá nhân.

📝 Nội dung thông báo:

  • Mục đích xử lý;
  • Loại dữ liệu cá nhân được sử dụng có liên quan tới mục đích xử lý theo quy định;
  • Cách thức xử lý;
  • Thông tin về các tổ chức, cá nhân khác có liên quan tới mục đích xử lý theo quy định;
  • Hậu quả, thiệt hại không mong muốn có khả năng xảy ra;
  • Thời gian bắt đầu, thời gian kết thúc xử lý dữ liệu.

📂 Hình thức thông báo: được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản. Bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

⚠️ Lưu ý: Đối với dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

3.2. Phải áp dụng các biện pháp bảo vệ dữ liệu cá nhân của người lao động

📌 Căn cứ: Điều 26, 27, 28 Nghị định 13/2023/NĐ-CP

✔️ Doanh nghiệp phải áp dụng các biện pháp bảo vệ dữ liệu cá nhân ngay từ đầu và trong suốt quá trình xử lý, gồm:

  • Biện pháp quản lý, kỹ thuật;
  • Các biện pháp khác theo quy định pháp luật.

✔️ Doanh nghiệp cần xây dựng, ban hành quy định nội bộ về bảo vệ dữ liệu.

✔️ Áp dụng các tiêu chuẩn bảo vệ dữ liệu phù hợp.

✔️ Kiểm tra hệ thống trước khi xử lý; sau khi xử lý phải xóa/hủy dữ liệu không thể phục hồi.

🧬 Đối với dữ liệu cá nhân nhạy cảm:

  • Phải chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân. Chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân và trao đổi thông tin về bộ phận và cá nhân phụ trách bảo vệ dữ liệu cá nhân.
  • Thông báo cho chủ thể dữ liệu biết việc dữ liệu cá nhân nhạy cảm của chủ thể dữ liệu được xử lý.

4. Hậu quả pháp lý khi vi phạm trách nhiệm bảo vệ dữ liệu cá nhân của người lao động

📌 Căn cứ: Điều 4 Nghị định 13/2023/NĐ-CP

Doanh nghiệp vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính, xử lý hình sự theo quy định.

⚠️  Bồi thường thiệt hại theo pháp luật dân sự

  • Doanh nghiệp có hành vi vi phạm nghĩa vụ trong hợp đồng hoặc có hành vi trái pháp luật gây ra thiệt hại thì phải chịu trách nhiệm bồi thường thiệt hại.

⚖️  Xử phạt vi phạm hành chính

  • Hiện nay, chưa có quy định cụ thể về mức xử phạt hành chính đối với vi phạm trong xử lý dữ liệu cá nhân của người lao động. Doanh nghiệp có thể tham khảo quy định tại Dự thảo Nghị định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng.

Trong Dự thảo này, cơ quan chức năng đã đề xuất quy định xử phạt vi phạm hành chính về bảo vệ dữ liệu cá nhân như sau:

💰 Mức phạt tiền: khác nhau tùy từng hành vi. Phạt tiền tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam.

🔒 Bên cạnh đó, còn bị áp dụng các hình thức phạt bổ sung như:

  • Tước quyền sử dụng giấy phép kinh doanh ngành nghề cần thu thập dữ liệu cá nhân từ 1-3 tháng;
  • Tịch thu tang vật, phương tiện vi phạm hành chính;
  • Tạm đình chỉ hoặc đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 1-3 tháng;
  • Trục xuất khỏi lãnh thổ Việt Nam đối với người nước ngoài.

🛑 Đồng thời, còn phải thực hiện các biện pháp khắc phục hậu quả:

  • Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân;
  • Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm;
  • Công khai xin lỗi trên các phương tiện thông tin đại chúng; …

Trên đây là nội dung tư vấn về Xử lý dữ liệu cá nhân người lao động: Quy định và chế tài. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Xem thêm: