Quy định về việc ký thỏa thuận bảo vệ dữ liệu cá nhân với người lao động

Trong cấu trúc vận hành của bất kỳ doanh nghiệp nào, dữ liệu nhân sự luôn là một trong những khối thông tin phát sinh liên tục và chứa đựng nhiều yếu tố nhạy cảm nhất, từ thông tin định danh, hồ sơ lý lịch cho đến các dữ liệu về sức khỏe.

Bài viết dưới đây VDPC sẽ tổng hợp chi tiết các mốc thời điểm ký kết, danh mục các nội dung cốt lõi bắt buộc phải có trong văn bản thỏa thuận bảo vệ dữ liệu cá nhân theo quy định.

Căn cứ pháp lý:

• Luật Bảo vệ dữ liệu cá nhân 2025
• Nghị định 356/2025/NĐ-CP

1. Thời điểm ký thỏa thuận bảo vệ dữ liệu cá nhân

• Khi tuyển dụng, ký hợp đồng lao động
• Trong quá trình làm việc có thể ký bổ sung hoặc ký lại
• Khi chấm dứt hợp đồng lao động hoặc theo thoả thuận khác

2. Các nội dung bắt buộc trong thỏa thuận bảo vệ dữ liệu cá nhân

2.1. Định nghĩa 

Dữ liệu cá nhân là gì? Phân loại ? Chủ thê dữ liệu là gì ? Bên kiểm soát, bên xử lý ? …

2.2. Phạm vi dữ liệu thu thập

• Dữ liệu cá nhân cơ bản
• Dữ liệu cá nhân nhạy cảm

2.3. Mục đích xử lý

• Xác minh danh tính
• Thực hiện hợp đồng và phúc lợi
• Quản lý và vận hành
• Tuân thủ pháp luật và báo cáo

2.4. Cách thức lưu trữ, bảo mật: Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân

2.5. Quyền và nghĩa vụ của người lao động

Quyền: 

• Được biết về hoạt động xử lý dữ liệu cá nhân;
• Đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân;
• Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân;
• Yêu cầu cung cấp, xóa, hạn chế xử lý dữ liệu cá nhân; gửi yêu cầu phản đối xử lý dữ liệu cá nhân;
• Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật;
• Yêu cầu cơ quan có thẩm quyền hoặc cơ quan, tổ chức, cá nhân liên quan đến xử lý dữ liệu cá nhân thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của mình theo quy định của pháp luật.

Nghĩa vụ: 

• Tự bảo vệ dữ liệu cá nhân của mình;
• Tôn trọng, bảo vệ dữ liệu cá nhân của người khác;
• Cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định của pháp luật, theo hợp đồng hoặc khi đồng ý cho phép xử lý dữ liệu cá nhân của mình;
• Chấp hành pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống hoạt động xâm phạm dữ liệu cá nhân.

2.6. Trách nhiệm của doanh nghiệp (doanh nghiệp có thể là bên xử lý, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân)

Trách nhiệm của bên kiểm soát dữ liệu cá nhân như sau:

• Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;
• Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của luật;
• Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
• Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;
• Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
• Bảo đảm các quyền của chủ thể dữ liệu cá nhân;
• Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
• Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
• Thực hiện các trách nhiệm khác 

Trách nhiệm của bên xử lý dữ liệu cá nhân như sau:

• Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
• Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
• Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của Luật này và các quy định khác của pháp luật có liên quan;
• Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
• Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
• Thực hiện các trách nhiệm khác.

Trách nhiệm của bên kiểm soát và xử lý dữ liệu bao gồm cả hai

2.7. Thời gian lưu trữ

Trong thời gian làm việc và khoảng thời gian nhất định sau khi chấm dứt hợp đồng lao động hoặc theo thoả thuận khác

2.8. Cá nhân, tổ chức liên quan trong bảo vệ dữ liệu

• Công ty mẹ, công ty con, chi nhánh, văn phòng đại diện, địa điểm kinh doanh, nhân sự công ty
• Đối tác, khách hàng, nhà cung cấp và nhân sự của họ
• Cơ quan, tổ chức, cá nhân mà công ty buộc phải cung cấp thông tin theo quy định pháp luật
• Bên thứ ba khác liên quan

2.9. Hệ quả không mong muốn

• Rò rỉ thông tin
• Lừa đảo chiếm đoạt thông tin

3. Vấn đề và hồ sơ tài liệu đảm bảo thỏa thuận bảo vệ dữ liệu cá nhân của người lao động

• Việc ký thoả thuận bảo vệ dữ liệu cá nhân của người lao động là yêu cầu nền tảng để cơ quan tổ chức bảo đảm việc tuân thủ pháp luật
• Cơ quan, tổ chức phải đảm bảo kết hợp thỏa thuận trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Kết luận

Việc thiết lập và thực thi thỏa thuận bảo vệ dữ liệu cá nhân đối với người lao động là điều kiện quan trọng giúp doanh nghiệp chuẩn hóa quy trình quản lý nội bộ và phòng ngừa các hệ quả không mong muốn như rò rỉ hay lừa đảo chiếm đoạt thông tin.

Trên đây là Quy định về việc ký thỏa thuận bảo vệ dữ liệu cá nhân của người lao động. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: