Trách nhiệm Bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học của người lao động

Dữ liệu sinh trắc học là nhóm dữ liệu cá nhân nhạy cảm, được bảo vệ nghiêm ngặt dưới hành lang pháp lý của Luật Bảo vệ dữ liệu cá nhân 2025, cùng với các khung phạt nghiêm khắc lên tới hàng trăm triệu đồng đang được lấy ý kiến tại Dự thảo Nghị định xử phạt mới nhất năm 2026, cả người sử dụng lao động và người lao động đều phải đối mặt với những trách nhiệm pháp lý rất lớn.

Bài viết dưới đây VDPC sẽ bóc tách chi tiết các nhóm lỗi vi phạm, mức phạt tiền và các biện pháp khắc phục hậu quả mà doanh nghiệp cần đặc biệt lưu ý.

1. Đối tượng dữ liệu được bảo vệ

Căn cứ pháp lý: Điều 4 Nghị định 356/2025/NĐ-CP

– Dữ liệu sinh trắc học (dấu vân tay, nhận diện khuôn mặt, võng mạc,…)

=> Thuộc dữ liệu cá nhân nhạy cảm được luật bảo vệ

2. Chủ thể dữ liệu cá nhân

Chủ thể dữ liệu cá nhân là: Người lao động

3. Vai trò của tổ chức, doanh nghiệp

Căn cứ pháp lý: Điều 11, 12, 13, 14, 15, 16, 17, 18, 21, 37 Luật bảo vệ dữ liệu cá nhân 2025

Doanh nghiệp thực hiện việc: (có sự cho phép của chủ thể dữ liệu cá nhân)

• Thu thập, chỉnh sửa, phân tích, tổng hợp, mã hoá, giải mã
• Cung cấp, công khai, chuyển giao
• Xoá, huỷ, khử nhận dạng
• Tiếp nhận các yêu cầu và sự đồng ý của chủ thể dữ liệu cá nhân 
• Quyết định mục đích và phương tiện lưu trữ dữ liệu cá nhân
• Đánh giá tác động xử lý
• Các hoạt động khác (lưu trữ, bảo vệ,…)

=> Doanh nghiệp có thể là bên xử lý dữ liệu, bên kiểm soát dữ liệu, bên xử lý và kiểm soát dữ liệu; tuân theo các trách nhiệm của bên xử lý dữ liệu, bên kiểm soát dữ liệu, bên xử lý và kiểm soát dữ liệu

4. Trách nhiệm của tổ chức, doanh nghiệp

Căn cứ pháp lý: Điều 4, 25, 31 Luật Bảo vệ dữ liệu cá nhân 2025

• Thông tin của người lao động được xử lý bằng cách áp dụng các biện pháp  phù hợp và phải được sự đồng ý của người lao động, sử dụng; được lưu trữ trong thời hạn theo luật định hoặc thoả thuận
• Người lao động được biết về việc xử lý dữ liệu cá nhân, xem, chỉnh sửa, có các yêu cầu liên quan tới thông tin của mình
• Thông tin sinh trắc (như vân tay) phải có biện pháp bảo mật với thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi nhằm phòng ngừa, phát hiện hành vi xâm phạm
• Chuyển giao dữ liệu cá nhân phải có sự đồng ý của người lao động và phải thuộc trường hợp pháp luật cho phép
• Phải xoá, huỷ dữ liệu khi chấm dứt hợp đồng lao động trừ khi có thỏa thuận hoặc luật quy định khác.
• Chịu chế tài xử phạt trong trường hợp không thực hiện các trách nhiệm chung của doanh nghiệp trong bảo vệ dữ liệu cá nhân

5. Chế tài xử phạt

Căn cứ pháp lý: Điều 6 Dự thảo Nghị định Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân lấy ý kiến 16/03/2026 – 26/03/2026

Theo dự thảo Nghị định Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân lấy ý kiến 16/03 – 26/03/2026

• Mức tiền phạt ghi trong dự thảo là mức phạt áp dụng cho cá nhân, hộ kinh doanh
• Mức phạt đối với tổ chức, cơ quan gấp đôi so với mức phạt cá nhân, hộ kinh doanh

Phần 1: Các lỗi vi phạm và mức phạt (cho cá nhân)

Đối với người sử dụng lao động

• Vi phạm nguyên tắc bảo vệ dữ liệu cá (Điều 57) 

• • Thu thập dữ liệu không đúng mục đích, phạm vi; lưu trữ quá thời hạn; không có biện pháp bảo vệ hiệu quả (50 – 70 triệu đồng)
  • Mua, bán dữ liệu cá nhân; chiếm đoạt, cố ý làm lộ dữ liệu (70 – 100 triệu đồng)

• Vi phạm quyền của chủ thể dữ liệu (Điều 58)

• • Không xây dựng quy trình để người lao động thực hiện quyền của mình như xem, chỉnh sửa, xóa dữ liệu (70 – 100 triệu đồng)
  • Không phản hồi yêu cầu rút lại đồng ý, hạn chế xử lý, xóa dữ liệu trong thời hạn luật định (70 – 100 triệu đồng)

• Vi phạm quy định về sự đồng ý (Điều 59)

• • Xử lý dữ liệu khi chưa được người lao động đồng ý; ép buộc đồng ý; sự đồng ý không được thể hiện rõ ràng (50 – 70 triệu đồng)
  • Tiếp tục xử lý sau khi người lao động đã rút lại đồng ý hoặc cơ quan nhà nước yêu cầu dừng (70 – 100 triệu đồng)

• Vi phạm quy định về rút lại sự đồng ý (Điều 60)

• • Cố tình gây khó khăn cho người lao động khi muốn rút đồng ý; không thông báo hậu quả của việc rút đồng ý (25 – 50 triệu đồng)
  • Không dừng xử lý sau khi người lao động đã rút đồng ý (50 – 70 triệu đồng)

• Vi phạm quy định về lưu trữ, xoá, huỷ dữ liệu cá nhân (Điều 62)

• • Tiếp tục lưu dữ liệu khi không còn phù hợp mục đích hoặc sau khi người lao động yêu cầu xóa (25 – 50 triệu đồng)
  • Xử lý sai mục đích đã đồng ý; không xóa dữ liệu thuộc diện phải xóa (50 – 70 triệu đồng)

• Vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân (Điều 67)

• • Không lập, không lưu giữ Hồ sơ đánh giá tác động; không gửi Bộ Công an trong 60 ngày; không chấp hành yêu cầu chỉnh sửa (50 – 70 triệu đồng)
  • Để lộ/mất dữ liệu của 100.000 – dưới 1.000.000 người lao động (gấp 02 lần)
  • Để lộ/mất dữ liệu của 1.000.000 – dưới 5.000.000 người (gấp 05 lần)
  • Để lộ/mất dữ liệu của từ 5.000.000 người trở lên (5% tổng doanh thu năm trước)

• Vi phạm quy định về biện pháp bảo vệ dữ liệu cá nhân (Điều 69)

• • Không áp dụng biện pháp bảo vệ dữ liệu; không xây dựng quy định nội bộ về bảo vệ dữ liệu (50 – 70 triệu đồng)
  • Không chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu cá nhân (70 – 100 triệu đồng)

Đối với người lao động: Người lao động trong quan hệ này vừa là chủ thể dữ liệu nhưng cũng có nghĩa vụ pháp lý. Họ có thể bị xử phạt theo khoản 1 Điều 58 (50 – 70 triệu đồng) trong trường hợp:

• Không tự bảo vệ dữ liệu cá nhân của mình
• Không tôn trọng, bảo vệ dữ liệu cá nhân của đồng nghiệp hoặc người khác
• Cung cấp không đầy đủ, không chính xác dữ liệu cá nhân của mình theo hợp đồng lao động hoặc khi đồng ý cho xử lý
• Không chấp hành quy định pháp luật về bảo vệ dữ liệu cá nhân và không tham gia phòng chống vi phạm

Phần 2: Các hình phạt bổ sung và biện pháp khắc phục

• Hình phạt bổ sung:

• • Tịch thu máy móc, thiết bị, tang vật dùng để vi phạm;
  • Đình chỉ hoạt động xử lý dữ liệu từ 01 – 03 tháng;
  • Tước Giấy phép kinh doanh từ 01 – 03 tháng đối với ngành nghề có vi phạm.

• Khắc phục hậu quả:

• • Buộc huỷ, xoá dữ liệu đến mức không thể khôi phục;
  • Buộc nộp lại toàn bộ số tiền lãi/lợi nhuận bất hợp pháp có được từ việc vi phạm;
  • Buộc công khai xin lỗi trên các phương tiện thông tin đại chúng
  • Bắt buộc hoàn thiện các loại hồ sơ, giấy tờ báo cáo nộp cho cơ quan chức năng

KẾT LUẬN

Các chế tài được đưa ra trong Dự thảo Nghị định quy định xử phạt vi phạm dữ liệu cá nhân là lời cảnh tỉnh mạnh mẽ cho các doanh nghiệp trong khâu quản lý thông tin nhân sự. Ngay từ lúc này, người sử dụng lao động cần chủ động xây dựng quy trình nội bộ, ban hành văn bản xin ý kiến đồng ý rõ ràng và bổ sung nhân sự chuyên trách bảo vệ dữ liệu để tối ưu hóa tính tuân thủ pháp lý.

Trên đây là Trách nhiệm Bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học của người lao động. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: