Theo Luật An ninh mạng 2025, công ty dịch vụ bảo vệ dùng camera và hệ thống giám sát cần tuân thủ gì?

Công ty bảo vệ vận hành camera cho nhiều khách hàng nên nắm giữ lượng dữ liệu hình ảnh rất lớn. Bài viết chỉ ra các nghĩa vụ và ranh giới.

Công ty dịch vụ bảo vệ ngày nay không chỉ cử người canh gác mà còn vận hành hệ thống camera, trung tâm giám sát tập trung, hệ thống kiểm soát ra vào cho hàng chục khách hàng. Điều này biến họ thành đơn vị nắm giữ lượng dữ liệu hình ảnh rất lớn — và trách nhiệm tương ứng.

Lưu ý: hoạt động kinh doanh dịch vụ bảo vệ có pháp luật chuyên ngành riêng về điều kiện kinh doanh và quản lý. Bài viết này chỉ bàn khía cạnh dữ liệu và an ninh mạng.

Vị thế pháp lý — chủ quản hay bên xử lý

Đây là câu hỏi đầu tiên cần làm rõ và nhiều công ty bảo vệ chưa từng đặt ra.

Khi công ty bảo vệ vận hành camera của khách hàng, tại địa điểm của khách hàng, theo yêu cầu của khách hàng — thì khách hàng là bên quyết định mục đích và cách thức xử lý dữ liệu, công ty bảo vệ là bên thực hiện.

Khi công ty bảo vệ tự lắp hệ thống của mình, tự quyết định thu thập gì và lưu bao lâu, thì vị thế khác.

Việc xác định rõ vị thế quyết định ai chịu trách nhiệm chính khi có sự cố, và cần được ghi vào hợp đồng dịch vụ.

Ranh giới về quyền riêng tư

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng. Với công ty bảo vệ, bốn giới hạn thực tế:

Vị trí camera. Không lắp ở nhà vệ sinh, phòng thay đồ, phòng nghỉ nhân viên. Đây là nguyên tắc tuyệt đối, kể cả khi khách hàng yêu cầu.

Ghi âm. Điểm đ khoản 1 Điều 15 nêu hành vi cố ý nghe, ghi âm, ghi hình trái phép các cuộc đàm thoại. Camera có micro cần được cân nhắc kỹ và thường nên tắt.

Camera hướng ra ngoài phạm vi. Camera bảo vệ tòa nhà A không nên quay được vào cửa sổ nhà dân bên cạnh hoặc vào bên trong tòa nhà B.

Tính năng nhận diện. Camera có chức năng nhận diện khuôn mặt, theo dõi đối tượng qua nhiều camera là mức thu thập cao hơn hẳn camera ghi hình thông thường, cần có cơ sở rõ ràng.

Điểm thứ ba là vấn đề hay gây tranh chấp với hàng xóm và cần được xử lý ngay từ khâu khảo sát lắp đặt.

Bảo vệ dữ liệu hình ảnh

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Với trung tâm giám sát tập trung, sáu biện pháp cốt lõi:

• Nhân viên trực chỉ xem được camera của khách hàng mình phụ trách, không xem được toàn bộ hệ thống;
• Ghi nhật ký mọi lần xem lại hình ảnh cũ và mọi lần trích xuất;
• Trích xuất hình ảnh phải có yêu cầu bằng văn bản và được duyệt;
• Không cho phép chụp màn hình hoặc quay màn hình tại phòng giám sát; cấm điện thoại cá nhân trong khu vực;
• Thời hạn lưu rõ ràng, tự động xóa sau thời hạn;
• Mã hóa dữ liệu lưu trữ và đường truyền từ camera về trung tâm.

Điểm thứ tư là biện pháp đơn giản nhưng hiệu quả nhất. Rò rỉ hình ảnh từ hệ thống giám sát hầu hết đến từ việc nhân viên quay màn hình bằng điện thoại, không phải từ tấn công kỹ thuật.

An ninh của chính hệ thống camera

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Camera là thiết bị hay bị xâm nhập nhất trong các thiết bị kết nối mạng, vì ba lý do:

• Mật khẩu mặc định không được đổi;
• Phần mềm thiết bị không được cập nhật;
• Mở trực tiếp ra internet để xem từ xa cho tiện.

Bốn biện pháp bắt buộc:

• Đổi mật khẩu mặc định của mọi camera ngay khi lắp;
• Không mở camera trực tiếp ra internet; dùng kênh có kiểm soát;
• Cập nhật phần mềm thiết bị định kỳ, có lịch;
• Tách mạng camera khỏi mạng chung của khách hàng.

Với công ty bảo vệ quản lý hàng trăm camera cho nhiều khách hàng, việc này cần được hệ thống hóa: danh sách thiết bị, phiên bản phần mềm, lịch cập nhật, người chịu trách nhiệm.

Không chia sẻ trái quy định

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Ba tình huống công ty bảo vệ hay gặp và cần có nguyên tắc dứt khoát:

Người quen xin xem hình ảnh. Chỉ cung cấp theo yêu cầu hợp pháp của cơ quan có thẩm quyền hoặc theo quy trình đã thỏa thuận với khách hàng.

Báo chí, mạng xã hội xin hình ảnh về một vụ việc. Cần từ chối và chuyển yêu cầu cho khách hàng — đây là dữ liệu của họ.

Nhân viên chia sẻ hình ảnh "vui" ra ngoài. Cần quy định rõ trong nội quy và xử lý nghiêm; đây là hành vi làm mất uy tín cả công ty.

Ghi vào hợp đồng dịch vụ

Hợp đồng với khách hàng nên có các nội dung:

• Phạm vi hệ thống công ty bảo vệ vận hành;
• Ai là chủ quản dữ liệu hình ảnh;
• Thời hạn lưu và cơ chế xóa;
• Quy trình trích xuất hình ảnh — ai yêu cầu, ai duyệt, ghi nhận thế nào;
• Cam kết bảo mật và trách nhiệm khi có rò rỉ;
• Xử lý dữ liệu khi chấm dứt hợp đồng;
• Nghĩa vụ thông báo khi có sự cố, trong bao lâu.

Điểm thứ tư quan trọng nhất trong vận hành hằng ngày. Không có quy trình rõ ràng, nhân viên trực sẽ tự quyết định — và đó là lúc rò rỉ xảy ra.

Khi khách hàng yêu cầu điều không nên làm

Đây là tình huống công ty bảo vệ thường gặp và khó xử: khách hàng là bên trả tiền, nhưng yêu cầu của họ đôi khi vượt ranh giới.

Ba yêu cầu thường gặp cần từ chối hoặc tư vấn lại:

Lắp camera trong phòng nghỉ nhân viên hoặc khu vực thay đồ. Không có lý do an ninh nào biện minh được. Nên tư vấn phương án thay thế: camera ở lối vào khu vực đó.

Yêu cầu theo dõi riêng một nhân viên cụ thể. Giám sát chung phục vụ an ninh khác với việc dùng hệ thống để theo dõi một cá nhân. Nếu khách hàng có nghi vấn về nhân viên, đó là việc cần xử lý qua quy trình lao động, không phải qua camera.

Yêu cầu cung cấp hình ảnh cho bên thứ ba mà không rõ căn cứ. Nên đề nghị khách hàng tự cung cấp và tự chịu trách nhiệm, thay vì công ty bảo vệ trực tiếp trao dữ liệu.

Cách xử lý chuyên nghiệp: nêu rõ giới hạn ngay từ khi ký hợp đồng, đưa vào phụ lục về nguyên tắc vận hành hệ thống giám sát. Việc này tránh được tình huống phải từ chối khách hàng giữa chừng.

Đào tạo nhân viên

Nhân viên trực giám sát tiếp cận hình ảnh riêng tư của rất nhiều người. Nội dung đào tạo cần có:

• Hình ảnh giám sát là dữ liệu được pháp luật bảo vệ, không phải chuyện để bàn tán;
• Không chụp, quay, chia sẻ dưới bất kỳ hình thức nào;
• Chỉ xem trong phạm vi nhiệm vụ;
• Quy trình khi có yêu cầu trích xuất;
• Nghĩa vụ bảo mật vẫn còn sau khi nghỉ việc;
• Cách báo cáo khi phát hiện đồng nghiệp vi phạm.

Đọc thêm cùng chủ đề

• Trường mầm non dùng camera và ứng dụng liên lạc cần lưu ý gì?
• Doanh nghiệp sản xuất camera an ninh cần tuân thủ những gì?
• Camera ở cửa hàng có phải báo cho khách biết không?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 15
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 5

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.