Theo Luật Công nghiệp công nghệ số, doanh nghiệp cung cấp giải pháp chấm công cần lưu ý những gì?

Nhà cung cấp giải pháp chấm công xử lý dữ liệu sinh trắc của hàng vạn người lao động. Bài viết bàn về thiết kế có trách nhiệm.

Doanh nghiệp cung cấp giải pháp chấm công triển khai cho hàng trăm khách hàng, mỗi khách hàng có hàng trăm tới hàng nghìn người lao động. Tổng lại, họ là bên xử lý dữ liệu sinh trắc và dữ liệu giám sát của một lượng người rất lớn — những người không hề ký hợp đồng với họ.

Vị thế đặc thù và trách nhiệm

Người lao động là chủ thể dữ liệu, nhưng khách hàng là doanh nghiệp sử dụng lao động. Người trả tiền và người bị ảnh hưởng là hai bên khác nhau — đây là bất cân xứng cần được nhà cung cấp ý thức rõ.

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Dữ liệu sinh trắc — thiết kế đúng

Đây là nhóm dữ liệu nhạy cảm nhất mà hệ thống chấm công xử lý. Chín nguyên tắc thiết kế:

• Không lưu ảnh gốc vân tay, khuôn mặt — chỉ lưu đặc trưng toán học không khôi phục ngược được;
• Mã hóa dữ liệu đặc trưng;
• Lưu tại chỗ khi có thể, không gửi lên máy chủ tập trung nếu không cần;
• Không dùng chung cơ sở dữ liệu sinh trắc giữa các khách hàng;
• Luôn cung cấp phương án thay thế — thẻ, mã số — cho người không muốn dùng sinh trắc;
• Xóa dữ liệu khi người lao động nghỉ việc;
• Không dùng dữ liệu sinh trắc cho mục đích ngoài chấm công;
• Chống giả mạo — nhận diện ảnh in, video phát lại;
• Tài liệu hướng dẫn khách hàng về nghĩa vụ thông báo cho người lao động.

Điểm thứ nhất là yêu cầu kỹ thuật quan trọng nhất: nếu hệ thống lưu ảnh vân tay gốc, một vụ rò rỉ gây hậu quả vĩnh viễn — người ta không đổi được vân tay như đổi mật khẩu.

Điểm thứ năm nên là mặc định trong sản phẩm, không phải tính năng phải trả thêm tiền.

Điểm thứ chín là trách nhiệm mà nhà cung cấp có thể thực hiện dễ dàng và tạo tác động lớn: nhiều doanh nghiệp triển khai chấm công sinh trắc mà không hề thông báo cho người lao động, đơn giản vì không biết mình phải làm vậy.

Ranh giới của việc giám sát

Sản phẩm chấm công ngày càng có nhiều tính năng vượt ra ngoài việc ghi giờ vào ra. Bảy điều nhà cung cấp nên cân nhắc không xây dựng hoặc mặc định tắt:

• Theo dõi vị trí liên tục ngoài thời điểm chấm công;
• Chụp ảnh màn hình máy tính người lao động định kỳ;
• Ghi lại thao tác bàn phím;
• Đo thời gian không hoạt động để đánh giá năng suất;
• Bật camera theo lịch ngẫu nhiên;
• Phân tích cảm xúc qua khuôn mặt;
• Chấm điểm hành vi tự động dẫn tới kỷ luật.

Điểm thứ sáu và thứ bảy đáng nhấn mạnh: phân tích cảm xúc có độ tin cậy khoa học thấp, và dùng nó để đánh giá con người là vừa không chính xác vừa xâm phạm.

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Nhà cung cấp không kiểm soát được cách khách hàng dùng sản phẩm, nhưng họ quyết định sản phẩm có những tính năng gì. Đó là lựa chọn có ý nghĩa đạo đức.

Quyền của người lao động

Sáu quyền mà hệ thống nên hỗ trợ về mặt kỹ thuật:

• Xem dữ liệu chấm công của mình bất cứ lúc nào;
• Biết những gì được ghi nhận về mình;
• Khiếu nại khi dữ liệu sai, có quy trình trong hệ thống;
• Được giải trình trước khi bị xử lý dựa trên dữ liệu;
• Chọn phương án không sinh trắc;
• Yêu cầu xóa dữ liệu sinh trắc khi nghỉ việc.

Điểm thứ ba là chức năng có giá trị thực tế lớn: máy chấm công đọc lỗi, mất mạng, hoặc người lao động quên quẹt — và nếu không có cách khiếu nại trong hệ thống, việc trừ lương diễn ra tự động và không công bằng.

Cam kết với khách hàng doanh nghiệp

Tám cam kết nên có trong hợp đồng: xác định rõ doanh nghiệp là chủ quản dữ liệu, nhà cung cấp là bên xử lý; phân tách dữ liệu giữa các khách hàng; nhân sự nhà cung cấp truy cập được gì và trong trường hợp nào; không dùng dữ liệu cho mục đích riêng, kể cả huấn luyện mô hình; danh sách nhà thầu phụ; thông báo sự cố trong bao lâu; xuất dữ liệu khi chấm dứt; và xóa dữ liệu có xác nhận.

Điểm thứ tư đặc biệt quan trọng với sản phẩm nhận diện khuôn mặt: dữ liệu khuôn mặt của hàng vạn người lao động là tài nguyên rất giá trị cho việc huấn luyện mô hình, và việc sử dụng nó cần có cơ sở pháp lý rõ ràng chứ không thể dựa vào một dòng trong điều khoản dịch vụ.

An ninh hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Bảy biện pháp: mã hóa dữ liệu khi lưu và khi truyền; xác thực nhiều lớp cho tài khoản quản trị; đổi mật khẩu mặc định trên thiết bị đầu cuối; cập nhật phần mềm thiết bị có ký số; ghi nhật ký truy cập; kiểm thử bảo mật định kỳ; và kênh tiếp nhận báo cáo lỗ hổng.

Điểm thứ ba là lỗ hổng phổ biến trên máy chấm công: thiết bị nối mạng nội bộ với mật khẩu quản trị mặc định, và ai trong mạng cũng tải được toàn bộ cơ sở dữ liệu sinh trắc.

Danh sách kiểm tra

• Hệ thống có lưu ảnh sinh trắc gốc không?
• Có phương án thay thế cho người không dùng sinh trắc không?
• Dữ liệu có xóa khi người lao động nghỉ việc không?
• Sản phẩm có tính năng giám sát vượt phạm vi chấm công không?
• Người lao động có xem và khiếu nại dữ liệu của mình được không?
• Có dùng dữ liệu khách để huấn luyện mô hình không?
• Thiết bị đầu cuối có đổi mật khẩu mặc định không?

Đọc thêm cùng chủ đề

• Hệ thống nào bị coi là quan trọng về an ninh quốc gia?
• Doanh nghiệp phải gỡ bỏ thông tin vi phạm trong trường hợp nào?
• Hệ thống trí tuệ nhân tạo được phân loại rủi ro thế nào?

Căn cứ pháp lý

• Luật 71/2025/QH15 Điều 10
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.