Doanh nghiệp thuê ngoài dịch vụ tính lương cần thỏa thuận những gì?

Bảng lương là dữ liệu nhạy cảm nhất trong doanh nghiệp. Khi thuê ngoài việc tính lương, trách nhiệm với người lao động vẫn thuộc về doanh nghiệp.

Nhiều doanh nghiệp vừa và nhỏ thuê ngoài toàn bộ việc tính lương, đóng bảo hiểm, quyết toán thuế thu nhập cá nhân. Cách này tiết kiệm chi phí và giảm rủi ro sai sót. Nhưng nó đồng nghĩa với việc chuyển dữ liệu nhạy cảm nhất của doanh nghiệp — thông tin về từng người lao động — cho một bên khác.

Vì sao dữ liệu lương đặc biệt nhạy cảm

Bốn lý do:

Mức lương là thông tin riêng tư. Người lao động thường không muốn đồng nghiệp biết mình nhận bao nhiêu, và việc lộ ra có thể gây mâu thuẫn nội bộ nghiêm trọng.

Hồ sơ lương chứa nhiều dữ liệu khác. Số căn cước, số bảo hiểm xã hội, tài khoản ngân hàng, người phụ thuộc, tình trạng hôn nhân.

Có thể suy ra thông tin sức khỏe. Ngày nghỉ ốm, nghỉ thai sản, chế độ bảo hiểm được hưởng.

Giá trị với đối thủ. Bảng lương cho biết cơ cấu nhân sự, mức chi trả, và là công cụ để lôi kéo nhân sự.

Trách nhiệm không chuyển theo hợp đồng

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Doanh nghiệp là bên thu thập dữ liệu từ người lao động, nên là chủ quản dữ liệu. Đơn vị dịch vụ xử lý theo yêu cầu của doanh nghiệp.

Hệ quả thực tiễn: khi có rò rỉ, người lao động sẽ tìm tới doanh nghiệp trước, và doanh nghiệp không thể trả lời rằng "đó là lỗi của bên dịch vụ". Vì thế, hợp đồng dịch vụ phải đủ chặt.

Mười điều khoản cần có trong hợp đồng

1. Phạm vi dữ liệu được chuyển giao

Liệt kê cụ thể từng trường dữ liệu. Nguyên tắc tối thiểu: đơn vị tính lương cần biết mức lương, ngày công, các khoản khấu trừ — không cần biết đánh giá hiệu suất hay lý do kỷ luật.

2. Mục đích sử dụng

Chỉ để thực hiện dịch vụ đã thỏa thuận. Cấm dùng cho mục đích riêng, cấm dùng làm dữ liệu tham chiếu thị trường lương.

Điểm này quan trọng hơn vẻ ngoài. Một đơn vị làm dịch vụ tính lương cho 200 doanh nghiệp có trong tay bức tranh mặt bằng lương của cả ngành — dữ liệu có giá trị thương mại lớn.

3. Ai bên đơn vị dịch vụ được truy cập

Yêu cầu danh sách nhân sự cụ thể, cập nhật khi thay đổi, và cam kết bảo mật của từng người.

4. Nơi lưu trữ dữ liệu

Trong nước hay nước ngoài, trên hệ thống riêng hay dịch vụ đám mây bên thứ ba.

5. Nhà thầu phụ

Đơn vị dịch vụ có chuyển một phần công việc cho bên khác không? Nếu có, phải được thông báo và chấp thuận.

6. Biện pháp bảo mật cụ thể

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Hợp đồng nên nêu rõ: mã hóa khi truyền và khi lưu, kiểm soát truy cập, ghi nhật ký, sao lưu.

7. Kênh trao đổi dữ liệu

Đây là điểm hay bị bỏ sót và cũng là nơi rò rỉ nhiều nhất. Cấm gửi bảng lương qua thư điện tử không mã hóa hoặc ứng dụng nhắn tin. Cần kênh có kiểm soát.

8. Thông báo sự cố

Trong bao lâu, nội dung gồm gì. Nên tính bằng giờ, không phải "trong thời gian hợp lý".

9. Xử lý khi chấm dứt

Trả lại dữ liệu ở định dạng nào, xóa trong bao lâu, có xác nhận bằng văn bản không, bản sao lưu xử lý thế nào.

10. Quyền kiểm tra

Doanh nghiệp có quyền yêu cầu đơn vị dịch vụ báo cáo về biện pháp bảo mật, hoặc chấp nhận kiểm tra định kỳ.

Nội bộ doanh nghiệp cũng cần kiểm soát

Nhiều rò rỉ bảng lương xuất phát từ chính bên trong. Sáu biện pháp:

Giới hạn người xem bảng lương tổng — thường chỉ giám đốc và kế toán trưởng;
Không gửi bảng lương toàn công ty qua thư điện tử cho nhiều người;
Phiếu lương gửi riêng từng người, có mật khẩu nếu gửi qua tệp;
Không in bảng lương để trên bàn hoặc trong máy in chung;
Máy tính nhân sự khóa màn hình khi rời chỗ;
Cam kết bảo mật với nhân sự làm công tác lương.

Điểm thứ tư là lỗ hổng vật lý phổ biến: bảng lương in ra nằm ở khay máy in chung, ai qua cũng đọc được.

Không chia sẻ trái quy định

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Hai tình huống doanh nghiệp cần lưu ý:

Cung cấp thông tin lương cho bên thứ ba — ngân hàng khi nhân viên vay, công ty tài chính. Chỉ nên thực hiện khi chính người lao động yêu cầu bằng văn bản.

Tham gia khảo sát lương của ngành. Nếu tham gia, chỉ cung cấp dữ liệu tổng hợp, không định danh từng người.

Chứng từ lương điện tử

Khoản 1 Điều 9 Luật 20/2023/QH15 quy định thông điệp dữ liệu được xem là đáp ứng yêu cầu về văn bản nếu thông tin trong thông điệp dữ liệu đó có thể truy cập và sử dụng được để tham chiếu.

Nghĩa là phiếu lương điện tử, bảng chấm công điện tử đều hợp lệ về mặt hình thức văn bản. Nhưng cần lưu ý:

Pháp luật về lao động, kế toán, thuế có quy định riêng về hồ sơ và thời hạn lưu — cần tra riêng;
Người lao động phải truy cập được phiếu lương của mình, kể cả sau khi nghỉ việc trong thời hạn hợp lý;
Phải đọc được lâu dài — không khóa trong phần mềm chuyên dụng.

Khi đổi đơn vị dịch vụ

Bốn việc cần làm:

Lấy toàn bộ dữ liệu về ở định dạng đọc được, kiểm tra đầy đủ trước khi ngắt;
Yêu cầu xác nhận bằng văn bản việc đã xóa dữ liệu, gồm cả bản sao lưu;
Thu hồi mọi quyền truy cập đã cấp cho đơn vị cũ;
Thông báo cho người lao động nếu đơn vị mới có cách xử lý dữ liệu khác.

Điểm thứ hai hay bị bỏ qua. Chấm dứt hợp đồng không đồng nghĩa với việc dữ liệu tự biến mất khỏi hệ thống của đơn vị cũ.

Danh sách kiểm tra

Hợp đồng dịch vụ có nêu phạm vi dữ liệu cụ thể không?
Có cấm đơn vị dịch vụ dùng dữ liệu cho mục đích riêng không?
Bảng lương có được gửi qua kênh có mã hóa không?
Có biết ai bên đơn vị dịch vụ truy cập được không?
Bảng lương in ra có nằm ở máy in chung không?
Người lao động có truy cập được phiếu lương của mình không?
Hợp đồng có điều khoản xóa dữ liệu khi chấm dứt không?

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 148/2025/QH15 Điều 27
Luật 148/2025/QH15 Điều 5
Luật 116/2025/QH15 Điều 26
Luật 20/2023/QH15 Điều 9

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.

Theo Luật Chuyển đổi số 2025, doanh nghiệp thuê ngoài dịch vụ tính lương cần thỏa thuận những gì?