Dữ liệu vị trí của người lao động là dữ liệu cá nhân nhạy cảm: nhà máy lưu được đến đâu

Một nhà máy đã ghi lại chuyển động của con người từ lâu trước khi ai đó nói tới chữ định vị. Máy chấm công ghi giờ vào ca, đầu đọc thẻ ở cổng ghi ai đã qua cửa nào, và nếu có hệ thống định vị thì nền tảng ghi thêm người đó ở khu vực nào. Ba bản ghi nằm ở ba nơi, do ba bộ phận quản trị, và hiếm khi có ai hỏi chúng là dữ liệu gì.

Từ ngày 01/01/2026, những bản ghi đó có tên gọi trong luật. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026; cùng ngày, Nghị định 356/2025/NĐ-CP ký ngày 31/12/2025 có hiệu lực và thay thế Nghị định 13/2023/NĐ-CP. Ngày 04/9/2026, báo Tuổi Trẻ chạy tin: lắp camera mà không báo với người lao động, doanh nghiệp có thể bị phạt tới 70 triệu đồng. Nhưng Điều 61 khoản 2 điểm c của Nghị định 330/2026/NĐ-CP nói tới "phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc". Đầu đọc thẻ và bộ thu định vị nằm trong câu đó.

Bài viết này không hỏi nhà máy nên lưu gì, mà hỏi từng trường trong bản ghi là cái gì dưới con mắt của pháp luật. Phạm vi giới hạn ở lịch sử vị trí của người lao động, không bàn tới dữ liệu phục vụ giám sát hải quan hay dữ liệu sự kiện của hệ thống camera. Bài viết dẫn lại nội dung văn bản, không diễn giải nội dung điều luật và không đưa ra khuyến nghị pháp lý.

I. Luật không tự phân loại, danh mục nằm ở nghị định

Câu hay gặp nhất trong các bản tóm tắt là "Luật Bảo vệ dữ liệu cá nhân 2025 quy định dữ liệu vị trí là dữ liệu cá nhân nhạy cảm". Câu đó không khớp với văn bản. Điều 2 khoản 2 và khoản 3 định nghĩa dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, nhưng cả hai khoản đều kết thúc bằng cùng một cụm: "thuộc danh mục do Chính phủ ban hành".

Danh mục nằm ở Nghị định 356/2025/NĐ-CP: Điều 3 cho dữ liệu cơ bản, Điều 4 cho dữ liệu nhạy cảm. Ở Điều 4 khoản 1 điểm h có đúng một dòng, "Vị trí của cá nhân được xác định qua dịch vụ định vị", nằm cùng danh sách với dữ liệu sinh trắc học ở điểm đ. Cùng một hạng. Điều 4 khoản 2 buộc thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày này, theo Điều 42 khoản 2.

Điều 3 mới là chỗ dễ đọc sót. Sau mười khoản liệt kê họ tên, ngày sinh, địa chỉ, hình ảnh của cá nhân và các số định danh, khoản 11 viết: "Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại Điều 4 Nghị định này". Một khoản quét.

Hệ quả cần nói cho rõ. Bản ghi "mã nhân viên A đang ở khu lắp ráp tầng 2" không vì được rút gọn về khu vực mà thôi là dữ liệu cá nhân; nó vẫn là dữ liệu cá nhân cơ bản theo Điều 3 khoản 11. Cái thay đổi là nó có rơi vào danh mục nhạy cảm ở Điều 4 khoản 1 điểm h hay không. Đây là lựa chọn về hạng dữ liệu, không phải lựa chọn để bước ra khỏi phạm vi điều chỉnh của luật. Lối ra đó rất hẹp: Điều 2 khoản 1 viết "Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân", và bản ghi còn gắn với mã nhân viên thì chưa đi qua cửa ấy.

II. Điều 31 gọi đích danh thẻ nhận dạng tần số vô tuyến

Phần lớn các đạo luật về dữ liệu nói bằng ngôn ngữ trung lập với công nghệ. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có một chỗ không như vậy. Điều 31 khoản 1 định nghĩa dữ liệu vị trí cá nhân qua công nghệ định vị, rồi khoản 3 điểm a viết:

"Không áp dụng việc theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác, trừ trường hợp có sự đồng ý của chủ thể dữ liệu cá nhân hoặc trường hợp có yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật hoặc trường hợp pháp luật có quy định khác."

Thẻ nhận dạng tần số vô tuyến được gọi thẳng tên, và câu để mở bằng cụm "và các công nghệ khác". Doanh nghiệp quen với khung pháp lý châu Âu thường tìm một căn cứ kiểu "lợi ích hợp pháp" để xử lý dữ liệu mà không cần đồng ý. Điều 19 liệt kê năm trường hợp xử lý không cần sự đồng ý, và không mục nào mang hình dạng một căn cứ như vậy; riêng mục đầu tiên, về tình huống cấp bách, còn ghi rõ rằng bên kiểm soát dữ liệu có trách nhiệm chứng minh trường hợp đó.

Chế tài nằm ở Nghị định 330/2026/NĐ-CP, ký ngày 19/8/2026 và có hiệu lực ngay từ ngày ký. Điều 70 khoản 2 điểm a xử phạt đúng hành vi mà Điều 31 khoản 3 điểm a cấm: từ 70 đến 150 triệu đồng. Nhưng tiền không phải phần nặng nhất. Khoản 3 điểm a cho phép tịch thu thiết bị phát sóng, thẻ RFID và thiết bị thu thập; khoản 3 điểm b cho phép đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí từ 03 tháng đến 06 tháng; khoản 4 điểm a buộc hủy, xóa tới mức không thể khôi phục phần dữ liệu vị trí đã thu thập trái phép.

Mọi con số trong bài này đều là mức của tổ chức: Điều 7 khoản 1 quy định riêng cho Mục 6 Chương II, phần về bảo vệ dữ liệu cá nhân, rằng mức phạt tiền ghi trong đó áp dụng với tổ chức, còn cá nhân bằng một phần hai.

III. Điều 25 viết riêng cho quan hệ lao động

Luật có một điều dành riêng cho quan hệ lao động mà nhiều bản tóm tắt bỏ qua. Điều 25 khoản 1 đặt các nghĩa vụ cho giai đoạn tuyển dụng, trong đó có việc xóa, hủy thông tin của người không trúng tuyển. Khoản 2 nói về giai đoạn đang làm việc: dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận, và phải xóa, hủy khi chấm dứt hợp đồng lao động, trừ trường hợp có thỏa thuận khác hoặc pháp luật có quy định khác.

Khoản 3 điểm a viết rằng chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, "trên cơ sở người lao động biết rõ biện pháp đó". Điều luật đòi hỏi một trạng thái, không phải một thao tác gửi thông báo.

Nghị định 330/2026/NĐ-CP Điều 61 gắn số tiền vào từng đoạn của Điều 25: từ 20 đến 50 triệu đồng cho các hành vi ở giai đoạn tuyển dụng; từ 50 đến 70 triệu đồng cho bốn nhóm hành vi ở giai đoạn sử dụng lao động, gồm hai nghĩa vụ vừa nêu ở khoản 2 Điều 25 và hai hành vi áp dụng biện pháp công nghệ mà không bảo đảm người lao động biết rõ hoặc không bảo đảm quyền, lợi ích hợp pháp của họ; và từ 70 đến 100 triệu đồng cho việc xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ các biện pháp trái quy định của pháp luật.

Điều 32 của luật, điều thường được dẫn khi nói tới camera, có tiêu đề giới hạn ở "nơi công cộng, hoạt động công cộng", và Điều 71 của Nghị định 330/2026/NĐ-CP cũng dùng cụm "không gian công cộng, khu vực cung cấp dịch vụ cho khách hàng". Camera bên trong xưởng thì được gọi tên ở Điều 61 khoản 2 điểm c, đứng cạnh "thiết bị thu thập dữ liệu khác tại môi trường làm việc". Hai nhóm điều luật, hai phạm vi: khu lễ tân thuộc nhóm thứ nhất, chuyền lắp ráp thuộc nhóm thứ hai.

Bộ luật Lao động số 45/2019/QH14 không có điều nào về dữ liệu cá nhân; cụm từ đó không xuất hiện trong bộ luật. Nhưng Điều 118 yêu cầu nội quy lao động phải có nội dung về "Trật tự tại nơi làm việc" và về an toàn, vệ sinh lao động, còn khoản 4 yêu cầu thông báo đến người lao động và niêm yết những nội dung chính tại nơi làm việc. Một bên đã có sẵn cơ chế niêm yết, bên kia đòi hỏi người lao động biết rõ biện pháp. Hai hệ thống không thay thế nhau: nội quy lao động đăng ký tại cơ quan chuyên môn về nội vụ thuộc Ủy ban nhân dân cấp tỉnh, còn bảo vệ dữ liệu cá nhân thuộc Bộ Công an theo Điều 36 khoản 2 của luật.

IV. Đọc bản ghi theo từng trường dữ liệu

Một dòng dữ liệu vị trí điển hình trong nhà máy có khoảng sáu trường, và sáu trường đó không cùng một hạng.

Trường trong bản ghi	Phân loại theo văn bản	Căn cứ	Ghi chú
Mã số nhân viên	Dữ liệu cá nhân cơ bản	NĐ 356/2025 Điều 3 khoản 11	Đây là trường làm cho mọi trường còn lại gắn với một con người cụ thể
Thời điểm ghi nhận	Cơ bản, khi đi kèm mã nhân viên	NĐ 356/2025 Điều 3 khoản 11	Tự nó không xác định ai; hạng do trường đi kèm quyết định
Tầng và khu vực	Dữ liệu cá nhân cơ bản	NĐ 356/2025 Điều 3 khoản 11, không có trong Điều 4	Không thuộc danh mục nhạy cảm, nhưng vẫn là dữ liệu cá nhân
Tọa độ từ hệ thống định vị	Dữ liệu cá nhân nhạy cảm	NĐ 356/2025 Điều 4 khoản 1 điểm h	Kéo theo Điều 4 khoản 2: phân quyền giới hạn truy cập, quy trình xử lý, biện pháp bảo mật
Lịch sử di chuyển	Theo hạng của trường vị trí tạo ra nó	Như hai dòng trên	Chuỗi bản ghi tọa độ vẫn là tọa độ, chuỗi bản ghi khu vực vẫn là khu vực
Hình ảnh từ camera	"Hình ảnh của cá nhân" là cơ bản, "dữ liệu sinh trắc học" là nhạy cảm	NĐ 356/2025 Điều 3 khoản 6 và Điều 4 khoản 1 điểm đ	Ranh giới giữa hai loại không được nghị định định nghĩa, nên phần này cần ý kiến pháp lý riêng

Có một nghĩa vụ không nằm trong bảng, vì nó cắt ngang tất cả các dòng. Điều 31 khoản 3 điểm a không nói về hạng của dữ liệu được lưu. Nó nói về hành vi theo dõi định vị qua thẻ và các công nghệ khác. Rút gọn bản ghi về tầng và khu vực làm thay đổi hạng của dữ liệu lưu lại, nhưng không làm cho hành vi theo dõi bằng thẻ biến mất khỏi phạm vi của điều luật đó. Điều 25 khoản 3 điểm a cũng vậy: nó áp dụng cho mọi biện pháp công nghệ, kỹ thuật trong quản lý người lao động, bất kể dữ liệu thu được thuộc hạng nào. Hai nghĩa vụ này đi cùng thiết bị, không đi cùng trường dữ liệu.

Vậy hạng dữ liệu đổi được cái gì. Nghị định 330/2026/NĐ-CP Điều 48 khoản 3 trả lời bằng một bảng, áp dụng khi việc thu thập bị xác định là "trái quy định của pháp luật". Ngưỡng của hai hạng không giống nhau.

Mức phạt (tổ chức)	Dữ liệu cá nhân cơ bản	Dữ liệu cá nhân nhạy cảm
100 đến 200 triệu đồng	dưới 500 người	dưới 100 người
200 đến 300 triệu đồng	từ 500 đến dưới 1.000 người	từ 100 đến dưới 200 người
300 đến 500 triệu đồng	từ 1.000 đến dưới 5.000 người	từ 200 đến 1.000 người
500 đến 800 triệu đồng	từ 5.000 người trở lên	từ 1.000 người trở lên

Ngưỡng của cột nhạy cảm đến sớm hơn đúng năm lần. Một nhà máy 800 người, nếu rơi vào trường hợp thu thập trái quy định, nằm ở dòng thứ ba khi lưu tọa độ và dòng thứ hai khi lưu khu vực.

Hai điều kiện phải đi kèm bảng này và không được bỏ. Thứ nhất, đây là khung phạt cho trường hợp thu thập "trái quy định của pháp luật", không phải chi phí của việc thu thập hợp pháp. Thứ hai, các mức tiền là mức áp dụng với tổ chức theo Điều 7 khoản 1.

Còn một câu hỏi hay bị bỏ qua: pháp luật an toàn lao động đòi biết vị trí đến mức nào. Luật An toàn, vệ sinh lao động số 84/2015/QH13 không yêu cầu theo dõi vị trí người lao động. Điều 78 khoản 2 điểm a đòi "Phương án sơ tán người lao động ra khỏi khu vực nguy hiểm"; Điều 16 khoản 6 đòi biển cảnh báo, bảng chỉ dẫn đặt ở vị trí dễ đọc, dễ thấy; Điều 18 đòi đánh giá, kiểm tra định kỳ ít nhất một lần trong một năm. Đơn vị thông tin mà các điều này nói tới là khu vực, không phải tọa độ. Hệ thống định vị là phương tiện do người sử dụng lao động lựa chọn, không phải nghĩa vụ do luật đặt ra.

V. Chỗ nghĩa vụ giấy tờ bám vào

Việc phân hạng dữ liệu đi tiếp vào tập hồ sơ mà cơ quan chuyên trách sẽ đọc: Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an, tên được ghi trong Nghị định 330/2026/NĐ-CP Điều 55 khoản 1 điểm b. Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân là tập nặng nhất. Theo Nghị định 356/2025/NĐ-CP Điều 19, hồ sơ được lập từ thời điểm bắt đầu xử lý theo Mẫu số 10 và bản chính gửi trong 60 ngày kể từ ngày bắt đầu xử lý. Trong bảy phần nội dung của báo cáo, hai phần đáng chú ý với người thiết kế hệ thống: "sơ đồ luồng dữ liệu cá nhân" và "sơ đồ thiết kế hệ thống". Nghị định 330/2026/NĐ-CP Điều 55 khoản 1 phạt 20 đến 30 triệu đồng cho việc không lập hoặc không gửi đúng hạn, và khoản 3 điểm b buộc ngừng xử lý dữ liệu cá nhân cho tới khi hồ sơ được nộp và xác nhận.

Đây là chỗ câu "thiết kế làm hồ sơ mỏng đi" có nghĩa cụ thể: sơ đồ luồng dữ liệu của một hệ thống lưu tọa độ và sơ đồ của một hệ thống lưu khu vực là hai bản vẽ khác nhau, đọc bởi cùng một người.

Ba nghĩa vụ còn lại đi kèm. Riêng dữ liệu vị trí và dữ liệu sinh trắc học, Nghị định 356/2025/NĐ-CP Điều 29 buộc thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm và lưu hồ sơ vi phạm tối thiểu 05 năm kể từ ngày khắc phục xong sự cố. Về nhân sự, Điều 33 khoản 2 của luật và Nghị định 356/2025/NĐ-CP Điều 13 đòi văn bản chỉ định chính thức cùng trình độ từ cao đẳng trở lên và tối thiểu 02 năm kinh nghiệm; Nghị định 330/2026/NĐ-CP Điều 57 khoản 2 phạt 20 đến 30 triệu đồng. Về dữ liệu ra ngoài lãnh thổ, luật Điều 20 khoản 6 điểm b và Nghị định 356/2025/NĐ-CP Điều 17 khoản 3 điểm d miễn đánh giá tác động chuyển dữ liệu xuyên biên giới cho dữ liệu nhân sự của chính doanh nghiệp, nhưng hồ sơ ở Điều 21 vẫn còn nguyên và Điều 12 khoản 4 vẫn đòi mã hóa dữ liệu trên đám mây.

Nghị định 356/2025/NĐ-CP Điều 41 cho phép doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp lựa chọn thực hiện hoặc không thực hiện Điều 21, Điều 22 và khoản 2 Điều 33 của luật trong thời gian 05 năm, nhưng loại trừ doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, doanh nghiệp "trực tiếp xử lý dữ liệu cá nhân nhạy cảm", và doanh nghiệp xử lý dữ liệu từ 100 nghìn chủ thể dữ liệu cá nhân trở lên.

Ở đây cần một lưu ý để không nói quá. Việc chuyển thiết kế vị trí từ tọa độ sang khu vực không tự nó đưa quyền lựa chọn kia trở lại. Một nhà máy đang chấm công bằng vân tay hoặc khuôn mặt thì đã xử lý dữ liệu sinh trắc học, tức đã nằm trong Điều 4 khoản 1 điểm đ từ trước. Với nhà máy đó, ngoại lệ ở Điều 41 đã mất rồi, và một thay đổi ở hệ thống định vị không lấy lại được.

Lời kết

Rẻ nhất trong toàn bộ danh sách trên không phải là một biện pháp bảo mật, mà là quyết định không dựng một thứ. Trường dữ liệu không được tạo ra thì không có hạng, không vào sơ đồ luồng, không cần bảng phân quyền, và không xuất hiện ở dòng nào của bảng tại Điều 48 khoản 3. Câu hỏi "lưu đến mức nào" thuộc về buổi thiết kế, không phải buổi rà soát.

Chúng tôi đã viết riêng về đơn vị lưu trữ như một bài toán thiết kế, không phải bài toán pháp lý, trong bài giám sát vị trí nhân sự nhà máy bán dẫn. Bài này bổ sung nửa còn lại: lựa chọn đó chạm vào điều khoản nào, và tạo ra khác biệt ở chỗ nào trong hồ sơ.

ORBRO làm thẻ định vị, máy chủ phân tích tại biên và phần mềm điều hành trong cùng một dải sản phẩm, nên phạm vi thu thập và đơn vị lưu trữ được quyết định trên cùng một bản vẽ. ORBRO OS đặt vị trí nhân sự, nhật ký ra vào và sự kiện camera lên cùng một mặt bằng, còn AI Event Manager xử lý sự kiện hình ảnh ở một lớp riêng, nên bảng phân quyền và bảng thời hạn lưu trữ viết được cho từng lớp.

Cấu hình phù hợp thay đổi theo mặt bằng và theo những hệ thống đã có sẵn, nên nếu quý doanh nghiệp đang rà soát phương án, hãy cho chúng tôi biết hiện trường. Việc áp dụng các quy định nêu trên cho một hiện trường cụ thể cần ý kiến của bộ phận pháp chế hoặc luật sư.