Camera xuất hiện ngày càng phổ biến tại văn phòng, nhà xưởng và các địa điểm làm việc. Đối với doanh nghiệp, đây có thể là công cụ nhằm bảo đảm an ninh, quản lý tài sản hoặc kiểm soát hoạt động tại nơi làm việc. Tuy nhiên, việc doanh nghiệp có nhu cầu giám sát không đồng nghĩa với việc có thể tự do thu thập và sử dụng dữ liệu của người lao động. Một quy định mới đáng chú ý về bảo vệ dữ liệu cá nhân đã đặt ra yêu cầu đối với doanh nghiệp khi sử dụng camera, phần mềm theo dõi hoặc các biện pháp công nghệ khác để thu thập dữ liệu của người lao động. Nếu thực hiện không đúng quy định, doanh nghiệp có thể phải đối mặt với mức phạt lên đến 70 triệu đồng.

1. Doanh nghiệp cần lưu ý gì khi sử dụng camera tại nơi làm việc?

Theo điểm c khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP về Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, hành vi sử dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động nhưng không bảo đảm để người lao động biết rõ về biện pháp đó có thể bị xử phạt từ 50 triệu đồng đến 70 triệu đồng đối với tổ chức.

Quy định này bao gồm các hình thức giám sát tại nơi làm việc như sau:

- Camera giám sát;

- Phần mềm theo dõi thiết bị;

- Thiết bị hoặc giải pháp công nghệ có khả năng thu thập dữ liệu của người lao động.

Như vậy, doanh nghiệp cần phải minh bạch về việc thu thập dữ liệu, để người lao động biết mình đang được thu thập dữ liệu thông qua biện pháp công nghệ nào.

Không chỉ vấn đề thông báo, cách doanh nghiệp quản lý dữ liệu cũng rất quan trọng. Camera chỉ là một phương thức thu thập dữ liệu sau khi dữ liệu được ghi nhận, doanh nghiệp còn phải lưu ý đến thời hạn lưu trữ và việc xử lý dữ liệu. Điểm a, điểm b và điểm d khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP cũng quy định mức xử phạt từ 50 triệu đồng đến 70 triệu đồng đối với tổ chức trong một số trường hợp sau:

- Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;

- Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác;

- Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

Điều này cho thấy doanh nghiệp cần xây dựng quy trình quản lý dữ liệu từ thời điểm thu thập cho đến khi sử dụng, lưu trữ và xóa dữ liệu.

Ngoài ra, vi phạm có thể kéo theo nghĩa vụ xóa dữ liệu. Căn cứ khoản 4 Điều 61 Nghị định 330/2026/NĐ-CP, đối với hành vi thu thập dữ liệu cá nhân của người lao động bằng biện pháp công nghệ, kỹ thuật mà không bảo đảm người lao động biết rõ, tổ chức, cá nhân vi phạm còn có thể bị buộc hủy, xóa dữ liệu cá nhân đã thu thập, xử lý trái quy định đến mức không thể khôi phục.

Vì vậy, nếu doanh nghiệp đang sử dụng camera hoặc các phần mềm, thiết bị có khả năng thu thập dữ liệu tại nơi làm việc, việc rà soát quy trình bảo vệ dữ liệu là cần thiết để hạn chế rủi ro pháp lý.

2. Mức phạt áp dụng với tổ chức và cá nhân có gì khác nhau?

Mức 50 triệu đồng đến 70 triệu đồng theo Điều 61 Nghị định 330/2026/NĐ-CP là mức phạt được áp dụng đối với tổ chức.

Trường hợp cá nhân thực hiện cùng hành vi vi phạm thì căn cứ theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt sẽ bằng một phần hai mức phạt đối với tổ chức, tương ứng từ 25 triệu đồng đến 35 triệu đồng.

Như vậy, doanh nghiệp đang sử dụng camera hoặc các công cụ công nghệ để giám sát tại nơi làm việc nên chủ động rà soát:

- Dữ liệu nào đang được thu thập;

- Thông tin cho người lao động về việc sử dụng công cụ công nghệ để giám sát;

- Xoá dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động;

- Đảm bảo quyền, lợi ích hợp pháp của người lao động trong việc thu thập và sử dụng dữ liệu.

Chủ động hoàn thiện quy trình ngay từ đầu sẽ giúp doanh nghiệp vừa đáp ứng nhu cầu quản lý, vừa hạn chế những rủi ro pháp lý phát sinh trong quá trình hoạt động.

Việc sử dụng camera tại nơi làm việc có thể phục vụ những nhu cầu chính đáng của doanh nghiệp như bảo đảm an ninh, bảo vệ tài sản và quản lý hoạt động. Tuy nhiên, quyền quản lý của doanh nghiệp cần được thực hiện song song với trách nhiệm bảo vệ dữ liệu cá nhân của người lao động.