Dữ liệu cá nhân của người thân người lao động: doanh nghiệp có cần xin đồng ý?

Tóm tắt nhanh

Dữ liệu của con, cha mẹ, vợ/chồng người lao động là dữ liệu cá nhân của chính những người đó. Doanh nghiệp cần căn cứ hợp pháp cho từng mục đích. Với phúc lợi tự nguyện, căn cứ đó là sự đồng ý của chính người thân.

• Người lao động không đồng ý thay được cho cha mẹ, vợ/chồng đã thành niên. Với con là trẻ em, cha/mẹ đồng ý thay với tư cách người đại diện theo pháp luật.
• Nhiều giấy tờ người thân là dữ liệu nhạy cảm: ảnh chụp thẻ căn cước, thông tin sức khỏe, thông tin đời sống riêng tư, bí mật gia đình.
• Phúc lợi tự nguyện (bảo hiểm sức khỏe gia đình, quà, học bổng, đăng ảnh con em) phải có sự đồng ý riêng, kiểm chứng được.
• Thủ tục giảm trừ gia cảnh có thể thuộc ngoại lệ "theo quy định của pháp luật", nhưng chưa có hướng dẫn chính thức. Doanh nghiệp nên trao đổi với luật sư để chọn cách làm an toàn.
• Mức phạt riêng cho vi phạm về sự đồng ý là 30–70 triệu đồng đối với doanh nghiệp. Mức trần cho các vi phạm khác là 3 tỷ đồng.

1. Ai là chủ thể dữ liệu, dữ liệu người thân thuộc loại nào?

Chủ thể dữ liệu là người mà dữ liệu phản ánh (khoản 5 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025). Vì vậy, khi người lao động khai thông tin về con, cha mẹ, vợ/chồng, chủ thể dữ liệu là chính người thân đó. Người lao động chỉ là người cung cấp.

Nghị định 356/2025/NĐ-CP chia dữ liệu thành hai nhóm, với nghĩa vụ khác nhau:

Điểm nhiều doanh nghiệp chưa để ý: bản chụp thẻ căn cước của người thân là dữ liệu nhạy cảm. Giấy tờ y tế chứng minh cha mẹ không có khả năng lao động cũng vậy.

Khi xử lý dữ liệu nhạy cảm, doanh nghiệp phải:

• thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4 Nghị định 356);
• thông báo cho chủ thể rằng dữ liệu cần xử lý là dữ liệu nhạy cảm khi xin đồng ý (khoản 4 Điều 6 Nghị định 356).

2. Sự đồng ý hợp lệ và ai có quyền đồng ý

Nguyên tắc chung: dữ liệu cá nhân phải được chủ thể đồng ý trước khi thu thập, trừ trường hợp pháp luật có quy định khác (khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân).

Sự đồng ý chỉ có hiệu lực khi đáp ứng đủ các điều kiện sau (Điều 9 Luật; Điều 6 Nghị định 356):

• Tự nguyện, và chủ thể biết rõ: loại dữ liệu, mục đích xử lý, bên kiểm soát dữ liệu, quyền và nghĩa vụ của mình.
• Đồng ý riêng cho từng mục đích.
• Không bị kèm điều kiện phải đồng ý cho mục đích khác ngoài nội dung thỏa thuận.
• Im lặng hoặc không phản hồi không được coi là đồng ý.
• Thể hiện bằng phương thức kiểm chứng được ai đã đồng ý, khi nào, đồng ý nội dung gì. Phương thức có thể là văn bản, cuộc gọi ghi âm, tin nhắn cú pháp, thư điện tử, hoặc thiết lập kỹ thuật trên website/ứng dụng.
• Không đặt sẵn mặc định "đồng ý" hoặc chỉ dẫn gây nhầm lẫn.

Doanh nghiệp phải lưu trữ sự đồng ý. Khi có tranh chấp, doanh nghiệp là bên phải chứng minh đã có sự đồng ý (khoản 2 Điều 6 Nghị định 356).

Ai được đồng ý:

Người đại diện theo pháp luật của con chưa thành niên thông thường là cha, mẹ.

3. Cần đồng ý hay không: phân tích theo từng mục đích

Câu trả lời phụ thuộc vào mục đích xử lý. Bảng dưới tóm tắt; chi tiết ở các mục 3.1–3.4.

3.1. Đăng ký người phụ thuộc giảm trừ gia cảnh

Luật cho phép xử lý không cần đồng ý trong "trường hợp khác theo quy định của pháp luật" (điểm đ khoản 1 Điều 19). Luật cũng cho phép áp dụng quy định bảo vệ dữ liệu trong luật ban hành trước, nếu không trái nguyên tắc của Luật 91 (khoản 2 Điều 5).

Khi xử lý không cần đồng ý, doanh nghiệp vẫn phải thiết lập cơ chế giám sát (khoản 2 Điều 19):

• quy trình xử lý và phân công trách nhiệm;
• biện pháp bảo vệ và đánh giá rủi ro thường xuyên;
• kiểm tra tuân thủ định kỳ;
• kênh tiếp nhận phản ánh.

3.2. Bảo hiểm sức khỏe và phúc lợi tự nguyện cho người thân

Không có luật nào bắt buộc doanh nghiệp xử lý dữ liệu này. Vì vậy phải có sự đồng ý của chính người thân (khoản 1 Điều 11 Luật). Ba quy định cần lưu ý thêm:

• Thông tin sức khỏe và hoạt động kinh doanh bảo hiểm phải có sự đồng ý của chủ thể trong quá trình thu thập, xử lý, trừ các trường hợp tại khoản 1 Điều 19 (khoản 1 Điều 26 Luật).
• Cung cấp dữ liệu cho tổ chức khác, như công ty bảo hiểm, cần sự đồng ý của chủ thể, trừ trường hợp pháp luật quy định khác (điểm b khoản 2 Điều 15 Luật).
• Không được buộc người lao động hoặc người thân đồng ý các mục đích không liên quan (ví dụ tiếp thị) như một điều kiện để được hưởng phúc lợi (điểm b khoản 4 Điều 9 Luật).

Khi chuyển dữ liệu cho công ty bảo hiểm hoặc bên cung cấp phúc lợi, doanh nghiệp phải lập thỏa thuận chuyển giao (khoản 1 Điều 7 Nghị định 356). Thỏa thuận nêu rõ:

• mục đích chuyển giao;
• đối tượng và loại dữ liệu;
• thời hạn xử lý, yêu cầu xóa hủy;
• cơ sở pháp lý;
• trách nhiệm bảo vệ dữ liệu và thực hiện quyền của chủ thể;
• trách nhiệm phối hợp khi có vi phạm.

Dữ liệu nhạy cảm khi chuyển giao phải được bảo mật vật lý, mã hóa hoặc ẩn danh (khoản 2 Điều 7 Nghị định 356).

3.3. Đăng ảnh, thông tin con em lên fanpage, bản tin nội bộ

Việc đăng tải là "công khai dữ liệu cá nhân". Việc công khai chỉ được thực hiện khi có sự đồng ý của chủ thể, theo quy định pháp luật, trong trường hợp tại điểm b khoản 1 Điều 19, hoặc để thực hiện nghĩa vụ hợp đồng (khoản 2 Điều 16 Luật).

Với trẻ từ đủ 7 tuổi, việc công bố đời sống riêng tư, bí mật cá nhân phải có sự đồng ý của cả trẻ và cha/mẹ (khoản 2 Điều 24 Luật). Điều 32 Luật cho phép ghi hình không cần đồng ý tại "hoạt động công cộng" như hội nghị, thi đấu thể thao, biểu diễn. Tuy nhiên, sự kiện nội bộ như Family Day hay trao học bổng khó được coi là hoạt động công cộng.

3.4. Thông tin liên hệ khẩn cấp

Ngoại lệ "bảo vệ tính mạng, sức khỏe… trong trường hợp cấp bách" (điểm a khoản 1 Điều 19) chỉ phát sinh khi có tình huống khẩn cấp thực tế. Việc lưu sẵn tên và số điện thoại người thân là thu thập dữ liệu, nên cần đồng ý trước của người được chỉ định (khoản 1 Điều 11). Chỉ nên thu tối thiểu: họ tên, quan hệ, số điện thoại.

4. Nghĩa vụ đi kèm khi doanh nghiệp giữ dữ liệu người thân

Có được sự đồng ý mới là bước đầu. Doanh nghiệp còn năm nhóm nghĩa vụ sau.

4.1. Đáp ứng yêu cầu của người thân đúng thời hạn (Điều 5 Nghị định 356)

Doanh nghiệp phải có quy trình, thủ tục, biểu mẫu rõ ràng để người thân thực hiện các quyền này (khoản 1 Điều 5 Nghị định 356).

4.2. Lưu trữ và xóa dữ liệu

Dữ liệu người lao động phải lưu trữ trong thời hạn theo pháp luật hoặc theo thỏa thuận. Khi chấm dứt hợp đồng, phải xóa, hủy, trừ khi có thỏa thuận hoặc pháp luật quy định khác (khoản 2 Điều 25 Luật).

4.3. Hồ sơ đánh giá tác động xử lý dữ liệu

• Bên kiểm soát dữ liệu lập hồ sơ và gửi cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý (khoản 1 Điều 21 Luật).
• Mẫu báo cáo số 10 (Phụ lục Nghị định 356) yêu cầu kê khai từng nhóm chủ thể kèm số lượng, và quy trình xin đồng ý của từng nhóm. Người thân của người lao động nên được kê khai thành một nhóm riêng.
• Hồ sơ cập nhật định kỳ 06 tháng khi phát sinh mục đích xử lý mới hoặc thay đổi bên xử lý. Một số thay đổi phải cập nhật trong 10 ngày (Điều 20 Nghị định 356).

4.4. Nhân sự bảo vệ dữ liệu

Tổ chức phải chỉ định bộ phận, nhân sự đủ điều kiện, hoặc thuê dịch vụ bảo vệ dữ liệu (khoản 2 Điều 33 Luật). Nhân sự nội bộ cần đáp ứng ba điều kiện (khoản 2 Điều 13 Nghị định 356):

• trình độ cao đẳng trở lên;
• ít nhất 02 năm kinh nghiệm trong các lĩnh vực như pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự;
• đã được đào tạo về bảo vệ dữ liệu cá nhân.

Như vậy cán bộ nhân sự có thể được chỉ định, nếu đã qua đào tạo.

4.5. Kiểm soát nội bộ và thông báo vi phạm

• Chia sẻ dữ liệu giữa các phòng ban phải có quy trình kiểm soát, ngăn nhân sự nội bộ chia sẻ trái phép (khoản 4 Điều 7 Nghị định 356).
• Khi phát hiện vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể, phải thông báo cơ quan chuyên trách chậm nhất 72 giờ (khoản 1 Điều 23 Luật).

5. Doanh nghiệp nhỏ có được miễn? Dữ liệu đưa ra nước ngoài thì sao?

5.1. Miễn trừ cho doanh nghiệp nhỏ, siêu nhỏ

• Doanh nghiệp nhỏ, khởi nghiệp: được chọn thực hiện hoặc không thực hiện ba nghĩa vụ trong 05 năm kể từ 01/01/2026. Ba nghĩa vụ đó là: lập hồ sơ đánh giá tác động (Điều 21), cập nhật hồ sơ (Điều 22), chỉ định nhân sự bảo vệ dữ liệu (khoản 2 Điều 33) (khoản 2 Điều 38 Luật).
• Hộ kinh doanh, doanh nghiệp siêu nhỏ: không phải thực hiện ba nghĩa vụ trên (khoản 3 Điều 38 Luật).
• Trường hợp mất miễn trừ: doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu, trực tiếp xử lý dữ liệu nhạy cảm, hoặc xử lý dữ liệu của từ 100.000 chủ thể trở lên, tính cộng dồn (Điều 41 Nghị định 356).

Miễn trừ không bao gồm nghĩa vụ xin đồng ý, nghĩa vụ đáp ứng quyền của chủ thể, và nghĩa vụ về chuyển dữ liệu xuyên biên giới.

5.2. Chuyển dữ liệu xuyên biên giới

Đưa dữ liệu lên máy chủ hoặc dịch vụ đám mây ở nước ngoài, hoặc chuyển cho công ty mẹ ở nước ngoài, là chuyển dữ liệu xuyên biên giới (khoản 1 Điều 17 Nghị định 356). Doanh nghiệp phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày (khoản 2 Điều 20 Luật).

Có hai trường hợp không phải lập hồ sơ, liên quan đến nhân sự:

• lưu trữ dữ liệu của người lao động thuộc tổ chức trên dịch vụ điện toán đám mây (điểm b khoản 6 Điều 20 Luật);
• chuyển dữ liệu để quản lý nhân sự xuyên biên giới theo quy tắc, quy chế lao động và thỏa ước lao động tập thể (điểm d khoản 3 Điều 17 Nghị định 356).

6. Mức phạt nếu vi phạm

Mức phạt về bảo vệ dữ liệu cá nhân trong Nghị định 330/2026/NĐ-CP (hiệu lực từ 19/8/2026) được quy định cho tổ chức. Cá nhân cùng hành vi chịu một nửa (khoản 1 Điều 7 Nghị định 330). Thời hiệu xử phạt là 01 năm (Điều 3).

Mức trần (Điều 8 Luật; khoản 4 Điều 7 Nghị định 330):

• mua bán dữ liệu: 10 lần khoản thu có được;
• vi phạm về chuyển dữ liệu xuyên biên giới: 5% doanh thu năm trước liền kề;
• vi phạm khác: 3 tỷ đồng.

Các hành vi thường gặp khi xử lý dữ liệu người thân (mức áp dụng cho doanh nghiệp):

Ngoài phạt tiền, doanh nghiệp có thể bị buộc xóa, hủy dữ liệu đã thu thập không có đồng ý hợp lệ, đến mức không thể khôi phục (khoản 4 Điều 43).

7. Checklist cho doanh nghiệp

Doanh nghiệp có thể bắt đầu ngay với các việc sau:

• ☐ Liệt kê mọi trường thông tin người thân đang thu, theo từng mục đích; bỏ trường không cần thiết.
• ☐ Đánh dấu dữ liệu nhạy cảm (ảnh CCCD, giấy tờ sức khỏe); giới hạn quyền truy cập.
• ☐ Tách phiếu đồng ý theo từng mục đích; không đánh dấu sẵn; ghi rõ dữ liệu nào là nhạy cảm.
• ☐ Cho chính người thân đã thành niên ký hoặc xác nhận (giấy, email, tin nhắn, OTP) và lưu nhật ký đồng ý.
• ☐ Với con em: cha/mẹ ký; nếu đăng ảnh hoặc thông tin trẻ từ đủ 7 tuổi, trẻ cùng ký.
• ☐ Ký thỏa thuận chuyển giao với công ty bảo hiểm, bên làm lương, nhà cung cấp phần mềm nhân sự.
• ☐ Ban hành quy trình và biểu mẫu tiếp nhận yêu cầu xem, sửa, xóa, rút đồng ý; đặt mốc phản hồi 02 ngày làm việc.
• ☐ Chỉ định nhân sự bảo vệ dữ liệu bằng văn bản, hoặc thuê dịch vụ.
• ☐ Kê khai người thân là một nhóm chủ thể riêng trong hồ sơ đánh giá tác động.
• ☐ Lập lịch xóa dữ liệu khi người lao động nghỉ việc.

Doanh nghiệp của bạn đang ở đâu?

Nhiều điểm trong bài phụ thuộc vào cách doanh nghiệp đang vận hành: lưu CCCD hay không, dùng phần mềm nhân sự đặt ở đâu, phúc lợi có nằm trong quy chế không. FC Legal có thể rà soát hồ sơ dữ liệu nhân sự của doanh nghiệp, chỉ ra điểm chưa tuân thủ và đề xuất hướng xử lý phù hợp cho từng tình huống nêu trên.

Đăng ký rà soát dữ liệu nhân sự cùng FC Legal.

• Hotline: 0879 230 727
• Email: fclegal159@gmail.com

Bài viết mang tính thông tin chung, không thay thế ý kiến tư vấn cho trường hợp cụ thể. Cập nhật theo pháp luật hiện hành đến ngày 13/10/2026.