Một nhà thầu tại Hà Nội lưu toàn bộ CCCD, hình ảnh nhận dạng khuôn mặt và lịch sử lương của 340 công nhân trong file Excel chia sẻ qua Zalo nhóm công trường. Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP là khung pháp lý áp dụng — và cách làm đó đụng tới nhiều nghĩa vụ cùng lúc. Mức phạt tiền tối đa với tổ chức là 3 tỷ đồng (Luật 91/2025, Điều 8 khoản 5), chưa kể trách nhiệm hình sự nếu đủ yếu tố cấu thành và nghĩa vụ bồi thường thiệt hại.
🔍 Khung Pháp Lý Mới — Và Tại Sao Xây Dựng Phải Quan Tâm?
Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15, hiệu lực từ 01/01/2026) là luật riêng đầu tiên của Việt Nam về lĩnh vực này; Nghị định 356/2025/NĐ-CP (ký 31/12/2025, hiệu lực cùng ngày) quy định chi tiết: danh mục dữ liệu cơ bản và nhạy cảm, thời hạn đáp ứng quyền của chủ thể, cách xin đồng ý, nội dung thông báo sự cố, điều kiện nhân sự bảo vệ dữ liệu. Luật áp dụng cho mọi cơ quan, tổ chức, cá nhân Việt Nam (Điều 1) — gồm doanh nghiệp xây dựng, nhà thầu, tư vấn giám sát và chủ đầu tư.
Ngành xây dựng đặc biệt nhạy cảm vì bản chất hoạt động xoay quanh con người: hồ sơ lao động, điểm danh, thông tin tài khoản nhận lương, hình ảnh giám sát công trường, kết quả khám sức khỏe trong hồ sơ HSE, thông tin người đại diện ký hợp đồng.
📦 Dữ Liệu Cá Nhân Trong Công Trường — DN Xây Dựng Thu Thập Gì?
Trước khi bàn đến nghĩa vụ, PM và HR cần biết đơn vị mình đang nắm giữ những gì. Một dự án quy mô trung bình thường xử lý đồng thời nhiều nhóm dữ liệu dưới đây — và nhóm nào thuộc diện nhạy cảm thì chịu yêu cầu bảo vệ chặt hơn.
Dữ Liệu Công Nhân & Lao Động
- Số CCCD (cơ bản) · hình ảnh thẻ CCCD (nhạy cảm)
- Khuôn mặt, vân tay chấm công (sinh trắc — nhạy cảm)
- Thông tin tài khoản nhận lương, lịch sử giao dịch
- Địa chỉ thường trú / tạm trú (cơ bản)
- Kết quả khám sức khỏe định kỳ HSE (nhạy cảm)
Dữ Liệu Hợp Đồng & Đối Tác
- Thông tin cá nhân người đại diện ký hợp đồng
- CCCD người được ủy quyền
- Email, số điện thoại cá nhân
- Chữ ký điện tử cá nhân
- Lịch sử thanh toán cho cá nhân
Dữ Liệu Giám Sát & An Toàn
- Hình ảnh camera giám sát công trường
- Video tai nạn / sự cố HSE
- Vị trí phương tiện, thiết bị gắn với một cá nhân
- Nhật ký ra vào cổng theo từng người
Dữ Liệu Hệ Thống Số
- Số điện thoại đăng nhập chấm công (L0)
- Lịch sử đăng nhập phần mềm
- Tọa độ GPS khi chấm công trên app (vị trí — nhạy cảm)
- Mã thiết bị nhận thông báo
⚖️ 7 Nghĩa Vụ Cốt Lõi Theo Luật 91/2025 Và NĐ 356/2025
Luật phân vai: bên kiểm soát dữ liệu quyết định mục đích và phương tiện xử lý; bên xử lý xử lý theo yêu cầu của bên kiểm soát thông qua hợp đồng (Điều 2 khoản 7, 8). Với dữ liệu người lao động của chính mình, nhà thầu là bên kiểm soát. Đơn vị nhận dữ liệu theo hợp đồng — kế toán thuê ngoài, nhà cung cấp phần mềm, nhà thầu phụ thanh toán thay — là bên xử lý hoặc bên thứ ba.
Xin đồng ý đúng cách (Luật Điều 9 · NĐ 356 Điều 6)
Đồng ý chỉ có hiệu lực khi tự nguyện và người đó biết rõ loại dữ liệu, mục đích, ai kiểm soát, quyền và nghĩa vụ của mình. Đồng ý theo từng mục đích; không được ép đồng ý mục đích khác làm điều kiện; im lặng không phải là đồng ý. Cách xin phải kiểm chứng được và doanh nghiệp phải lưu — khi tranh chấp, trách nhiệm chứng minh thuộc về bên kiểm soát. Với dữ liệu nhạy cảm, phải báo rõ cho người đó biết đây là dữ liệu nhạy cảm. Một số trường hợp luật cho xử lý không cần đồng ý (Điều 19) nhưng bên xử lý phải chứng minh và thiết lập cơ chế giám sát.
Để người lao động biết rõ (Luật Điều 4 khoản 1 · Điều 25 khoản 3 · Điều 32)
Công nhân có quyền được biết về hoạt động xử lý dữ liệu của mình. Biện pháp công nghệ dùng để quản lý lao động (chấm công sinh trắc, camera, định vị) chỉ được áp dụng khi người lao động biết rõ biện pháp đó. Camera ghi hình ở khu vực công cộng phải có thông báo để người bị ghi hình biết (Điều 32 khoản 2).
Đúng phạm vi, đúng mục đích, lưu đúng thời gian (Luật Điều 3 khoản 2, 3)
Chỉ thu thập, xử lý đúng phạm vi và mục đích cụ thể, rõ ràng; lưu trong khoảng thời gian phù hợp mục đích. Lấy CCCD để ký hợp đồng lao động thì không dùng vào việc khác. Không thu dư "phòng khi cần".
Bảo vệ bằng biện pháp quản lý và kỹ thuật phù hợp (Luật Điều 37 khoản 1 điểm c)
Với dữ liệu nhạy cảm, phải có quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (NĐ 356 Điều 4 khoản 2). Với sinh trắc học: bảo mật vật lý thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi phát hiện xâm phạm (Luật Điều 31 khoản 4). File Excel chứa ảnh CCCD không mã hóa, chuyển tay qua Zalo, là điểm yếu trực diện.
Đáp ứng yêu cầu của chủ thể đúng hạn (NĐ 356 Điều 5)
Phải có quy trình, biểu mẫu để công nhân thực hiện quyền. Nhận yêu cầu hợp lệ thì phản hồi trong 02 ngày làm việc, rồi thực hiện trong: 10 ngày với yêu cầu xem/chỉnh sửa/cung cấp dữ liệu; 15 ngày với rút đồng ý, hạn chế hoặc phản đối xử lý; 20 ngày với yêu cầu xóa. Được gia hạn một lần, tối đa bằng thời hạn gốc, và phải báo lý do, tự chứng minh việc gia hạn là cần thiết.
Thông báo sự cố trong 72 giờ (Luật Điều 23 · NĐ 356 Điều 28, 29)
Phát hiện vi phạm có thể gây tổn hại đến tính mạng, sức khỏe, danh dự, tài sản của chủ thể (hoặc an ninh, trật tự xã hội) → thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện, đồng thời lập biên bản xác nhận vi phạm. Thông báo theo Mẫu số 08 của NĐ 356, gửi trực tiếp hoặc qua Cổng thông tin quốc gia. Riêng sự cố liên quan vị trí hoặc sinh trắc học: còn phải thông báo cho từng người bị ảnh hưởng trong 72 giờ và lưu hồ sơ sự cố tối thiểu 5 năm kể từ khi khắc phục xong (Điều 29).
Xóa, hủy dữ liệu khi hết mục đích (Luật Điều 14 · Điều 25 khoản 2)
Xóa khi đã hoàn thành mục đích xử lý, hết thời hạn lưu trữ theo luật, hoặc chủ thể yêu cầu hợp lệ. Dữ liệu người lao động phải xóa, hủy khi chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật khác quy định phải giữ. Xóa phải bằng biện pháp an toàn, ngăn khôi phục trái phép.
🆕 Hai Nghĩa Vụ Doanh Nghiệp Hay Bỏ Sót
Hồ sơ đánh giá tác động xử lý dữ liệu
Bên kiểm soát phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi 01 bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý; làm một lần cho suốt thời gian hoạt động, sau đó cập nhật khi nội dung thay đổi (Luật Điều 21, 22). Doanh nghiệp nhỏ và khởi nghiệp được lựa chọn thực hiện hoặc không trong 05 năm từ 01/01/2026; hộ kinh doanh và doanh nghiệp siêu nhỏ không phải thực hiện (Điều 38 khoản 2, 3). Ngoại lệ quan trọng với xây dựng: miễn trừ không áp dụng nếu doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm — ví dụ chấm công vân tay/khuôn mặt hay lưu kết quả khám sức khỏe — hoặc xử lý dữ liệu của số lượng lớn chủ thể (NĐ 356 Điều 41 đặt ngưỡng 100 nghìn chủ thể cho nhóm siêu nhỏ).
Nhân sự hoặc bộ phận bảo vệ dữ liệu
Tổ chức phải chỉ định bộ phận, nhân sự đủ điều kiện hoặc thuê đơn vị cung cấp dịch vụ bảo vệ dữ liệu (Luật Điều 33 khoản 2; nhóm nhỏ và siêu nhỏ có miễn trừ riêng theo Điều 38). Theo NĐ 356 Điều 13: chỉ định bằng văn bản; nhân sự phải có trình độ cao đẳng trở lên, tối thiểu 02 năm kinh nghiệm ở một trong các mảng pháp chế, công nghệ thông tin, an ninh mạng, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự…, và đã được đào tạo về bảo vệ dữ liệu cá nhân.
🚨 Ma Trận Rủi Ro — Thực Tế Tại Công Trường VN
Phần lớn doanh nghiệp xây dựng chưa có quy trình bảo vệ dữ liệu cá nhân chính thức. Bảng dưới liệt kê các vi phạm gặp nhiều nhất, mức độ rủi ro theo đánh giá của tác giả, và điều khoản bị đụng tới.
🏗️ 3 Tình Huống Thực Tế — Và Cách Xử Lý Đúng
Tình huống 1: Hệ thống chấm công vân tay / nhận diện khuôn mặt
Vân tay và khuôn mặt là dữ liệu sinh trắc học — nhóm nhạy cảm (NĐ 356 Điều 4 khoản 1 điểm đ). Doanh nghiệp cần: (1) xin đồng ý rõ ràng, kiểm chứng được, nói rõ đây là dữ liệu nhạy cảm, trước khi đăng ký vân tay/khuôn mặt; (2) bảo mật vật lý thiết bị lưu trữ, hạn chế người truy cập, có hệ thống theo dõi phát hiện xâm phạm (Luật Điều 31 khoản 4); (3) xóa khi công nhân chấm dứt hợp đồng, trừ khi có thỏa thuận hoặc luật khác (Điều 25 khoản 2 điểm c); (4) không chuyển cho bên thứ ba khi chưa có thỏa thuận; (5) nếu xử lý gây thiệt hại cho công nhân thì phải thông báo cho họ. Lưu ý thêm: định vị qua thẻ RFID hay công nghệ khác chỉ được áp dụng khi chủ thể đồng ý; ứng dụng di động phải thông báo việc dùng dữ liệu vị trí và cho người dùng tùy chọn theo dõi (Điều 31 khoản 3).
Tình huống 2: Nhà thầu phụ muốn copy danh sách lao động
Chuyển danh sách (tên, CCCD, lương, số tài khoản) cho nhà thầu phụ để phối hợp thanh toán là chuyển giao dữ liệu (Luật Điều 17). Hai bên phải xác lập thỏa thuận ghi rõ mục đích, đối tượng và loại dữ liệu, thời hạn xử lý và yêu cầu xóa sau khi xong việc, cơ sở pháp lý, trách nhiệm bảo vệ, trách nhiệm thực hiện quyền của chủ thể và phối hợp khi có vi phạm (NĐ 356 Điều 7 khoản 1). Bên nhận chỉ được tiếp nhận dữ liệu sau khi có hợp đồng xử lý (Luật Điều 37 khoản 2 điểm a). Nếu có dữ liệu nhạy cảm thì phải mã hóa, bảo mật vật lý thiết bị trong quá trình chuyển (NĐ 356 Điều 7 khoản 2). Gửi email không mã hóa là sai cả hai điểm.
Tình huống 3: Lưu trữ hồ sơ dự án sau hoàn công
Hồ sơ dự án — hợp đồng lao động, bảng lương, hồ sơ HSE — thường bị lưu "mãi mãi". Luật yêu cầu dữ liệu người lao động được lưu trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận (Điều 25 khoản 2 điểm b), và xóa khi hết mục đích hoặc hết hạn lưu trữ (Điều 14). Hãy lập bảng: loại hồ sơ nào bắt buộc lưu bao lâu theo luật chuyên ngành (lao động, kế toán, xây dựng) hoặc theo thỏa thuận; hết hạn ai chịu trách nhiệm xóa, xóa bằng cách nào. Dữ liệu sinh trắc không có lý do giữ sau khi công nhân nghỉ.
🛡️ Tiêu Chí Kỹ Thuật Cho Hệ Thống Lưu Trữ Dữ Liệu An Toàn
Luật không chỉ định một hệ thống cụ thể mà yêu cầu biện pháp quản lý và kỹ thuật phù hợp (Điều 37 khoản 1 điểm c). Đây là các tiêu chí tối thiểu nên đặt ra với phần mềm quản lý dự án có xử lý dữ liệu cá nhân:
| Tiêu Chí | Yêu Cầu Tối Thiểu | Căn Cứ / Rủi Ro Nếu Thiếu |
|---|---|---|
| Phân quyền truy cập | Theo vai trò — chỉ người có nhiệm vụ mới xem được dữ liệu cá nhân, nhất là dữ liệu nhạy cảm | NĐ 356 Đ.4 k.2 · Rò rỉ nội bộ |
| Mã hóa lưu trữ và truyền tải | Dữ liệu cá nhân trên đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền, kèm phân quyền truy cập nghiêm ngặt | NĐ 356 Đ.12 k.4 · Máy chủ bị xâm nhập là đọc được ngay |
| Hợp đồng với nhà cung cấp đám mây / phần mềm | Nêu rõ tuân thủ pháp luật Việt Nam, luồng xử lý dữ liệu, vai trò các bên, yêu cầu bảo mật, nghĩa vụ xóa theo thời hạn | NĐ 356 Đ.12 k.2 · Không có căn cứ buộc nhà cung cấp chịu trách nhiệm |
| Hệ thống theo dõi, ghi vết | Theo dõi phát hiện xâm phạm (bắt buộc với sinh trắc học); ghi lại ai truy cập, sửa, xóa dữ liệu | Luật Đ.31 k.4.a · Không truy vết được nguồn rò rỉ |
| Lưu trữ ngoài lãnh thổ Việt Nam | Đưa dữ liệu lên hệ thống đặt ở nước ngoài, hoặc dùng nền tảng nước ngoài để xử lý dữ liệu thu tại Việt Nam, là chuyển xuyên biên giới: phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách trong 60 ngày. Miễn trừ: doanh nghiệp lưu dữ liệu người lao động của chính mình trên đám mây | Luật Đ.20 k.1, 2, 6.b · Phạt đến 5% doanh thu nếu vi phạm (Đ.8 k.4) |
| Quản lý vòng đời | Nhắc xóa / xóa dữ liệu khi hết thời hạn lưu trữ, bằng cách ngăn khôi phục trái phép | Luật Đ.14 k.3 · Lưu quá hạn là xử lý trái nguyên tắc |
📋 Checklist Tuân Thủ Cho DN Xây Dựng
Checklist thực chiến để PM và HR bắt đầu rà soát ngay — không cần chờ tư vấn pháp lý để làm bước đầu:
Checklist Tuân Thủ Luật 91/2025 — Dự Án Xây Dựng
💻 GEM AI PM Pro Và Tuân Thủ Luật Bảo Vệ Dữ Liệu Cá Nhân
Phần mềm là công cụ hỗ trợ, không thay cho quyết định tuân thủ của doanh nghiệp. Những gì GEM AI PM Pro hiện làm được, theo đối chiếu với mã nguồn đến tháng 08–09/2026: toàn bộ bảng dữ liệu của hệ thống đều bật cơ chế Row Level Security — mỗi doanh nghiệp chỉ thấy dữ liệu của mình; tài khoản đối tác bên ngoài bị chặn mặc định ở tầng cơ sở dữ liệu chứ không chỉ ẩn trên giao diện; phân quyền theo vai trò và cấp thẩm quyền cho nhân sự nội bộ. Công nhân L0 đăng nhập chấm công bằng thiết bị đã đăng ký cùng số điện thoại, không cần email hay mật khẩu — giảm lượng dữ liệu phải thu. Chấm công có chế độ kiểm vị trí GPS với ba mức tắt, cảnh báo và chặn; mặc định đang tắt, doanh nghiệp bật thì cần xin đồng ý và thông báo cho công nhân theo Điều 31 Luật 91/2025.
📌 Tóm Tắt 30 Giây
Những Điều PM & HR Xây Dựng Cần Nhớ Về Luật Bảo Vệ Dữ Liệu Cá Nhân
🗂️ Log Audit Bài Viết
Bài này được rà soát định kỳ để bảo đảm mọi căn cứ pháp lý còn hiệu lực tại thời điểm anh đọc. Nội dung phía trên đã áp dụng văn bản đang hiệu lực; bảng dưới ghi lại những gì đã thay đổi so với bản đăng lần đầu, để người đọc biết chỗ nào từng khác và vì sao.
| Ngày | Cờ | Thay đổi | Lý do |
|---|---|---|---|
| 02/10/2026 | 🔄 Thay căn cứ | Toàn bộ căn cứ Nghị định 13/2023/NĐ-CP → Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 + Nghị định 356/2025/NĐ-CP. Tiêu đề, thẻ meta, mô tả, 7 nghĩa vụ, ma trận rủi ro, các tình huống và checklist viết lại theo điều khoản mới. Ánh xạ chính: đồng ý (Điều 9 Luật, Điều 6 NĐ 356) · thông báo sự cố (Điều 23 Luật, Điều 28–29 NĐ 356) · xóa dữ liệu (Điều 14 và 25 Luật) · sinh trắc và vị trí (Điều 31 Luật) · chuyển giao (Điều 17 Luật, Điều 7 NĐ 356) | NĐ 13/2023 hết hiệu lực từ 01/01/2026 theo NĐ 356/2025 Điều 42 khoản 2, khi Luật 91/2025 có hiệu lực. Cả bài dựng trên nghị định cũ nên phải viết lại, không chỉ đổi số hiệu. Điều khoản mới đọc trực tiếp từ bản văn bản trong kho nội bộ |
| 02/10/2026 | ❌ Sửa lỗi | Sửa các chỗ bản đầu ghi sai hoặc không có căn cứ: thời hạn "72 giờ (sự cố) hoặc 30 ngày (yêu cầu thông thường)" → nay là phản hồi 02 ngày làm việc và thực hiện 10/15/20 ngày tùy loại yêu cầu; "Cục An ninh mạng A05" → cơ quan chuyên trách thuộc Bộ Công an; bảng mức phạt từng hành vi (20–100 triệu đồng) bị gỡ; vai bên kiểm soát/bên xử lý trong dự án xây dựng viết lại; thông tin camera nơi công cộng đặt đúng điều khoản | Các mức phạt từng dòng không kèm điều khoản để đối chiếu và không khớp khung phạt của luật mới (tối đa 3 tỷ đồng theo Điều 8). Thời hạn đáp ứng quyền của chủ thể do NĐ 356 Điều 5 quy định cụ thể. Khung "chủ đầu tư là bên kiểm soát" không đúng với dữ liệu lao động — người sử dụng lao động mới là bên kiểm soát |
| 02/10/2026 | ❌ Sửa lỗi | Mục về GEM AI PM Pro: bỏ các câu "25 vai trò, cấp L1–L5" và "mọi thay đổi dữ liệu đều được ghi log" ; thêm khối nói rõ phần chưa làm được | Đối chiếu tài liệu đặc tả nội bộ cho thấy nhật ký ghi vết chưa phủ toàn bộ thao tác quản trị, nên câu cũ nói quá so với thực tế. Bài chỉ mô tả những gì đã xác nhận trong mã nguồn |
| 02/10/2026 | ➕ Bổ sung | Thêm mục hồ sơ đánh giá tác động (Điều 21, 22, 38 Luật; Điều 41 NĐ 356), nhân sự bảo vệ dữ liệu (Điều 33 Luật; Điều 13 NĐ 356), chuyển dữ liệu xuyên biên giới (Điều 20 Luật), điện toán đám mây (Điều 12 NĐ 356), dữ liệu vị trí (Điều 31 khoản 3 Luật) | Đây là các nghĩa vụ mới hoặc được quy định rõ hơn, ảnh hưởng trực tiếp tới doanh nghiệp xây dựng dùng chấm công sinh trắc, GPS và phần mềm đám mây |
| 02/10/2026 | ⚠️ Chưa xác minh | Mức phạt cụ thể từng hành vi theo Nghị định 330/2026/NĐ-CP chưa được nêu | Số hiệu nghị định này đã được xác minh trong bảng tra nội bộ nhưng kho chưa có toàn văn để đối chiếu từng khoản. Bài chỉ nêu khung tối đa theo Luật 91/2025 Điều 8, vốn đã đọc trực tiếp từ văn bản |
| 02/10/2026 | ⚠️ Lưu ý chuyển tiếp | Thêm khối ngắn ở đầu bài về đồng ý và hồ sơ đánh giá tác động đã có trước 01/01/2026 | Luật 91/2025 Điều 39 khoản 1, 2 cho phép tiếp tục sử dụng, không phải xin đồng ý hay lập hồ sơ lại. Doanh nghiệp đã làm theo NĐ 13/2023 cần biết mình không phải làm lại từ đầu |
| 24/04/2026 | 📄 Xuất bản | Bản đăng đầu tiên, căn cứ NĐ 13/2023/NĐ-CP | — |
nd13-2023-bao-ve-dlcn-xay-dung dù nội dung đã chuyển sang Luật 91/2025 và NĐ 356/2025. Đổi đường dẫn sẽ làm hỏng mọi liên kết đã chia sẻ và mất kết quả tìm kiếm đang có. Người tìm theo số hiệu cũ vẫn vào được đây và đọc ngay văn bản đang thay thế.
Rà soát hiệu lực gần nhất: 02/10/2026 — xem mục Log Audit phía trên. Văn bản pháp luật có thể thay đổi; vui lòng đối chiếu văn bản gốc trước khi áp dụng vào hồ sơ.
Quản Lý Dữ Liệu Dự Án Đúng Chuẩn Từ Ngày Đầu
GEM AI PM Pro cô lập dữ liệu theo từng doanh nghiệp bằng RLS và phân quyền theo vai trò — một nền móng kỹ thuật để doanh nghiệp xây dựng tuân thủ luật bảo vệ dữ liệu cá nhân.
Dùng Thử 30 Ngày Miễn Phí →