Áp dụng các biện pháp kỹ thuật là yêu cầu bắt buộc để doanh nghiệp bảo vệ dữ liệu nhạy cảm của nhân viên. Ảnh minh họa: Sabrina Hashim & Co.

Bài học từ kinh nghiệm quốc tế: Cân bằng lợi ích và quyền riêng tư

Trong bối cảnh chuyển đổi số mạnh mẽ, việc bảo vệ dữ liệu cá nhân của người lao động không chỉ là nghĩa vụ pháp lý mà còn là nền tảng xây dựng lòng tin tại nơi làm việc.

Khi Việt Nam đang siết chặt hành lang pháp lý, việc học hỏi từ kinh nghiệm quốc tế là bước đi khôn ngoan giúp doanh nghiệp vừa phát triển bền vững, vừa bảo vệ quyền lợi chính đáng cho người lao động.

Quy định chung về Bảo vệ dữ liệu (GDPR) của châu Âu cho thấy, việc dựa hoàn toàn vào “sự đồng ý” là chưa đủ, bởi người lao động có thể cảm thấy áp lực phải đồng ý với mọi yêu cầu của công ty. Vì vậy, sự đồng ý này không được coi là hoàn toàn tự nguyện và công bằng.

Thay vào đó, doanh nghiệp chỉ nên xử lý dữ liệu nhân viên khi có lý do thực sự chính đáng như để thực hiện hợp đồng lao động (ví dụ: xử lý thông tin tài khoản để trả lương) hoặc vì lợi ích hợp pháp của công ty (ví dụ theo dõi hiệu suất để đánh giá). Chính từ những nguyên tắc này, GDPR đã trao cho người lao động những quyền cụ thể để bảo vệ chính mình, bao gồm quyền được biết, quyền sửa chữa và “quyền được lãng quên”. Người sử dụng lao động có nghĩa vụ phải tạo điều kiện cho nhân viên thực thi các quyền này một cách nhanh chóng, thường là trong vòng một tháng.

Tựu trung lại, GDPR đòi hỏi một sự cân bằng tinh tế: doanh nghiệp có thể xử lý dữ liệu vì lợi ích chính đáng, nhưng không bao giờ được xâm phạm đến quyền riêng tư và các quyền cơ bản mà pháp luật đã trao cho người lao động.

Các biện pháp cốt lõi doanh nghiệp quốc tế đang áp dụng

Để hiện thực hóa các nguyên tắc trên, các tổ chức quốc tế đã áp dụng nhiều biện pháp bảo vệ dữ liệu của người lao động hiệu quả, từ khi tuyển dụng đến khi chấm dứt hợp đồng.

Bảo vệ dữ liệu không phải là trách nhiệm của riêng ai, mà là một phần văn hóa chung cần được lan tỏa trong toàn bộ tổ chức. Ảnh minh họa: CPO Magazine.

Một trong những công cụ quan trọng là Đánh giá tác động bảo vệ dữ liệu (DPIA), quy trình bắt buộc khi xử lý dữ liệu có rủi ro cao như theo dõi nhân viên trên quy mô lớn. Vai trò của Chuyên viên bảo vệ dữ liệu (DPO) cũng được đề cao, là người chịu trách nhiệm giám sát tuân thủ và làm đầu mối với cơ quan quản lý.

Ngoài ra, nền tảng vững chắc nhất chính là việc xây dựng các chính sách bảo vệ dữ liệu mạnh mẽ. Các chính sách này phải bao gồm quy trình quản lý hồ sơ, giao thức xóa dữ liệu an toàn, và các biện pháp kiểm soát truy cập như mã hóa, xác thực đa yếu tố. Việc đào tạo nhân viên thường xuyên về các mối đe dọa như lừa đảo (phishing) được xem là tuyến phòng thủ đầu tiên và quan trọng nhất.

Vậy, từ những kinh nghiệm quý báu đó, doanh nghiệp tại Việt Nam cần bắt đầu từ đâu và hành động như thế nào để vừa tuân thủ pháp luật, vừa đảm bảo an toàn?

Lộ trình 4 bước cho doanh nghiệp Việt Nam

Trong bối cảnh Nghị định 13/2023/NĐ-CP đã có hiệu lực, doanh nghiệp Việt Nam không thể chờ đợi. Việc chủ động áp dụng các thông lệ tốt nhất ngay từ bây giờ là bước đi khôn ngoan để bảo vệ cả người lao động và chính mình.

Minh bạch hóa chính sách - nền tảng của lòng tin: Doanh nghiệp nên xây dựng và truyền thông rõ ràng về quyền riêng tư của nhân viên. Thông báo này cần giải thích dễ hiểu những dữ liệu nào được thu thập, mục đích, cách thức sử dụng, thời gian lưu trữ và các bên được chia sẻ. Sự minh bạch sẽ xây dựng một văn hóa làm việc tích cực, nơi người lao động cảm thấy được tôn trọng.

Cần có sự cân bằng hợp lý giữa lợi ích giám sát của doanh nghiệp và quyền riêng tư của người lao động. Ảnh minh họa: Information-age.

Tuân thủ nguyên tắc “tối thiểu hóa dữ liệu”: Chỉ thu thập những thông tin thực sự cần thiết cho công việc. Trong tuyển dụng, tránh yêu cầu thông tin không liên quan. Đồng thời, thiết lập chính sách lưu trữ rõ ràng, xác định thời gian giữ lại hồ sơ của ứng viên không trúng tuyển hoặc nhân viên đã nghỉ việc, sau đó phải xóa hoặc hủy dữ liệu một cách an toàn.

Xây dựng “pháo đài” kỹ thuật và quy trình bảo mật: Bảo vệ dữ liệu là câu chuyện của công nghệ. Doanh nghiệp cần đầu tư vào các giải pháp như mã hóa dữ liệu, kiểm soát truy cập theo vai trò để đảm bảo chỉ người có phận sự mới được tiếp cận thông tin nhạy cảm. Thường xuyên cập nhật phần mềm và có kế hoạch ứng phó sự cố rò rỉ dữ liệu là yêu cầu bắt buộc.

Thận trọng và minh bạch khi giám sát: Việc giám sát nhân viên, dù qua camera hay phần mềm, là vấn đề cực kỳ nhạy cảm. Nếu cần thiết, việc giám sát phải được thực hiện tương xứng và minh bạch. Doanh nghiệp phải thông báo rõ ràng cho người lao động về việc họ đang bị giám sát, phạm vi và mục đích. Việc giám sát bí mật chỉ nên được xem xét trong những trường hợp cực kỳ nghiêm trọng và phải tuân thủ chặt chẽ pháp luật.

Đầu tư vào việc bảo vệ dữ liệu người lao động chính là khoản đầu tư chiến lược cho tương lai của doanh nghiệp. Một tổ chức chủ động không chỉ xây dựng được lá chắn vững chắc trước các rủi ro pháp lý mà còn tạo ra một nền tảng văn hóa tin cậy - yếu tố then chốt để thu hút nhân tài và củng cố một thương hiệu tuyển dụng bền vững.