Tuân thủ Luật Bảo vệ dữ liệu cá nhân khi đào tạo nhân viên trực tuyến
Mục lục (9 phần)
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026. Khi doanh nghiệp đào tạo nhân viên trực tuyến, rất nhiều dữ liệu cá nhân được tạo ra: họ tên, email, phòng ban, tiến độ học, điểm bài kiểm, ngày hoàn thành, chứng nhận. Bài viết này tóm tắt những quy định liên quan và đưa ra danh sách việc cần làm. Đây là thông tin tham khảo, không thay cho tư vấn pháp lý cho trường hợp cụ thể của doanh nghiệp bạn.
Văn bản nào đang áp dụng?
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026.
- Nghị định 356/2025/NĐ-CPquy định chi tiết và hướng dẫn thi hành Luật, hiệu lực từ 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP.
- Nghị định 330/2026/NĐ-CPquy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Khi trích dẫn trong quy chế nội bộ, hãy đối chiếu toàn văn trên Cổng thông tin điện tử Chính phủ hoặc Cơ sở dữ liệu quốc gia về văn bản pháp luật.
Dữ liệu đào tạo của nhân viên có phải dữ liệu cá nhân?
Có. Bất kỳ thông tin nào gắn với một người cụ thể, hoặc giúp xác định được một người, đều là dữ liệu cá nhân. Tiến độ học và kết quả bài kiểm của một nhân viên có tên, có email là dữ liệu cá nhân của người đó.
Điều 25: dữ liệu cá nhân trong quản lý, sử dụng người lao động
Luật có một điều riêng (Điều 25) về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng người lao động. Với hoạt động đào tạo, ba điểm sau đáng chú ý:
- Việc xử lý dữ liệu cá nhân của người lao động phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân, lao động, việc làm và quy định liên quan.
- Dữ liệu được lưu trong thời hạn theo quy định pháp luật hoặc theo thoả thuận. Khi chấm dứt hợp đồng lao động, doanh nghiệp phải xoá, huỷ dữ liệu cá nhân của người lao động, trừ trường hợp có thoả thuận hoặc pháp luật có quy định khác.
- Khi dùng biện pháp công nghệ để quản lý người lao động, biện pháp đó phải phù hợp pháp luật và người lao động phải được biết.
Sự đồng ý: những điều Luật yêu cầu
Điều 9 của Luật quy định về sự đồng ý của chủ thể dữ liệu. Một số điểm áp dụng trực tiếp khi đưa nhân viên lên nền tảng học bên ngoài:
- Sự đồng ý chỉ có hiệu lực khi được đưa ra tự nguyện và người đồng ý biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát hoặc bên xử lý dữ liệu, và quyền, nghĩa vụ của mình.
- Đồng ý phải thể hiện bằng phương thức rõ ràng, cụ thể, có thể in hoặc sao chép thành văn bản, kể cả dạng điện tử kiểm chứng được.
- Đồng ý phải được thể hiện riêng cho từng mục đích, và không được buộc phải đồng ý với mục đích khác.
- Im lặng hoặc không phản hồi không được coi là đồng ý. Ô đồng ý đánh dấu sẵn vì vậy không phải là cách làm an toàn.
Người đã đồng ý có quyền yêu cầu rút lại sự đồng ý (Điều 10). Quy trình đào tạo nên tính trước trường hợp này.
Áp dụng vào chương trình đào tạo trực tuyến
1. Chỉ lấy dữ liệu cần cho đào tạo
Để giao khoá và theo dõi tiến độ, thường chỉ cần họ tên, email công việc và phòng ban. Không đưa số căn cước, ngày sinh, địa chỉ nhà lên nền tảng học nếu không cần.
2. Thông báo rõ ai thấy gì
Trước khi nhân viên kích hoạt khoá học do công ty cấp, họ nên thấy rõ tổ chức nào cấp và tổ chức đó sẽ xem được những gì (ví dụ: họ tên, email, tiến độ và kết quả của khoá do công ty cấp), rồi tự bấm đồng ý. Lưu lại thời điểm và nội dung câu đồng ý làm bằng chứng.
3. Tách khoá công ty cấp và khoá tự học
Nếu nhân viên tự mua khoá khác trên cùng nền tảng, dữ liệu học của khoá đó là việc riêng của họ. Nền tảng nên đảm bảo doanh nghiệp chỉ thấy khoá do chính doanh nghiệp cấp.
4. Phân quyền theo nhu cầu
Trưởng phòng chỉ cần thấy nhân viên phòng mình. Phân quyền theo phòng ban và ghi nhật ký mỗi lần xuất dữ liệu (CSV, PDF) giúp chứng minh dữ liệu được dùng đúng mục đích.
5. Quy định thời hạn lưu và xoá
Ghi rõ trong quy chế nội bộ: báo cáo đào tạo lưu bao lâu, ai giữ, và xử lý thế nào khi nhân viên nghỉ việc, phù hợp với Điều 25 và các quy định về hồ sơ lao động mà doanh nghiệp phải tuân thủ.
6. Đào tạo chính nhân viên về dữ liệu cá nhân
Tuân thủ không chỉ là việc của bộ phận pháp chế. Nhân viên kinh doanh, chăm sóc khách hàng, nhân sự hằng ngày xử lý dữ liệu của người khác. Khoá Bảo vệ dữ liệu cá nhân cho người lao động trên Vietdemy đi qua các tình huống thường gặp theo Luật 91/2025/QH15; khoá An toàn thông tin cho nhân viên bổ sung phần lừa đảo và mật khẩu.
Mức phạt theo Luật
Điều 8 của Luật quy định mức phạt tiền tối đa đối với tổ chức: gấp 10 lần khoản thu có được từ hành vi mua bán dữ liệu cá nhân; 5% doanh thu năm liền trước với vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới; và 3 tỷ đồng với các hành vi vi phạm khác. Cá nhân vi phạm chịu mức phạt tối đa bằng một nửa mức của tổ chức. Mức phạt cụ thể cho từng hành vi được quy định tại nghị định xử phạt.
Danh sách kiểm nhanh
- Đã xác định dữ liệu tối thiểu cần cho đào tạo.
- Nhân viên thấy rõ phạm vi dữ liệu và tự bấm đồng ý, không có ô đánh dấu sẵn.
- Đồng ý được lưu kèm thời điểm và nội dung câu đồng ý.
- Doanh nghiệp chỉ thấy khoá do doanh nghiệp cấp.
- Phân quyền theo phòng ban, có nhật ký xuất dữ liệu.
- Có quy định thời hạn lưu và xoá khi nghỉ việc.
- Đã có hợp đồng hoặc điều khoản xử lý dữ liệu với nền tảng đào tạo.
Cổng doanh nghiệp Vietdemy
Vietdemy có cổng đào tạo cho doanh nghiệp: mua khoá theo số người, mời nhân viên bằng CSV hoặc link, nhắc học, báo cáo hoàn thành CSV/PDF, chứng nhận mang logo công ty và đăng nhập SSO. Bạn có thể yêu cầu demo để xem cổng chạy thật với dữ liệu mẫu.
Câu hỏi thường gặp
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?
Luật số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026.
Doanh nghiệp có được xem điểm bài kiểm của nhân viên không?
Được, nếu việc này phục vụ mục đích đào tạo đã thông báo và có căn cứ hợp pháp, thường là sự đồng ý của nhân viên khi nhận khoá học. Hãy giới hạn người xem theo nhu cầu, ví dụ quản lý trực tiếp và bộ phận nhân sự.
Nhân viên không đồng ý chia sẻ tiến độ thì sao?
Sự đồng ý phải tự nguyện. Nếu nhân viên không đồng ý, doanh nghiệp cần một phương án khác phù hợp quy chế nội bộ và pháp luật lao động, ví dụ hình thức đào tạo khác, thay vì kích hoạt khoá khi chưa có đồng ý.
Khi nhân viên nghỉ việc, có phải xoá ngay dữ liệu đào tạo?
Theo Điều 25, khi chấm dứt hợp đồng lao động, doanh nghiệp phải xoá, huỷ dữ liệu cá nhân của người lao động, trừ trường hợp có thoả thuận hoặc pháp luật có quy định khác. Hãy xác định trước trong quy chế những hồ sơ nào doanh nghiệp có nghĩa vụ lưu theo luật khác.
Bài viết cập nhật tháng 10/2026, mang tính tham khảo. Nguồn: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 8, 9, 10, 25); Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP.
