Nghị định 13/2023/NĐ-CP (“Nghị định 13”) ra đời trong bối cảnh nền kinh tế của Việt Nam đang bước vào giai đoạn số hóa và vấn về bảo vệ dữ liệu cá nhân đang được rất nhiều bên liên quan lưu tâm đến. Trong nhiều bài viết trước đây, chúng tôi cũng đã đề cập một cách chung nhất về những tác động của Nghị định 13 đến hoạt động của doanh nghiệp, đồng thời liệt kê một số khó khăn, thách thức của doanh nghiệp trong việc tuân thủ Nghị định này.
Trong bài viết này, chúng tôi một lần nữa đề cập đến Nghị định 13 nhưng ở một khía cạnh hẹp hơn, liên quan đến vấn đề giao kết và thực hiện hợp đồng lao động trong bối cảnh Nghị định 13 đang có hiệu lực áp dụng.
Sự cần thiết phải tuân thủ quy định về bảo vệ dữ liệu cá nhân trong lĩnh vực lao động
Có thể nói, dù hoạt động trong bất kỳ lĩnh vực nào, các vấn đề về lao động vẫn là mối quan tâm hàng đầu của nhiều doanh nghiệp, đặc biệt trong bối cảnh những quy định liên quan đến bảo vệ dữ liệu cá nhân đang tác động trực tiếp tới hoạt động của doanh nghiệp như hiện nay.
Lao động có thể được xem là một trong những khía cạnh mà ở đó doanh nghiệp có rất nhiều hoạt động liên quan đến dữ liệu cá nhân, bao gồm việc thu thập, xử lý dữ liệu cá nhân của người lao động, chuyển dữ liệu cá nhân của người lao động ra nước ngoài.
Hiện nay, Bộ luật Lao động yêu cầu người lao động phải cung cấp thông tin trung thực cho doanh nghiệp về họ tên, ngày tháng năm sinh, giới tính, nơi cư trú, trình độ học vấn, trình độ kỹ năng nghề, xác nhận tình trạng sức khỏe và vấn đề khác liên quan trực tiếp đến việc giao kết hợp đồng lao động mà doanh nghiệp yêu cầu. Việc để ngỏ những vấn đề khác liên quan trực tiếp đến việc giao kết hợp đồng lao động dẫn đến trường hợp nhiều doanh nghiệp yêu cầu người lao động cung cấp nhiều thông tin, dữ liệu cá nhân nhạy cảm, phần nào đó không liên quan đến công việc của người lao động. Ngoài ra, việc quản lý và bảo vệ dữ liệu cá nhân của người lao động cũng chưa thật sự được chú ý, trong bối cảnh doanh nghiệp có thể phát sinh các hoạt động cung cấp dữ liệu của người lao động cho bên thứ ba, đơn cử như công ty chuyên cung cấp các dịch vụ về nhân sự, cơ quan thuế, cơ quan bảo hiểm hay chuyển dữ liệu cá nhân của người lao động ra nước ngoài đối với các doanh nghiệp đa quốc gia.
Với một quốc gia có tốc độ phát triển nhanh, đặc biệt là trong lĩnh vực kinh tế số như Việt Nam, việc trục lợi từ các hành vi mua bán, sao chép dữ liệu cá nhân của người lao động là một vấn đề khá nhức nhối và đòi hỏi phải có sự quản lý chặt chẽ từ cơ quan có thẩm quyền. Vì lẽ đó, Nghị định 13 ra đời cũng nhằm phục vụ mục đích này.
Ảnh hưởng của Nghị định 13/2023/NĐ-CP tới việc thực hiện hợp đồng lao động
Như đã đề cập ở trên, Khoản 2 Điều 16 Bộ luật Lao động 2019 quy định người lao động phải cung cấp thông tin trung thực cho doanh nghiệp về họ tên, ngày tháng năm sinh, giới tính, nơi cư trú, trình độ học vấn, trình độ kỹ năng nghề, xác nhận tình trạng sức khỏe và vấn đề khác liên quan trực tiếp đến việc giao kết hợp đồng lao động mà doanh nghiệp yêu cầu. Như vậy đây có thể được xem là một nghĩa vụ của người lao động trong việc cung cấp thông tin phục vụ việc giao kết hợp đồng lao động. Tuy nhiên, trong phạm vi của điều luật này, chúng ta không rõ liệu rằng người lao động chỉ có nghĩa vụ cung cấp thông tin cho doanh nghiệp và doanh nghiệp chỉ sử dụng thông tin này để giao kết hợp đồng lao động hay được phép sử dụng thông tin mà người lao động cung cấp để cung cấp cho các bên thứ ba khác, phục vụ cho việc thực hiện hợp đồng lao động, quản lý người lao động. Một cách an toàn nhất, có lẽ quy định này chỉ nên được hiểu trong mối quan hệ giữa người lao động và doanh nghiệp, khi đó, người lao động sẽ phải cung cấp thông tin cho doanh nghiệp để giao kết hợp đồng lao động mà không bao gồm việc doanh nghiệp được sử dụng thông tin này để cung cấp cho bên thứ ba khác. Sở dĩ phải xác định rõ ràng như vậy, bởi Nghị định 13 có quy định về các trường hợp xử lý dữ liệu cá nhân trong mà không cần sự đồng ý của chủ thể dữ liệu, bao gồm trường hợp công khai dữ liệu cá nhân theo quy định của luật. Nếu đối chiếu với quy định đã nêu, có thể thấy, việc người lao động cung cấp thông tin cho doanh nghiệp có thể sẽ không được xem là công khai dữ liệu cá nhân. Do đó, gần như bất kỳ một hoạt động nào của doanh nghiệp liên quan đến dữ liệu cá nhân của người lao động, bao gồm thu tập, lưu trữ, phân tích, chuyển cho bên thứ ba, chuyển dữ liệu ra nước ngoài đều phải được sự đồng ý của người lao động. Điều này rõ ràng là một sự tác động lớn đến hoạt động của doanh nghiệp bởi lẽ từ trước đến nay, việc người lao động cung cấp thông tin cho doanh nghiệp gần như là một việc hiển nhiên. Đồng thời, việc doanh nghiệp xử lý dữ liệu cá nhân của người lao động như thế nào cũng là chuyện riêng của doanh nghiệp, người lao động dường như không biết và rất khó để kiểm soát được việc này. Tuy nhiên, với những quy định hiện nay tại Nghị định 13, doanh nghiệp gần như phải thu thập sự đồng ý của người lao động đối với mọi hoạt động xử lý dữ liệu cá nhân cũng như phải thông báo cho người lao động khi tiến hành xử lý dữ liệu cá nhân.
.png)
Điều đáng chú ý là việc thu thập sự đồng ý của người lao động phải được thể hiện bằng các hình thức có thể được in, sao chép bằng văn bản, hoặc định dạng có thể kiểm chứng được và một số hình thức mà Nghị định 13/2023/NĐ-CP có quy định là: bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này. Một cách đơn giản nhất, doanh nghiệp thường thể hiện sự đồng ý của người lao động bằng cách lấy ý kiến trực tiếp của người lao động vào hợp đồng lao động. Như vậy, có thể thấy doanh nghiệp đã phải có sự điều chỉnh đối với các mẫu hợp đồng lao động của mình.
Chưa kể, trong quá trình thực hiện hợp đồng lao động, nếu phát sinh việc xử lý dữ liệu cá nhân mà chưa thông báo tại thời điểm ký kết hợp đồng lao động, doanh nghiệp phải thông báo cho người lao động và thông báo này phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Ngoài ra, còn rất nhiều nghĩa vụ khác của doanh nghiệp trong thời gian thực hiện hợp đồng, bao gồm việc cung cấp dữ liệu cá nhân, chỉnh sửa dữ liệu cá nhân, rút lại sự đồng ý, hủy, xóa dữ liệu cá nhân,… mà một trong số đó, đáng lưu ý là việc người lao động rút lại sự đồng ý và yêu cầu doanh nghiệp xóa dữ liệu cá nhân.
Việc người lao động rút lại sự đồng ý, yêu cầu doanh nghiệp hủy, xóa dữ liệu cá nhân có thể nói là vẫn còn khá mơ hồ về mặt quy định pháp luật và thực tế áp dụng. Bởi lẽ, theo quy định tại Nghị định 13, chủ thể dữ liệu có quyền rút lại sự đồng ý đồng thời yêu cầu bên kiểm soát, bên kiểm soát và xử ý dữ liệu xóa dữ liệu cá nhân. Nếu theo quy định này, thì người lao động khi chấm dứt hợp đồng lao động có quyền không đồng ý để doanh nghiệp tiếp tục lưu trữ, xử lý dữ liệu cá nhân của mình và có quyền yêu cầu doanh nghiệp xóa dữ liệu cá nhân củ mình. Tuy nhiên, việc lưu trữ dữ liệu của doanh nghiệp trên thực tế không chỉ trong thời hạn hợp đồng lao động mà còn cả khi hợp đồng lao động đã kết thúc, đơn cử cho mục đích giải quyết tranh chấp với người lao động (nếu có). Do đó, nếu cho phép người lao động có quyền yêu cầu doanh nghiệp xóa dữ liệu cá nhân sau khi kết thúc hợp đồng lao động sẽ gây bất lợi cực kỳ lớn cho doanh nghiệp. Hiện nay, quy định này vẫn chưa được giải thích một cách rõ ràng, do đó, đây có thể sẽ là một trong những vướng mắc của doanh nghiệp khi thực hiện Nghị định 13.
Một số giải pháp dành cho doanh nghiệp
Đầu tiên, doanh nghiệp cần chú ý đến việc thu thập ý kiến của người lao động về việc đồng ý cung cấp dữ liệu cá nhân cho doanh nghiệp để phục vụ cho mục đích giao kết, thực hiện hợp đồng. Doanh nghiệp cần nhấn mạnh việc thực hiện hợp đồng bao gồm cả mục đích giải quyết tranh chấp phát sinh từ hợp đồng lao động. Đồng thời, doanh nghiệp cần liệt kê những hoạt động xử lý dữ liệu cá nhân mà doanh nghiệp thực hiện đối với dữ liệu cá nhân của người lao động, có thể bao gồm: lưu trữ, phân tích, đánh giá, chuyển cho đơn vị cung cấp dịch vụ quản lý nhân sự, chuyển cho đơn vị tổ chức sự kiện của doanh nghiệp,… Việc liệt kê càng chi tiết tại thời điểm giao kết hợp đồng lao động sẽ giúp doanh nghiệp không phải thực hiện lại hoạt động này khi phát sinh các hoạt đông xử lý dữ liệu cá nhân mới.
Ngoài ra, liên quan đến hình thức thu thập sự đồng ý của người lao động, doanh nghiệp có thể đưa nội dung này vào phụ lục đính kèm hợp đồng lao động hoặc tách thành một thỏa thuận riêng với người lao động để dễ dàng điều chỉnh trên thực tế.
.png)
Tiếp theo, liên quan đến việc rút lại sự đồng ý và yêu cầu xóa dữ liệu của người lao động, mặc dù hiện tại quy định này vẫn còn khá mơ hồ để có thể áp dụng trên thực tế, doanh nghiệp vẫn cần lưu ý một số vấn đề nhất định liên quan đến nghĩa vụ này. Để có thể tiếp tục lưu trữ dữ liệu cá nhân của người lao động sau khi hợp đồng lao động đã chấm dứt, ngoài việc nêu rõ mục đích của việc thu thập dữ liệu bao gồm cả mục đích giải quyết tranh chấp lao động như đã nêu, doanh nghiệp cần tách bạch hiệu lực của việc chấp thuận của người lao động đối với hoạt động xử lý dữ liệu của doanh nghiệp với hiệu lực của hợp đồng lao động. Nói cách khác, doanh nghiệp nên kéo dài thời hạn của việc lưu trữ dữ liệu thêm khoảng 1 – 2 năm kể từ thời điểm chấm dứt hợp đồng lao động để dự liệu cho các tranh chấp phát sinh trong khoảng thời gian này. Hoặc đơn giản hơn, chúng tôi cho rằng doanh nghiệp có thể chuẩn bị một văn bản chấp thuận của người lao động tách bạch so với hợp đồng lao động, để bảo đảm sự đồng ý của người lao động là độc lập với hợp đồng lao động và không kết thúc hiệu lực khi hợp đồng lao động chấm dứt.
Có thể nói, lao động là một trong những khía cạnh bị ảnh hưởng nhiều nhất bởi các quy định của Nghị định 13. Tuy nhiên, với những quy định chưa thật sự rõ ràng, đồng thời cũng chưa có bất kỳ văn bản chính thức nào hướng dẫn việc áp dụng các quy định tại Nghị định 13, khó khăn và áp lực dành cho các doanh nghiệp trong việc tuân thủ Nghị định này là rất lớn. Mặc dù vậy, trong bối cảnh Nghị định về xử phạt vi phạm hành chính trong lĩnh vực an minh mạng đang dần hoàn thiện, trong đó đề cập đến việc xử phạt về bảo vệ dữ liệu cá nhân, doanh nghiệp vẫn cần phải rà soát các hoạt động của mình ở khía cạnh lao động để kịp thời điều chỉnh theo quy định pháp luật, tránh rủi ro từ việc bị xử phạt vi phạm hành chính.
