Vụ việc vi phạm Quy định Bảo vệ Dữ liệu Chung (General Data Protection Regulations - GDPR) tại Trung tâm Dịch vụ H&M ở Nuremberg, Đức là một “case study” pháp lý quan trọng về quyền riêng tư của người lao động tại doanh nghiệp. Có lẽ đây sẽ là vấn đề gây nên những tranh cãi và thậm chí là những tranh chấp thường xuyên trong thời gian tới tại Việt Nam, khi Luật Bảo vệ dữ liệu cá nhân 2025 sẽ có hiệu lực từ ngày 01/01/2026.
1. Bối cảnh vụ việc
Sự việc xoay quanh hành vi giám sát nhân viên bất hợp pháp kéo dài ít nhất 5 năm (từ 2014 đến 2019) của H&M Nuremberg. Ban quản lý Trung tâm đã thu thập và lưu trữ các bản ghi âm giọng nói cùng các ghi chú tỉ mỉ về đời sống riêng tư và thông tin sức khỏe nhạy cảm của vài trăm nhân viên thông qua các cuộc họp nội bộ.
Ngày 01/10/2020, Ủy viên Hamburg về Bảo vệ Dữ liệu và Tự do Thông tin (HmbBfDI) đã ban hành mức phạt €35 triệu Euro đối với H&M Hennes & Mauritz Online Shop A.B. & Co. KG, một công ty con của tập đoàn bán lẻ thời trang nhanh Thụy Điển H&M (“gọi chung là H&M”), hoạt động tại Đức và có doanh thu khoảng 3 tỷ Euro tại quốc gia này trong năm trước đó. Quyết định căn cứ vào việc vi phạm các Điều 5 và 6 của GDPR, coi đây là hành vi xử lý dữ liệu trái pháp luật và là sự xâm phạm nghiêm trọng các quyền dân sự của nhân viên. Tại thời điểm đó, đây là mức phạt lớn thứ hai được áp dụng ở Châu Âu.
Trong vụ việc này, H&M được xác định nắm giữ cả hai vai trò là Người kiểm soát dữ liệu Người xử lý dữ liệu của nhân viên (chủ thể dữ liệu). Việc nắm giữ vai trò kép này thể hiện trách nhiệm pháp lý toàn diện và không thể chối bỏ của công ty. Khi một công ty là cả người kiểm soát (xác định mục đích thu thập) và người xử lý (quyết định cách thức lưu trữ và bảo vệ), mọi vi phạm liên quan đến tính hợp pháp của việc xử lý dữ liệu là yếu tố cốt lõi của vi phạm sẽ trực tiếp đặt gánh nặng chứng minh tuân thủ lên vai công ty.
2. Khung pháp lý của Châu Âu về dữ liệu lao động
Quy định GDPR cung cấp một khung bảo vệ dữ liệu mạnh mẽ, và trong bối cảnh lao động, dữ liệu cá nhân có tính nhạy cảm cao do mối quan hệ quyền lực vốn có sự bất cân xứng giữa người sử dụng lao động và nhân viên.
Điều 88 của GDPR công nhận quyền của các Quốc gia Thành viên EU trong việc thiết lập các quy tắc cụ thể hơn về bảo vệ dữ liệu trong lĩnh vực lao động. Các quy tắc quốc gia phải bao gồm các biện pháp cụ thể và phù hợp để bảo vệ phẩm giá con người, lợi ích hợp pháp và quyền cơ bản của chủ thể dữ liệu, đặc biệt liên quan đến tính minh bạch của việc xử lý và các hệ thống giám sát tại nơi làm việc[1].
Tuy nhiên, phán quyết liên quan đến các thỏa thuận lao động theo Điều 88 cũng chỉ rõ rằng quyền hạn quy định của người sử dụng lao động và hội đồng lao động không bao gồm bất kỳ sự tùy ý nào để áp dụng các yêu cầu về tính cần thiết của GDPR một cách ít nghiêm ngặt hơn hoặc miễn trừ chúng. Điều này khẳng định rằng vì lý do hiệu quả hay đơn giản, các thỏa thuận nội bộ không được thỏa hiệp theo cách làm tổn hại quá mức đến mục tiêu bảo đảm mức độ bảo vệ cao cho nhân viên theo GDPR. Vụ việc H&M đã minh họa rõ ràng giới hạn này, cho thấy ngay cả khi có các chính sách nội bộ, chúng vẫn phải tuân thủ nghiêm ngặt các nguyên tắc cốt lõi của GDPR.
3. Vì sao H&M bị xử phạt nghiêm khắc
Hành vi vi phạm rõ ràng và nghiêm trọng
Ban quản lý của H&M đã thu thập các bản ghi âm giọng nói và ghi chú chi tiết về nhiều nhân viên thông qua các cuộc họp cá nhân gọi là "Welcome Back Talks". Những cuộc họp này diễn ra sau khi nhân viên vắng mặt, chẳng hạn như nghỉ lễ hoặc nghỉ ốm. Ngoài ra, ban quản lý cũng thu thập thông tin thông qua các cuộc gặp gỡ một - một và thậm chí là "các cuộc trò chuyện hành lang".
Các ghi chú này được H&M lưu trữ vĩnh viễn trên một ổ đĩa mạng cục bộ. Phân tích dữ liệu cho thấy phạm vi vi phạm là rất lớn. Tài liệu có dung lượng khoảng 60GB. Thậm chí nghiêm trọng hơn, có tới "50 quản lý khác" trong hệ thống công ty rộng lớn của H&M có quyền truy cập ít nhất một phần vào thông tin cá nhân và nhạy cảm này.Việc hoạt động này kéo dài trong 5 năm và có sự tham gia của một số lượng lớn quản lý cho thấy hành vi này không phải là sai sót của một cá nhân, mà là một vấn đề văn hóa và hệ thống được thực hiện hoặc thiết lập một cách không chính thức trong quy trình quản lý nhân sự. Các cuộc họp "Welcome Back Talks" đã bị biến tướng từ công cụ quản lý sự vắng mặt thành một công cụ giám sát, được sử dụng để tạo hồ sơ chi tiết nhằm hỗ trợ các quyết định lao động, điều này làm trầm trọng thêm mức độ xâm phạm quyền riêng tư của người lao động.
Nhiều thông tin nhạy cảm của người lao động bị thu thập và xử lý trong thời gian dài
Mức độ nghiêm trọng của vi phạm tỷ lệ thuận với tính xâm lấn của dữ liệu bị thu thập. Các thông tin được lưu trữ bao gồm nhiều loại dữ liệu cá nhân nhạy cảm:
Thông tin sức khỏe nhạy cảm: Các cuộc trò chuyện bao gồm thông tin sức khỏe nhạy cảm, triệu chứng bệnh tật và chẩn đoán cho các lần nghỉ ốm.
Thông tin đời sống riêng tư và tôn giáo: Các ghi chú chứa thông tin chi tiết về đời tư của nhân viên, bao gồm tranh chấp gia đình, niềm tin tôn giáo, và kinh nghiệm nghỉ dưỡng.
Những thông tin mang tính cá nhân cao này, đặc biệt là dữ liệu sức khỏe và tôn giáo (thuộc Dữ liệu đặc biệt theo Điều 9 GDPR), đã được xử lý để "tạo hồ sơ chi tiết" của nhân viên. Các hồ sơ này sau đó được sử dụng cùng với các đánh giá hiệu suất công việc tỉ mỉ để tạo ra "hồ sơ về nhân viên cho các biện pháp và quyết định trong quan hệ lao động". Sự kết hợp giữa nghiên cứu đời tư và ghi âm liên tục này đã cấu thành "sự can thiệp đặc biệt chuyên sâu" vào quyền lợi của những người bị ảnh hưởng.
H&M không tự mình phát hiện các vi phạm
Điều đáng chú ý là sự việc nghiêm trọng này đã không được phát hiện thông qua kiểm toán nội bộ hay báo cáo của nhân viên. Thay vào đó, vụ vi phạm chỉ được công khai một cách tình cờ vào tháng 10 năm 2019, khi một lỗi cấu hình kỹ thuật đã làm cho dữ liệu có thể truy cập được trong toàn bộ công ty trong vài giờ.
Sự cố kỹ thuật này được coi là vi phạm thứ cấp, trong khi hành vi thu thập dữ liệu bất hợp pháp kéo dài 5 năm là vi phạm chính. Các báo cáo trên báo chí sau sự cố đã cảnh báo HmbBfDI, cơ quan này ngay lập tức ra lệnh "đóng băng" ổ đĩa mạng và thu thập 60GB nội dung để tiến hành điều tra. Việc vi phạm chính đã tiếp diễn vô thời hạn và chỉ bị phanh phui do một thất bại bảo mật không liên quan cho thấy sự thiếu vắng hoàn toàn các cơ chế kiểm soát nội bộ và trách nhiệm giải trình hiệu quả. Điều này cho thấy H&M đã thất bại trong việc không chỉ tuân thủ các nguyên tắc cốt lõi về mục đích xử lý dữ liệu mà còn thất bại trong việc thực hiện các biện pháp bảo mật kỹ thuật phù hợp để bảo vệ dữ liệu đã được thu thập. Một yêu cầu không chỉ của Liên minh Châu Âu mà còn của nhiều quốc gia về bảo vệ dữ liệu cá nhân của người lao động.
4. Quyết định xử phạt và phản ứng của H&M
Mức phạt nghiêm khắc trong lĩnh vực lao động
Như đã đề cập ở trên, HmbBfDI đã áp dụng mức phạt chính xác là 35.258.707,95 Euro. Cơ quan quản lý đã lập luận rằng mức phạt này là cần thiết bởi hành vi của H&M không chỉ là xử lý dữ liệu bất hợp pháp mà còn là "vi phạm nghiêm trọng quyền dân sự" của nhân viên.
Việc áp dụng mức phạt nặng được xác định dựa trên một số yếu tố: mức độ nghiêm trọng của hành vi, thời gian vi phạm kéo dài (5 năm), số lượng lớn nhân viên bị ảnh hưởng (vài trăm người), và tính chất xâm lấn đặc biệt của dữ liệu được thu thập (sức khỏe, tôn giáo). Mức phạt được coi là "tỷ lệ thuận" với mức độ vi phạm của H&M.
Mục đích chính của mức phạt €35 triệu này, như được tuyên bố bởi HmbBfDI, là để răn đe các công ty khỏi vi phạm quyền riêng tư của nhân viên trong tương lai, áp dụng cho cả H&M và các tập đoàn toàn cầu khác. Mức phạt này gửi đi một thông điệp rõ ràng rằng các cơ quan bảo vệ dữ liệu cá nhân của EU sẽ sử dụng quyền hạn của mình để bảo vệ các quyền cơ bản của người lao động.
Tại thời điểm công bố, mức phạt €35 triệu là mức phạt lớn thứ hai được ban hành theo GDPR ở Châu Âu và là mức phạt lớn nhất đối với một vi phạm liên quan đến quan hệ lao động kể từ khi GDPR có hiệu lực vào tháng 5 năm 2018. Vụ án đã thiết lập một tiêu chuẩn quan trọng về cách thức xử lý dữ liệu nhân viên.
Phản ứng phù hợp và hiệu quả của H&M
Phản ứng của H&M đối với vụ việc là một yếu tố được HmbBfDI xem xét tích cực, góp phần làm giảm bớt các hậu quả pháp lý tối đa. Công ty đã thể hiện sự thừa nhận trách nhiệm doanh nghiệp một cách rõ ràng và chưa từng có tiền lệ.
Ngay sau khi phát hiện vi phạm, H&M đã nhanh chóng phát hành thông cáo báo chí nhận "trách nhiệm hoàn toàn" và gửi "lời xin lỗi vô điều kiện" đến các nhân viên bị ảnh hưởng. Công ty đã cung cấp bồi thường tài chính đáng kể cho những người bị ảnh hưởng.
Sự hợp tác nhanh chóng và thiện chí này, bao gồm cả việc cung cấp tất cả các thông tin cần thiết một cách minh bạch, đã được HmbBfDI đánh giá cao. Hành động bồi thường cho nhân viên là một bước đi vượt ra ngoài yêu cầu pháp lý tối thiểu, thể hiện sự thiện chí và giúp công ty giảm thiểu tổn hại danh tiếng.
Ngoài ra, để đảm bảo tuân thủ GDPR trong tương lai và giải quyết nguyên nhân gốc rễ của vi phạm, H&M ngay sau đó đã thực hiện một loạt các cải tiến sâu rộng như:
- Thực hiện các thay đổi đối với bộ phận quản lý tại Trung tâm Dịch vụ;
- Cung cấp các khóa đào tạo bổ sung về bảo vệ dữ liệu và quy định riêng tư;
- Thiết lập một vai trò mới là Điều phối viên Bảo vệ Dữ liệu (Data Protection Coordinator), người chịu trách nhiệm kiểm toán và liên tục cải thiện quyền riêng tư dữ liệu;
- Cung cấp các bản cập nhật trạng thái bảo vệ dữ liệu hàng tháng;
- Tăng cường bảo vệ cho những người tố giác (whistleblowers);
- Cải thiện việc làm sạch dữ liệu và các giải pháp IT khác để hỗ trợ hoạt động tuân thủ.
Vụ việc H&M Nuremberg là một bài học đắt giá, cho thấy rủi ro của việc lạm dụng việc thu thập và xử lý dữ liệu nhân viên. Mức phạt kỷ lục 35 triệu Euro không chỉ phản ánh mức độ nghiêm trọng của vi phạm mà còn là một tuyên bố chính sách mạnh mẽ từ HmbBfDI, xác nhận rằng quyền riêng tư của nhân viên là một quyền cơ bản cần được bảo vệ ở mức cao nhất. Đây không chỉ là bài học cho các doanh nghiệp Châu Âu, các doanh nghiệp đa quốc gia mà ngay cả các doanh nghiệp Việt Nam hoàn toàn có thể phải đối mặt với các rủi ro này trong thời gian tới. Do đó, việc chuẩn bị và xây dựng các chiến lược phù hợp để thu thập và xử lý dữ liệu người lao động hợp pháp là hết sức cần thiết.
