Người quản lý trực tiếp thường cầm nhiều dữ liệu cá nhân của nhân viên hơn họ nghĩ, và phần lớn nằm ngoài hệ thống nhân sự: trong điện thoại, nhóm chat, sổ tay, ảnh chụp. Nguyên tắc giữ cho đúng gói trong bốn chữ: chỉ thu cái cần, chỉ dùng đúng việc, chỉ chia cho người cần biết, và xoá khi hết việc. Phần lớn sai sót không đến từ ý xấu mà từ thói quen tiện tay.
Bài này viết cho tổ trưởng, quản lý cửa hàng, trưởng nhóm, những người không làm nhân sự nhưng hằng ngày nhận đơn xin nghỉ, giấy khám bệnh, ảnh căn cước để làm thủ tục, nghe chuyện riêng. Phần pháp lý chỉ ở mức nguyên lý; chi tiết nghĩa vụ của doanh nghiệp về dữ liệu cá nhân có bài riêng trên AI Bảo Mật.
Người quản lý đang cầm những dữ liệu gì
Thử điểm lại điện thoại và máy tính của bạn. Với một đội mười người, danh sách thường dài hơn bạn nghĩ:
- Thông tin liên lạc: số điện thoại, tài khoản mạng xã hội, địa chỉ nhà, số người thân để liên lạc khẩn cấp.
- Giấy tờ: ảnh chụp căn cước, bằng cấp, sổ hộ khẩu cũ, giấy xác nhận cư trú mà nhân viên gửi qua tin nhắn để làm thủ tục.
- Sức khoẻ: giấy khám, đơn nghỉ ốm có ghi bệnh, chuyện mang thai, chuyện điều trị dài ngày.
- Hoàn cảnh riêng: con ốm, cha mẹ già, ly hôn, nợ nần, những điều được kể trong buổi 1:1.
- Công việc và thu nhập: bảng lương, thưởng, nhận xét, lịch sử nhắc nhở, kết quả bán hàng từng người.
- Hình ảnh và vị trí: ảnh chụp đội, ảnh chấm công tại chỗ, vị trí check-in qua ứng dụng.
- Tin nhắn: cả nhóm chat công việc lẫn tin nhắn riêng nhân viên gửi bạn.
Nhiều thứ trong danh sách là dữ liệu pháp luật xếp vào loại cần bảo vệ chặt hơn, như sức khoẻ, đời sống riêng, tài chính. Chúng đến tay bạn vì nhân viên tin bạn, và vì công việc cần. Cả hai lý do đó đều đặt ra giới hạn cho việc bạn được làm gì với chúng.
Nguyên lý pháp luật cần nhớ, nói ngắn gọn
Pháp luật Việt Nam về bảo vệ dữ liệu cá nhân, gồm Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân năm 2025, xây dựng trên một số nguyên tắc dễ hiểu với người không học luật. Dữ liệu chỉ được xử lý cho mục đích đã xác định và người có dữ liệu được biết. Chỉ thu thập ở mức cần thiết cho mục đích đó. Dữ liệu phải được bảo vệ khỏi truy cập trái phép, mất mát, lộ lọt. Người có dữ liệu có những quyền như được biết, được yêu cầu sửa, yêu cầu xoá trong các trường hợp nhất định. Dữ liệu nhạy cảm có yêu cầu chặt hơn.
Trách nhiệm pháp lý chính thường thuộc về công ty với tư cách bên xử lý dữ liệu. Nhưng người quản lý trực tiếp là mắt xích thực hiện: bạn là người nhận, lưu, chuyển dữ liệu hằng ngày. Một tấm ảnh căn cước nằm trong điện thoại cá nhân của bạn, rồi điện thoại bị mất, là một sự cố dữ liệu mà công ty phải giải quyết. Bộ luật Lao động cũng có quy định về bảo vệ bí mật đời tư và danh dự người lao động.
Chi tiết như trường hợp nào cần sự đồng ý bằng văn bản, thời hạn lưu, nghĩa vụ khi có sự cố được quy định trong văn bản hiện hành và có thể thay đổi. Khi gặp tình huống cụ thể khó, như công an hay một công ty khác yêu cầu cung cấp thông tin nhân viên, hãy hỏi bộ phận pháp chế, hoặc hỏi luật sư trên AI Cố Vấn (aicovan.com) trước khi trả lời.
Việc hằng ngày dễ sai và cách làm đúng hơn
Các tình huống dưới đây rất phổ biến ở cửa hàng, xưởng, văn phòng nhỏ. Không cái nào cố ý, nhưng cái nào cũng có thể làm tổn thương người khác hoặc tạo rủi ro cho công ty.
| Việc hay làm | Rủi ro | Cách làm đúng hơn |
|---|---|---|
| Gửi bảng lương, bảng phạt có tên cả đội vào nhóm chat chung | Lộ thu nhập, làm xấu hổ người bị trừ | Gửi riêng từng người, hoặc dùng hệ thống có phân quyền |
| Lưu ảnh căn cước nhân viên trong thư viện ảnh điện thoại | Mất máy, đồng bộ lên đám mây cá nhân, lẫn với ảnh riêng | Chuyển ngay cho bộ phận lưu hồ sơ, xoá khỏi máy và thùng rác |
| Cho khách số điện thoại riêng của nhân viên | Nhân viên bị làm phiền ngoài giờ, có khi bị đe doạ | Dùng số chung của cửa hàng, hoặc hỏi nhân viên trước |
| Chuyển tiếp đơn nghỉ ốm có ghi bệnh vào nhóm quản lý | Lộ dữ liệu sức khoẻ cho người không cần biết | Báo "nghỉ phép có lý do đã duyệt", không ghi bệnh |
| Đăng ảnh đội lên trang bán hàng | Dùng hình ảnh người khác khi chưa được đồng ý | Hỏi từng người, ai không muốn thì làm mờ hoặc bỏ |
| Dán thông tin nhân viên vào chatbot để nhờ xử lý tình huống | Dữ liệu ra khỏi công ty, không kiểm soát được | Mô tả tình huống đã khái quát, bỏ chi tiết nhận diện |
Phần lớn cách làm đúng hơn chỉ tốn thêm một tin nhắn hỏi hoặc vài giây xoá ảnh. Thói quen nhỏ này là phần lớn của việc bảo vệ dữ liệu ở cấp đội.
Dữ liệu sức khoẻ và hoàn cảnh riêng: cẩn trọng gấp đôi
Khi nhân viên nói với bạn rằng họ đang điều trị một bệnh, đang mang thai mà chưa muốn công bố, hay đang gặp chuyện gia đình, họ đang trao một phần riêng tư để được thông cảm hoặc được sắp xếp công việc. Việc của bạn là dùng thông tin đó đúng cho mục đích ấy, và không hơn.
Vài nguyên tắc cụ thể: hỏi người đó muốn ai biết và biết đến đâu trước khi nói với bất kỳ ai, kể cả cấp trên. Khi cần sắp xếp lại ca hay việc, bạn chỉ cần báo với đội "có thay đổi lịch vì lý do cá nhân đã được duyệt", không cần nói lý do. Ghi chú về chuyện này, nếu có, để ở nơi chỉ bạn xem được, ngắn gọn, và xoá khi không còn cần. Không suy đoán, không bàn tán, kể cả khi bạn nghĩ đồng nghiệp hỏi vì quan tâm.
Với AI, câu trả lời gần như luôn là không đưa vào. Nếu cần lời khuyên về cách hỗ trợ một nhân viên đang khó khăn, hãy mô tả bằng tình huống chung, như "một nhân viên đang có vấn đề sức khoẻ cần linh động giờ làm trong ba tháng", không kèm bệnh cụ thể, không kèm bất kỳ chi tiết nào nhận ra được người đó. Nếu nhân viên có dấu hiệu khủng hoảng tinh thần, việc của bạn là lắng nghe, gợi ý họ tìm tới chuyên gia và linh động trong khả năng, không phải chẩn đoán.
Khi nhân viên nghỉ việc: dọn dữ liệu trong tay bạn
Dữ liệu của người đã nghỉ là loại hay bị bỏ quên nhất. Danh sách dưới giúp bạn dọn gọn trong một buổi.
- Chuyển hồ sơ cần lưu như giấy tờ, đơn từ, nhận xét chính thức cho bộ phận lưu trữ của công ty theo quy định.
- Xoá bản sao trên thiết bị cá nhân: ảnh giấy tờ, tệp gửi qua tin nhắn, ghi chú riêng về người đó. Nhớ kiểm thư mục tải về và thùng rác.
- Rời họ khỏi nhóm chat công việc sau khi đã bàn giao xong, và nhắc đội không chuyển tiếp thông tin nội bộ sang người đã nghỉ.
- Gỡ ảnh, tên trên các trang của cửa hàng nếu họ yêu cầu.
- Xoá các cuộc trò chuyện với công cụ AI có nhắc tới tình huống của người đó, nếu bạn từng dùng.
- Cẩn trọng khi có người gọi hỏi tham khảo về nhân viên cũ: chỉ xác nhận thông tin đã thoả thuận với người đó, như thời gian làm việc và vị trí.
Câu lệnh mẫu nếu bạn muốn AI giúp lập danh sách cho riêng đội mình: "Đội bán hàng tám người dùng nhóm chat, ứng dụng chấm công, ảnh chụp giấy tờ. Lập danh sách kiểm dữ liệu cần dọn khi một nhân viên nghỉ việc, chia theo nơi lưu."
Một buổi dọn dữ liệu đang có trong tay
Nếu đọc tới đây bạn thấy điện thoại mình đang chứa nhiều thứ không nên chứa, đừng lo. Dành một buổi chiều cuối tuần làm lần lượt các bước dưới, sau đó chỉ cần giữ thói quen.
- Mở thư viện ảnh, tìm ảnh giấy tờ của nhân viên như căn cước, bằng cấp, giấy khám. Chuyển những gì công ty cần lưu cho người phụ trách hồ sơ, rồi xoá hẳn, kể cả trong thùng rác và bản sao lưu đám mây.
- Rà các nhóm chat công việc: tin nhắn nào có bảng lương, bảng phạt có tên, thông tin sức khoẻ. Thu hồi hoặc xoá nếu ứng dụng cho phép, và thống nhất với đội từ nay gửi riêng.
- Xem lại ghi chú cá nhân về từng người. Giữ những gì phục vụ công việc, viết lại cho trung tính những dòng mang tính phán xét, xoá chuyện riêng không còn cần.
- Mở lịch sử công cụ AI bạn dùng, xoá các cuộc trò chuyện có nhắc tới nhân viên cụ thể, và kiểm phần bộ nhớ nếu công cụ có.
- Đặt một quy tắc cho mình, ví dụ: giấy tờ nhân viên gửi qua tin nhắn thì chuyển đi và xoá trong ngày.
Không cần hoàn hảo ngay. Mục tiêu là lượng dữ liệu nhạy cảm nằm rải rác trong tay bạn giảm dần, để nếu một ngày mất điện thoại, thiệt hại cho người khác là nhỏ nhất.
Khi có người hỏi thông tin về nhân viên
Đồng nghiệp hỏi vì sao một người nghỉ dài ngày. Trả lời chung: "Bạn ấy nghỉ có lý do đã được duyệt, sẽ quay lại vào tuần sau." Không kể chi tiết, kể cả khi người hỏi là bạn thân của người đó.
Người nhà nhân viên gọi hỏi lịch làm, lương. Đây là thông tin của người lao động, không phải của gia đình. Đề nghị người nhà hỏi trực tiếp nhân viên, trừ trường hợp khẩn cấp có lý do rõ ràng.
Công ty khác gọi hỏi tham khảo. Chỉ cung cấp những gì nhân viên cũ đã đồng ý, thường là thời gian làm việc và vị trí. Nhận xét cá nhân chỉ nên đưa ra nếu họ đã nhờ bạn làm người tham khảo.
Khách hàng hỏi tên, số điện thoại nhân viên đã phục vụ. Cung cấp tên gọi khi làm việc nếu nhân viên đồng ý; số riêng thì không. Mọi liên hệ đi qua kênh của cửa hàng.
Cơ quan chức năng yêu cầu cung cấp thông tin. Không tự trả lời qua điện thoại. Chuyển cho người có thẩm quyền trong công ty, yêu cầu văn bản chính thức, và hỏi pháp chế trước khi cung cấp.
Câu hỏi thường gặp
Người quản lý có được lưu số điện thoại nhân viên trong điện thoại cá nhân không?
Thường là hợp lý vì cần liên lạc công việc. Nên lưu với tên rõ ràng, không lưu thêm ghi chú riêng tư, và xoá khi người đó nghỉ việc nếu không còn cần liên lạc. Nếu công ty có ứng dụng danh bạ nội bộ, dùng ứng dụng đó tốt hơn.
Đăng ảnh tiệc tất niên của đội lên mạng xã hội cá nhân có cần hỏi không?
Nên hỏi, nhất là với ảnh thấy rõ mặt. Có người không muốn xuất hiện công khai vì lý do riêng mà bạn không biết. Một câu hỏi trong nhóm "ai không muốn lên ảnh thì báo nhé" là đủ.
Nhân viên yêu cầu xem những gì người quản lý ghi về mình thì sao?
Người có dữ liệu có quyền được biết về việc xử lý dữ liệu của mình theo quy định. Với nhận xét chính thức, làm theo quy trình của công ty. Với ghi chú riêng, đây là lời nhắc nên viết sao cho bạn không ngại khi người đó đọc.
Có được dùng ảnh chấm công khuôn mặt để kiểm tra nhân viên đi muộn không?
Nếu hệ thống được triển khai với thông báo rõ mục đích chấm công thì dùng cho chấm công là đúng mục đích. Dùng ảnh đó cho việc khác, như soi trang phục hay tâm trạng, là vượt mục đích và nên tránh.
Nhóm chat công việc có nên đăng thông báo nhắc nhở nêu tên người vi phạm không?
Không nên. Nhắc nhở cá nhân nói riêng; thông báo chung chỉ nêu quy tắc. Nêu tên trước đội dễ xâm phạm danh dự người lao động và ít khi giúp người đó tiến bộ.
Công ty nhỏ năm người có phải lo chuyện dữ liệu cá nhân không?
Có. Quy định về bảo vệ dữ liệu cá nhân áp dụng không phụ thuộc quy mô, dù mức nghĩa vụ cụ thể có thể khác nhau theo loại hình và quy định hiện hành. Ở công ty nhỏ, những thói quen trong bài này gần như là toàn bộ việc cần làm.