Cài camera tại văn phòng, cửa hàng và nhà kho: giới hạn ghi hình, bảo vệ dữ liệu

Khung pháp lý điều chỉnh việc lắp camera tại nơi làm việc

Việc lắp đặt camera tại văn phòng, cửa hàng và nhà kho không chỉ là vấn đề an ninh nội bộ mà còn là hoạt động xử lý dữ liệu cá nhân khi hệ thống ghi nhận hình ảnh, thời gian, vị trí và hành vi của cá nhân hiện diện trong khu vực giám sát. Theo khoản 1 Điều 2 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể. Vì vậy, hình ảnh từ camera, nếu nhận diện được người lao động, khách hàng hoặc đối tác, đều thuộc phạm vi cần kiểm soát theo quy định bảo vệ dữ liệu cá nhân.

Trong lĩnh vực lao động, người sử dụng lao động có quyền thiết lập hệ thống quản lý và giám sát nhằm bảo đảm an toàn, trật tự và bảo vệ tài sản, nhưng quyền này phải được thực hiện trong khuôn khổ pháp luật. Theo điểm a khoản 2 Điều 21 Nghị định 13/2023/NĐ-CP, xử lý dữ liệu cá nhân được thực hiện trên cơ sở đồng ý của chủ thể dữ liệu, trừ trường hợp luật quy định khác. Đồng thời, việc thu thập và sử dụng dữ liệu phải phù hợp với nguyên tắc minh bạch, đúng mục đích và tối thiểu hóa dữ liệu theo Điều 3 Nghị định 13/2023/NĐ-CP.

Phạm vi ghi hình hợp pháp và giới hạn cần tuân thủ

Camera tại văn phòng, cửa hàng hoặc nhà kho được phép hướng tới các khu vực phục vụ mục đích bảo vệ tài sản, an ninh, kiểm soát ra vào, giám sát hàng hóa và hỗ trợ phòng ngừa rủi ro an toàn. Các khu vực như quầy thu ngân, lối vào, kho hàng, hành lang chung, khu vực giao nhận hoặc bãi xe nội bộ thường là phạm vi giám sát điển hình nếu mục tiêu được xác định rõ và có căn cứ quản lý hợp pháp. Tuy nhiên, việc ghi hình phải giới hạn ở mức cần thiết để đạt mục đích đã công bố, tránh tạo ra vùng giám sát quá rộng hoặc duy trì hình thức theo dõi liên tục không tương xứng với nhu cầu thực tế.

Các khu vực gắn với đời sống riêng tư của người lao động phải được loại trừ hoặc hạn chế nghiêm ngặt. Việc đặt camera trong nhà vệ sinh, phòng thay đồ, khu vực nghỉ ngơi riêng tư, phòng tắm hoặc nơi mà cá nhân có kỳ vọng hợp lý về quyền riêng tư là không phù hợp với nguyên tắc bảo vệ dữ liệu và quyền nhân thân theo Bộ luật Dân sự 2015. Nếu cần giám sát một khu vực có yếu tố an toàn đặc thù, cách thức triển khai phải được điều chỉnh để không xâm phạm sinh hoạt riêng tư và không thu thập quá mức.

Camera không được biến thành công cụ giám sát cá nhân tùy tiện

Hệ thống camera chỉ nhắm vào một người lao động cụ thể, không có lý do quản trị khách quan và không được công khai rõ ràng, làm phát sinh rủi ro vi phạm pháp luật lao động và pháp luật về dữ liệu cá nhân. Mọi hình thức giám sát phải dựa trên tiêu chí chung, có mục đích hợp pháp và có tính tương xứng với tính chất công việc. Việc sử dụng camera để theo dõi thái độ, năng suất hoặc hành vi cá nhân một cách liên tục, vượt quá nhu cầu quản lý, không đáp ứng yêu cầu tối thiểu hóa và dễ bị xem là xâm phạm quyền riêng tư.

Thông báo, nội quy và cơ sở xử lý dữ liệu

Trước khi vận hành camera, doanh nghiệp cần thông báo rõ cho người lao động, khách hàng và các cá nhân có khả năng xuất hiện trong vùng ghi hình về phạm vi, mục đích, thời hạn lưu giữ và đơn vị chịu trách nhiệm quản lý dữ liệu. Theo Điều 13 Nghị định 13/2023/NĐ-CP, bên kiểm soát dữ liệu cá nhân có nghĩa vụ thông báo cho chủ thể dữ liệu về hoạt động xử lý dữ liệu, trừ trường hợp luật có quy định khác. Thông báo cần được thể hiện bằng bảng niêm yết, nội quy, chính sách bảo mật hoặc tài liệu nội bộ dễ tiếp cận.

Trong quan hệ lao động, hệ thống camera nên được ghi nhận trong nội quy lao động, quy chế bảo mật, quy chế an ninh hoặc văn bản thông báo nội bộ đã được ban hành hợp lệ. Theo Điều 118 Bộ luật Lao động 2019, nội quy lao động là công cụ quản trị quan trọng để đặt ra các quy tắc về trật tự tại nơi làm việc, tài sản, an toàn lao động và bảo vệ bí mật kinh doanh, bí mật công nghệ. Khi camera được tích hợp vào nội quy, doanh nghiệp có cơ sở minh bạch hơn để chứng minh mục đích sử dụng và phạm vi giám sát.

Trường hợp dữ liệu hình ảnh được dùng cho mục đích bảo vệ quyền và lợi ích hợp pháp của doanh nghiệp tại nơi công cộng, Điều 17 Nghị định 13/2023/NĐ-CP cho phép xử lý dữ liệu trong một số trường hợp không cần sự đồng ý của chủ thể dữ liệu. Tuy vậy, điều kiện này không làm mất nghĩa vụ thông báo, bảo đảm an toàn dữ liệu và chỉ sử dụng trong phạm vi mục đích đã xác lập. Cơ sở pháp lý này không mở rộng thành quyền ghi hình tùy tiện tại mọi vị trí làm việc.

Bảo vệ dữ liệu camera: lưu giữ, truy cập và chia sẻ

Dữ liệu camera phải được quản lý như một tài sản thông tin có rủi ro pháp lý rõ rệt. Doanh nghiệp cần xác định thời hạn lưu giữ hợp lý, chỉ những người có thẩm quyền mới được truy cập, và mọi hoạt động trích xuất, sao chép, chuyển giao dữ liệu phải được ghi nhận. Theo Điều 26 Nghị định 13/2023/NĐ-CP, bên kiểm soát và bên xử lý dữ liệu phải áp dụng biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân khỏi truy cập trái phép, mất mát, rò rỉ hoặc phá hủy.

Hệ thống lưu trữ hình ảnh phải được bảo vệ bằng mật khẩu mạnh, phân quyền người dùng, nhật ký truy cập, sao lưu an toàn và cơ chế chống xâm nhập. Nếu dữ liệu được cung cấp cho đơn vị bảo vệ, nhà thầu công nghệ hoặc nền tảng lưu trữ đám mây, doanh nghiệp phải ký kết cơ chế ràng buộc trách nhiệm xử lý dữ liệu và đánh giá rủi ro chuyển giao. Việc công khai clip camera lên mạng xã hội, gửi không cần thiết cho bên thứ ba hoặc dùng hình ảnh vào mục đích kỷ luật, bêu xấu, trả đũa sẽ làm tăng nguy cơ vi phạm nghiêm trọng.

Khuyến nghị tối thiểu về quản trị dữ liệu camera

• Xác định rõ mục đích ghi hình ngay từ đầu và giới hạn đúng phạm vi đó.
• Không ghi hình tại khu vực riêng tư như nhà vệ sinh, phòng thay đồ, phòng nghỉ kín.
• Niêm yết thông báo camera ở vị trí dễ nhận biết.
• Quy định rõ người được quyền xem, trích xuất và lưu trữ dữ liệu.
• Thiết lập thời hạn xóa dữ liệu phù hợp với mục đích an ninh.
• Không chia sẻ hình ảnh ra ngoài khi chưa có căn cứ pháp lý rõ ràng.

Rủi ro pháp lý khi lắp đặt và vận hành sai

Việc lắp camera sai vị trí, giám sát quá mức hoặc quản lý dữ liệu lỏng lẻo có thể dẫn đến tranh chấp lao động, khiếu nại về quyền riêng tư và trách nhiệm bồi thường thiệt hại theo Bộ luật Dân sự 2015. Nếu dữ liệu hình ảnh bị lộ lọt hoặc bị dùng vào mục đích khác với mục đích đã công bố, doanh nghiệp đối diện nguy cơ bị xử lý theo quy định về bảo vệ dữ liệu cá nhân và các quy định có liên quan về an toàn thông tin. Rủi ro này đặc biệt lớn khi hệ thống camera ghi nhận khuôn mặt, thói quen làm việc, di chuyển nội bộ hoặc dữ liệu kèm âm thanh.

Trong thực tiễn quản trị, tranh chấp thường phát sinh không phải từ việc có camera hay không, mà từ cách doanh nghiệp thiết kế vùng ghi hình, cách thông báo và cách bảo vệ dữ liệu sau khi thu thập. Một hệ thống camera hợp pháp phải đáp ứng đồng thời ba yêu cầu: có mục đích chính đáng, có giới hạn cần thiết và có cơ chế bảo vệ dữ liệu tương xứng. Khi thiếu một trong ba yếu tố này, nguy cơ vi phạm tăng lên đáng kể.

Kết luận

Camera tại văn phòng, cửa hàng và nhà kho là công cụ quản trị hợp pháp khi được triển khai đúng mục đích, đúng vị trí và đúng cơ chế bảo vệ dữ liệu. Giới hạn ghi hình phải hướng đến an ninh, tài sản và an toàn vận hành, không được mở rộng thành phương tiện theo dõi đời sống riêng tư hoặc giám sát tùy tiện người lao động. Doanh nghiệp cần đồng bộ nội quy, thông báo minh bạch, phân quyền truy cập và kiểm soát lưu giữ để bảo đảm hệ thống camera vận hành phù hợp với Nghị định 13/2023/NĐ-CP và Bộ luật Lao động 2019.

Tài liệu tham khảo

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Bộ luật Lao động 2019.
• Bộ luật Dân sự 2015.
• Hiến pháp nước Cộng hòa xã hội chủ nghĩa Việt Nam 2013.
• Luật An ninh mạng 2018.