Lắp camera hợp pháp không đồng nghĩa được thu thập dữ liệu tùy ý
Camera giám sát tại nơi làm việc và không gian công cộng là thiết bị ghi hình có thể thu thập dữ liệu cá nhân khi hình ảnh, hoạt động hoặc vị trí được ghi lại gắn với một người cụ thể. Vì vậy, câu hỏi doanh nghiệp cần đặt ra không chỉ là camera có giúp bảo vệ tài sản hay không, mà còn là ai bị ghi hình, dữ liệu được dùng vào việc gì và được lưu giữ ra sao. Pháp luật không cấm doanh nghiệp dùng camera, phần mềm quản lý thiết bị hay công cụ công nghệ khác để bảo đảm an ninh, an toàn tài sản, quản lý hoạt động và hỗ trợ hiệu quả công việc. Nhưng quyền lắp đặt không phải giấy phép sử dụng dữ liệu cho mọi mục đích. Theo quy định, tổ chức có thể ghi âm, ghi hình ở nơi công cộng trong một số trường hợp mà không cần sự đồng ý của chủ thể dữ liệu; dữ liệu vẫn phải được dùng đúng mục đích, bảo vệ quyền lợi của người liên quan và chỉ lưu trong thời gian cần thiết.
Một quy trình có trách nhiệm cần xác định mục đích thu thập, phạm vi dữ liệu, cách xử lý, thời gian lưu trữ và biện pháp bảo vệ, đồng thời thông tin rõ cho người lao động. Đây là điểm khác biệt giữa giám sát có kiểm soát và thu thập dữ liệu thiếu minh bạch.
Camera nơi làm việc: thông báo trước, không để nhân viên tự phát hiện
Với camera nơi làm việc, nghĩa vụ thông báo là trọng tâm. Hình ảnh, thông tin về hoạt động và vị trí gắn với người lao động có thể là dữ liệu cá nhân; vì thế, doanh nghiệp cần bảo đảm nhân viên biết rõ biện pháp công nghệ nào đang được sử dụng để thu thập dữ liệu. Thông báo không nên chỉ là một dòng chữ chung chung: nhân viên cần được cung cấp thông tin đủ rõ để hiểu việc giám sát diễn ra ở đâu và phục vụ mục đích gì. Nghị định 330/2026/NĐ-CP quy định phạt tổ chức từ 50 triệu đồng đến 70 triệu đồng nếu dùng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm họ biết rõ, gồm cả trường hợp dùng camera, phần mềm theo dõi thiết bị hoặc phương tiện thu thập khác mà không thông báo. Mức phạt với cá nhân có cùng hành vi bằng một nửa mức áp dụng cho tổ chức. Doanh nghiệp nên rà soát cả camera lẫn phần mềm giám sát, thay vì chỉ kiểm tra thiết bị gắn trên tường.
Người lao động có quyền được biết dữ liệu của mình được xử lý; trong những trường hợp pháp luật quy định, họ có thể đồng ý, từ chối hoặc rút lại sự đồng ý, yêu cầu xem, chỉnh sửa, xóa hay hạn chế xử lý dữ liệu, phản đối việc xử lý và thực hiện quyền khiếu nại, tố cáo, khởi kiện hoặc yêu cầu bồi thường theo quy định. Thông báo rõ ràng vì thế không chỉ giúp tránh chế tài, mà còn là nền tảng cho quan hệ lao động minh bạch.
Ở nơi công cộng, biển báo phải dễ thấy và dữ liệu phải có giới hạn
Tại không gian công cộng hoặc khu vực cung cấp dịch vụ, biển báo camera không thể chỉ tồn tại cho đủ thủ tục. Cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử phải đặt ở vị trí dễ nhận biết, để người đi vào hiểu rằng mình có thể đang bị ghi âm hoặc ghi hình. Cơ quan, tổ chức, doanh nghiệp và cơ sở kinh doanh cần rà soát vị trí, nội dung thông báo và khả năng nhận biết của khách hàng, người dân; đặt biển ở nơi khuất hoặc khó đọc sẽ làm mất ý nghĩa cảnh báo. Theo quy định được nêu tại Điều 71 Nghị định 330, hành vi lắp hoặc sử dụng thiết bị ghi âm, ghi hình ở không gian công cộng hay khu vực phục vụ khách hàng mà không có cảnh báo dễ nhận biết có thể bị phạt từ 10 triệu đồng đến 20 triệu đồng. Không cung cấp thông tin liên hệ của bên kiểm soát dữ liệu khi người liên quan yêu cầu truy xuất hình ảnh cũng thuộc nhóm hành vi bị xử phạt. Tổng thể, vi phạm quy định bảo vệ dữ liệu cá nhân thu được từ ghi âm, ghi hình nơi công cộng có thể khiến tổ chức bị phạt tới 50 triệu đồng.
Doanh nghiệp cũng cần cân nhắc hướng quay và phạm vi ghi hình để tránh thu thập quá mức, xác định mục đích sử dụng và thời hạn lưu trữ cụ thể. Nếu dữ liệu bị thu thập trái quy định, biện pháp khắc phục có thể gồm buộc hủy, xóa dữ liệu âm thanh, hình ảnh đến mức không thể khôi phục; đơn vị còn phải công khai thông tin liên hệ để chủ thể dữ liệu yêu cầu truy xuất hình ảnh. Bảo vệ dữ liệu cá nhân vì thế phải được tính ngay từ khâu bố trí camera, không thể chờ đến lúc có khiếu nại mới xử lý.
Danh sách rà soát trước khi vận hành hệ thống
Một hệ thống giám sát phù hợp cần được thiết kế theo mục đích cụ thể, thay vì lắp camera trước rồi mới tìm lý do sử dụng. Trước khi đưa thiết bị vào hoạt động, doanh nghiệp nên kiểm tra cả cách thu thập, thông báo, lưu trữ và khả năng đáp ứng yêu cầu của người có dữ liệu.
- Xác định mục đích lắp camera và giới hạn khu vực, phạm vi ghi hình ở mức cần thiết.
- Thông báo rõ cho người lao động về camera, phần mềm hoặc công cụ công nghệ dùng để thu thập dữ liệu.
- Đặt biển báo camera vật lý hoặc điện tử tại vị trí dễ nhận biết ở không gian công cộng và khu vực phục vụ khách hàng.
- Quy định cách xử lý, thời hạn lưu giữ và biện pháp bảo vệ dữ liệu; chỉ lưu trong thời gian cần thiết.
- Công khai thông tin liên hệ của bên kiểm soát dữ liệu để người liên quan có thể yêu cầu truy xuất hình ảnh.
Kết luận rất rõ: lắp camera không tự động cấu thành vi phạm, nhưng giám sát thiếu thông báo hoặc biển cảnh báo, ghi hình vượt nhu cầu và dùng dữ liệu sai mục đích có thể biến công cụ bảo vệ thành rủi ro pháp lý. Rà soát quy định lắp camera từ đầu là lựa chọn thận trọng hơn nhiều so với khắc phục sau khi dữ liệu đã bị thu thập.
