Lắp camera ở cửa hàng, văn phòng: luật dữ liệu cá nhân đòi gì?

Camera là chuyện an ninh hay chuyện dữ liệu?

Chủ cửa hàng thường nghĩ luật dữ liệu cá nhân là về số điện thoại, CCCD khách điền vào form. Camera thì là chuyện an ninh, chống trộm. Cả hai đều đúng một nửa. Mỗi khung hình có mặt người là dữ liệu cá nhân, dù không ai gõ chữ nào. Chúng tôi không thấy luật cấm lắp camera. Theo cách hiểu của chúng tôi, điều luật đòi chủ yếu là người bị ghi được biết, và hình được giữ, dùng có giới hạn.

Hai điều luật liên quan

Điều 32: ghi hình nơi công cộng

Luật 91/2025/QH15, Điều 32 có tên "Bảo vệ dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng, hoạt động công cộng". Khoản 2 nói khi ghi âm, ghi hình trong các trường hợp của điều này thì phải thông báo hoặc dùng hình thức khác để người bị ghi biết.

Cửa hàng, quán ăn, phòng khám mở cửa đón khách có được coi là "nơi công cộng" theo điều này không? Chưa có hướng dẫn chi tiết, nên đây là cách hiểu của chúng tôi. Nhưng một tấm biển báo gần như không tốn gì, nên không có lý do để bỏ qua.

Điều 25: giám sát người lao động

Luật 91/2025/QH15, Điều 25 khoản 3 điểm a: doanh nghiệp "chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó". Theo cách hiểu của chúng tôi, camera quay khu làm việc là một biện pháp như vậy. Nhân viên phải được báo rõ, tốt nhất bằng văn bản. Phần tuyển dụng và hồ sơ nhân viên xem dữ liệu nhân viên và ứng viên.

Ví dụ: một quán cà phê

Lấy một quán cà phê tưởng tượng có bốn camera: cửa ra vào, khu khách ngồi, quầy thu ngân và kho. Camera có micro. Hình lưu trên dịch vụ đám mây của hãng camera, chủ quán xem trên điện thoại.

Dòng quầy thu ngân đáng chú ý: thông tin thẻ, tài khoản ngân hàng nằm trong danh mục dữ liệu nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 4). Một góc quay thấy rõ bàn phím máy thanh toán biến đoạn ghi bình thường thành thứ rủi ro hơn nhiều.

Không nên đặt camera ở nhà vệ sinh, phòng thay đồ, phòng nghỉ của nhân viên (luật khác có thể cấm, bài này chưa đối chiếu).

Micro. Điều 32 nói cả ghi âm lẫn ghi hình. Ghi lại lời nói của khách và nhân viên đi xa hơn mục đích chống trộm. Nếu không cần, tắt micro.

Lưu ở đâu, bao lâu, ai xem. Luật đòi chỉ lưu dữ liệu trong thời gian phù hợp với mục đích và xoá khi xong mục đích (Luật 91/2025/QH15, Điều 3, Điều 14), chúng tôi chưa thấy con số riêng cho camera. Quán tự chọn, ví dụ 30 ngày, rồi cài cho đầu ghi hay dịch vụ đám mây tự xoá. Chỉ chủ quán và quản lý có tài khoản xem; đổi mật khẩu mặc định của đầu ghi; thu lại quyền khi quản lý nghỉ việc.

Máy chủ ở nước ngoài. Nếu hình lưu trên dịch vụ đám mây đặt ở nước ngoài, việc này có thể là chuyển dữ liệu cá nhân xuyên biên giới (Luật 91/2025/QH15, Điều 20). Đây là cách hiểu thận trọng, xem dùng nền tảng nước ngoài có phải chuyển dữ liệu ra nước ngoài.

Biển báo mẫu

Mẫu tham khảo, sửa theo cửa hàng của bạn:

Khu vực có camera ghi hình để bảo vệ an ninh và tài sản. Hình ảnh được lưu 30 ngày rồi tự xoá, chỉ chủ quán và quản lý được xem. Cần hỗ trợ, vui lòng liên hệ quầy thu ngân.

Con số 30 ngày là ví dụ, không phải thời hạn do luật đặt ra.

Khi có người xin xem đoạn ghi

Một khách nghi bị mất ví trong quán, xin xem đoạn ghi có mình. Khách có quyền xem và yêu cầu cung cấp dữ liệu của mình (Luật 91/2025/QH15, Điều 4). Theo Nghị định 356/2025/NĐ-CP, Điều 5 khoản 3, quán phản hồi trong 02 ngày làm việc và thực hiện trong 10 ngày. Đoạn ghi thường có mặt người khác, nên chỉ cho xem đúng đoạn liên quan, hoặc che mặt người khác nếu gửi bản sao.

Đăng clip lên mạng để "truy tìm" người bị nghi thì rủi ro hơn nhiều: clip có mặt nhiều người không liên quan, và người bị nghi chưa chắc đã có lỗi. Đưa clip cho cơ quan công an là cách an toàn hơn.

Camera nhận diện khuôn mặt

Camera thường chỉ ghi hình. Camera "AI" so khuôn mặt để nhận ra khách quen hay chấm công nhân viên thì có thể đang xử lý dữ liệu sinh trắc học, loại nằm trong danh mục nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 4). Ranh giới giữa "hình ảnh" và "dữ liệu sinh trắc học" chưa có hướng dẫn chi tiết. Nếu đúng là dữ liệu sinh trắc học thì kéo theo nhiều việc hơn:

• khi xin đồng ý, phải báo người bị ghi đây là dữ liệu nhạy cảm (Nghị định 356, Điều 6 khoản 4);
• doanh nghiệp nhỏ có thể không còn được miễn hồ sơ đánh giá tác động (Luật 91, Điều 38);
• lộ dữ liệu sinh trắc học thì ngoài cơ quan chuyên trách còn phải báo cả người bị ảnh hưởng trong 72 giờ (Nghị định 356, Điều 29).

Trước khi mua loại camera này, hãy hỏi luật sư.

Bạn cần làm gì

• Liệt kê từng camera: quay ai, để làm gì, có micro không.
• Dán biển báo ở lối vào và khu vực có camera.
• Ghi vào nội quy hoặc hợp đồng lao động: camera ở đâu, để làm gì, ai xem, lưu bao lâu.
• Không quay nơi riêng tư; tránh góc thấy số thẻ, mã PIN.
• Đặt thời hạn tự xoá; đổi mật khẩu mặc định; chỉ vài người có quyền xem.
• Hỏi hãng camera máy chủ đặt ở đâu.
• Không đăng clip có mặt người khác lên mạng.

Bộ mẫu văn bản cho người lao động có phần thông báo về giám sát để bạn sửa theo cửa hàng. Ghi việc dùng camera vào chính sách bảo vệ dữ liệu cá nhân bằng công cụ tạo chính sách.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 3, 4, 14, 20, 25, 32, 38.
• Nghị định 356/2025/NĐ-CP: Điều 3 (hình ảnh của cá nhân là dữ liệu cơ bản), Điều 4 (dữ liệu nhạy cảm, gồm sinh trắc học và tài khoản, thẻ ngân hàng), Điều 5 khoản 3, Điều 6 khoản 4, Điều 29.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.