# Chấm công bằng vân tay, khuôn mặt: doanh nghiệp cần làm gì?

## Trả lời nhanh

Dữ liệu sinh trắc học nằm trong danh mục [dữ liệu cá nhân nhạy cảm](https://dulieucanhan.online/thuat-ngu/du-lieu-nhay-cam) của Nghị định 356/2025/NĐ-CP, Điều 4, và vân tay, khuôn mặt dùng để máy nhận ra từng người thường được hiểu là thuộc nhóm này. Chúng tôi không thấy văn bản nào cấm chấm công bằng vân tay, khuôn mặt, nhưng doanh nghiệp phải cho nhân viên biết rõ biện pháp đó (Luật 91/2025/QH15, Điều 25 khoản 3), báo đây là dữ liệu nhạy cảm, giữ kỹ, và xoá khi nhân viên nghỉ.

## "Chỉ là cái máy chấm công thôi mà"

Máy chấm công vân tay rẻ, dễ cài, nên nhiều xưởng, cửa hàng dùng từ lâu mà ít ai nghĩ đó là chuyện dữ liệu cá nhân. Nhưng máy không lưu "giờ vào ra" suông: nó lưu một mẫu vân tay hoặc khuôn mặt gắn với từng nhân viên để nhận ra họ. Mẫu đó không đổi được như mật khẩu. Lộ một lần là lộ mãi.

Bài [dữ liệu nhân viên và ứng viên](https://dulieucanhan.online/bai-viet/du-lieu-nguoi-lao-dong-ung-vien) nói về hồ sơ, CV, camera văn phòng. Bài này chỉ nói chấm công sinh trắc học.

## Mỗi cách chấm công thu gì

| Cách chấm công | Dữ liệu | Nhóm theo Nghị định 356 |
|---|---|---|
| Thẻ từ, mã số nhân viên | mã nhân viên, giờ vào ra | dữ liệu cá nhân; không thấy trong các mục nhạy cảm chúng tôi đã đối chiếu |
| Máy quét vân tay | mẫu vân tay gắn với từng người | sinh trắc học: nhạy cảm |
| Máy nhận diện khuôn mặt | mẫu khuôn mặt gắn với từng người | có thể là sinh trắc học (ranh giới chưa có hướng dẫn chi tiết) |
| Ứng dụng chấm công trên điện thoại, có định vị | vị trí, có khi kèm ảnh selfie | vị trí xác định qua dịch vụ định vị: nhạy cảm; ảnh selfie dùng để nhận diện: có thể là sinh trắc học |

Luật 91/2025/QH15 còn có điều riêng về dữ liệu vị trí và dữ liệu sinh trắc học (Điều 31). Bài này chưa đối chiếu các khoản về sinh trắc học của điều đó. Phần vị trí có bài [ứng dụng thu thập vị trí người dùng](https://dulieucanhan.online/bai-viet/ung-dung-di-dong-du-lieu-vi-tri).

## Bốn việc luật đòi rõ ràng

**1. Nhân viên phải biết rõ.** Luật 91/2025/QH15, Điều 25 khoản 3 điểm a: doanh nghiệp "chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó". Máy chấm công sinh trắc học là một biện pháp như vậy theo cách hiểu của chúng tôi.

**2. Báo đây là dữ liệu nhạy cảm.** Khi xin đồng ý xử lý dữ liệu nhạy cảm, phải báo cho người đó biết (Nghị định 356/2025/NĐ-CP, Điều 6 khoản 4). Không báo bị phạt 30–50 triệu đồng với tổ chức, cá nhân một nửa (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h).

**3. Xoá khi nhân viên nghỉ.** Dữ liệu của người lao động phải xoá, huỷ khi chấm dứt hợp đồng, trừ khi có thoả thuận hoặc pháp luật có quy định khác (Luật 91/2025/QH15, Điều 25 khoản 2 điểm c). Với mẫu vân tay, khuôn mặt, khó tìm lý do để giữ lại sau ngày nghỉ.

**4. Lộ thì báo cả nhân viên.** Khi vi phạm có thể gây tổn hại tới quốc phòng, an ninh, trật tự, hoặc tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của người có dữ liệu, ngoài việc báo cơ quan chuyên trách chậm nhất 72 giờ (Luật 91/2025/QH15, Điều 23), với dữ liệu sinh trắc học còn phải báo cho chính người bị ảnh hưởng trong 72 giờ (Nghị định 356/2025/NĐ-CP, Điều 29).

Có cần đồng ý của nhân viên không, hay việc chấm công thuộc trường hợp không cần đồng ý của Điều 19? Chưa có hướng dẫn chi tiết. Cách an toàn: thông báo bằng văn bản, xin đồng ý có chữ ký, và có một cách chấm công khác (thẻ, mã số) cho người không đồng ý.

## Ví dụ: một xưởng may

Một xưởng may tưởng tượng có 80 công nhân, dùng máy chấm công vân tay. Máy lưu mẫu vân tay ngay trong máy, và đồng bộ lên một phần mềm quản lý trên máy tính kế toán. Chưa ai từng thông báo gì cho công nhân; mẫu vân tay của người nghỉ việc từ ba năm trước vẫn còn.

Những chỗ cần sửa:

- Viết một thông báo ngắn, đưa vào nội quy hoặc phụ lục hợp đồng (mẫu ở dưới).
- Đổi mật khẩu quản trị mặc định.
- Xoá mẫu vân tay của người đã nghỉ; từ nay xoá vào ngày cuối làm việc.
- Chỉ kế toán và quản lý xưởng vào được phần mềm.
- Hỏi bên bán máy: mẫu vân tay có gửi lên máy chủ nào không, ở đâu.

## Không còn được miễn hồ sơ?

Luật 91/2025/QH15, Điều 38 cho hộ kinh doanh, doanh nghiệp siêu nhỏ không phải lập [hồ sơ đánh giá tác động](https://dulieucanhan.online/thuat-ngu/ho-so-danh-gia-tac-dong) và chỉ định nhân sự bảo vệ dữ liệu, doanh nghiệp nhỏ được chọn trong 5 năm. Nhưng miễn trừ không áp cho bên trực tiếp xử lý dữ liệu cá nhân nhạy cảm, bên kinh doanh dịch vụ xử lý dữ liệu, và bên xử lý dữ liệu của từ 100 nghìn người trở lên (Nghị định 356/2025/NĐ-CP, Điều 41). Xưởng chấm công vân tay có thuộc nhóm này không thì chưa có hướng dẫn chi tiết; theo cách đọc thận trọng, có thể có. Nếu không được miễn, hồ sơ phải gửi trong 60 ngày kể từ ngày đầu tiên xử lý (Luật 91/2025/QH15, Điều 21). Xem [hồ sơ đánh giá tác động: ai phải lập](https://dulieucanhan.online/bai-viet/ho-so-danh-gia-tac-dong-xu-ly-du-lieu).

Ứng dụng chấm công lưu dữ liệu trên máy chủ ở nước ngoài thì có thể là chuyển dữ liệu cá nhân xuyên biên giới (Điều 20). Luật 91/2025/QH15, Điều 20 khoản 6 có miễn hồ sơ cho việc lưu dữ liệu người lao động của chính tổ chức trên điện toán đám mây; ứng dụng của bạn có thuộc trường hợp này không thì nên hỏi luật sư.

## Mẫu thông báo cho nhân viên

Mẫu tham khảo, sửa theo doanh nghiệp và chờ luật sư duyệt:

```
THÔNG BÁO VỀ VIỆC CHẤM CÔNG BẰNG VÂN TAY

Công ty dùng máy chấm công vân tay đặt ở cổng xưởng để ghi giờ
vào, giờ ra của người lao động.

- Dữ liệu thu: mẫu vân tay, mã nhân viên, giờ vào ra.
- Mẫu vân tay là DỮ LIỆU CÁ NHÂN NHẠY CẢM (dữ liệu sinh trắc học). [Cách hiểu thận trọng, chờ luật sư duyệt.]
- Mục đích: chỉ để chấm công, tính lương.
- Người xem: kế toán và quản lý xưởng.
- Lưu: mẫu vân tay được xoá vào ngày cuối cùng làm việc.
- Người không muốn dùng vân tay có thể chấm công bằng thẻ, liên hệ
  [bộ phận nhân sự].

Tôi đã đọc và đồng ý:  [ ] Dùng vân tay   [ ] Dùng thẻ
Họ tên: .................  Ký: .........  Ngày: ..../..../........
```

## Bạn cần làm gì

- Liệt kê cách chấm công đang dùng và dữ liệu mỗi cách thu.
- Thông báo bằng văn bản cho nhân viên; ghi rõ đây là dữ liệu nhạy cảm.
- Có cách chấm công khác cho người không đồng ý.
- Đổi mật khẩu mặc định, giới hạn người vào phần mềm.
- Xoá mẫu vân tay, khuôn mặt vào ngày nhân viên nghỉ; dọn dữ liệu cũ.
- Hỏi nhà cung cấp dữ liệu nằm ở đâu.
- Hỏi luật sư về miễn trừ Điều 38 và hồ sơ đánh giá tác động.

Bộ [mẫu văn bản cho người lao động](https://dulieucanhan.online/mau-nguoi-lao-dong) có phần thông báo về biện pháp giám sát để bạn sửa theo doanh nghiệp. Muốn biết nghĩa vụ ban đầu của doanh nghiệp, dùng [kiểm tra nghĩa vụ](https://dulieucanhan.online/kiem-tra-nghia-vu).

## Căn cứ pháp lý

- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 2, 19, 20, 21, 23, 25, 31, 38.
- Nghị định 356/2025/NĐ-CP: Điều 4 (dữ liệu nhạy cảm, gồm dữ liệu sinh trắc học và vị trí), Điều 6 khoản 4, Điều 29.
- Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h: [toàn văn trên Công báo](https://congbao.chinhphu.vn/van-ban/nghi-dinh-so-330-2026-nd-cp-470339.htm).

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*