Nghĩa vụ bắt buộc của doanh nghiệp đối với dữ liệu của người lao động bắt đầu từ lúc nhận hồ sơ ứng viên và kéo dài đến sau khi người lao động nghỉ việc. Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ doanh nghiệp phải thu thập đúng, lưu trữ đúng và xóa đúng thời điểm. Bài viết sau đây giải thích từng nghĩa vụ theo cách dễ hiểu, kèm căn cứ pháp lý cụ thể để Quý khách hàng áp dụng vào thực tế.
1. Dữ liệu cá nhân của người lao động gồm những gì?
Hiểu đơn giản, dữ liệu cá nhân của người lao động là mọi thông tin giúp nhận ra một người cụ thể, phát sinh trong quá trình tuyển dụng và làm việc. Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025 chia dữ liệu này thành hai nhóm: dữ liệu cơ bản và dữ liệu nhạy cảm.
Cách phân loại này quyết định doanh nghiệp phải bảo vệ thông tin ở mức nào.
- Dữ liệu cơ bản là những thông tin quen thuộc: họ tên, ngày sinh, địa , số điện thoại, email,…
- Dữ liệu nhạy cảm phức tạp hơn và cần bảo vệ chặt hơn, gồm tình trạng sức khỏe, dữ liệu sinh trắc học (vân tay, khuôn mặt dùng để chấm công), thông tin tài khoản ngân hàng, lý lịch,….
Danh mục chi tiết hai loại dữ liệu này được quy định tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Doanh nghiệp nên rà soát lại toàn bộ hồ sơ nhân sự đang lưu trữ, đối chiếu với danh mục mới này để biết thông tin nào cần bảo vệ ở mức cao hơn, tránh áp dụng theo quy định cũ đã hết hiệu lực.
2. Nghĩa vụ trong giai đoạn tuyển dụng nhân sự
Ngay từ khi nhận hồ sơ ứng viên, doanh nghiệp đã phải tuân thủ quy định bảo vệ dữ liệu cá nhân của ứng viên như sau: chỉ hỏi thông tin cần thiết cho vị trí tuyển dụng, giữ bí mật hồ sơ trong lúc xét duyệt, và xóa hồ sơ khi ứng viên không trúng tuyển. Trách nhiệm này được quy định tại Điều 25 Luật Bảo vệ dữ liệu cá nhân.
Theo Điểm a Khoản 1 Điều 25, doanh nghiệp chỉ được yêu cầu ứng viên cung cấp thông tin phục vụ trực tiếp cho việc tuyển dụng.
Ví dụ, tuyển vị trí kế toán thì không cần hỏi tình trạng hôn nhân của ứng viên. Thông tin thu thập được cũng chỉ dùng cho mục đích tuyển dụng, không được chia sẻ sang mục đích khác nếu ứng viên chưa đồng ý.
Khi ứng viên không trúng tuyển, doanh nghiệp phải xóa, hủy thông tin đã cung cấp của người dự tuyển, trừ khi hai bên có thỏa thuận khác phù hợp quy định pháp luật, chẳng hạn ứng viên đồng ý để hồ sơ trong ngân hàng ứng viên cho các đợt tuyển dụng sau.
Đây là điểm nhiều doanh nghiệp hay quên: hồ sơ ứng viên không trúng tuyển vẫn lưu trữ trong máy chủ nhiều năm mà không có lý do chính đáng.
3. Nghĩa vụ trong quá trình quản lý và sử dụng lao động
Doanh nghiệp phải bảo đảm việc xử lý dữ liệu cá nhân tuân thủ pháp luật trong suốt quá trình quản lý, sử dụng lao động.
Các nghĩa vụ trọng tâm bao gồm lưu trữ và xóa dữ liệu đúng thời hạn, áp dụng các biện pháp giám sát, tăng cường bảo vệ dữ liệu cá nhân nhạy cảm và kịp thời giải quyết các yêu cầu của người lao động liên quan đến dữ liệu của họ.
Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân, khi quan hệ lao động chấm dứt, doanh nghiệp phải xóa dữ liệu cá nhân của người lao động, trừ trường hợp pháp luật chuyên ngành yêu cầu tiếp tục lưu giữ, chẳng hạn hồ sơ bảo hiểm xã hội hoặc hồ sơ thuế thu nhập cá nhân.
Do đó, doanh nghiệp nên quy định rõ trong quy chế nội bộ loại dữ liệu phải xóa, loại dữ liệu được lưu giữ và thời hạn lưu giữ tương ứng.
Trường hợp sử dụng camera giám sát, phần mềm theo dõi máy tính hoặc hệ thống chấm công bằng vân tay, doanh nghiệp cần thông báo trước cho người lao động về mục đích sử dụng, phạm vi truy cập và thời gian lưu trữ dữ liệu nhằm bảo đảm tính minh bạch.
Lưu ý
Đối với dữ liệu cá nhân nhạy cảm như hồ sơ sức khỏe hoặc dữ liệu sinh trắc học, doanh nghiệp cần áp dụng các biện pháp bảo mật phù hợp, bao gồm giới hạn quyền truy cập và mã hóa dữ liệu khi cần thiết.
Đồng thời, khi người lao động yêu cầu truy cập, chỉnh sửa hoặc xóa dữ liệu của mình, doanh nghiệp phải phản hồi trong thời hạn quy định tại khoản 2 và khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP.
4. Nghĩa vụ thực hiện thủ tục hành chính với Cơ quan Nhà nước
Bên cạnh việc thực hiện nghĩa vụ đối với người lao động, doanh nghiệp còn phải tuân thủ các nghĩa vụ hành chính về bảo vệ dữ liệu cá nhân để tránh rủi ro bị xử phạt trong quá trình thanh tra, kiểm tra.
Theo Điều 21 Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp phải lập và duy trì hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, trong đó nêu rõ loại dữ liệu được xử lý, mục đích xử lý, biện pháp bảo vệ và các rủi ro có thể phát sinh. Hồ sơ phải được cập nhật khi có thay đổi đáng kể trong hoạt động xử lý dữ liệu.
Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân, khi xảy ra sự cố rò rỉ hoặc vi phạm dữ liệu cá nhân, doanh nghiệp phải kịp thời thông báo cho cơ quan nhà nước có thẩm quyền và triển khai các biện pháp khắc phục nhằm hạn chế thiệt hại.
Ngoài ra, doanh nghiệp có trách nhiệm phối hợp, cung cấp thông tin theo yêu cầu của cơ quan có thẩm quyền trong quá trình thanh tra, kiểm tra. Để bảo đảm tuân thủ, doanh nghiệp nên xây dựng sẵn quy trình ứng phó sự cố, phân công rõ trách nhiệm báo cáo và xử lý khi phát sinh vi phạm.
5. Các trường hợp doanh nghiệp được miễn trừ thực hiện
Nhằm giảm bớt gánh nặng thủ tục hành chính cho các doanh nghiệp quy mô nhỏ pháp luật quy định một số trường hợp được miễn trừ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và nghĩa vụ chỉ định bộ phận, nhân sự bảo vệ dữ liệu cá nhân.
Đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp
Được quyền lựa chọn thực hiện hoặc không thực hiện các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33 trong thời gian 05 năm kể từ ngày 01/01/2026. Tuy nhiên, quyền lựa chọn này không áp dụng đối với các doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể.
Đối với hộ kinh doanh, doanh nghiệp siêu nhỏ
Được miễn trừ hoàn toàn các quy định tại Điều 21, Điều 22 và khoản 2 Điều 33. Tương tự, sự miễn trừ này không áp dụng đối với các tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu cá nhân của số lượng lớn chủ thể.
Lưu ý: Việc được miễn trừ một số thủ tục hành chính nêu trên không đồng nghĩa với việc doanh nghiệp được miễn trừ nghĩa vụ bảo vệ dữ liệu cá nhân nói chung. Doanh nghiệp vẫn phải tuân thủ nghiêm ngặt các nguyên tắc bảo vệ dữ liệu, áp dụng các biện pháp bảo mật cần thiết để chống rò rỉ thông tin dữ liệu cá nhân.
>>> Xem thêm: Dịch vụ tư vấn pháp luật vụ việc
6. Dịch vụ Luật sư tư vấn pháp luật về bảo vệ dữ liệu cá nhân cho doanh nghiệp
Luật LCP đồng hành cùng doanh nghiệp xây dựng và duy trì hệ thống bảo vệ dữ liệu cá nhân của người lao động, đúng quy định và dễ vận hành trong thực tế. Các công việc luật sư thực hiện cho Quý khách hàng bao gồm:
- Rà soát toàn bộ dữ liệu cá nhân của người lao động doanh nghiệp đang thu thập, lưu trữ và xử lý
- Xây dựng chính sách bảo vệ dữ liệu cá nhân nội bộ và quy trình xóa hồ sơ ứng viên không trúng tuyển
- Soạn hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Điều 21 Luật Bảo vệ dữ liệu cá nhân
- Tư vấn thời hạn lưu trữ và cách xóa dữ liệu cá nhân sau khi người lao động nghỉ việc
- Xây dựng quy trình phản ứng và thông báo khi xảy ra sự cố rò rỉ dữ liệu cá nhân
- Đại diện doanh nghiệp làm việc với cơ quan nhà nước khi có yêu cầu thanh tra, kiểm tra
KẾT LUẬN
Quý khách hàng cần xây dựng chính sách bảo vệ dữ liệu cá nhân cho người lao động, kiểm tra lại mức độ tuân thủ hiện tại, hoặc đang xử lý một sự cố rò rỉ dữ liệu, vui lòng liên hệ Luật LCP qua Hotline 0962275827 để được luật sư tư vấn trực tiếp và kịp thời.
