Bảo vệ dữ liệu cá nhân của người lao động là nghĩa vụ của doanh nghiệp trong suốt quan hệ lao động, từ tuyển dụng đến sau khi chấm dứt hợp đồng. Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 01/01/2026 dành một điều riêng cho nhóm này. Doanh nghiệp chỉ được thu thập thông tin phục vụ tuyển dụng và quản lý lao động. Doanh nghiệp phải lưu trữ trong thời hạn phù hợp và xóa hoặc hủy khi hết căn cứ, trừ khi luật khác hoặc thỏa thuận có quy định khác.
Bài viết của Global Vietnam Lawyers (GV Lawyers) tổng hợp các nhóm dữ liệu nhân sự, cơ sở xử lý, thời hạn lưu và quyền của người lao động.
Bảo Vệ Dữ Liệu Cá Nhân Của Người Lao Động Gồm Những Gì?
Dữ liệu nhân sự không chỉ nằm trong hồ sơ giấy mà còn nằm trong phần mềm chấm công, bảng lương và hộp thư. Bảng dưới đây nhóm các loại dữ liệu thường gặp:
| Nhóm hồ sơ | Ví dụ | Lưu ý |
|---|---|---|
| Tuyển dụng | CV, bằng cấp, thông tin liên hệ | Chỉ thu thập thông tin phục vụ tuyển dụng, xóa nếu không tuyển |
| Hợp đồng và hồ sơ nhân sự | Hợp đồng lao động, ảnh căn cước công dân, địa chỉ | Ảnh căn cước công dân thuộc nhóm dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP |
| Lương và thuế | Bảng lương, số tài khoản ngân hàng | Thông tin tài khoản ngân hàng là dữ liệu nhạy cảm |
| Bảo hiểm | Hồ sơ bảo hiểm xã hội, bảo hiểm y tế, bảo hiểm sức khỏe | Thông tin bảo hiểm có thể thuộc nhóm nhạy cảm, cần đối chiếu danh mục của Nghị định |
| Sức khỏe | Kết quả khám sức khỏe, giấy nghỉ ốm | Tình trạng sức khỏe là dữ liệu nhạy cảm |
Với dữ liệu nhạy cảm, doanh nghiệp phải thông báo rõ cho người lao động, phân quyền truy cập và áp dụng biện pháp bảo mật chặt hơn. Camera nơi làm việc là vấn đề riêng, không nằm trong phạm vi bài này.
Cơ Sở Xử Lý Và Thông Báo Cho Người Lao Động
Khi tuyển dụng, luật yêu cầu hai điều. Doanh nghiệp chỉ được yêu cầu thông tin phục vụ tuyển dụng, và việc xử lý phải có sự đồng ý của người dự tuyển. Trong giai đoạn quản lý lao động, doanh nghiệp phải tuân thủ cả luật về dữ liệu lẫn pháp luật lao động, việc làm.
Không phải mọi hoạt động đều cần xin đồng ý. Luật cho phép xử lý không cần đồng ý trong một số trường hợp, như thực hiện thỏa thuận với chủ thể dữ liệu hoặc các trường hợp pháp luật quy định. Nghĩa vụ đóng bảo hiểm và kê khai thuế cho người lao động là ví dụ điển hình. Việc áp dụng cho từng loại dữ liệu cần đánh giá riêng.
Khi cần đồng ý, quan hệ lao động có tính phụ thuộc khiến sự tự nguyện dễ bị nghi ngờ. Doanh nghiệp nên tách đồng ý theo từng mục đích và không gộp vào hợp đồng lao động.
Dù dựa trên cơ sở nào, doanh nghiệp vẫn nên có thông báo xử lý dữ liệu dành cho người lao động. Thông báo này nên nêu:
- Loại dữ liệu thu thập và mục đích sử dụng;
- Các bên được nhận dữ liệu, ví dụ cơ quan bảo hiểm, ngân hàng, nhà cung cấp phần mềm;
- Thời hạn lưu trữ và người được truy cập;
- Quyền của người lao động và đầu mối tiếp nhận yêu cầu.
Thông báo có thể đặt trong phụ lục hợp đồng, quy chế nhân sự hoặc nội quy, xem thêm bài tư vấn xây dựng nội quy lao động. Với dữ liệu nhạy cảm, Nghị định 356/2025/NĐ-CP yêu cầu thông báo riêng rằng đó là dữ liệu nhạy cảm.
Thời Hạn Lưu Và Xóa Dữ Liệu Nhân Sự
Luật phân biệt ba tình huống:
- Ứng viên không được tuyển: doanh nghiệp phải xóa hoặc hủy thông tin đã nhận, trừ khi có thỏa thuận khác với ứng viên;
- Người lao động đang làm việc: dữ liệu được lưu trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
- Sau khi chấm dứt hợp đồng: doanh nghiệp phải xóa hoặc hủy dữ liệu, trừ trường hợp có thỏa thuận hoặc luật khác quy định khác.
Điểm khó nằm ở cụm “luật khác quy định”. Pháp luật lao động, bảo hiểm, thuế và kế toán yêu cầu lưu một số hồ sơ trong thời hạn riêng. Doanh nghiệp không nên xóa hàng loạt, cũng không nên giữ vô thời hạn.
Cách làm thận trọng là lập bảng thời hạn lưu theo từng loại hồ sơ, ghi căn cứ pháp luật hoặc thỏa thuận cho từng dòng. Hết hạn thì xóa, hủy và ghi nhận việc đã thực hiện. Lưu dữ liệu quá thời gian cần thiết là hành vi có chế tài theo Nghị định 330/2026/NĐ-CP.
Chia Sẻ Dữ Liệu Người Lao Động Cho Bên Thứ Ba
Dữ liệu nhân sự thường rời khỏi doanh nghiệp qua nhiều đường: cơ quan bảo hiểm và thuế, ngân hàng trả lương, công ty bảo hiểm sức khỏe, nhà cung cấp phần mềm nhân sự hoặc công ty mẹ ở nước ngoài. Luật cho phép chuyển giao khi có sự đồng ý, chia sẻ nội bộ đúng mục đích, giao cho bên xử lý hoặc bên thứ ba theo quy định, hoặc theo yêu cầu của cơ quan có thẩm quyền.
Nghị định 356/2025/NĐ-CP yêu cầu thỏa thuận chuyển giao nêu rõ mục đích, loại dữ liệu, thời hạn xử lý, cơ sở pháp lý và trách nhiệm của các bên. Với nhà cung cấp xử lý dữ liệu thay doanh nghiệp, xem bài hợp đồng xử lý dữ liệu cá nhân DPA.
Tập đoàn đa quốc gia cần lưu ý thêm. Nghị định 356/2025/NĐ-CP có quy định riêng cho việc chuyển dữ liệu ra nước ngoài để quản lý nhân sự theo nội quy, quy chế lao động hoặc thỏa ước lao động tập thể. Điều kiện áp dụng cần đọc kỹ cùng bài chuyển dữ liệu cá nhân xuyên biên giới.
Quyền Của Người Lao Động Và Cách Xử Lý Yêu Cầu
Người lao động là chủ thể dữ liệu nên có các quyền: được biết, đồng ý hoặc không đồng ý và rút lại đồng ý, xem và chỉnh sửa, yêu cầu cung cấp, xóa hoặc hạn chế xử lý, phản đối, khiếu nại và yêu cầu bồi thường. Doanh nghiệp cần có quy trình và biểu mẫu tiếp nhận yêu cầu. Theo Nghị định 356/2025/NĐ-CP, các mốc thời hạn chính là:
- Phản hồi yêu cầu trong 02 ngày làm việc;
- Cho xem, chỉnh sửa hoặc cung cấp dữ liệu trong 10 ngày;
- Thực hiện yêu cầu rút lại đồng ý, hạn chế hoặc phản đối trong 15 ngày;
- Xóa dữ liệu trong 20 ngày;
- Gia hạn một lần, kèm thông báo lý do cho người lao động.
Khi phải giữ lại dữ liệu theo yêu cầu của pháp luật, doanh nghiệp nên giải thích lý do bằng văn bản và lưu hồ sơ mọi yêu cầu, phản hồi.
Sai Lầm Thường Gặp Của Bộ Phận Nhân Sự
Rủi ro lớn nhất trong bảo vệ dữ liệu cá nhân của người lao động thường đến từ thao tác hằng ngày:
- Thu thập thừa: yêu cầu ứng viên nộp thông tin không phục vụ tuyển dụng, hoặc giữ hồ sơ ứng viên không trúng tuyển vô thời hạn;
- Gộp đồng ý vào hợp đồng: một chữ ký cho mọi mục đích, kể cả chia sẻ cho đối tác;
- Gửi bảng lương, danh sách nhân sự qua nhóm trò chuyện hoặc email nhiều người nhận: dữ liệu nhạy cảm bị phát tán ngoài phạm vi cần biết;
- Giao dữ liệu cho nhà cung cấp phần mềm nhân sự mà không có hợp đồng xử lý dữ liệu;
- Không có bảng thời hạn lưu: không biết khi nào phải xóa, khi nào buộc phải giữ.
Nghị định 330/2026/NĐ-CP, có hiệu lực từ ngày 19/08/2026, có nhóm hành vi riêng về tuyển dụng, quản lý, sử dụng lao động. Mức phạt cụ thể xem tại bài xử phạt vi phạm dữ liệu cá nhân 2026. Nghĩa vụ chung của doanh nghiệp có trong bài luật bảo vệ dữ liệu cá nhân 2026.
Cơ Sở Pháp Lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thông qua ngày 26/06/2025, có hiệu lực từ ngày 01/01/2026 (trong đó có điều về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động);
- Nghị định 356/2025/NĐ-CP ngày 31/12/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP;
- Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày ký;
- Bộ luật Lao động số 45/2019/QH14, có hiệu lực từ ngày 01/01/2021, cùng pháp luật về bảo hiểm, thuế và kế toán về thời hạn lưu hồ sơ.
Câu Hỏi Thường Gặp
Bảo vệ dữ liệu cá nhân của người lao động có bắt buộc xin đồng ý cho mọi hồ sơ nhân sự không?
Không. Luật cho phép xử lý không cần đồng ý trong một số trường hợp, như thực hiện thỏa thuận với chủ thể dữ liệu hoặc nghĩa vụ do pháp luật quy định. Riêng thông tin của người dự tuyển phải có sự đồng ý của họ.
Doanh nghiệp có phải xóa hồ sơ khi người lao động nghỉ việc không?
Có, trừ khi có thỏa thuận hoặc luật khác quy định khác. Một số hồ sơ về lao động, bảo hiểm, thuế, kế toán phải lưu theo thời hạn riêng nên không xóa ngay mọi thông tin.
Người lao động có quyền xem hồ sơ cá nhân của mình không?
Có. Người lao động có quyền xem, chỉnh sửa và yêu cầu cung cấp dữ liệu cá nhân của mình. Theo Nghị định 356/2025/NĐ-CP, doanh nghiệp phải phản hồi trong 02 ngày làm việc và thực hiện trong thời hạn quy định theo từng loại yêu cầu.
Có được chia sẻ dữ liệu người lao động cho công ty bảo hiểm hoặc đối tác không?
Được trong các trường hợp luật cho phép, như có đồng ý hoặc giao cho bên xử lý theo hợp đồng. Thỏa thuận cần nêu rõ mục đích, loại dữ liệu, thời hạn và trách nhiệm của các bên.
Dịch Vụ Tư Vấn Dữ Liệu Nhân Sự Tại GV Lawyers
GV Lawyers hỗ trợ doanh nghiệp lập bản đồ dữ liệu nhân sự, soạn thông báo xử lý dữ liệu, bảng thời hạn lưu và các điều khoản bảo mật trong hợp đồng lao động. Dịch vụ nằm trong nhóm tư vấn pháp luật lao động và tư vấn tuân thủ luật bảo vệ dữ liệu cá nhân.
Nếu doanh nghiệp của bạn cần rà soát việc bảo vệ dữ liệu cá nhân của người lao động, hãy liên hệ với GV Lawyers. Chúng tôi sẽ đánh giá hiện trạng và đề xuất lộ trình tuân thủ phù hợp.
Bài viết mang tính chất tham khảo pháp lý chung, không thay thế cho ý kiến tư vấn cụ thể của luật sư đối với từng trường hợp. Liên hệ GV Lawyers để được tư vấn chi tiết.
