Doanh nghiệp phải làm gì để bảo vệ dữ liệu cá nhân người lao động trong tuyển dụng và sử dụng người lao động từ 01/01/2026

Luật số 91/2025/QH15 về Bảo vệ dữ liệu cá nhân (sau đây gọi là "Luật Bảo vệ dữ liệu cá nhân 2025") được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026. Đây là văn bản pháp luật đầu tiên trong hệ thống pháp luật Việt Nam quy định về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan. Luật thay thế và hoàn thiện khung pháp lý trước đây đang điều chỉnh theo Nghị định 13/2023/NĐ-CP.

Khung pháp lý mới này có ảnh hưởng trực tiếp đến hoạt động tuyển dụng, quản lý và sử dụng người lao động của doanh nghiệp, bởi trong quá trình đó doanh nghiệp sẽ thu thập, xử lý và lưu trữ rất nhiều thông tin cá nhân của ứng viên và người lao động – dữ liệu thuộc phạm vi điều chỉnh của Luật Bảo vệ dữ liệu cá nhân.

Nguyên tắc xử lý dữ liệu cá nhân trong tuyển dụng và sử dụng lao động

Nguyên tắc "thu thập đúng mục đích, tối thiểu"

Theo Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025 quy định:

"Dữ liệu cá nhân là dữ liệu dưới dạng ký hiệu, chữ viết, số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử hoặc phi điện tử gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể."

Doanh nghiệp chỉ được yêu cầu ứng viên hoặc người lao động cung cấp dữ liệu cá nhân phù hợp với mục đích tuyển dụng hoặc sử dụng lao động theo quy định pháp luật. Các thông tin được thu thập phải thực sự cần thiết cho mục tiêu đó, tránh thu thập quá mức so với yêu cầu tuyển dụng.

Nguyên tắc về sự đồng ý của chủ thể dữ liệu cá nhân

Tại Khoản 1 Điều 11 Nghị định 13/2023/NĐ-CP có quy định như sau:

"Sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác."

Qua đó, có thể hiểu rằng sự đồng ý của chủ thể dữ liệu là điều kiện tiên quyết và mang tính xuyên suốt trong toàn bộ quá trình xử lý dữ liệu cá nhân. Doanh nghiệp không chỉ cần có sự đồng ý tại thời điểm thu thập, mà còn phải bảo đảm sự đồng ý này bao trùm các hoạt động tiếp theo như lưu trữ, sử dụng, chia sẻ hoặc chuyển giao dữ liệu, trừ các trường hợp ngoại lệ theo quy định pháp luật.

Bên cạnh đó, tại khoản 2 và các khoản liên quan Điều 11 Nghị định 13/2023/NĐ-CP quy định rằng sự đồng ý chỉ có hiệu lực khi được đưa ra trên cơ sở tự nguyện và có đầy đủ thông tin, bao gồm: loại dữ liệu được xử lý, mục đích xử lý, chủ thể xử lý và quyền, nghĩa vụ của chủ thể dữ liệu. Đồng thời, sự đồng ý phải được thể hiện một cách rõ ràng, cụ thể, có thể chứng minh được; sự im lặng hoặc không phản hồi không được coi là sự đồng ý, và trong trường hợp có tranh chấp, bên xử lý dữ liệu có trách nhiệm chứng minh việc đã có sự đồng ý hợp lệ.

Qua đó, có thể thấy rằng sự đồng ý hợp lệ không chỉ dừng lại ở việc "có đồng ý hay không", mà phải là sự đồng ý có hiểu biết (informed consent). Nếu người lao động hoặc ứng viên không được cung cấp đầy đủ thông tin trước khi đồng ý, thì sự đồng ý đó có thể không có giá trị pháp lý, kéo theo rủi ro cho doanh nghiệp trong quá trình sử dụng dữ liệu.

Nguyên tắc xử lý dữ liệu đúng mục đích và bảo mật

Tại Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 quy định việc xử lý dữ liệu cá nhân phải tuân thủ các nguyên tắc, trong đó bao gồm xử lý đúng mục đích, trong phạm vi cần thiết và bảo đảm an toàn, bảo mật dữ liệu cá nhân.

Theo đó, dữ liệu thu thập chỉ được sử dụng để phục vụ mục tiêu đã thông báo (ví dụ: tuyển dụng, quản lý hợp đồng, thanh toán lương…) hoặc cho mục đích khác khi có sự đồng ý hợp lệ của chủ thể dữ liệu theo quy định pháp luật.

Đồng thời, các nguyên tắc này được cụ thể hóa tại Điều 3 và Điều 26 Nghị định 13/2023/NĐ-CP, theo đó bên kiểm soát và xử lý dữ liệu có trách nhiệm áp dụng các biện pháp kỹ thuật và tổ chức phù hợp nhằm bảo đảm an toàn dữ liệu trong suốt quá trình xử lý, bao gồm việc phòng ngừa truy cập trái phép, mất mát, rò rỉ hoặc hủy hoại dữ liệu.

Qua đó, có thể thấy doanh nghiệp không chỉ bị ràng buộc về mục đích sử dụng dữ liệu, mà còn phải duy trì cơ chế bảo mật tương ứng với mức độ rủi ro của dữ liệu, đặc biệt đối với dữ liệu cá nhân nhạy cảm.

Trách nhiệm của doanh nghiệp trong tuyển dụng

Thu thập dữ liệu ứng viên phù hợp quy định

Tại Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 quy định việc xử lý dữ liệu cá nhân phải bảo đảm nguyên tắc chỉ xử lý trong phạm vi cần thiết và phù hợp với mục đích đã xác định.

Theo đó, doanh nghiệp chỉ được yêu cầu ứng viên cung cấp những thông tin liên quan trực tiếp đến hoạt động tuyển dụng. Việc thu thập dữ liệu không cần thiết hoặc vượt quá mục đích tuyển dụng có thể bị xem là xử lý dữ liệu không đúng nguyên tắc, tiềm ẩn rủi ro vi phạm pháp luật.

Mục đích sử dụng dữ liệu

Tại Điều 4 và các quy định về sự đồng ý của chủ thể dữ liệu trong Luật Bảo vệ dữ liệu cá nhân 2025, việc xử lý dữ liệu cá nhân phải đúng mục đích đã thông báo và dựa trên sự đồng ý hợp lệ của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.

Đồng thời, nội dung này được cụ thể hóa tại Điều 3 và Điều 11 Nghị định 13/2023/NĐ-CP.

Do đó, thông tin ứng viên cung cấp chỉ được sử dụng cho mục đích tuyển dụng, hoặc cho mục đích khác khi đã có sự đồng ý rõ ràng, cụ thể của ứng viên. Đây là nguyên tắc cốt lõi nhằm hạn chế việc doanh nghiệp sử dụng dữ liệu vượt quá phạm vi mà người cung cấp đã chấp thuận.

Xử lý dữ liệu của ứng viên không trúng tuyển

Tại Điều 4 và các quy định về quyền của chủ thể dữ liệu trong Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân chỉ được lưu trữ trong thời gian phù hợp với mục đích xử lý. Khi mục đích đã đạt được, việc tiếp tục lưu trữ phải có căn cứ pháp lý hoặc sự đồng ý của chủ thể dữ liệu.

Bên cạnh đó, tại Điều 16 Nghị định 13/2023/NĐ-CP quy định chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu cá nhân khi không còn cần thiết.

Theo đó, đối với ứng viên không trúng tuyển, doanh nghiệp có trách nhiệm xóa hoặc hủy dữ liệu cá nhân sau khi kết thúc quy trình tuyển dụng, trừ khi có thỏa thuận khác với ứng viên về việc tiếp tục lưu trữ (ví dụ: phục vụ tuyển dụng trong tương lai).

Việc lưu trữ dữ liệu không có căn cứ hợp pháp có thể dẫn đến vi phạm quy định về bảo vệ dữ liệu cá nhân, kéo theo rủi ro xử phạt hành chính hoặc trách nhiệm bồi thường thiệt hại.

Trách nhiệm của doanh nghiệp trong quản lý và sử dụng người lao động

Thông báo đầy đủ và có sự đồng ý khi thu thập dữ liệu trong quá trình làm việc

Tại Điều 4 và các quy định về sự đồng ý của chủ thể dữ liệu trong Luật Bảo vệ dữ liệu cá nhân 2025, việc xử lý dữ liệu cá nhân phải bảo đảm minh bạch về mục đích, phạm vi xử lý và dựa trên sự đồng ý hợp lệ của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.

Đồng thời, nội dung này được cụ thể hóa tại Điều 11 và Điều 13 Nghị định 13/2023/NĐ-CP.

Theo đó, trong quá trình làm việc, khi người lao động cung cấp thêm dữ liệu cá nhân thông qua hợp đồng, hồ sơ nội bộ hoặc các biện pháp công nghệ như camera giám sát, hệ thống chấm công điện tử…, doanh nghiệp phải thông báo rõ ràng về mục đích thu thập, phương thức sử dụng và phạm vi xử lý dữ liệu. Trường hợp không thuộc các ngoại lệ theo luật, doanh nghiệp cần thu thập sự đồng ý hợp lệ của người lao động trước khi xử lý.

Khi NLĐ cung cấp thêm dữ liệu cá nhân thông qua hợp đồng doanh nghiệp phải thông báo rõ và phạm vi xử lý dữ liệu

Lưu trữ dữ liệu trong giới hạn thời gian cần thiết

Tại Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 quy định dữ liệu cá nhân chỉ được lưu trữ trong thời gian phù hợp với mục đích xử lý.

Theo đó, dữ liệu của người lao động chỉ được lưu trữ trong khoảng thời gian cần thiết để phục vụ mục đích quản lý lao động hoặc theo yêu cầu của pháp luật (ví dụ: hồ sơ kế toán, bảo hiểm xã hội…). Doanh nghiệp cần xây dựng chính sách lưu trữ dữ liệu rõ ràng, phân định giữa dữ liệu phải lưu giữ để tuân thủ nghĩa vụ pháp lý và dữ liệu cần được xóa khi không còn cần thiết.

Xóa hoặc hủy dữ liệu khi chấm dứt hợp đồng lao động

Tại Điều 4 và các quy định về quyền của chủ thể dữ liệu trong Luật Bảo vệ dữ liệu cá nhân 2025, việc tiếp tục lưu trữ dữ liệu cá nhân sau khi mục đích xử lý đã hoàn thành phải có căn cứ pháp lý hợp lệ.

Bên cạnh đó, tại Điều 16 Nghị định 13/2023/NĐ-CP quy định chủ thể dữ liệu có quyền yêu cầu xóa dữ liệu cá nhân khi không còn cần thiết.

Theo đó, khi chấm dứt hợp đồng lao động, doanh nghiệp có trách nhiệm xóa, hủy hoặc làm vô hiệu hóa dữ liệu cá nhân của người lao động, trừ các trường hợp:

• Pháp luật yêu cầu tiếp tục lưu trữ (ví dụ: nghĩa vụ thuế, bảo hiểm);
• Hoặc có thoả thuận hợp lệ khác với người lao động.

Việc tiếp tục lưu trữ dữ liệu không có căn cứ có thể dẫn đến vi phạm quy định về bảo vệ dữ liệu cá nhân, kéo theo rủi ro xử phạt hoặc trách nhiệm bồi thường.

Xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân từ 01/01/2026

Từ ngày 01/01/2026, theo quy định tại Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức, cá nhân có hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ và hậu quả, có thể bị xử phạt vi phạm hành chính, truy cứu trách nhiệm hình sự hoặc buộc bồi thường thiệt hại nếu gây ra tổn thất cho chủ thể dữ liệu.

Mức xử phạt vi phạm hành chính đáng chú ý

Luật lần đầu tiên đưa ra các mức phạt rất cao, mang tính răn đe mạnh đối với doanh nghiệp:

• Hành vi mua, bán dữ liệu cá nhân: Mức phạt tối đa lên đến 10 lần khoản thu bất hợp pháp từ hành vi vi phạm;
• Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: Mức phạt tối đa lên đến 5% tổng doanh thu của năm trước liền kề;
• Các hành vi vi phạm khác: Mức phạt tối đa lên đến 3 tỷ đồng.

Ngoài ra, theo quy định:

• Mức phạt áp dụng đối với tổ chức;
• Cá nhân vi phạm sẽ bị phạt tối đa bằng 1/2 mức phạt của tổ chức.

Các loại trách nhiệm pháp lý doanh nghiệp có thể phải đối mặt

Bên cạnh xử phạt hành chính, doanh nghiệp còn có thể phải chịu:

• Trách nhiệm dân sự: Theo Bộ luật Dân sự 2015, doanh nghiệp phải bồi thường thiệt hại nếu việc vi phạm làm lộ, mất hoặc sử dụng sai dữ liệu cá nhân gây ảnh hưởng đến người lao động;
• Trách nhiệm hình sự: Trong trường hợp vi phạm nghiêm trọng (ví dụ: mua bán, khai thác trái phép dữ liệu cá nhân), cá nhân liên quan có thể bị truy cứu theo Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017).

Rủi ro cụ thể trong tuyển dụng và quản lý người lao động

Đối với doanh nghiệp, các hành vi sau đặc biệt dễ phát sinh vi phạm:

• Thu thập dữ liệu ứng viên vượt quá phạm vi cần thiết;
• Lưu trữ hồ sơ ứng viên không trúng tuyển mà không có sự đồng ý;
• Sử dụng dữ liệu nhân sự (lương, đánh giá, thông tin cá nhân) sai mục đích;
• Theo dõi người lao động (camera, phần mềm) không minh bạch;
• Không bảo đảm an toàn hệ thống dẫn đến rò rỉ dữ liệu nội bộ.

Quyền và nghĩa vụ của chủ thể dữ liệu cá nhân từ 01/01/2026

Từ ngày 01/01/2026, theo quy định tại Luật Bảo vệ dữ liệu cá nhân 2025, chủ thể dữ liệu cá nhân (bao gồm ứng viên, người lao động) được ghi nhận một hệ thống quyền và nghĩa vụ rõ ràng nhằm kiểm soát thông tin cá nhân của mình trong suốt quá trình xử lý dữ liệu.

Quyền của chủ thể dữ liệu cá nhân

Chủ thể dữ liệu có các quyền cơ bản sau:

• Quyền được biết và được thông báo: Được biết về việc dữ liệu cá nhân của mình đang được thu thập, xử lý, bao gồm mục đích, phạm vi và bên liên quan;
• Quyền đồng ý và rút lại sự đồng ý: Có quyền chấp thuận hoặc từ chối việc xử lý dữ liệu, đồng thời có thể rút lại sự đồng ý bất kỳ lúc nào, trừ trường hợp pháp luật có quy định khác;
• Quyền truy cập và yêu cầu cung cấp dữ liệu: Được yêu cầu doanh nghiệp cung cấp thông tin về dữ liệu cá nhân của mình đang được lưu trữ;
• Quyền yêu cầu chỉnh sửa, cập nhật dữ liệu: Khi dữ liệu không chính xác hoặc không đầy đủ, chủ thể dữ liệu có quyền yêu cầu điều chỉnh;
• Quyền yêu cầu xóa dữ liệu: Khi dữ liệu không còn cần thiết hoặc việc xử lý không còn phù hợp, chủ thể dữ liệu có quyền yêu cầu xóa;
• Quyền hạn chế hoặc phản đối xử lý dữ liệu: Trong một số trường hợp, chủ thể dữ liệu có thể yêu cầu ngừng hoặc hạn chế việc xử lý dữ liệu;
• Quyền khiếu nại, tố cáo và yêu cầu bồi thường: Khi quyền lợi bị xâm phạm, có quyền yêu cầu cơ quan có thẩm quyền xử lý hoặc yêu cầu bồi thường thiệt hại.

Chủ thể dữ liệu có quyền khiếu nại, tố cáo, yêu cầu bồi thường khi quyền lợi bị xâm phạm

Nghĩa vụ của chủ thể dữ liệu cá nhân

Bên cạnh các quyền, chủ thể dữ liệu cũng có một số nghĩa vụ nhất định:

• Cung cấp dữ liệu chính xác, đầy đủ khi tham gia các quan hệ lao động hoặc tuyển dụng;
• Tuân thủ các thỏa thuận đã xác lập với doanh nghiệp liên quan đến việc cung cấp và sử dụng dữ liệu;
• Không lạm dụng quyền để cản trở hoạt động xử lý dữ liệu hợp pháp của doanh nghiệp;
• Phối hợp với doanh nghiệp khi cần thiết để xác minh, cập nhật thông tin.

Ý nghĩa đối với doanh nghiệp

Việc luật hóa các quyền và nghĩa vụ của chủ thể dữ liệu đặt ra yêu cầu doanh nghiệp phải:

• Thiết lập cơ chế tiếp nhận và xử lý yêu cầu của người lao động (truy cập, chỉnh sửa, xóa dữ liệu…);
• Bảo đảm khả năng chứng minh việc tuân thủ khi có tranh chấp;
• Chủ động điều chỉnh quy trình nhân sự để phù hợp với quyền kiểm soát dữ liệu ngày càng cao của người lao động.

Từ năm 2026, người lao động không còn là "bên cung cấp thông tin thụ động", mà trở thành chủ thể có quyền kiểm soát dữ liệu cá nhân của mình, buộc doanh nghiệp phải chuyển từ tư duy "thu thập dữ liệu" sang "quản trị dữ liệu tuân thủ pháp luật".

Nếu có bất kỳ thắc mắc hay cần tư vấn pháp luật vui lòng liên hệ chúng tôi qua các hình thức sau:

Hotline Luật sư tư vấn trực tiếp: 1900 2929 01

Nhập thông tin đăng ký tư vấn luật tại đây: https://luatsulh.com/dang-ky-tu-van.html

Liên hệ đặt lịch hẹn qua zalo số: 0903 796 830

Website: https://luatsulh.com/

Văn phòng: Hồ Chí Minh | Hà Nội | Khánh Hòa

Theo dõi Công ty Luật LH Legal tại:

Website: https://luatsulh.com/

Facebook: Luật sư LH Legal

Youtube: Luật sư LH Legal

Kênh Tiktok Luật sư Hoà: Luật sư Hoà (LH Legal)

Kênh Tiktok Công ty: Luật sư LH Legal

Kênh Tiktok Luật sư Hình sự: Luật sư Hình sự

Kênh Zalo OA

Hồ sơ năng lực LH Legal