NGƯỜI SỬ DỤNG LAO ĐỘNG CÓ PHẢI XÓA DỮ LIỆU CÁ NHÂN CỦA NGƯỜI LAO ĐỘNG KHI HỌ NGHỈ VIỆC KHÔNG?

Kể từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực, đặt ra hàng loạt nghĩa vụ pháp lý mới cho các doanh nghiệp trong việc thu thập, xử lý và bảo quản thông tin của người lao động. Trong đó, một trong những quy định gây chú ý nhất là nghĩa vụ bắt buộc xóa dữ liệu cá nhân của người lao động khi họ chấm dứt hợp đồng lao. Vậy quy định này được hiểu và áp dụng như thế nào trên thực tế?

I. Phạm vi dữ liệu cá nhân của người lao động

Theo Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân được phân thành hai loại:

o Dữ liệu cá nhân cơ bản:

o Dữ liệu cá nhân nhạy cảm:

Đáng lưu ý, dữ liệu sau khi đã được khử nhận dạng, dữ liệu cá nhân đã được xử lý đến mức không còn xác định được một cá nhân cụ thể nào nữa, thì không còn là dữ liệu cá nhân nữa và có thể được sử dụng rộng rãi.

II. Các nghĩa vụ của Người sử dụng lao động đối với thông tin cá nhân của Người lao động

1. Nghĩa vụ xử lý dữ liệu trong giai đoạn tuyển dụng

Không chỉ dừng lại ở giai đoạn chấm dứt hợp đồng lao động, Luật Bảo vệ dữ liệu cá nhân 2025 còn quy định rõ nghĩa vụ doanh nghiệp có nghĩa vụ xử lý thông tin của người lao động tại thời điểm tuyển dụng.

Cụ thể, trong quá trình tuyển dụng, doanh nghiệp chỉ được yêu cầu ứng viên cung cấp những thông tin phục vụ đúng và trực tiếp cho mục đích tuyển dụng. Thông tin đó phải được xử lý dựa trên sự đồng ý của người dự tuyển, và phải được xóa hoặc hủy trong trường hợp không tuyển dụng, trừ khi các bên có thỏa thuận khác.

Quy định này nhằm ngăn chặn thực trạng doanh nghiệp thu thập thông tin ứng viên tràn lan, lưu giữ vô thời hạn và thông tin có thể bị công khai khi chưa được sự đồng ý của các ứng viên.

2. Nghĩa vụ xóa dữ liệu cá nhân khi người lao động nghỉ việc

Căn cứ Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, người sử dụng lao động có nghĩa vụ xóa hoặc hủy dữ liệu cá nhân của người lao động khi quan hệ lao động chấm dứt. Đây là quy định mang tính bắt buộc, không phụ thuộc vào ý chí đơn phương của người sử dụng lao động.

Tuy nhiên, quy định này không mang tính tuyệt đối. Pháp luật ghi nhận hai nhóm ngoại lệ quan trọng cho phép tiếp tục lưu giữ dữ liệu sau khi người lao động nghỉ việc:

Như vậy, người sử dụng lao động có nghĩa vụ xóa dữ liệu cá nhân của người lao động khi họ nghỉ việc, trừ các trường hợp ngoại lệ nêu trên.

3. Các nghĩa vụ liên quan trong quá trình sử dụng người lao động

Bên cạnh nghĩa vụ xóa dữ liệu, Luật Bảo vệ dữ liệu cá nhân 2025 còn đặt ra một số yêu cầu quan trọng mà người sử dụng lao động phải tuân thủ trong suốt quá trình quản lý nhân sự:

III. Đánh giá tình huống thực tiễn pháp lý hành vi của Công ty X

a. Tóm tắt sự kiện

Công ty X đã đăng tải công khai trên nền tảng số một tài liệu liệt kê hơn 420 cái tên kèm chức danh, cấp bậc thuộc diện "không tái tuyển dụng". Mặc dù số điện thoại và căn cước công dân được che một phần, nhưng sự họ và tên của người lao động vẫn được công khai đầy đủ, chức vụ và đủ điều kiện để nhận diện từng cá nhân cụ thể trong cộng đồng nghề nghiệp. Danh sách này ngay sau đó đã bị gỡ xuống, song vẫn bị lan truyền rộng rãi trên mạng xã hội.

b. Phân tích pháp lý về hành vi của Công ty X

Cần thừa nhận rằng, về mặt nguyên tắc, quyền quản trị nhân sự nội bộ là quyền hợp pháp của doanh nghiệp. Người sử dụng lao động hoàn toàn có quyền:

Tuy nhiên, ranh giới giữa quyền quản trị nội bộ hợp pháp và vi phạm quyền riêng tư chính là ở hành vi công bố ra bên ngoài. Việc đăng tải danh sách công khai trên môi trường số đã vượt qua giới hạn đó theo nhiều chiều:

Vì thế, nhìn nhận một cách toàn diện, việc Công ty X duy trì danh sách không tái tuyển dụng cho mục đích quản trị nội bộ là điều có thể được chấp nhận, với điều kiện danh sách đó được lưu giữ bảo mật trong nội bộ doanh nghiệp và chỉ sử dụng để phục vụ cho hoạt động tuyển dụng chính doanh nghiệp đó. Nhưng hành vi đăng tải công khai lên nền tảng số kèm theo đủ thông tin nhận diện cá nhân thì hoàn toàn không có căn cứ pháp lý nào biện hộ được.

Việc danh sách bị gỡ xuống nhanh chóng có thể là dấu hiệu cho thấy đây là hành vi tắc trách từ bộ phận nhân sự tại thời điểm đó, song điều đó không làm giảm mức độ vi phạm về bảo vệ dữ liệu cá nhân đã xảy ra trong thực tế.

IV. Bài học thực tiễn cho doanh nghiệp

Từ sự kiện Công ty X và trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 vừa có hiệu lực, các doanh nghiệp cần rút ra một số bài học quan trọng sau:

V. Kết luận

Tóm lại, với sự ra đời của Luật Bảo vệ dữ liệu cá nhân 2025, quan hệ giữa người sử dụng lao động và người lao động không còn đơn thuần là quan hệ về công việc và tiền lương, mà còn bao hàm cả trách nhiệm pháp lý trong việc bảo vệ thông tin cá nhân. Nghĩa vụ xóa dữ liệu khi người lao động nghỉ việc là một trong những yêu cầu mới mang tính bắt buộc, đòi hỏi doanh nghiệp phải chủ động rà soát, cập nhật quy trình quản lý nhân sự để tránh rủi ro vi phạm pháp luật. Ngoài ra, việc xây dựng chính sách bảo vệ dữ liệu cá nhân nội bộ, cũng như đào tạo đội ngũ nhân sự về các quy định mới là những bước đi cần thiết mà mọi doanh nghiệp nên ưu tiên thực hiện ngay trong thời điểm hiện tại.

CÔNG TY LUẬT TNHH DL PINNACLE