DOANH NGHIỆP PHẢI XÓA DỮ LIỆU CÁ NHÂN CỦA NGƯỜI LAO ĐỘNG KHI CHẤM DỨT HỢP ĐỒNG LAO ĐỘNG?

Dữ liệu cá nhân là gì?

Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (đang có hiệu lực tại Việt Nam), dữ liệu cá nhân được hiểu là: “Thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể.”

Dữ liệu cá nhân được chia thành hai nhóm chính: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Dữ liệu cá nhân cơ bản: là những thông tin phản ánh đặc điểm nhận dạng chung của cá nhân, được thu thập và xử lý phổ biến trong các quan hệ dân sự, lao động, hành chính theo quy định pháp luật.

Bao gồm nhưng không giới hạn ở: họ và tên; ngày, tháng, năm sinh; giới tính; quốc tịch; số điện thoại; địa chỉ thư điện tử; địa chỉ cư trú; trình độ học vấn; nghề nghiệp; hình ảnh cá nhân thông thường và các thông tin nhận dạng khác theo quy định của pháp luật.

Dữ liệu cá nhân nhạy cảm: là những thông tin gắn liền với đời sống riêng tư của cá nhân, việc xử lý các dữ liệu này có thể ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân, do đó được pháp luật bảo vệ ở mức độ cao hơn.

Bao gồm nhưng không giới hạn ở: thông tin về quan điểm chính trị, tôn giáo; tình trạng sức khỏe; hồ sơ bệnh án; dữ liệu sinh trắc học; thông tin tài chính, ngân hàng; đời sống tình dục, xu hướng tính dục; dữ liệu định vị; thông tin về tiền án, tiền sự và các dữ liệu khác theo quy định của pháp luật.

Ý nghĩa trong quan hệ lao động

Việc phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm giúp người sử dụng lao động:

• Xác định phạm vi thông tin được phép thu thập và lưu trữ.
• Tôn trọng quyền riêng tư của người lao động.
• Thực hiện đúng nghĩa vụ xóa, hủy dữ liệu cá nhân khi không còn cần thiết, đặc biệt là đối với dữ liệu nhạy cảm.

Qua đó, bảo đảm sự cân bằng giữa quản lý nhân sự hợp pháp và bảo vệ quyền dữ liệu cá nhân của người lao động theo pháp luật Việt Nam hiện hành.

Người sử dụng lao động phải xóa, hủy dữ liệu cá nhân của người lao động trong trường hợp nào?

Căn cứ theo điểm c khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025 quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động như sau:

“Điều 25. Bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động

1. Trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân trong tuyển dụng lao động được quy định như sau:
2. a) Chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng của cơ quan, tổ chức, cá nhân tuyển dụng phù hợp với quy định của pháp luật; thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định của pháp luật;
3. b) Thông tin cung cấp phải được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển;
4. c) Phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển;
5. Trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân trong quản lý, sử dụng người lao động được quy định như sau:
6. a) Tuân thủ quy định của Luật này, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
7. b) Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
8. c) Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.
9. Việc xử lý dữ liệu cá nhân của người lao động được thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động được quy định như sau:
10. a) Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó;
11. b) Không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.”

Điều 16 khoản 2 Nghị định 13/2023/NĐ-CP quy định: “Việc xóa dữ liệu phải được thực hiện kịp thời, đầy đủ, không thể khôi phục.”

Theo đó, dưới góc độ pháp lý hiện hành ở Việt Nam, vấn đề đặt ra về trách nhiệm xóa dữ liệu cá nhân của người lao động là một vấn đề ngày càng được quan tâm và phải được xử lý thận trọng để vừa tuân thủ luật pháp, vừa bảo vệ quyền của người lao động.

 

Luật Bảo vệ dữ liệu cá nhân năm 2025 (Personal Data Protection Law) sẽ có hiệu lực kể từ 01/01/2026, quy định rằng khi chấm dứt hợp đồng lao động, người sử dụng lao động phải xóa, hủy dữ liệu cá nhân của người lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác. Điều này thể hiện một bước tiến mạnh mẽ trong quyền bảo vệ dữ liệu cá nhân của người lao động, khẳng định rằng dữ liệu cá nhân sẽ được bảo vệ nếu đã hoàn thành mục đích xử lý hoặc khi người lao động không còn làm việc tại doanh nghiệp nữa.

Trong khi đó, Bộ luật Lao động 2019 và các văn bản hướng dẫn quy định người sử dụng lao động phải lập và quản lý hồ sơ lao động, thông tin liên quan đến người lao động (như sổ quản lý lao động, hợp đồng lao động, hồ sơ kỷ luật, bảng lương…) để phục vụ công tác quản lý, quản trị, thanh tra, kiểm tra và giải quyết tranh chấp về lao động. Thời hạn lưu trữ được quy định theo pháp luật chuyên ngành về lưu trữ tài liệu, bảo hiểm, kế toán… hoặc thỏa thuận giữa các bên phù hợp với mục đích quản lý và quy định của pháp luật.

Nhận định: Doanh nghiệp thực hiện xóa, hủy dữ liệu cá nhân của người lao động, tuy nhiên, vẫn phải tuân thủ các yêu cầu pháp luật khác về lưu trữ hồ sơ liên quan đến mối quan hệ lao động trong thời gian cần thiết – ví dụ để giải quyết tranh chấp lao động, thanh tra, kiểm tra cơ quan quản lý, tuân thủ pháp luật về bảo hiểm xã hội, kê khai thuế… Như vậy, không phải tất cả hồ sơ nhân sự hay toàn bộ dữ liệu cá nhân của người lao động đều phải xóa ngay sau khi hợp đồng chấm dứt. Những dữ liệu cá nhân của người lao động không bị ràng buộc bởi văn bản pháp luật chuyên ngành khác thì phải lưu trữ theo pháp luật chuyên ngành hoặc lưu trữ theo thỏa thuận của các bên.