TRÁCH NHIỆM CỦA DOANH NGHIỆP TRONG VIỆC BẢO VỆ DỮ LIỆU CÁ NHÂN CỦA NGƯỜI LAO ĐỘNG

(Theo Luật Bảo vệ dữ liệu cá nhân năm 2025)

Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15), có hiệu lực từ ngày 01/01/2026, đã thiết lập khung pháp lý thống nhất và chặt chẽ về trách nhiệm của doanh nghiệp trong việc thu thập, xử lý và bảo vệ dữ liệu cá nhân của người lao động trong suốt quá trình tuyển dụng và quản lý, sử dụng lao động.

Theo đó, doanh nghiệp được xác định là chủ thể có trách nhiệm trực tiếp đối với dữ liệu cá nhân của người lao động và phải tuân thủ nghiêm ngặt các nguyên tắc kiểm soát, xử lý dữ liệu theo quy định của pháp luật.

1. Nguyên tắc sử dụng dữ liệu cá nhân của người lao động

Việc thu thập và xử lý dữ liệu cá nhân của người lao động phải tuân thủ các nguyên tắc cơ bản sau:

• Về phạm vi thông tin được thu thập: Doanh nghiệp chỉ được yêu cầu và thu thập các thông tin thực sự cần thiết, phục vụ trực tiếp cho mục đích tuyển dụng, quản lý và sử dụng người lao động theo quy định của pháp luật.
• Về mục đích sử dụng dữ liệu: Dữ liệu cá nhân chỉ được sử dụng đúng mục đích đã thông báo khi thu thập. Trường hợp sử dụng cho mục đích khác, doanh nghiệp phải có sự đồng thuận của chủ thể dữ liệu và việc sử dụng đó phải phù hợp với quy định pháp luật.
• Về xử lý dữ liệu cá nhân: Việc xử lý dữ liệu cá nhân phải tuân thủ quy định pháp luật và chỉ được thực hiện khi có sự đồng ý hợp pháp của chủ thể dữ liệu, trừ các trường hợp pháp luật có quy định khác hoặc các bên có thỏa thuận khác.
• Về xóa, hủy dữ liệu: Doanh nghiệp có trách nhiệm xóa, hủy dữ liệu cá nhân ngay sau khi hoàn thành mục đích xử lý, trừ trường hợp pháp luật có quy định khác hoặc các bên có thỏa thuận khác.

1. Trách nhiệm của doanh nghiệp trong giai đoạn tuyển dụng

Khoản 1 Điều 25 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định:

“1. Trách nhiệm bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân trong tuyển dụng lao động được quy định như sau:

1. a) Chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng của cơ quan, tổ chức, cá nhân tuyển dụng phù hợp với quy định của pháp luật; thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định của pháp luật;
2. b) Thông tin cung cấp phải được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển;
3. c) Phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển.”

Như vậy, doanh nghiệp:

• Không được yêu cầu ứng viên cung cấp thông tin vượt quá nhu cầu tuyển dụng;
• Phải có sự đồng ý của người dự tuyển khi xử lý dữ liệu cá nhân;
• Phải xóa, hủy toàn bộ dữ liệu của ứng viên không trúng tuyển, trừ trường hợp có thỏa thuận khác.

III. Trách nhiệm trong giai đoạn quản lý và sử dụng người lao động

Trong quá trình quản lý và sử dụng lao động, dữ liệu cá nhân của người lao động phải được lưu trữ trong thời hạn theo quy định pháp luật hoặc theo thỏa thuận giữa các bên.

Khi chấm dứt hợp đồng lao động, doanh nghiệp có trách nhiệm xóa, hủy dữ liệu cá nhân của người lao động, trừ trường hợp pháp luật có quy định khác hoặc các bên có thỏa thuận khác.

Khoản 2 Điều 33 Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định:

“2. Cơ quan, tổ chức có trách nhiệm chỉ định bộ phận, nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân.”

Như vậy để xử lý, kiểm soát dữ liệu cá nhân của người lao động doanh nghiệp phải có phòng ban, nhân sự có năng lực chuyên môn về bảo vệ dữ liệu cá nhân để thực hiện các công tác cần thiết. Trường hợp không bố trí được phòng ban và nhân sự chuyên trách, doanh nghiệp có thể sử dụng dịch vụ của tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân để xử lý, kiểm soát dữ liệu cá nhân theo quy định của pháp luật.

1. Bảo đảm quyền của người lao động đối với dữ liệu cá nhân

Doanh nghiệp có trách nhiệm thiết lập cơ chế để người lao động hiểu và nắm bắt được đầy đủ các quyền của mình đối với dữ liệu cá nhân, bao gồm:

• Quyền được biết về hoạt động xử lý dữ liệu cá nhân;
• Quyền đồng ý, không đồng ý hoặc rút lại sự đồng ý;
• Quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu;
• Quyền yêu cầu cung cấp, xóa, hạn chế xử lý hoặc phản đối việc xử lý dữ liệu;
• Quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại;
• Quyền yêu cầu cơ quan, tổ chức có liên quan áp dụng biện pháp bảo vệ dữ liệu cá nhân theo quy định pháp luật.

Kết luận

Luật Bảo vệ dữ liệu cá nhân năm 2025 đã đặt ra yêu cầu cao hơn và cụ thể hơn đối với trách nhiệm của doanh nghiệp trong quản lý dữ liệu cá nhân của người lao động. Việc tuân thủ không chỉ giúp doanh nghiệp hạn chế rủi ro pháp lý mà còn góp phần xây dựng môi trường lao động minh bạch, tôn trọng quyền riêng tư và phát triển bền vững.