NGHĨA VỤ TUÂN THỦ QUY ĐỊNH BẢO VỆ DỮ LIỆU CÁ NHÂN TRONG TUYỂN DỤNG VÀ QUẢN LÝ NHÂN SỰ

1. Tóm tắt vấn đề pháp lý và thực trạng triển khai

Trong hoạt động quản trị doanh nghiệp, quy trình tuyển dụng và quản lý nhân sự (HR) là nơi phát sinh hoạt động thu thập, lưu trữ, xử lý dữ liệu cá nhân với tần suất liên tục và quy mô lớn.

Nội dung phát sinh nghĩa vụ:

• Căn cứ Khoản 3, Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP và quy định đồng bộ tại Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp đóng vai trò là Bên Kiểm soát dữ liệu cá nhân (hoặc Bên Kiểm soát và Xử lý dữ liệu cá nhân), phải gánh chịu chuỗi nghĩa vụ pháp lý bắt buộc đối với toàn bộ dữ liệu của ứng viên và người lao động.
• Dữ liệu thu thập bao gồm:
  • Dữ liệu cá nhân cơ bản: Họ tên, ngày tháng năm sinh, số CCCD/CMND, số điện thoại, email, trình độ học vấn, lịch sử làm việc (theo Khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP).
  • Dữ liệu cá nhân nhạy cảm: Thông tin sức khỏe (hồ sơ khám sức khỏe định kỳ), dữ liệu sinh trắc học (vân tay/khuôn mặt dùng chấm công), lý lịch tư pháp, thông tin tài khoản ngân hàng nhận lương (theo Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP).

Thực trạng vi phạm phổ biến tại các doanh nghiệp:

• Tiếp tục lưu giữ hồ sơ/CV của ứng viên không trúng tuyển cho các đợt tuyển dụng sau nhưng không có sự đồng ý tự nguyện bằng văn bản.
• Yêu cầu ứng viên kê khai thông tin thân nhân, tình trạng hôn nhân, tài sản không phục vụ trực tiếp cho vị trí ứng tuyển (vi phạm nguyên tắc tối thiểu hóa dữ liệu quy định tại Khoản 3 Điều 3 Nghị định 13/2023/NĐ-CP và Điều 11 Luật Bảo vệ dữ liệu cá nhân 2025).
• Áp dụng máy chấm công nhận diện khuôn mặt hoặc vân tay nhưng không thực hiện thủ tục thông báo và xin sự đồng ý riêng biệt đối với dữ liệu sinh trắc học (thuộc nhóm dữ liệu nhạy cảm theo Điểm g Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP).
• Chuyển giao danh sách nhân sự cho bên thứ ba (đơn vị làm dịch vụ lương – Payroll, bảo hiểm, đối tác Headhunter) hoặc công ty mẹ ở nước ngoài mà chưa lập Hồ sơ đánh giá tác động trình Bộ Công an theo quy định tại Điều 25, Điều 26 Nghị định 13/2023/NĐ-CP và Nghị định 356/2025/NĐ-CP.

2. Các quy định pháp luật cốt lõi áp dụng

2.1. Về điều kiện thu thập và nguyên tắc chấp thuận của chủ dữ liệu

• Căn cứ Điều 11, Điều 12 Nghị định 13/2023/NĐ-CP và Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025, việc xử lý dữ liệu cá nhân bắt buộc phải dựa trên sự đồng ý tự nguyện, rõ ràng của chủ thể dữ liệu (ứng viên/người lao động).
• Căn cứ Khoản 3 Điều 11 Nghị định 13/2023/NĐ-CP, sự im lặng hoặc không phản hồi của người lao động không được coi là sự đồng ý. Sự chấp thuận phải được thể hiện qua hành động tích cực (ký văn bản, tích chọn không mặc định).

2.2. Về quyền của chủ dữ liệu và nghĩa vụ xóa dữ liệu

• Căn cứ Điều 9, Điều 16 Nghị định 13/2023/NĐ-CP và Điều 10 Luật Bảo vệ dữ liệu cá nhân 2025, người lao động/ứng viên có quyền rút lại sự đồng ý, quyền yêu cầu xem, chỉnh sửa hoặc xóa bỏ dữ liệu cá nhân của mình.
• Căn cứ Điểm d Khoản 1 Điều 16 Nghị định 13/2023/NĐ-CP, doanh nghiệp có nghĩa vụ xóa/hủy bỏ toàn bộ dữ liệu ứng viên không trúng tuyển khi mục đích xử lý dữ liệu đã hoàn thành (kết thúc đợt tuyển dụng) hoặc khi chủ thể dữ liệu có yêu cầu, trừ trường hợp các bên có thỏa thuận lưu trữ riêng.

2.3. Về thủ tục hành chính bắt buộc (DPIA)

• Căn cứ Điều 27, Điều 28 Nghị định 13/2023/NĐ-CP và các quy định chi tiết tại Nghị định 356/2025/NĐ-CP, doanh nghiệp phải lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (và Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài nếu có) gửi về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 – Bộ Công an) trong thời hạn 60 ngày kể từ ngày tiến hành xử lý dữ liệu.

3. Hệ quả pháp lý và chế tài xử lý

Trường hợp doanh nghiệp vi phạm các quy định về bảo vệ dữ liệu cá nhân trong mảng nhân sự, chế tài xử lý được xác định cụ thể như sau:

• Trách nhiệm hành chính:
  • Căn cứ Khoản 1, Khoản 2 Điều 84 và Khoản 2 Điều 102 Nghị định 15/2020/NĐ-CP (được sửa đổi, bổ sung bởi Nghị định 14/2022/NĐ-CP), hành vi thu thập, xử lý, sử dụng thông tin cá nhân khi chưa có sự đồng ý bị phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với cá nhân; đối với tổ chức/doanh nghiệp vi phạm, mức phạt tăng gấp đôi (từ 20.000.000 đồng đến 40.000.000 đồng theo Khoản 3 Điều 4 Nghị định 15/2020/NĐ-CP).
  • Áp dụng chế tài theo hệ thống văn bản pháp luật hiện hành và quy định xử phạt vi phạm an ninh mạng, trường hợp vi phạm nghiêm trọng (như chuyển dữ liệu ra nước ngoài trái phép, bán dữ liệu nhân sự), mức phạt có thể áp dụng kịch khung tới 3 tỷ đồng hoặc tính theo 5% tổng doanh thu năm trước liền kề của doanh nghiệp.
  • Biện pháp khắc phục hậu quả: Buộc hủy bỏ toàn bộ dữ liệu cá nhân đã thu thập trái phép (căn cứ Điểm c Khoản 3 Điều 84 Nghị định 15/2020/NĐ-CP).
• Trách nhiệm dân sự: Căn cứ Điều 38, Điều 584 và Điều 585 Bộ luật Dân sự 2015, việc xâm phạm dữ liệu cá nhân gây thiệt hại về vật chất hoặc tinh thần cho người lao động thì doanh nghiệp phải bồi thường toàn bộ thiệt hại thực tế phát sinh. Mức bồi thường bù đắp tổn thất tinh thần do các bên thỏa thuận, nếu không thỏa thuận được thì tối đa không quá 10 lần mức lương cơ sở (căn cứ Khoản 2 Điều 592 Bộ luật Dân sự 2015).
• Đình chỉ hoạt động xử lý dữ liệu: Doanh nghiệp có thể bị áp dụng biện pháp tạm ngừng hoạt động xử lý dữ liệu nhân sự, gây đình trệ trực tiếp đến công tác vận hành, trả lương và quản trị nội bộ.

4. Bình luận và đánh giá pháp lý

4.1. Về tính cấp thiết và bản chất pháp lý của quy định

Sự ra đời của Nghị định 13/2023/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025 đã chính thức chấm dứt thời kỳ “thu thập tự do” dữ liệu nhân sự của các nhà tuyển dụng.

• Tính hợp lý: Quy định buộc doanh nghiệp phải minh bạch hóa mục đích sử dụng thông tin, đảm bảo cân bằng quyền lực giữa người sử dụng lao động và người lao động theo tinh thần của Bộ luật Lao động 2019. Dữ liệu nhân sự từ nay được nhìn nhận là tài sản gắn liền với quyền nhân thân (căn cứ Điều 25, Điều 38 Bộ luật Dân sự 2015) chứ không phải tài sản sở hữu riêng của doanh nghiệp.
• Tính nghiêm ngặt: Việc xếp dữ liệu sinh trắc học (vân tay, khuôn mặt) vào nhóm “dữ liệu nhạy cảm” (Điểm g Khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP) đòi hỏi quy trình bảo mật cấp độ cao. Việc các doanh nghiệp áp dụng công nghệ chấm công số hóa tràn lan nhưng thiếu cơ chế bảo vệ là điểm rủi ro pháp lý cực kỳ lớn.

4.2. Khó khăn thực tiễn và giải pháp vướng mắc cho doanh nghiệp

a. Xung đột giữa nghĩa vụ xóa dữ liệu và nghĩa vụ lưu trữ hồ sơ theo Luật chuyên ngành

• Vấn đề đặt ra: Căn cứ Điểm d Khoản 1 Điều 16 Nghị định 13/2023/NĐ-CP, người lao động đã nghỉ việc có quyền yêu cầu xóa toàn bộ dữ liệu cá nhân. Tuy nhiên, Luật Kế toán, Luật Bảo hiểm xã hội và quy định về quản lý hồ sơ lao động tại Bộ luật Lao động 2019 lại bắt buộc doanh nghiệp phải lưu giữ chứng từ thuế, sổ BHXH, bảng lương từ 05 đến 10 năm.
• Hướng xử lý chuẩn xác: Áp dụng ngoại lệ quy định tại Khoản 2 Điều 16 Nghị định 13/2023/NĐ-CP và Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025 (Xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý/khi pháp luật chuyên ngành có quy định). Doanh nghiệp không xóa toàn bộ mà chuyển sang chế độ “đóng băng/hạn chế xử lý dữ liệu”, chỉ lưu trữ phần dữ liệu tối thiểu phục vụ nghĩa vụ báo cáo pháp lý và phải ra văn bản thông báo rõ lý do từ chối xóa một phần dữ liệu cho người lao động.

b. Tính pháp lý của các Mẫu chấp thuận (Consent Form)

• Thực trạng: Nhiều doanh nghiệp gộp chung điều khoản “Đồng ý cho xử lý dữ liệu” vào một câu ngắn gọn trong Hợp đồng lao động.
• Đánh giá: Cách làm này nguy cơ bị tuyên vô hiệu một phần theo Điều 408 Bộ luật Dân sự 2015 do vi phạm nguyên tắc “tự nguyện và tách biệt” quy định tại Điều 11 Nghị định 13/2023/NĐ-CP và Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025. Mẫu chấp thuận cần được thiết lập thành văn bản độc lập hoặc thành một mục riêng biệt có chữ ký/xác nhận cụ thể của người lao động, ghi rõ phạm vi, mục đích và danh tính các bên thứ ba được phép tiếp cận.

5. Kết luận và khuyến nghị thực thi

Nghĩa vụ tuân thủ các quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng và quản lý nhân sự không chỉ đơn thuần là việc hoàn thiện hồ sơ báo cáo gửi Bộ Công an, mà yêu cầu một sự thay đổi toàn diện trong quy trình vận hành của bộ phận HR.

Khuyến nghị cho doanh nghiệp:

1. Rà soát ma trận dữ liệu (Data Mapping): Thống kê chính xác các đầu mục dữ liệu cá nhân đang thu thập từ lúc phát hành thông báo tuyển dụng cho đến khi chấm dứt hợp đồng lao động.
2. Standardize bộ biểu mẫu HR: Ban hành Mẫu chấp thuận xử lý dữ liệu cá nhân riêng biệt (căn cứ Điều 11 Nghị định 13/2023/NĐ-CP); bổ sung Điều khoản bảo vệ dữ liệu trong Quy chế nội bộ doanh nghiệp.
3. Thiết lập quy trình hủy dữ liệu định kỳ: Tự động xóa CV ứng viên không đạt sau thời hạn cam kết (căn cứ Điều 16 Nghị định 13/2023/NĐ-CP) và xây dựng quy trình tiếp nhận/xử lý yêu cầu của người lao động trong thời hạn 72 giờ theo quy định.

Liên hệ Luật sư tư vấn: Luật TLA là một trong những đơn vị luật sư hàng đầu, với đội ngũ luật sư, cán bộ nhiều kinh nghiệm trong các lĩnh vực hình sự, dân sự, doanh nghiệp, hôn nhân và gia đình,… Chúng tôi sẵn sàng hỗ trợ, giải đáp mọi thắc mắc về pháp lý của bạn. Nếu bạn còn thắc mắc về nội dung này, hãy liên hệ ngay với chúng tôi để được giải đáp thắc mắc.

1. Luật sư Vũ Thị Phương Thanh, Chủ tịch HĐTV Công ty Luật TNHH TLA, Đoàn Luật sư Hà Nội, 
email: vtpthanh@tlalaw.vn;
2. Luật sư Trần Mỹ Lê, Giám đốc Công ty Luật TNHH TLA, Đoàn Luật sư Hà Nội; 
email: tmle@tlalaw.vn

Địa chỉ: Tầng 7, số 06 Dương Đình Nghệ, Yên Hòa, Hà Nội
Website: https://tlalaw.vn/
Hotline: 0904267027

Nguyễn Thùy Dương