Dữ liệu nhân sự là gì? Quy định xử lý dữ liệu người lao động theo Luật PDPD

Dữ liệu nhân sự là gì và Luật PDPD yêu cầu quản trị thế nào?

Hiểu đúng dữ liệu nhân sự là gì theo PDPD giúp doanh nghiệp chuyển đổi toàn diện tư duy quản lý thông tin người lao động. Trong hoạt động quản trị doanh nghiệp, dữ liệu nhân sự (Human Resources Data) là một trong những khối dữ liệu cá nhân có quy mô lớn nhất, mức độ chi tiết cao nhất và thời gian xử lý kéo dài nhất. Trước đây, nhiều doanh nghiệp có thói quen xem thông tin người lao động như một tài sản nội bộ thuộc quyền sở hữu mặc định của người sử dụng lao động. Tuy nhiên, với sự ra đời của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, quan điểm pháp lý này đã thay đổi căn bản: người lao động là chủ thể dữ liệu cá nhân đầy đủ quyền năng, và mối quan hệ lao động không làm mất đi các quyền hiến định về bí mật đời tư của họ.

Căn cứ Điều 25 Luật 91/2025/QH15, nhà nước đã thiết lập một chế định riêng biệt điều chỉnh toàn diện trách nhiệm bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng người lao động. Quy định này phản ánh nguyên tắc cân bằng giữa quyền quản lý điều hành doanh nghiệp hợp pháp của người sử dụng lao động và quyền bảo vệ dữ liệu cá nhân của người lao động trong bối cảnh mối quan hệ phụ thuộc về mặt pháp lý và kinh tế.

1. Dữ liệu nhân sự là gì? Phân loại theo Luật 91/2025/QH15

Để quản trị tuân thủ hiệu quả, bộ phận Nhân sự (HR) và Pháp chế cần phân loại chính xác từng trường dữ liệu nhân sự vào hai nhóm dữ liệu theo quy định của luật:

• Nhóm dữ liệu cá nhân cơ bản: Bao gồm họ tên, ngày tháng năm sinh, giới tính, số thẻ Căn cước công dân hoặc số Hộ chiếu, nơi thường trú, nơi tạm trú, địa chỉ email, số điện thoại cá nhân, trình độ học vấn, kinh nghiệm làm việc, mã số thuế cá nhân, số sổ bảo hiểm xã hội, và thông tin người phụ thuộc để giảm trừ gia cảnh. Nhóm dữ liệu này được thu thập phục vụ giao kết hợp đồng và thực hiện chế độ tiền lương theo quy định pháp luật lao động.
• Nhóm dữ liệu cá nhân nhạy cảm (theo Điều 4 Nghị định 356/2025/NĐ-CP): Bao gồm dữ liệu đặc điểm sinh trắc học (vân tay, khuôn mặt FaceID dùng cho máy chấm công hoặc hệ thống kiểm soát cửa ra vào); thông tin về tình trạng sức khỏe, bệnh án, kết quả khám sức khỏe định kỳ; thông tin lý lịch tư pháp (tiền án, tiền sự); dữ liệu định vị địa lý (GPS) nếu công ty cài đặt ứng dụng theo dõi lộ trình làm việc trên thiết bị của nhân viên kinh doanh hoặc tài xế; và nhật ký theo dõi hoạt động sử dụng dịch vụ trên không gian mạng của nhân viên (Điểm l Khoản 1 Điều 4). Riêng số tài khoản ngân hàng nhận lương: danh mục tại Điểm k Khoản 1 Điều 4 chỉ gồm tên đăng nhập, mật khẩu tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch và thông tin tài chính của khách hàng tại tổ chức tín dụng, tổ chức tài chính; số tài khoản nhận lương do người sử dụng lao động lưu giữ vì vậy thuộc nhóm dữ liệu cơ bản, nhưng vẫn nên được bảo mật chặt chẽ.

Khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP quy định rõ rằng khi xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, người lao động phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm, đồng thời hoạt động xử lý này phải nằm trong phạm vi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) theo Điều 21 Luật 91/2025/QH15. Doanh nghiệp trực tiếp xử lý dữ liệu nhạy cảm không được hưởng quyền lựa chọn không lập DPIA dành cho doanh nghiệp nhỏ, siêu nhỏ và khởi nghiệp (Khoản 2, 3 Điều 38 Luật 91/2025/QH15).

2. Bảo vệ dữ liệu nhân sự trong 3 giai đoạn của vòng đời lao động

Giai đoạn 1: Tuyển dụng lao động (Pre-employment)

Theo quy định tại Khoản 1 Điều 25 Luật 91/2025/QH15, tổ chức tuyển dụng chịu sự điều chỉnh của 3 nguyên tắc pháp lý nghiêm ngặt:

1. Chỉ được yêu cầu cung cấp các thông tin phục vụ trực tiếp cho mục đích tuyển dụng phù hợp với vị trí việc làm. Doanh nghiệp không được yêu cầu ứng viên khai báo những thông tin xâm phạm đời tư không liên quan như kế hoạch kết hôn, dự định sinh con, quan điểm tôn giáo, hoặc lịch sử tín dụng cá nhân.
2. Mọi thông tin cung cấp phải được sự đồng ý của người dự tuyển trước khi xử lý. Do đó, trên các cổng tuyển dụng (Careers Portal) hoặc mẫu đơn ứng tuyển (Application Form), doanh nghiệp bắt buộc phải thiết kế hộp thông báo quyền riêng tư (Privacy Notice) và cơ chế ghi nhận sự đồng ý minh bạch.
3. Nghĩa vụ xóa, hủy hồ sơ ứng viên không trúng tuyển: Căn cứ Điểm c Khoản 1 Điều 25, doanh nghiệp phải xóa, hủy toàn bộ hồ sơ (CV, thư giới thiệu, kết quả bài thi tuyển dụng) của những ứng viên không được tuyển dụng. Nếu muốn lưu trữ hồ sơ của ứng viên trong cơ sở dữ liệu nhân tài (Talent Pool) cho các cơ hội nghề nghiệp tương lai, doanh nghiệp bắt buộc phải có thỏa thuận đồng ý lưu trữ riêng biệt với ứng viên đó.

Giai đoạn 2: Quản lý và sử dụng người lao động (Active Employment)

Căn cứ Khoản 2 và Khoản 3 Điều 25, trong quá trình vận hành quan hệ lao động, người sử dụng lao động có trách nhiệm:

• Tuân thủ đồng thời Luật Bảo vệ dữ liệu cá nhân, Bộ luật Lao động 2019, Luật An toàn vệ sinh lao động và Luật Bảo hiểm xã hội.
• Dữ liệu của người lao động chỉ được lưu trữ trong thời hạn theo quy định pháp luật hoặc theo thỏa thuận rõ ràng giữa hai bên.
• Áp dụng biện pháp công nghệ, kỹ thuật trong quản lý người lao động: Việc sử dụng các công cụ công nghệ như máy chấm công vân tay, camera quét khuôn mặt, phần mềm giám sát thiết bị làm việc từ xa (MDM/DLP), hoặc hệ thống định vị GPS chỉ được thực hiện khi phù hợp với quy định của pháp luật, bảo đảm quyền, lợi ích của người lao động và người lao động biết rõ biện pháp đó (Điểm a Khoản 3 Điều 25). Khi biện pháp thu thập dữ liệu sinh trắc học hoặc dữ liệu vị trí, doanh nghiệp còn cần sự đồng ý của người lao động (Điều 9; Điểm a Khoản 3 Điều 31), trừ trường hợp tại Khoản 1 Điều 19. Việc lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu tại môi trường làm việc mà không thông báo cho người lao động bị xử phạt theo Điểm c Khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP; doanh nghiệp không nên cài phần mềm theo dõi trên thiết bị cá nhân (BYOD) của người lao động.

Giai đoạn 3: Chấm dứt hợp đồng lao động và bàn giao (Offboarding)

Điểm c Khoản 2 Điều 25 quy định rõ: Doanh nghiệp phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác. Đây là nội dung thường phát sinh vướng mắc thực tiễn giữa nghĩa vụ xóa dữ liệu theo Luật PDPD và nghĩa vụ lưu trữ chứng từ kế toán thuế (từ 5 đến 10 năm) hoặc dữ liệu đóng bảo hiểm xã hội. Giải pháp pháp lý chuẩn mực là doanh nghiệp cần phân định dữ liệu thành hai nhóm: (1) nhóm dữ liệu phục vụ quản lý nội bộ (ảnh thẻ, sinh trắc học, tài khoản phần mềm, nhật ký trao đổi) cần xóa ngay lập tức; (2) nhóm chứng từ tài chính kế toán luật định cần chuyển vào kho lưu trữ hạn chế quyền truy cập chỉ dành riêng cho mục đích thanh tra thuế và bảo hiểm.

Với căn cước của người lao động, doanh nghiệp chỉ lưu bản sao có căn cứ, không giữ bản gốc; mức phạt và cách làm thay xem bài có được giữ căn cước công dân không.

3. Hướng dẫn 4 bước xây dựng chương trình tuân thủ dữ liệu nhân sự

Nhằm đáp ứng toàn diện yêu cầu tại Điều 25 Luật 91/2025/QH15 và tránh các rủi ro pháp lý, doanh nghiệp cần triển khai kế hoạch chuẩn hóa 4 bước theo tư vấn của chuyên gia:

Bước 1: Tách bạch Thỏa thuận Xử lý Dữ liệu khỏi Hợp đồng Lao động

Nhiều doanh nghiệp mắc sai lầm khi chèn một câu ngắn gọn về việc "người lao động đồng ý cho công ty xử lý mọi thông tin" vào phần cuối của Hợp đồng lao động. Cách làm này không đáp ứng tiêu chuẩn về sự đồng ý tự nguyện và minh bạch. Doanh nghiệp cần ban hành riêng một Thỏa thuận xử lý dữ liệu cá nhân của người lao động (Employee Privacy Notice & Consent Agreement) độc lập, liệt kê chi tiết: các loại dữ liệu thu thập, mục đích xử lý, bên thứ ba tiếp nhận (công ty bảo hiểm sức khỏe, ngân hàng chi lương, nhà cung cấp phần mềm HRM SaaS) và các quyền của người lao động.

Bước 2: Rà soát cổng thông tin và quy trình tuyển dụng

Doanh nghiệp cần cập nhật quy chế tuyển dụng: trên website tuyển dụng hoặc phiếu điền thông tin ứng viên, bắt buộc bổ sung điều khoản cho phép ứng viên lựa chọn đồng ý hoặc không đồng ý cho phép công ty lưu giữ hồ sơ trong trường hợp không trúng tuyển. Thiết lập cơ chế tự động xóa định kỳ các hồ sơ CV không trúng tuyển sau khi kết thúc đợt tuyển dụng nếu không nhận được sự chấp thuận bằng văn bản của ứng viên.

Bước 3: Hoàn thiện quy chế sử dụng công nghệ giám sát lao động

Nếu công ty sử dụng thiết bị chấm công vân tay, nhận diện khuôn mặt hoặc phần mềm theo dõi thời gian làm việc trên máy tính (tình huống rất phổ biến tại nhà máy, khu công nghiệp), ban lãnh đạo doanh nghiệp cần:

• Ban hành Chính sách sử dụng thiết bị công nghệ và giám sát nơi làm việc phổ biến rộng rãi cho toàn thể người lao động trước khi áp dụng.
• Cung cấp phương thức thay thế đối với việc chấm công (ví dụ: cấp thẻ từ hoặc mã PIN) đối với người lao động không đồng ý thu thập dữ liệu sinh trắc học khuôn mặt.
• Chỉ lưu trữ mẫu đặc trưng (template) của vân tay hoặc khuôn mặt dưới dạng đã mã hóa hoặc băm (hash) một chiều, không lưu trữ file hình ảnh gốc để phòng ngừa nguy cơ rò rỉ dữ liệu sinh trắc học.

Bước 4: Thiết lập Quy chế Quản lý vòng đời và Lưu trữ dữ liệu (HR Retention Policy)

Phối hợp chặt chẽ giữa bộ phận Nhân sự, IT và Kế toán để xây dựng ma trận phân quyền: quyền truy cập của đồng nghiệp vào dữ liệu nhân sự của cựu nhân viên phải được tự động thu hồi ngay khi có quyết định nghỉ việc; tài khoản email và các phân vùng lưu trữ đám mây cá nhân phải được sao lưu và vô hiệu hóa theo đúng quy trình bàn giao.

4. Mức phạt vi phạm về dữ liệu nhân sự theo Nghị định 330/2026/NĐ-CP

Căn cứ Nghị định 330/2026/NĐ-CP, các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động bị xử phạt theo Điều 61 với khung phạt tiền từ 20.000.000 đến 100.000.000 VNĐ đối với tổ chức, tùy hành vi và mức độ vi phạm:

• Yêu cầu người dự tuyển cung cấp dữ liệu không phục vụ mục đích tuyển dụng, xử lý dữ liệu ứng viên khi chưa có sự đồng ý, hoặc không xóa, hủy hồ sơ của người dự tuyển không trúng tuyển (trừ khi có thỏa thuận khác): Phạt tiền từ 20.000.000 đến 50.000.000 VNĐ (Khoản 1 Điều 61), kèm biện pháp khắc phục hậu quả là buộc xóa, hủy dữ liệu đối với hành vi xử lý khi chưa có sự đồng ý và không xóa hồ sơ ứng viên.
• Lưu trữ dữ liệu người lao động quá thời hạn, không xóa dữ liệu khi chấm dứt hợp đồng lao động, hoặc áp dụng biện pháp công nghệ giám sát mà người lao động không biết rõ (như lắp phần mềm theo dõi thiết bị, camera giám sát không thông báo) hay không phù hợp với pháp luật: Phạt tiền từ 50.000.000 đến 70.000.000 VNĐ (Khoản 2 Điều 61).
• Xử lý, sử dụng dữ liệu người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định: Phạt tiền từ 70.000.000 đến 100.000.000 VNĐ (Khoản 3 Điều 61), kèm buộc xóa dữ liệu và nộp lại khoản thu bất hợp pháp.
• Các vi phạm khác về dữ liệu người lao động: trường hợp liên quan dữ liệu nhạy cảm, cung cấp/công khai dữ liệu trái quy định hoặc sự cố lộ lọt còn có thể bị xử lý theo các điều khoản tương ứng khác của Nghị định 330/2026/NĐ-CP.

Lưu ý: chế tài phạt theo tỷ lệ doanh thu (1–5% doanh thu năm liền trước tại thị trường Việt Nam) chỉ áp dụng cho một số vi phạm chuyển dữ liệu cá nhân xuyên biên giới theo Điều 56 Nghị định 330/2026/NĐ-CP, không áp dụng cho các vi phạm dữ liệu nhân sự thông thường. Xem chi tiết tại cẩm nang Mức phạt vi phạm bảo vệ dữ liệu cá nhân.

Với hồ sơ trải qua nhiều bộ phận từ tuyển dụng đến nghỉ việc, DPO thuê ngoài có thể hỗ trợ theo dõi nghĩa vụ và phối hợp giữa HR, pháp chế và IT. Doanh nghiệp cũng có thể lựa chọn đào tạo bảo vệ dữ liệu cá nhân cho đội ngũ nhân sự để nhân viên nhận diện tình huống cần trao đổi với người phụ trách.