Dữ liệu nhân sự là gì? Quy định xử lý dữ liệu người lao động theo Luật PDPD

Quản trị dữ liệu nhân sự theo Luật PDPD gồm những yêu cầu gì?

Dữ liệu nhân sự theo PDPD đòi hỏi doanh nghiệp phải chuyển đổi toàn diện tư duy quản lý thông tin người lao động. Trong hoạt động quản trị doanh nghiệp, dữ liệu nhân sự (Human Resources Data) là một trong những khối dữ liệu cá nhân có quy mô lớn nhất, mức độ chi tiết cao nhất và thời gian xử lý kéo dài nhất. Trước đây, nhiều doanh nghiệp có thói quen xem thông tin người lao động như một tài sản nội bộ thuộc quyền sở hữu mặc định của người sử dụng lao động. Tuy nhiên, với sự ra đời của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, quan điểm pháp lý này đã thay đổi căn bản: người lao động là chủ thể dữ liệu cá nhân đầy đủ quyền năng, và mối quan hệ lao động không làm mất đi các quyền hiến định về bí mật đời tư của họ.

Căn cứ Điều 25 Luật 91/2025/QH15, nhà nước đã thiết lập một chế định riêng biệt điều chỉnh toàn diện trách nhiệm bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng người lao động. Quy định này phản ánh nguyên tắc cân bằng giữa quyền quản lý điều hành doanh nghiệp hợp pháp của người sử dụng lao động và quyền bảo vệ dữ liệu cá nhân của người lao động trong bối cảnh mối quan hệ phụ thuộc về mặt pháp lý và kinh tế.

1. Phân loại dữ liệu nhân sự theo tiêu chuẩn Luật 91/2025/QH15

Để quản trị tuân thủ hiệu quả, bộ phận Nhân sự (HR) và Pháp chế cần phân loại chính xác các trường thông tin của người lao động vào hai nhóm dữ liệu theo quy định của luật:

• Nhóm dữ liệu cá nhân cơ bản: Bao gồm họ tên, ngày tháng năm sinh, giới tính, số thẻ Căn cước công dân hoặc số Hộ chiếu, nơi thường trú, nơi tạm trú, địa chỉ email, số điện thoại cá nhân, trình độ học vấn, kinh nghiệm làm việc, mã số thuế cá nhân, số sổ bảo hiểm xã hội, và thông tin người phụ thuộc để giảm trừ gia cảnh. Nhóm dữ liệu này được thu thập phục vụ giao kết hợp đồng và thực hiện chế độ tiền lương theo quy định pháp luật lao động.
• Nhóm dữ liệu cá nhân nhạy cảm (theo Điều 4 Nghị định 356/2025/NĐ-CP): Bao gồm dữ liệu đặc điểm sinh trắc học (vân tay, khuôn mặt FaceID dùng cho máy chấm công hoặc hệ thống kiểm soát cửa ra vào); thông tin về tình trạng sức khỏe, bệnh án, kết quả khám sức khỏe định kỳ; thông tin lý lịch tư pháp (tiền án, tiền sự); thông tin tài khoản ngân hàng chi trả lương; dữ liệu định vị địa lý (GPS) nếu công ty cài đặt ứng dụng theo dõi lộ trình làm việc trên thiết bị của nhân viên kinh doanh hoặc tài xế; và nhật ký hoạt động trực tuyến trên máy tính công ty.

Luật quy định rõ rằng đối với dữ liệu cá nhân nhạy cảm, người lao động phải được thông báo rằng dữ liệu được xử lý là dữ liệu cá nhân nhạy cảm, đồng thời hoạt động xử lý này bắt buộc phải nằm trong phạm vi đánh giá tác động của Báo cáo DPIA gửi Bộ Công an.

2. Trách nhiệm bảo vệ dữ liệu trong 3 giai đoạn của vòng đời nhân sự

Giai đoạn 1: Tuyển dụng lao động (Pre-employment)

Theo quy định tại Khoản 1 Điều 25 Luật 91/2025/QH15, tổ chức tuyển dụng chịu sự điều chỉnh của 3 nguyên tắc pháp lý nghiêm ngặt:

1. Chỉ được yêu cầu cung cấp các thông tin phục vụ trực tiếp cho mục đích tuyển dụng phù hợp với vị trí việc làm. Doanh nghiệp không được yêu cầu ứng viên khai báo những thông tin xâm phạm đời tư không liên quan như kế hoạch kết hôn, dự định sinh con, quan điểm tôn giáo, hoặc lịch sử tín dụng cá nhân.
2. Mọi thông tin cung cấp phải được sự đồng ý của người dự tuyển trước khi xử lý. Do đó, trên các cổng tuyển dụng (Careers Portal) hoặc mẫu đơn ứng tuyển (Application Form), doanh nghiệp bắt buộc phải thiết kế hộp thông báo quyền riêng tư (Privacy Notice) và cơ chế ghi nhận sự đồng ý minh bạch.
3. Nghĩa vụ xóa, hủy hồ sơ ứng viên không trúng tuyển: Căn cứ Điểm c Khoản 1 Điều 25, doanh nghiệp phải xóa, hủy toàn bộ hồ sơ (CV, thư giới thiệu, kết quả bài thi tuyển dụng) của những ứng viên không được tuyển dụng. Nếu muốn lưu trữ hồ sơ của ứng viên trong cơ sở dữ liệu nhân tài (Talent Pool) cho các cơ hội nghề nghiệp tương lai, doanh nghiệp bắt buộc phải có thỏa thuận đồng ý lưu trữ riêng biệt với ứng viên đó.

Giai đoạn 2: Quản lý và sử dụng người lao động (Active Employment)

Căn cứ Khoản 2 và Khoản 3 Điều 25, trong quá trình vận hành quan hệ lao động, người sử dụng lao động có trách nhiệm:

• Tuân thủ đồng thời Luật Bảo vệ dữ liệu cá nhân, Bộ luật Lao động 2019, Luật An toàn vệ sinh lao động và Luật Bảo hiểm xã hội.
• Dữ liệu của người lao động chỉ được lưu trữ trong thời hạn theo quy định pháp luật hoặc theo thỏa thuận rõ ràng giữa hai bên.
• Áp dụng biện pháp công nghệ, kỹ thuật trong quản lý người lao động: Việc sử dụng các công cụ công nghệ như máy chấm công vân tay, camera quét khuôn mặt, phần mềm giám sát thiết bị làm việc từ xa (MDM/DLP), hoặc hệ thống định vị GPS chỉ được thực hiện khi bảo đảm người lao động biết rõ biện pháp đó và đồng ý trước khi áp dụng. Nghiêm cấm hành vi cài đặt phần mềm theo dõi lén lút trên thiết bị cá nhân (BYOD) của người lao động.

Giai đoạn 3: Chấm dứt hợp đồng lao động và bàn giao (Offboarding)

Điểm c Khoản 2 Điều 25 quy định rõ: Doanh nghiệp phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác. Đây là nội dung thường phát sinh vướng mắc thực tiễn giữa nghĩa vụ xóa dữ liệu theo Luật PDPD và nghĩa vụ lưu trữ chứng từ kế toán thuế (từ 5 đến 10 năm) hoặc dữ liệu đóng bảo hiểm xã hội. Giải pháp pháp lý chuẩn mực là doanh nghiệp cần phân định dữ liệu thành hai nhóm: (1) nhóm dữ liệu phục vụ quản lý nội bộ (ảnh thẻ, sinh trắc học, tài khoản phần mềm, nhật ký trao đổi) cần xóa ngay lập tức; (2) nhóm chứng từ tài chính kế toán luật định cần chuyển vào kho lưu trữ hạn chế quyền truy cập chỉ dành riêng cho mục đích thanh tra thuế và bảo hiểm.