Thời hạn lưu trữ dữ liệu cá nhân: lưu bao lâu thì phải xóa theo Luật 91/2025?
Thời hạn lưu trữ dữ liệu cá nhân là khoảng thời gian doanh nghiệp được giữ dữ liệu cá nhân trước khi phải xóa, hủy. Luật 91/2025/QH15 không đặt một thời hạn chung: dữ liệu chỉ được lưu trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác (khoản 3 Điều 3), và phải xóa, hủy khi đã hoàn thành mục đích hoặc hết thời hạn lưu trữ theo quy định của pháp luật (điểm b, điểm c khoản 1 Điều 14).
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Nghị định 330/2026/NĐ-CP và các luật chuyên ngành về kế toán, khám bệnh chữa bệnh, phòng chống rửa tiền
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Không có một thời hạn lưu trữ dữ liệu cá nhân chung cho mọi doanh nghiệp. Thời hạn đến từ ba nguồn theo thứ tự ưu tiên: thời hạn pháp luật chuyên ngành bắt buộc, thỏa thuận với chủ thể dữ liệu, và mục đích xử lý (khoản 3 Điều 3, điểm c khoản 1 Điều 14 Luật 91/2025/QH15).
- Dữ liệu phải được xóa, hủy khi hoàn thành mục đích xử lý hoặc hết thời hạn lưu trữ theo pháp luật, không cần chờ chủ thể dữ liệu yêu cầu (điểm b, điểm c khoản 1 Điều 14). Dữ liệu ứng viên không trúng tuyển và dữ liệu người lao động sau khi chấm dứt hợp đồng phải xóa, hủy trừ khi có thỏa thuận hoặc luật khác quy định (Điều 25).
- Lưu dữ liệu người lao động quá hạn hoặc không xóa khi chấm dứt hợp đồng bị phạt 50–70 triệu đồng (điểm a, điểm b khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP); không xóa, hủy dữ liệu trong các trường hợp luật định bị phạt 30–50 triệu đồng (điểm a khoản 2 Điều 51).
Thời hạn lưu trữ dữ liệu cá nhân là bao lâu?
Luật không đặt một thời hạn lưu trữ dữ liệu cá nhân chung. Khoản 3 Điều 3 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 yêu cầu dữ liệu "được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác". Vì vậy thời hạn lưu trữ dữ liệu cá nhân của một doanh nghiệp được xác định từ ba nguồn, theo thứ tự ưu tiên:
- Pháp luật chuyên ngành quy định thời hạn lưu tối thiểu (kế toán, y tế, phòng, chống rửa tiền...). Đây là mức sàn, doanh nghiệp không được xóa sớm hơn.
- Thỏa thuận với chủ thể dữ liệu, ví dụ trong hợp đồng, thông báo xử lý dữ liệu hoặc mẫu đồng ý. Điểm c khoản 1 Điều 14 và điểm b khoản 2 Điều 25 đều nhắc đến thời hạn theo thỏa thuận.
- Mục đích xử lý. Khi không có thời hạn luật định, dữ liệu chỉ được giữ đến khi hoàn thành mục đích (điểm b khoản 1 Điều 14).
Nguyên tắc này nằm trong nhóm sáu nguyên tắc tại Điều 3, xem cẩm nang nguyên tắc bảo vệ dữ liệu cá nhân. Điều đó có nghĩa là thời hạn lưu trữ dữ liệu cá nhân phải do doanh nghiệp tự xây dựng, và phải giải thích được. Hết thời hạn lưu trữ dữ liệu cá nhân thì hướng xử lý mặc định là xóa, hủy hoặc khử nhận dạng.
Khi nào phải xóa dữ liệu cá nhân sau thời hạn lưu trữ?
Khoản 1 Điều 14 Luật 91/2025 liệt kê sáu trường hợp phải xóa, hủy dữ liệu, trong đó có hai trường hợp gắn với thời hạn lưu trữ mà không cần chủ thể dữ liệu yêu cầu:
- Đã hoàn thành mục đích xử lý (điểm b), ví dụ hồ sơ ứng viên sau khi kết thúc đợt tuyển dụng, dữ liệu người tham dự sau sự kiện.
- Hết thời hạn lưu trữ theo quy định của pháp luật (điểm c).
Bốn trường hợp còn lại là chủ thể dữ liệu yêu cầu và chấp nhận rủi ro (điểm a), quyết định của cơ quan nhà nước có thẩm quyền (điểm d), theo thỏa thuận (điểm đ) và trường hợp khác theo luật (điểm e). Việc xóa phải bằng biện pháp an toàn, ngăn xâm nhập và khôi phục trái phép (khoản 3 Điều 14); xem biện pháp bảo vệ dữ liệu cá nhân. Khi không thể xóa vì lý do chính đáng, phải thông báo cho chủ thể dữ liệu (khoản 5 Điều 14). Chi tiết quy trình xem quyền xóa dữ liệu cá nhân.
Thời hạn lưu trữ dữ liệu cá nhân theo từng loại hồ sơ
Bảng dưới đây gom các thời hạn lưu trữ tối thiểu mà LexData đã đối chiếu với văn bản. Nó chỉ gồm những loại có mốc rõ; với loại không có mốc luật định, doanh nghiệp dùng mục đích xử lý.
Thời hạn lưu trữ dữ liệu cá nhân theo loại hồ sơ, đã đối chiếu văn bản gốc hoặc toàn văn trên cổng chính thức
| Loại hồ sơ | Thời hạn lưu trữ | Căn cứ |
|---|---|---|
| Tài liệu kế toán dùng cho quản lý, điều hành, gồm chứng từ không trực tiếp ghi sổ hoặc lập báo cáo tài chính | Tối thiểu 5 năm | Điểm a khoản 5 Điều 41 Luật Kế toán 88/2015/QH13 |
| Chứng từ kế toán dùng trực tiếp ghi sổ và lập báo cáo tài chính; sổ kế toán; báo cáo tài chính năm | Tối thiểu 10 năm, trừ trường hợp luật khác có quy định | Điểm b khoản 5 Điều 41 Luật Kế toán |
| Tài liệu kế toán có tính sử liệu, ý nghĩa quan trọng về kinh tế, an ninh, quốc phòng | Vĩnh viễn | Điểm c khoản 5 Điều 41 Luật Kế toán |
| Hóa đơn điện tử | Không có mốc riêng; lưu trữ đúng và đủ thời hạn theo pháp luật kế toán | Điểm b khoản 1 Điều 5 Nghị định 254/2026/NĐ-CP |
| Bệnh án nội trú, ngoại trú | 10 năm | Điều 69 Luật Khám bệnh, chữa bệnh 15/2023/QH15 (dẫn về pháp luật lưu trữ); Phụ lục Thông tư 33/2025/TT-BYT |
| Bệnh án tử vong | 30 năm | Phụ lục Thông tư 33/2025/TT-BYT |
| Bệnh án tâm thần, tai nạn lao động, tai nạn giao thông; hồ sơ ghép mô, tạng, phẫu thuật thẩm mỹ | 20 năm | Phụ lục Thông tư 33/2025/TT-BYT |
| Thông tin, hồ sơ nhận biết khách hàng và hồ sơ giao dịch của đối tượng báo cáo phòng, chống rửa tiền | 5 năm kể từ ngày kết thúc giao dịch, đóng tài khoản hoặc ngày báo cáo, tùy loại | Khoản 1, khoản 2 Điều 38 Luật Phòng, chống rửa tiền 14/2022/QH15 |
| Sổ quản lý lao động | Luật không nêu thời hạn; phải lập, cập nhật và xuất trình khi cơ quan có thẩm quyền yêu cầu | Khoản 1 Điều 12 Bộ luật Lao động 2019 |
| Dữ liệu ứng viên không trúng tuyển | Không có thời hạn tối thiểu; phải xóa, hủy trừ khi có thỏa thuận khác | Điểm c khoản 1 Điều 25 Luật 91/2025/QH15 |
| Dữ liệu người lao động sau khi chấm dứt hợp đồng | Theo thời hạn pháp luật hoặc thỏa thuận; xóa, hủy trừ khi thỏa thuận hoặc luật khác quy định | Điểm b, điểm c khoản 2 Điều 25 Luật 91/2025/QH15 |
| Hình ảnh, âm thanh ghi tại nơi công cộng | Không có mốc chung; thời gian cần thiết cho mục đích thu thập | Khoản 4 Điều 32 Luật 91/2025/QH15 |
Bốn lưu ý khi đọc bảng:
- Thời hạn tối thiểu của luật chuyên ngành là mức sàn. Phần dữ liệu nằm trong hồ sơ đó được giữ; dữ liệu ngoài hồ sơ, như danh sách marketing hay ảnh chấm công, vẫn phải xóa khi hết mục đích.
- Luật Kế toán đã được hợp nhất và sửa đổi qua nhiều lần. Khoản 5 Điều 41 là căn cứ cho các mốc 5 năm, 10 năm và vĩnh viễn; doanh nghiệp nên đối chiếu văn bản hợp nhất mới nhất khi lập lịch lưu trữ.
- Hồ sơ phòng, chống rửa tiền: Luật số 23/2026/QH16 sửa đổi Luật Phòng, chống rửa tiền có hiệu lực từ 01/12/2026. LexData chưa xác nhận Điều 38 có bị sửa hay không; tổ chức tài chính, ngân hàng cần kiểm tra trước ngày đó.
- Hồ sơ nhân sự và tài liệu lưu trữ: Luật Lưu trữ 33/2024/QH15 và Thông tư 10/2022/TT-BNV có bảng thời hạn bảo quản tài liệu, trong đó hồ sơ nhân sự có mốc dài. Việc bảng này bắt buộc với hồ sơ nhân sự của doanh nghiệp tư nhân đến đâu chưa rõ ràng trong văn bản; doanh nghiệp cần xác định theo văn bản áp dụng cho mình thay vì tự áp mốc nhiều chục năm cho mọi hồ sơ, vì điều đó mâu thuẫn với nghĩa vụ xóa tại Điều 25 Luật 91/2025.
Nghĩa vụ lưu trữ dữ liệu trong nước và lưu nhật ký hệ thống theo pháp luật an ninh mạng (Nghị định 333/2026/NĐ-CP) là một loại khác: đó là nghĩa vụ nội địa hóa và cung cấp dữ liệu cho cơ quan có thẩm quyền, áp dụng cho nhóm doanh nghiệp thuộc diện luật, không phải thời hạn lưu trữ dữ liệu cá nhân nói chung; xem lưu trữ dữ liệu tại Việt Nam.
Xây dựng lịch lưu trữ dữ liệu cá nhân (retention schedule)
Để đáp ứng khoản 3 Điều 3 và điểm b, điểm c khoản 1 Điều 14, doanh nghiệp nên có một bảng thời hạn lưu trữ dữ liệu cá nhân cho từng loại dữ liệu. Các bước lập bảng thời hạn lưu trữ dữ liệu cá nhân như sau:
- Liệt kê loại dữ liệu và mục đích, có thể lấy từ sổ ghi hoạt động xử lý (ROPA).
- Tìm mốc luật định cho từng loại, như bảng trên. Ghi rõ căn cứ để giải thích khi bị kiểm tra.
- Với loại không có mốc luật, đặt thời hạn theo mục đích và ghi lý do. Ví dụ tham khảo (không phải quy định): khách hàng không giao dịch, không tương tác trong một khoảng thời gian do doanh nghiệp xác định thì chuyển sang xóa hoặc khử nhận dạng.
- Xác định điều gì xảy ra khi hết hạn: xóa, hủy hay khử nhận dạng, do ai thực hiện, và cách xác nhận với bên xử lý, xem hợp đồng xử lý dữ liệu.
- Cho chủ thể dữ liệu biết thời hạn trong thông báo xử lý dữ liệu; riêng lĩnh vực tài chính, ngân hàng, thông tin tín dụng, khi xin đồng ý phải nêu rõ thời gian lưu trữ (điểm c khoản 2 Điều 8 Nghị định 356/2025/NĐ-CP). Xem thông báo xử lý dữ liệu cá nhân.
- Rà soát định kỳ và giữ nhật ký xóa để có bằng chứng.
Bản sao lưu là điểm hay bị bỏ sót: Luật không quy định riêng về backup, nhưng khoản 3 Điều 14 yêu cầu xóa an toàn và ngăn khôi phục trái phép, nên lịch lưu trữ cần nói rõ dữ liệu trong bản sao lưu sẽ được xử lý thế nào.
Lưu dữ liệu cá nhân quá thời hạn bị phạt bao nhiêu?
Nghị định 330/2026/NĐ-CP không có một điều phạt riêng cho việc lưu quá hạn; các hành vi nằm rải rác theo bối cảnh. Mức phạt áp dụng với tổ chức (cá nhân chịu một nửa):
Mức phạt liên quan đến thời hạn lưu trữ và xóa, hủy dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP
| Hành vi | Mức phạt | Căn cứ |
|---|---|---|
| Lưu dữ liệu người lao động quá thời hạn pháp luật hoặc thỏa thuận; không xóa, hủy dữ liệu người lao động khi chấm dứt hợp đồng (trừ thỏa thuận hoặc luật khác) | 50–70 triệu đồng | Điểm a, điểm b khoản 2 Điều 61 |
| Không xóa, hủy dữ liệu người dự tuyển khi không tuyển dụng (trừ thỏa thuận khác) | 20–50 triệu đồng | Điểm d khoản 1 Điều 61 |
| Không xóa, hủy dữ liệu trong các trường hợp pháp luật quy định; không yêu cầu bên xử lý, bên thứ ba xóa; bên xử lý không xóa hoặc trả lại dữ liệu khi kết thúc hợp đồng | 30–50 triệu đồng | Điểm a, b, c khoản 2 Điều 51 |
| Xóa, hủy không bằng biện pháp an toàn; không ngăn khôi phục trái phép | 10–30 triệu đồng | Điểm b, điểm c khoản 1 Điều 51 |
| Chuyển giao dữ liệu có thu phí mà không xác định thời hạn lưu trữ phù hợp mục đích, không xóa, hủy khi hoàn thành mục đích | 30–50 triệu đồng | Điểm c khoản 2 Điều 52 |
| Xử lý dữ liệu lớn mà không xây dựng chính sách lưu trữ, xóa, hủy phù hợp | 20–30 triệu đồng | Điểm a khoản 1 Điều 66 |
| Dùng điện toán đám mây mà không xây dựng chính sách lưu trữ, xóa, hủy phù hợp | 20–50 triệu đồng | Điểm d khoản 1 Điều 69 |
Các biện pháp khắc phục thường kèm theo là buộc hủy, xóa dữ liệu tới mức không thể khôi phục (khoản 4 Điều 51, khoản 4 Điều 61). Tổng hợp khác xem cẩm nang mức phạt vi phạm dữ liệu cá nhân.
Checklist thời hạn lưu trữ dữ liệu cá nhân
- Có bảng thời hạn lưu trữ cho từng loại dữ liệu, ghi căn cứ (luật, thỏa thuận hoặc mục đích).
- Đã đối chiếu các mốc luật định áp dụng cho ngành của mình (kế toán, y tế, phòng, chống rửa tiền...).
- Thời hạn được nêu trong thông báo xử lý dữ liệu và mẫu đồng ý.
- Có lịch xóa, hủy hoặc khử nhận dạng tự động hoặc theo chu kỳ, kể cả với bản sao lưu.
- Hợp đồng với bên xử lý có điều khoản xóa hoặc trả lại dữ liệu khi kết thúc.
- Quy trình đối chiếu khi khách hàng yêu cầu xóa nhưng có nghĩa vụ lưu trữ, gồm mẫu thông báo lý do.
- Nhật ký xóa được lưu để chứng minh khi kiểm tra.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Doanh nghiệp thường hỏi cần lưu dữ liệu bao nhiêu năm, trong khi câu hỏi đúng là loại dữ liệu nào phải giữ theo luật nào. Chứng từ kế toán có mốc rõ; hầu hết dữ liệu còn lại, như danh sách khách hàng cũ hay CV, không có mốc, và doanh nghiệp phải tự đặt và giải thích được. Sai lầm hay gặp là lấy mốc dài nhất của một loại hồ sơ rồi áp cho toàn bộ dữ liệu."
Câu hỏi thường gặp (FAQ)
Luật 91/2025 quy định dữ liệu cá nhân được lưu tối đa bao lâu?
Không có mức tối đa chung. Khoản 3 Điều 3 Luật 91/2025/QH15 yêu cầu dữ liệu được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác. Doanh nghiệp phải tự xác định thời hạn cho từng loại dữ liệu và từng mục đích, dựa trên nghĩa vụ lưu trữ của luật chuyên ngành, thỏa thuận với chủ thể dữ liệu và nhu cầu thực tế, rồi ghi vào quy chế và thông báo xử lý dữ liệu.
Khách hàng yêu cầu xóa nhưng luật buộc phải lưu chứng từ kế toán thì làm thế nào?
Doanh nghiệp không phải thực hiện yêu cầu xóa trong các trường hợp thuộc Điều 19 Luật 91/2025/QH15, gồm cả trường hợp pháp luật khác quy định (khoản 2 Điều 14, điểm đ khoản 1 Điều 19). Phần dữ liệu nằm trong chứng từ, sổ kế toán được giữ theo thời hạn của Luật Kế toán, và doanh nghiệp phải thông báo cho khách hàng biết vì sao chưa thể xóa (khoản 5 Điều 14). Các dữ liệu không thuộc nghĩa vụ lưu trữ, như dữ liệu marketing, vẫn phải xóa.
Hết hợp đồng lao động thì doanh nghiệp có được giữ hồ sơ nhân sự không?
Có thể, nhưng chỉ phần luật cho phép hoặc hai bên đã thỏa thuận. Điểm b, điểm c khoản 2 Điều 25 Luật 91/2025/QH15 quy định dữ liệu người lao động lưu trong thời hạn theo pháp luật hoặc thỏa thuận, và phải xóa, hủy khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc luật khác quy định. Chứng từ lương, thuế, bảo hiểm thuộc nghĩa vụ kế toán vẫn được giữ theo Luật Kế toán. Phần còn lại, như ảnh, hồ sơ chấm công không còn cần thiết, nên xóa theo lịch.
Ứng viên không trúng tuyển thì được lưu CV bao lâu?
Luật không nêu số ngày. Điểm c khoản 1 Điều 25 Luật 91/2025/QH15 yêu cầu xóa, hủy thông tin đã cung cấp của người dự tuyển khi không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển. Doanh nghiệp muốn giữ CV để cân nhắc vị trí sau nên xin sự đồng ý riêng, nêu rõ thời gian giữ, và không giữ khi ứng viên không đồng ý. Không xóa bị phạt 20–50 triệu đồng (điểm d khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP).
Hình ảnh camera được lưu bao nhiêu ngày?
Luật không ấn định số ngày. Khoản 4 Điều 32 Luật 91/2025/QH15 chỉ cho lưu trong khoảng thời gian cần thiết để phục vụ mục đích thu thập, trừ trường hợp pháp luật có quy định khác, hết thời hạn phải xóa, hủy. Doanh nghiệp nên đặt thời hạn trong quy chế nội bộ và giải thích được vì sao thời hạn đó cần thiết; xem cẩm nang về camera giám sát.
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Dịch vụ Tư vấn Tuân thủ Bảo vệ Dữ liệu Cá nhân cho Doanh nghiệp
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ