Bảo vệ dữ liệu cá nhân năm 2026: 7 lưu ý pháp lý khi tuyển dụng và quản lý nhân sự

Cập nhật ngày 03/11/2026

Trong hoạt động tuyển dụng và quản lý nhân sự, doanh nghiệp thường xuyên thu thập, lưu trữ và sử dụng các thông tin liên quan đến ứng viên và người lao động. Những dữ liệu này có thể bao gồm họ tên, thông tin liên hệ, hồ sơ ứng tuyển, số định danh cá nhân, thông tin tài khoản ngân hàng, tiền lương và dữ liệu phục vụ quản lý lao động.

Tuy nhiên, việc thu thập được thông tin không đồng nghĩa doanh nghiệp có quyền sử dụng dữ liệu cho mọi mục đích. Từ ngày 01/01/2026, bảo vệ dữ liệu cá nhân trở thành một yêu cầu pháp lý đặc biệt quan trọng khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực.

Đối với doanh nghiệp có vốn đầu tư nước ngoài (FDI), hoạt động quản lý dữ liệu còn có thể liên quan đến phần mềm nhân sự quốc tế, dịch vụ tính lương thuê ngoài và việc chia sẻ hồ sơ với công ty mẹ. Nếu không xác định rõ mục đích xử lý, trách nhiệm của các bên và thời hạn lưu trữ, doanh nghiệp có thể phát sinh rủi ro tuân thủ.

Bài viết dưới đây phân tích bảy nội dung doanh nghiệp cần rà soát khi xử lý dữ liệu ứng viên và người lao động theo quy định pháp luật Việt Nam năm 2026.

1. Quy định bảo vệ dữ liệu cá nhân áp dụng cho doanh nghiệp năm 2026

Ngày 26/06/2025, Quốc hội ban hành Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026.

Để hướng dẫn thi hành, Chính phủ ban hành Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực cùng ngày.

Bên cạnh đó, ngày 19/08/2026, Chính phủ ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Điểm đáng chú ý là Điều 25 Luật Bảo vệ dữ liệu cá nhân dành quy định riêng cho hoạt động tuyển dụng, quản lý và sử dụng người lao động. Trong khi đó, Điều 61 Nghị định 330/2026/NĐ-CP quy định các hành vi vi phạm và mức xử phạt tương ứng.

Doanh nghiệp có thể tham khảo văn bản tại Công báo Chính phủ – Luật 91/2025/QH15, Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP.

Việc tuân thủ không chỉ là xây dựng một mẫu chấp thuận xử lý dữ liệu. Doanh nghiệp còn cần đánh giá cách thông tin được thu thập, ai có quyền truy cập, thời gian lưu trữ và phương pháp xử lý khi mục đích sử dụng đã kết thúc.

2. Chỉ thu thập dữ liệu ứng viên phù hợp với mục đích tuyển dụng

Theo điểm a khoản 1 Điều 25 Luật Bảo vệ dữ liệu cá nhân, đơn vị tuyển dụng chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng, phù hợp với quy định pháp luật.

Quy định này có ý nghĩa trực tiếp đối với biểu mẫu ứng tuyển, hệ thống quản lý ứng viên và quy trình phỏng vấn.

Ví dụ, một doanh nghiệp tuyển dụng nhân viên kế toán có thể cần thông tin về trình độ chuyên môn, kinh nghiệm làm việc và phương thức liên hệ. Tuy nhiên, việc yêu cầu những dữ liệu không liên quan đến quá trình đánh giá năng lực cần được xem xét cẩn trọng về tính cần thiết và cơ sở pháp lý.

Một biểu mẫu tuyển dụng được thiết kế tốt nên làm rõ loại thông tin cần cung cấp, mục đích sử dụng và bộ phận tiếp nhận.

Trong hoạt động bảo vệ dữ liệu cá nhân, nguyên tắc thu thập phù hợp với mục đích giúp doanh nghiệp hạn chế việc tích lũy những thông tin không cần thiết, qua đó giảm rủi ro khi dữ liệu bị truy cập hoặc tiết lộ trái phép.

3. Xác định sự đồng ý và phạm vi sử dụng dữ liệu ứng viên

Theo điểm b khoản 1 Điều 25, thông tin do người dự tuyển cung cấp phải được xử lý theo pháp luật và có sự đồng ý của người dự tuyển.

Ngoài ra, điểm a cùng khoản quy định thông tin được sử dụng cho mục đích tuyển dụng và những mục đích khác theo thỏa thuận phù hợp pháp luật.

Chẳng hạn, doanh nghiệp có thể muốn lưu hồ sơ của ứng viên không trúng tuyển để liên hệ khi xuất hiện vị trí khác. Trong trường hợp đó, việc giữ hồ sơ cho đợt tuyển dụng tương lai không nên được mặc định là mục đích mà ứng viên đã chấp thuận ban đầu.

Doanh nghiệp cần xác định cơ sở xử lý phù hợp, thể hiện rõ mục đích và lưu được bằng chứng liên quan khi cần.

Bộ phận nhân sự cũng cần phân biệt thông tin được sử dụng trong quá trình tuyển dụng với dữ liệu được chuyển sang quản lý lao động sau khi ứng viên chính thức trở thành nhân viên.

Không nên sử dụng một mẫu chấp thuận quá rộng để mặc nhiên cho phép mọi hoạt động xử lý dữ liệu trong tương lai.

4. Xóa hoặc hủy hồ sơ của ứng viên không được tuyển dụng

Theo điểm c khoản 1 Điều 25 Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp phải xóa, hủy thông tin đã cung cấp của người dự tuyển nếu không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển.

Trong thực tế, dữ liệu ứng viên có thể được lưu ở nhiều nơi như email tuyển dụng, thư mục dùng chung, phần mềm ATS hoặc thiết bị cá nhân của nhân viên HR.

Nếu doanh nghiệp chỉ xóa hồ sơ trong một hệ thống mà những bản sao khác vẫn tồn tại không có cơ sở lưu giữ, việc xử lý có thể chưa đầy đủ.

Để triển khai bảo vệ dữ liệu cá nhân trong tuyển dụng, doanh nghiệp nên lập quy trình xác định ứng viên không trúng tuyển, kiểm tra các địa điểm lưu trữ và thực hiện xóa dữ liệu theo đúng điều kiện pháp luật hoặc thỏa thuận hợp lệ.

Đối với trường hợp doanh nghiệp muốn duy trì cơ sở dữ liệu ứng viên tiềm năng, cần thiết lập cơ chế thỏa thuận phù hợp và xác định thời gian lưu trữ rõ ràng.

5. Quản lý hồ sơ nhân sự trong suốt thời gian làm việc

Sau khi người lao động được tuyển dụng, dữ liệu cá nhân tiếp tục được sử dụng trong các quy trình như ký hợp đồng, thanh toán tiền lương, thực hiện nghĩa vụ thuế, bảo hiểm và quản trị nhân sự.

Theo khoản 2 Điều 25, việc lưu trữ dữ liệu người lao động phải tuân thủ thời hạn được quy định bởi pháp luật hoặc theo thỏa thuận. Khi chấm dứt hợp đồng lao động, dữ liệu phải được xóa, hủy, trừ trường hợp pháp luật có quy định khác hoặc các bên có thỏa thuận.

Điều này không có nghĩa doanh nghiệp bắt buộc xóa toàn bộ hồ sơ ngay lập tức khi nhân viên nghỉ việc.

Một số tài liệu kế toán, thuế, bảo hiểm hoặc hồ sơ lao động có thể phải được giữ lại theo quy định chuyên ngành. Vì vậy, cần phân loại hồ sơ và xác định thời hạn lưu giữ tương ứng trước khi thực hiện xóa dữ liệu.

Ví dụ, tài liệu phục vụ quyết toán thuế có thể có yêu cầu lưu trữ khác với thông tin ứng viên trên hệ thống tuyển dụng.

Một chính sách bảo vệ dữ liệu cá nhân phù hợp cần xử lý được sự khác biệt này, tránh hai thái cực: giữ mọi dữ liệu vô thời hạn hoặc xóa hồ sơ khi vẫn còn nghĩa vụ lưu trữ hợp pháp.

6. Kiểm soát dữ liệu trên phần mềm chấm công và quản lý lao động

Nhiều doanh nghiệp sử dụng hệ thống chấm công sinh trắc học, camera giám sát hoặc phần mềm theo dõi hoạt động trên thiết bị làm việc.

Theo khoản 3 Điều 25 Luật Bảo vệ dữ liệu cá nhân, việc sử dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu người lao động phải phù hợp pháp luật, bảo đảm quyền và lợi ích của chủ thể dữ liệu và được thực hiện trên cơ sở người lao động biết rõ biện pháp đó.

Doanh nghiệp không được xử lý, sử dụng dữ liệu thu thập từ những biện pháp công nghệ, kỹ thuật trái quy định.

Vì vậy, trước khi triển khai hệ thống chấm công hoặc giám sát mới, doanh nghiệp nên xác định mục đích, phạm vi dữ liệu, quyền truy cập và cách thông báo đến người lao động.

Đặc biệt, dữ liệu sinh trắc học có thể đặt ra yêu cầu bảo vệ cao hơn những dữ liệu hành chính thông thường. Doanh nghiệp cần kiểm tra các quy định áp dụng cho loại dữ liệu đang thu thập, thay vì xem đây chỉ là vấn đề kỹ thuật của nhà cung cấp phần mềm.

Quy trình bảo vệ dữ liệu cá nhân cũng nên phân định trách nhiệm giữa bộ phận HR, IT và đơn vị cung cấp hệ thống để hạn chế việc chia sẻ hoặc sử dụng dữ liệu vượt mục đích đã xác định.

7. Chia sẻ dữ liệu nhân sự với công ty mẹ và nhà cung cấp dịch vụ

Đối với doanh nghiệp FDI, hồ sơ nhân sự và bảng lương có thể được xử lý tại Việt Nam nhưng đồng thời được lưu trữ hoặc truy cập qua hệ thống công nghệ của tập đoàn ở nước ngoài.

Tình huống phổ biến bao gồm công ty mẹ quản lý hệ thống HR dùng chung, nhà cung cấp Payroll quốc tế xử lý bảng lương hoặc bộ phận nhân sự khu vực có quyền truy cập hồ sơ nhân viên tại Việt Nam.

Các hoạt động này cần được đánh giá theo Luật Bảo vệ dữ liệu cá nhân và Nghị định 356/2025/NĐ-CP, đặc biệt những quy định liên quan đến vai trò của các bên, việc xử lý dữ liệu và chuyển dữ liệu cá nhân xuyên biên giới.

Không thể kết luận rằng mọi hoạt động sử dụng hệ thống máy chủ nước ngoài đều phải thực hiện cùng một loại hồ sơ. Nghĩa vụ thực tế phụ thuộc vào bản chất hoạt động, dòng dữ liệu, vai trò của từng bên và các trường hợp ngoại lệ theo pháp luật.

Doanh nghiệp nên lập sơ đồ dữ liệu để xác định thông tin nào đang được chuyển, bên nào tiếp nhận và mục đích sử dụng.

Bên cạnh đó, cần rà soát hợp đồng dịch vụ, phân quyền truy cập và những cơ chế bảo mật thích hợp để duy trì khả năng kiểm soát dữ liệu sau khi chia sẻ.

8. Vi phạm bảo vệ dữ liệu cá nhân trong tuyển dụng bị xử phạt thế nào?

Điều 61 Nghị định 330/2026/NĐ-CP quy định mức xử phạt đối với những hành vi vi phạm trong tuyển dụng, quản lý và sử dụng lao động.

Nhóm hành vi	Khung tiền phạt theo Điều 61
Thu thập thông tin ứng viên không phục vụ tuyển dụng; sử dụng sai mục đích; xử lý không đúng điều kiện đồng ý; không xóa dữ liệu ứng viên theo quy định	20–50 triệu đồng
Lưu dữ liệu lao động quá thời hạn; không xóa theo quy định; sử dụng công nghệ theo dõi không bảo đảm điều kiện pháp luật	50–70 triệu đồng
Xử lý, sử dụng dữ liệu người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định	70–100 triệu đồng

Các mức trên phản ánh các khung xử phạt được quy định tại Điều 61. Mức áp dụng cho từng chủ thể và hành vi cần được xác định theo đầy đủ quy định về đối tượng bị xử phạt, tình tiết và biện pháp khắc phục hậu quả.

Điểm đáng chú ý là pháp luật không chỉ quan tâm đến sự cố lộ dữ liệu. Việc thu thập thông tin không cần thiết hoặc duy trì hồ sơ quá thời hạn cũng có thể tạo ra rủi ro pháp lý.

Do đó, triển khai bảo vệ dữ liệu cá nhân cần bắt đầu từ quy trình quản lý thông thường, thay vì chỉ tập trung xử lý sự cố bảo mật sau khi đã xảy ra.

9. Bảng kiểm tra bảo vệ dữ liệu cá nhân dành cho bộ phận HR

Hạng mục	Nội dung cần kiểm tra
Thu thập hồ sơ	Biểu mẫu có yêu cầu dữ liệu không cần thiết không?
Đồng ý và mục đích	Ứng viên được thông báo đầy đủ và có cơ sở xử lý phù hợp chưa?
Dữ liệu ứng viên không trúng tuyển	Có quy trình xóa, hủy hoặc lưu giữ theo thỏa thuận hợp lệ không?
Hồ sơ lao động	Đã phân loại thời hạn lưu trữ theo quy định chưa?
Chấm công và giám sát	Người lao động biết rõ biện pháp công nghệ đang sử dụng chưa?
Phân quyền hệ thống	Có giới hạn người được truy cập dữ liệu lương và thông tin cá nhân không?
Nhà cung cấp dịch vụ	Trách nhiệm xử lý và bảo mật dữ liệu đã được xác định chưa?
Dữ liệu xuyên biên giới	Đã đánh giá nghĩa vụ tương ứng với dòng dữ liệu thực tế chưa?

Bảng trên là công cụ rà soát nội bộ được đề xuất, không phải mẫu biểu bắt buộc do cơ quan nhà nước ban hành.

10. Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân năm 2026

10.1. Doanh nghiệp có được giữ CV của ứng viên không trúng tuyển không?

Theo điểm c khoản 1 Điều 25 Luật Bảo vệ dữ liệu cá nhân, hồ sơ phải được xóa, hủy trong trường hợp không tuyển dụng, trừ khi có thỏa thuận khác với ứng viên. Doanh nghiệp cần xác định rõ căn cứ và phạm vi lưu giữ nếu muốn dùng hồ sơ cho các đợt tuyển dụng sau.

10.2. Khi nhân viên nghỉ việc, doanh nghiệp có phải xóa toàn bộ dữ liệu không?

Không phải trong mọi trường hợp. Khoản 2 Điều 25 cho phép ngoại lệ theo thỏa thuận hoặc pháp luật. Những hồ sơ thuộc diện phải lưu theo quy định chuyên ngành cần được phân loại và xử lý phù hợp.

10.3. Công ty có được sử dụng camera và phần mềm theo dõi nhân viên không?

Có thể sử dụng những biện pháp công nghệ phù hợp pháp luật, nhưng phải đáp ứng điều kiện bảo vệ quyền, lợi ích của người lao động và bảo đảm người lao động biết rõ việc áp dụng. Không được sử dụng dữ liệu thu thập bằng biện pháp trái quy định.

10.4. Công ty mẹ ở nước ngoài có được truy cập dữ liệu nhân sự tại Việt Nam không?

Khả năng truy cập và việc chuyển dữ liệu cần được đánh giá theo hình thức xử lý thực tế, vai trò của các bên và quy định về chuyển dữ liệu cá nhân xuyên biên giới. Không thể mặc định mọi trường hợp đều bị cấm hoặc tự động được miễn thủ tục.

10.5. Doanh nghiệp nhỏ có cần tuân thủ Luật Bảo vệ dữ liệu cá nhân không?

Có. Quy mô nhỏ không đồng nghĩa doanh nghiệp được miễn các nguyên tắc bảo vệ dữ liệu cá nhân. Tuy nhiên, những nghĩa vụ và ngoại lệ cụ thể phải được xác định theo pháp luật áp dụng cho từng tổ chức và hoạt động xử lý.

11. PHAM CONSULT hỗ trợ doanh nghiệp quản trị và tuân thủ như thế nào?

Bảo vệ dữ liệu cá nhân trong hoạt động nhân sự không chỉ là trách nhiệm riêng của bộ phận IT. Việc tuân thủ còn liên quan đến hợp đồng lao động, quy trình tuyển dụng, quản lý tiền lương, hệ thống kế toán và cách phối hợp với nhà cung cấp dịch vụ.

Công ty TNHH Tư vấn Phạm & Các Cộng sự (PHAM CONSULT) cung cấp các dịch vụ quản lý lương, tuân thủ lao động và tư vấn quản lý doanh nghiệp tại Việt Nam.

Tùy theo phạm vi dịch vụ được thỏa thuận, PHAM CONSULT có thể hỗ trợ khách hàng rà soát quy trình nhân sự, tài liệu liên quan đến quản lý lao động và phối hợp giữa các bộ phận vận hành.

Doanh nghiệp có thể tham khảo Danh mục dịch vụ PHAM CONSULT hoặc liên hệ trực tiếp để trao đổi về nhu cầu cụ thể.

PHAM CONSULT – Công ty TNHH Tư vấn Phạm & Các Cộng sự

Website: https://phamconsult.com/

Email: info@phamconsult.com

Điện thoại: (028) 3930 2487

Lưu ý: Bài viết cung cấp thông tin tham khảo đến ngày 03/11/2026. Nghĩa vụ bảo vệ dữ liệu cá nhân của từng doanh nghiệp phụ thuộc vào hoạt động xử lý, loại dữ liệu, vai trò pháp lý của các bên và các trường hợp ngoại lệ theo quy định. Nội dung không thay thế ý kiến tư vấn pháp lý dành cho từng trường hợp cụ thể.