Bài viết theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, hiệu lực từ ngày 01/01/2026
Mọi doanh nghiệp có người lao động đều là bên kiểm soát dữ liệu cá nhân. Hồ sơ nhân sự, máy chấm công vân tay, bảng lương chuyển khoản, camera nơi làm việc đều là hoạt động xử lý dữ liệu cá nhân. Luật số 91/2025/QH15 đặt ra một loạt nghĩa vụ có thời hạn cụ thể, và mức phạt tối đa lên tới 3 tỷ đồng.
- Doanh nghiệp phải lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi bản chính cho cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý.
- Hồ sơ làm 01 lần cho suốt thời gian hoạt động, cập nhật định kỳ 06 tháng khi có thay đổi.
- Phát hiện vi phạm có thể gây tổn hại nghiêm trọng thì báo cơ quan chuyên trách chậm nhất 72 giờ.
- Vân tay chấm công, bản sao thẻ căn cước, tài khoản ngân hàng, hồ sơ sức khỏe đều thuộc danh mục dữ liệu nhạy cảm.
- Ứng viên không trúng tuyển thì phải xóa, hủy thông tin đã cung cấp, trừ khi có thỏa thuận khác.
- Chấm dứt hợp đồng thì phải xóa, hủy dữ liệu cá nhân của người lao động, trừ khi có thỏa thuận hoặc pháp luật quy định khác.
- Mức phạt tối đa với tổ chức là 3 tỷ đồng; mua bán dữ liệu cá nhân bị phạt tới 10 lần khoản thu.
- Sự đồng ý đã lấy theo Nghị định 13/2023 trước ngày 01/01/2026 không phải xin lại.
Dữ liệu nhạy cảm nằm ngay trong hồ sơ nhân sự
Điều 4 Nghị định số 356/2025/NĐ-CP liệt kê danh mục dữ liệu cá nhân nhạy cảm. Bốn nhóm dưới đây có mặt ở gần như mọi phòng nhân sự, và nhiều nơi vẫn coi là dữ liệu thường.
| Thứ đang có trong công ty | Thuộc nhóm nhạy cảm nào | Điểm |
|---|---|---|
| Vân tay, khuôn mặt dùng cho máy chấm công | Dữ liệu sinh trắc học | Điểm đ khoản 1 Điều 4 |
| Bản sao hoặc ảnh chụp thẻ căn cước trong hồ sơ nhân sự | Hình ảnh thẻ căn cước | Điểm i khoản 1 Điều 4 |
| Số tài khoản ngân hàng để trả lương, thông tin thẻ ngân hàng | Thông tin tài khoản ngân hàng | Điểm k khoản 1 Điều 4 |
| Giấy khám sức khỏe, hồ sơ khám sức khỏe định kỳ | Tình trạng sức khỏe | Điểm d khoản 1 Điều 4 |
| Dữ liệu định vị từ thiết bị công ty cấp | Vị trí xác định qua dịch vụ định vị | Điểm h khoản 1 Điều 4 |
Khoản 2 Điều 4 buộc cơ quan, tổ chức xử lý dữ liệu nhạy cảm phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật. Nghĩa là thư mục hồ sơ nhân sự để cả phòng đọc được là chưa đạt yêu cầu.
Vân tay là dữ liệu sinh trắc học, thuộc nhóm nhạy cảm. Việc thu thập và lưu trữ phải nằm trong hồ sơ đánh giá tác động và có cơ sở pháp lý rõ ràng.
Khoản 3 Điều 25 Luật Bảo vệ dữ liệu cá nhân đặt thêm điều kiện cho biện pháp công nghệ, kỹ thuật dùng trong quản lý lao động: chỉ được áp dụng khi phù hợp quy định pháp luật, bảo đảm quyền lợi của người lao động, và trên cơ sở người lao động biết rõ biện pháp đó.
Áp dụng lặng lẽ, hoặc dùng dữ liệu chấm công vào mục đích khác ngoài chấm công, đều nằm ngoài phạm vi được phép.
Ba mốc thời gian phải nhớ
| Việc | Thời hạn | Căn cứ |
|---|---|---|
| Gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho cơ quan chuyên trách | 60 ngày kể từ ngày đầu tiên xử lý dữ liệu cá nhân | Khoản 1 Điều 21 Luật 91/2025 |
| Cập nhật hồ sơ đánh giá tác động | Định kỳ 06 tháng khi có thay đổi, hoặc cập nhật ngay trong các trường hợp luật liệt kê | Điều 22 Luật 91/2025 |
| Thông báo vi phạm cho cơ quan chuyên trách | Chậm nhất 72 giờ kể từ khi phát hiện | Khoản 1 Điều 23 Luật 91/2025 |
Hồ sơ đánh giá tác động lập 01 lần cho suốt thời gian hoạt động của bên kiểm soát dữ liệu, theo khoản 2 Điều 21. Đây là việc làm một lần rồi duy trì, không phải thủ tục lặp lại hằng năm.
Điều 19 Nghị định số 356/2025/NĐ-CP quy định hồ sơ gồm ba phần: báo cáo đánh giá tác động theo Mẫu số 10 tại Phụ lục của nghị định; bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân; và các chính sách, quy trình, quy định, biểu mẫu về bảo vệ dữ liệu cá nhân của doanh nghiệp.
Nghĩa vụ lập và lưu giữ hồ sơ phát sinh ngay từ thời điểm bắt đầu xử lý dữ liệu, còn 60 ngày là hạn để gửi bản chính. Doanh nghiệp đã hoạt động từ trước ngày 01/01/2026 thì thời điểm bắt đầu xử lý tính từ khi luật có hiệu lực.
Tuyển dụng: xin gì, giữ bao lâu
Khoản 1 Điều 25 đặt ba giới hạn cho khâu tuyển dụng.
- Chỉ được yêu cầu cung cấp thông tin phục vụ mục đích tuyển dụng phù hợp với quy định của pháp luật.
- Thông tin đã nhận chỉ dùng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận; việc xử lý phải được sự đồng ý của người dự tuyển.
- Phải xóa, hủy thông tin của người dự tuyển trong trường hợp không tuyển dụng, trừ khi có thỏa thuận khác với người đã dự tuyển.
Nhiều công ty giữ toàn bộ hồ sơ ứng viên nhiều năm để dùng cho các đợt tuyển sau. Từ 01/01/2026, cách làm đó chỉ hợp pháp khi có thỏa thuận với chính người dự tuyển.
Cách xử lý gọn: thêm vào biểu mẫu ứng tuyển một ô cho ứng viên chọn có đồng ý để công ty lưu hồ sơ cho các vị trí sau hay không, kèm thời hạn lưu. Ứng viên không chọn thì xóa sau khi kết thúc đợt tuyển.
Quản lý lao động và lúc chấm dứt hợp đồng
Khoản 2 Điều 25 quy định ba nghĩa vụ trong giai đoạn sử dụng lao động.
| Nghĩa vụ | Nội dung |
|---|---|
| Tuân thủ | Luật Bảo vệ dữ liệu cá nhân, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác có liên quan |
| Lưu trữ | Dữ liệu cá nhân của người lao động lưu trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận |
| Xóa, hủy | Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác |
Ngoại lệ “pháp luật có quy định khác” là chỗ giữ lại phần hồ sơ buộc phải lưu, chẳng hạn chứng từ kế toán liên quan đến tiền lương phải lưu theo pháp luật kế toán, hoặc hồ sơ phục vụ giải quyết chế độ bảo hiểm xã hội. Phần nằm ngoài các nghĩa vụ lưu trữ đó thì phải xóa.
Cách làm được việc là lập bảng thời hạn lưu trữ cho từng loại tài liệu nhân sự, ghi rõ căn cứ pháp lý của thời hạn, và một quy trình xóa khi hết hạn. Không có bảng này thì đến lúc bị kiểm tra sẽ khó chứng minh mình lưu có căn cứ.
Nhân sự bảo vệ dữ liệu cá nhân
Điều 13 Nghị định số 356/2025/NĐ-CP đặt điều kiện cho người được chỉ định làm nhân sự bảo vệ dữ liệu cá nhân.
- Việc chỉ định phải bằng văn bản chính thức, ghi rõ phân công, chức năng, nhiệm vụ, quyền hạn.
- Có trình độ cao đẳng trở lên.
- Có ít nhất 02 năm kinh nghiệm kể từ khi tốt nghiệp, trong một trong các lĩnh vực: pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự, tổ chức cán bộ.
- Đã được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân.
- Doanh nghiệp ký thỏa thuận trách nhiệm bảo mật với người này.
Điều kiện về kinh nghiệm mở khá rộng, gồm cả quản lý nhân sự và kiểm soát tuân thủ, nên nhiều doanh nghiệp có thể chỉ định người sẵn có thay vì tuyển mới. Phần còn thiếu thường là chứng nhận đã được đào tạo về bảo vệ dữ liệu cá nhân.
Mức phạt
| Nhóm hành vi | Mức phạt tối đa với tổ chức |
|---|---|
| Mua, bán dữ liệu cá nhân | 10 lần khoản thu có được từ hành vi vi phạm; nếu không có khoản thu hoặc thấp hơn thì áp mức 3 tỷ đồng |
| Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới | 5% doanh thu năm trước liền kề; nếu không có doanh thu hoặc thấp hơn thì áp mức 3 tỷ đồng |
| Các hành vi vi phạm khác | 3 tỷ đồng |
Khoản 6 Điều 8 quy định các mức trên áp cho tổ chức; cá nhân thực hiện cùng hành vi thì mức phạt tối đa bằng một phần hai mức với tổ chức.
Danh sách việc cần làm
- Liệt kê toàn bộ luồng dữ liệu cá nhân đang chạy trong công ty: hồ sơ nhân sự, chấm công, bảng lương, camera, dữ liệu khách hàng.
- Đánh dấu đâu là dữ liệu nhạy cảm theo Điều 4 Nghị định 356/2025, đặt phân quyền truy cập cho riêng nhóm này.
- Lập hồ sơ đánh giá tác động theo Mẫu số 10 và gửi bản chính cho cơ quan chuyên trách trong 60 ngày.
- Chỉ định nhân sự bảo vệ dữ liệu cá nhân bằng văn bản, kiểm tra đủ điều kiện tại Điều 13.
- Sửa biểu mẫu ứng tuyển: thêm mục đồng ý xử lý dữ liệu và mục đồng ý lưu hồ sơ cho các đợt tuyển sau.
- Lập bảng thời hạn lưu trữ cho từng loại tài liệu nhân sự kèm căn cứ pháp lý, và quy trình xóa khi hết hạn.
- Rà lại hợp đồng với bên làm dịch vụ tiền lương, phần mềm nhân sự, lưu trữ đám mây, bổ sung điều khoản về xử lý dữ liệu cá nhân.
- Viết quy trình xử lý sự cố có mốc báo cáo trong 72 giờ và mẫu biên bản xác nhận vi phạm.
Công ty nhỏ có phải lập hồ sơ đánh giá tác động không?
Khoản 1 Điều 21 Luật số 91/2025/QH15 đặt nghĩa vụ cho bên kiểm soát dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân, không phân biệt quy mô. Khoản 6 chỉ miễn cho cơ quan nhà nước có thẩm quyền. Doanh nghiệp có người lao động và có xử lý dữ liệu của họ thì thuộc diện phải lập.
Đã xin đồng ý theo Nghị định 13/2023 rồi có phải xin lại không?
Không. Khoản 1 Điều 39 quy định hoạt động xử lý dữ liệu cá nhân đang thực hiện mà đã được chủ thể đồng ý hoặc theo thỏa thuận theo Nghị định số 13/2023/NĐ-CP trước ngày luật có hiệu lực thì tiếp tục thực hiện, không phải xin đồng ý lại hoặc thỏa thuận lại.
Hồ sơ đánh giá tác động đã nộp theo Nghị định 13/2023 có còn dùng được không?
Còn. Khoản 2 Điều 39 quy định hồ sơ đã được cơ quan chuyên trách tiếp nhận trước ngày luật có hiệu lực thì tiếp tục được sử dụng, không phải lập lại theo luật mới. Nhưng việc cập nhật hồ sơ sau ngày luật có hiệu lực thì làm theo quy định của luật mới.
Nhân viên nghỉ việc thì phải xóa hết hồ sơ ngay phải không?
Điểm c khoản 2 Điều 25 buộc xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác. Phần tài liệu thuộc diện phải lưu theo pháp luật kế toán, pháp luật bảo hiểm xã hội thì giữ theo thời hạn của các quy định đó. Phần còn lại thì xóa.
Lắp camera ở nơi làm việc có cần báo cho người lao động không?
Điểm a khoản 3 Điều 25 quy định biện pháp công nghệ, kỹ thuật trong quản lý người lao động chỉ được áp dụng khi phù hợp quy định pháp luật, bảo đảm quyền và lợi ích của chủ thể dữ liệu, và trên cơ sở người lao động biết rõ biện pháp đó. Việc thông báo rõ ràng và ghi vào nội quy lao động là cách chứng minh đã đáp ứng điều kiện này.
Phát hiện bị lộ dữ liệu nhân sự thì phải làm gì trong bao lâu?
Chậm nhất 72 giờ kể từ khi phát hiện, phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân, nếu vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Đồng thời phải lập biên bản xác nhận về việc xảy ra vi phạm và phối hợp xử lý.
Thuê ngoài dịch vụ tính lương thì trách nhiệm thuộc về ai?
Doanh nghiệp là bên kiểm soát dữ liệu, đơn vị làm dịch vụ là bên xử lý dữ liệu. Hồ sơ đánh giá tác động phải có bản sao hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân thể hiện sự ràng buộc trách nhiệm giữa các bên, theo điểm b khoản 2 Điều 19 Nghị định số 356/2025/NĐ-CP. Hợp đồng dịch vụ không có điều khoản này là thiếu một thành phần hồ sơ.
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 8, Điều 21, Điều 22, Điều 23, Điều 25, Điều 39
- Nghị định số 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân, Điều 4, Điều 13, Điều 19
Xem thêm: Nội quy lao động: nội dung bắt buộc, thủ tục đăng ký và hiệu lực
