Thu thập dữ liệu nhân sự là hoạt động tất yếu trong quá trình tuyển dụng và quản lý người lao động tại mọi doanh nghiệp. Tuy nhiên, không phải thông tin nào doanh nghiệp cũng được phép thu thập, lưu trữ hay xử lý một cách tùy tiện. Kể từ khi Luật Bảo vệ dữ liệu cá nhân năm 2025 được ban hành, các giới hạn pháp lý trong việc thu thập dữ liệu nhân sự đã được quy định chặt chẽ hơn bao giờ hết.
Bài viết dưới đây sẽ phân tích những giới hạn pháp lý mà doanh nghiệp cần nắm rõ để tránh vi phạm trong quá trình thu thập và xử lý dữ liệu cá nhân của người lao động.
CƠ SỞ PHÁP LÝ
- Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15)
I. NGUYÊN TẮC NỀN TẢNG TRONG THU THẬP DỮ LIỆU NHÂN SỰ
1.1. Nguyên tắc đúng phạm vi và mục đích
- Theo khoản 2 Điều 3 Luật Bảo vệ dữ liệu cá nhân 2025, “chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật”. Đây là nguyên tắc cốt lõi chi phối toàn bộ hoạt động thu thập dữ liệu nhân sự trong doanh nghiệp.
- Điều này có nghĩa là, mọi thông tin mà doanh nghiệp thu thập từ ứng viên hay người lao động đều phải gắn liền với một mục đích được xác định rõ ràng từ trước. Doanh nghiệp không được thu thập dữ liệu nhân sự một cách tràn lan hoặc với lý do mơ hồ, dù là trong giai đoạn tuyển dụng hay trong suốt quá trình quản lý lao động.
1.2. Nguyên tắc có sự đồng ý của chủ thể dữ liệu
- Một nguyên tắc quan trọng khác là doanh nghiệp chỉ được xử lý dữ liệu cá nhân của ứng viên và người lao động khi có sự đồng ý của họ, trừ các trường hợp pháp luật có quy định khác. Sự đồng ý này phải rõ ràng, tự nguyện và xuất phát từ ý chí thực sự của chủ thể dữ liệu — tức là ứng viên hoặc người lao động không bị ép buộc hay nhầm lẫn khi cung cấp thông tin.
- Trong thực tế, nhiều doanh nghiệp vẫn còn xem nhẹ yêu cầu này, đặc biệt trong khâu tuyển dụng khi ứng viên thường ở vị thế yếu hơn và có xu hướng cung cấp mọi thông tin mà nhà tuyển dụng yêu cầu. Tuy nhiên, kể từ khi Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực, hành vi thu thập dữ liệu nhân sự thiếu căn cứ đồng ý hợp lệ có thể bị xem là vi phạm pháp luật.
II. GIỚI HẠN PHÁP LÝ CỤ THỂ TRONG THU THẬP DỮ LIỆU NHÂN SỰ
2.1. Giới hạn trong giai đoạn tuyển dụng
Điều 25 khoản 1 Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ trách nhiệm của doanh nghiệp khi thu thập dữ liệu nhân sự trong giai đoạn tuyển dụng, cụ thể:
- Thứ nhất, doanh nghiệp “chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng của cơ quan, tổ chức, cá nhân tuyển dụng phù hợp với quy định của pháp luật; thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định của pháp luật”. Như vậy, các câu hỏi hay yêu cầu khai thác thông tin không liên quan đến công việc tuyển dụng — ví dụ: tình trạng hôn nhân, kế hoạch sinh con, tôn giáo hay quan điểm chính trị — đều có thể bị coi là thu thập dữ liệu nhân sự vượt phạm vi cho phép.
- Thứ hai, mọi thông tin thu thập phải “được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển”. Doanh nghiệp không thể tự ý chia sẻ hoặc chuyển giao hồ sơ ứng viên cho bên thứ ba khi chưa có sự cho phép.
- Thứ ba, một quy định rất đáng chú ý là doanh nghiệp “phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển”. Điều này có nghĩa là, các hồ sơ, CV, thông tin cá nhân của ứng viên không trúng tuyển không được phép lưu trữ vô thời hạn trong cơ sở dữ liệu của doanh nghiệp mà không có căn cứ pháp lý hoặc thỏa thuận rõ ràng.
2.2. Trách nhiệm của doanh nghiệp trong giai đoạn quản lý, sử dụng người lao động
Khi người lao động đã chính thức làm việc, doanh nghiệp tiếp tục phải tuân thủ các giới hạn pháp lý về thu thập dữ liệu nhân sự theo khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025:
- Doanh nghiệp phải “tuân thủ quy định của Luật này, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan”. Đây là sự giao thoa giữa pháp luật lao động và pháp luật bảo vệ dữ liệu, đòi hỏi bộ phận nhân sự phải am hiểu đồng thời cả hai hệ thống quy định này.
- Về thời hạn lưu trữ, “dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận”. Việc lưu trữ dữ liệu nhân sự quá thời hạn quy định mà không có căn cứ là hành vi vi phạm pháp luật. Khi hợp đồng lao động chấm dứt, doanh nghiệp “phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác”.
2.3. Giới hạn đối với việc sử dụng biện pháp công nghệ, kỹ thuật
Trong bối cảnh doanh nghiệp ngày càng ứng dụng nhiều công nghệ vào quản lý nhân sự – từ hệ thống chấm công sinh trắc học, camera giám sát, đến phần mềm theo dõi năng suất – khoản 3 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025 đặt ra các ràng buộc quan trọng:
- “Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó”. Điều này có nghĩa, người lao động phải được thông báo rõ ràng về các hệ thống theo dõi, giám sát đang được áp dụng đối với họ. Doanh nghiệp không được bí mật thu thập dữ liệu nhân sự thông qua các thiết bị công nghệ. Ngoài ra, “không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật”.
III. CÁC HÀNH VI BỊ NGHIÊM CẤM KHI XỬ LÝ DỮ LIỆU NHÂN SỰ
Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025 liệt kê các hành vi bị nghiêm cấm, trong đó có những hành vi trực tiếp liên quan đến hoạt động thu thập dữ liệu nhân sự của doanh nghiệp:
- Xử lý dữ liệu cá nhân trái quy định của pháp luật: Đây là hành vi bị cấm cơ bản nhất, bao gồm mọi hoạt động thu thập, lưu trữ, sử dụng hay chia sẻ thông tin nhân sự không đúng quy định.
- Mua, bán dữ liệu cá nhân: Doanh nghiệp tuyệt đối không được mua bán thông tin của ứng viên hay người lao động, trừ trường hợp luật có quy định khác.
- Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân: Các hành vi để lộ thông tin nhân sự do bất cẩn hoặc cố ý đều có thể phải chịu trách nhiệm pháp lý.
Các hành vi vi phạm trong thu thập dữ liệu nhân sự có thể dẫn đến chế tài xử phạt hành chính hoặc truy cứu trách nhiệm hình sự tùy theo mức độ vi phạm.
Câu hỏi thường gặp
- Hồ sơ của ứng viên không trúng tuyển có được lưu lại cho lần tuyển dụng tiếp theo không? Theo quy định, doanh nghiệp phải xóa, hủy thông tin của ứng viên không được tuyển dụng, trừ khi có thỏa thuận khác bằng văn bản với ứng viên đó.
- Doanh nghiệp có được lắp camera giám sát nhân viên mà không thông báo không? Không được phép. Luật Bảo vệ dữ liệu cá nhân 2025 yêu cầu người lao động phải biết rõ các biện pháp công nghệ, kỹ thuật được áp dụng để thu thập dữ liệu của họ.
Doanh nghiệp cần nhận thức rằng thu thập dữ liệu nhân sự không chỉ là hoạt động quản trị thông thường mà còn là quá trình xử lý dữ liệu cá nhân chịu sự điều chỉnh của pháp luật. Việc tuân thủ đúng các nguyên tắc về phạm vi thu thập, mục đích sử dụng, sự đồng ý của chủ thể dữ liệu và thời hạn lưu trữ sẽ giúp doanh nghiệp hạn chế rủi ro pháp lý, đồng thời xây dựng môi trường làm việc minh bạch và tôn trọng quyền riêng tư của người lao động. Nếu còn vướng mắc về quy định của Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp nên tham khảo ý kiến chuyên gia để được tư vấn phù hợp.
