Trách nhiệm Bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động của doanh nghiệp

Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 và các văn bản hướng dẫn có hiệu lực, thông tin nội bộ của nhân sự đã trở thành tài sản pháp lý được nhà nước bảo vệ nghiêm ngặt. Vậy quy trình bảo vệ dữ liệu cá nhân của người lao động đòi hỏi người sử dụng lao động phải tuân thủ những trách nhiệm cụ thể nào?

Nội dung dưới đây VDPC sẽ phân tích toàn diện vấn đề này để các doanh nghiệp có thể nắm rõ và kịp thời tuân thủ các quy định của pháp luật.

1. Chủ thể dữ liệu cá nhân

• Người ứng tuyển (trong tuyển dụng)
• Nhân viên công ty (trong quản lý, sử dụng người lao động)

2. Xác định, phân loại thông tin của người lao động

Căn cứ pháp lý:

• Điều 3 và 4 Nghị định 356/2025/NĐ-CP
• Điều 38 Bộ luật Dân sự 2015

Dữ liệu cá nhân của người lao động có thể bao gồm: 

• Dữ liệu cá nhân cơ bản (họ, tên, hình ảnh cá nhân,…)
• Dữ liệu cá nhân nhạy cảm (dấu vân tay, thông tin tài khoản cá nhân, đời sống riêng tư,…) 

Các dữ liệu của người lao động là bất khả xâm phạm và được pháp luật bảo vệ

3. Vai trò của doanh nghiệp

Căn cứ pháp lý: Điều 11, 12, 13, 14, 15, 16, 17, 18, 21, 37 Luật bảo vệ dữ liệu cá nhân 2025

Doanh nghiệp thực hiện việc: (có sự cho phép của chủ thể dữ liệu cá nhân)

• Thu thập, chỉnh sửa, phân tích, tổng hợp, mã hoá, giải mã
• Cung cấp, công khai, chuyển giao
• Xoá, huỷ, khử nhận dạng
• Tiếp nhận các yêu cầu và sự đồng ý của chủ thể dữ liệu cá nhân 
• Quyết định mục đích và phương tiện lưu trữ dữ liệu cá nhân
• Đánh giá tác động xử lý
• Các hoạt động khác (lưu trữ, bảo vệ,…)

⇒ Doanh nghiệp có thể là bên xử lý dữ liệu, bên kiểm soát dữ liệu, bên xử lý và kiểm soát dữ liệu; tuân theo các trách nhiệm của bên xử lý dữ liệu, bên kiểm soát dữ liệu, bên xử lý và kiểm soát dữ liệu

4. Trách nhiệm chung của doanh nghiệp

Căn cứ pháp lý: Điều 3, 4, 8, 9, 23, 37 Luật bảo vệ dữ liệu cá nhân 2025

• Tuân thủ các nguyên tắc trong bảo vệ dữ liệu cá nhân
• Đảm bảo thực hiện các quyền của chủ thể dữ liệu
• Xin phép sự đồng ý của chủ thể; cho chủ thể dữ liệu biết về loại thông tin xử lý, các bên xử lý và quyền, nghĩa vụ; thể hiện bằng các hình thức như văn bản, điện tử hoặc các hình thức kiểm chứng được; trừ các trường hợp luật quy định khác về sự cho phép.
• Lựa chọn bên xử lý dữ liệu phù hợp
• Bị xử lý vi phạm quy định về bảo vệ dữ liệu cá nhân
• Thông báo vi phạm quy định bảo vệ dữ liệu cá nhân
• Phối hợp với Bộ Công an trong bảo vệ dữ liệu cá nhân
• Thực hiện thủ tục thông báo hồ sơ đánh giá tác động xử lý dữ liệu cá nhân
• Thực hiện thủ tục thông báo hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

5. Trách nhiệm với thông tin người lao động trong tuyển dụng

Căn cứ pháp lý: Điều 16 Bộ luật Lao động 2019, Điều 25 Luật bảo vệ dữ liệu cá nhân 2025

• Thông tin của người lao động được yêu cầu cung cấp chỉ được phù hợp với yêu cầu công việc và chỉ nhằm phục vụ mục đích tuyển dụng; 
• Xử lý dữ liệu theo quy định của pháp luật và có sự đồng ý của người lao động; bị xoá, huỷ nếu không tuyển dụng trừ trường hợp thỏa thuận khác.

6. Trách nhiệm với thông tin người lao động trong quá trình làm việc

Căn cứ pháp lý: Điều 4, 25, 31 Luật bảo vệ dữ liệu cá nhân 2025

– Thông tin của người lao động được xử lý bằng cách áp dụng các biện pháp  phù hợp và phải được sự đồng ý của người lao động, sử dụng; được lưu trữ trong thời hạn theo luật định hoặc thoả thuận

– Người lao động được biết về việc xử lý dữ liệu cá nhân, xem, chỉnh sửa, có các yêu cầu liên quan tới thông tin của mình

– Thông tin sinh trắc (như vân tay) hay hình ảnh (ảnh mặt) hoặc các dạng thông tin như tài khoản cá nhân, sơ yếu lý lịch dùng trong quản lý phải có biện pháp bảo mật với thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập, có hệ thống theo dõi nhằm phòng ngừa, phát hiện hành vi xâm phạm

– Chuyển giao dữ liệu cá nhân phải có sự đồng ý của người lao động và phải thuộc trường hợp pháp luật cho phép (như để mở tài khoản ngân hàng, giữa các bộ phận trong công ty, đóng bảo hiểm,…)

7. Trách nhiệm với thông tin người lao động khi kết thúc hợp đồng lao động

Căn cứ pháp lý: Điều 25 Luật bảo vệ dữ liệu cá nhân 2025

• Phải xoá, huỷ dữ liệu khi chấm dứt hợp đồng lao động trừ khi có thỏa thuận hoặc luật quy định khác.
• Chịu chế tài xử phạt trong trường hợp không thực hiện các trách nhiệm chung của doanh nghiệp trong bảo vệ dữ liệu cá nhân

8. Xử phạt vi phạm hành chính

Lưu ý: Mức phạt sau đây áp dụng cho cá nhân, mức xử phạt tăng gấp đôi đối với trường hợp cơ quan tổ chức vi phạm

Theo dự thảo Nghị định của Bộ Công an về xử phạt trong bảo vệ dữ liệu cá nhân:

Đối với việc xin sự đồng ý

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

1. Việc xử lý dữ liệu cá nhân không được sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác;
2. Chủ thể dữ liệu bị bắt buộc phải đồng ý cho xử lý dữ liệu cá nhân với các mục đích khác với nội dung thỏa thuận;
3. Sự đồng ý của chủ thể dữ liệu cá nhân không được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với các hành vi:

1. Tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản;
2. Xử lý dữ liệu cá nhân khi chủ thể dữ liệu im lặng hoặc không phản hồi trước yêu cầu đồng ý;
3. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không chứng minh hoặc không nhận chứng minh rằng chủ thể dữ liệu đã đồng ý cho xử lý dữ liệu cá nhân.

3. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh ngành nghề có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng đối với các hành vi vi phạm quy định khi tổ chức, cá nhân vi phạm đối với các quy định tại điểm a, c khoản 1, khoản 2 Điều này;
2. Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này.
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng đối với các hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

1. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với các hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này.
2. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này;
3. Công khai xin lỗi trên các phương tiện thông tin đại chúng đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

Đối với việc không thực hiện đánh giá tác động xử lý DLCN

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với các hành vi:

• Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân;
• Bên Xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân.

2. Phạt tiền gấp 02 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 100.000 công dân Việt Nam tới dưới 1.000.000 công dân Việt Nam.

3. Phạt tiền gấp 05 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam.

4. Phạt tiền bằng 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi để lộ, mất dữ liệu cá nhân của 5.000.000 công dân Việt Nam trở lên.

5. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng;
2. Tịch thu tang vật, phương tiện xử lý dữ liệu cá nhân;
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng.

6. Biện pháp khắc phục hậu quả:

1. Buộc lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân;
2. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân;
3. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm;
4. Công khai xin lỗi trên các phương tiện thông tin đại chúng.

Đối với việc không thực hiện thủ tục thông báo đánh giá tác động xử lý DLCN

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với các hành vi:

• Không gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân;
• Không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao).

2, Phạt tiền gấp 02 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 100.000 công dân Việt Nam tới dưới 1.000.000 công dân Việt Nam.

3. Phạt tiền gấp 05 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam.

4. Phạt tiền bằng 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi để lộ, mất dữ liệu cá nhân của 5.000.000 công dân Việt Nam trở lên.

5. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng;
2. Tịch thu tang vật, phương tiện xử lý dữ liệu cá nhân;
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng.

6. Biện pháp khắc phục hậu quả:

1. Buộc lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân;
2. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân;
3. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm;
4. Công khai xin lỗi trên các phương tiện thông tin đại chúng.

Kết luận

Tóm lại, công tác bảo vệ dữ liệu cá nhân của người lao động không còn là quy chế nội bộ tự nguyện mà đã trở thành nghĩa vụ pháp lý của mỗi doanh nghiệp. Việc buông lỏng quản lý không chỉ dẫn đến rủi ro bị phạt tiền, mà còn làm ảnh hưởng trực tiếp tới uy tín của doanh nghiệp. Dù ở vai trò nào, người sử dụng lao động phải nghiêm túc hoàn thiện tuân thủ các quy định về bảo vệ dữ liệu cá nhân. 

Trên đây là Trách nhiệm Bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động của doanh nghiệp. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: