Trách nhiệm của doanh nghiệp đối với dữ liệu cá nhân người lao động

Trong kỷ nguyên số hóa, việc thu thập, quản lý và xử lý dữ liệu cá nhân của người lao động từ giai đoạn tuyển dụng đến khi kết thúc hợp đồng là hoạt động thường xuyên của mọi doanh nghiệp.

Bài viết dưới đây VDPC sẽ phân tích chi tiết theo quy định của pháp luật.

Căn cứ pháp lý:

Điều 61 Nghị định 330/2026/NĐ-CP
Điều 2, 25 Luật Bảo vệ dữ liệu cá nhân 2025

1. Dữ liệu cá nhân là gì?

Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.

Dữ liệu cá nhân bao gồm 02 loại: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.

Dữ liệu cá nhân doanh nghiệp thu thập của người lao động, bao gồm:

Dữ liệu cơ bản: tên, số điện thoại, email, địa chỉ,…
Dữ liệu nhạy cảm: tình trạng sức khỏe, thông tin về tài chính, thu nhập cá nhân, mã số thuế, dữ liệu sinh trắc học.

2. Vai trò của doanh nghiệp trong hoạt động xử lý DLCN

Khi thực hiện xử lý dữ liệu cá nhân của người lao động, doanh nghiệp đảm nhận vai trò là Bên kiểm soát dữ liệu cá nhân;

3. Trách nhiệm của doanh nghiệp

Trách nhiệm bảo vệ DLCN của doanh nghiệp trong tuyển dụng người lao động:

Chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng của cơ quan, tổ chức, cá nhân tuyển dụng phù hợp với quy định của pháp luật; thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định của pháp luật;
Thông tin cung cấp phải được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển;
Phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển.

Trách nhiệm bảo vệ DLCN của doanh nghiệp trong quản lý, sử dụng người lao động:

Tuân thủ quy định của Luật bảo vệ dữ liệu cá nhân, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.

Lưu ý: Việc xử lý dữ liệu cá nhân của người lao động được thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó; không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

4. Hậu quả pháp lý khi doanh nghiệp vi phạm trách nhiệm bảo vệ DLCN

Nếu doanh nghiệp vi phạm trách nhiệm bảo vệ DLCN của người lao động thì có thể sẽ phải chịu hậu quả pháp lý như sau:

Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

Yêu cầu người dự tuyển cung cấp dữ liệu cá nhân không phục vụ cho mục đích tuyển dụng hoặc không phù hợp với quy định của pháp luật;
Sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển;
Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý;
Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển.

Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;
Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác;
Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động;
Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

Biện pháp khắc phục hậu quả:

Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm quy định tại điểm c, d khoản 1, điểm c, d khoản 2 và khoản 3.
Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3.

Kết luận

Việc nắm vững và tuân thủ nghiêm ngặt các quy định về bảo vệ dữ liệu cá nhân của người lao động là yếu tố giúp doanh nghiệp vận hành minh bạch, tránh các khoản phạt hành chính nặng nề và bảo vệ uy tín thương hiệu.

Trên đây là Trách nhiệm của doanh nghiệp đối với dữ liệu cá nhân người lao động. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.620.6959

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: