Doanh nghiệp phải xử lý thế nào với dữ liệu nhân sự khi người lao động nghỉ việc?

Sau những yêu cầu mới về quản lý dữ liệu người lao động, doanh nghiệp không chỉ cần kiểm soát ai được quyền truy cập mà còn phải xác định dữ liệu nào được lưu, lưu trong bao lâu và khi nào phải xóa hoặc hủy. Đây là nội dung đáng lưu ý trong quá trình chuẩn hóa hồ sơ nhân sự, nhất là khi người lao động chấm dứt hợp đồng.

Từ 01/01/2026, theo quy định mới tại Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp phải xóa dữ liệu cá nhân của người lao động sau khi chấm dứt hợp đồng, trừ trường hợp được pháp luật cho phép hoặc có sự đồng ý của người lao động. Quy định này, góp phần hạn chế hệ lụy do lộ thông tin cá nhân gây ra, đánh dấu bước tiến lớn trong việc bảo vệ quyền riêng tư đối với người lao động Việt Nam trong môi trường số (Ảnh minh họa).

Nghỉ việc không có nghĩa được giữ dữ liệu vô thời hạn

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026. Theo khoản 2 Điều 25, dữ liệu cá nhân của người lao động phải được lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận giữa các bên. Khi hợp đồng lao động chấm dứt, doanh nghiệp phải xóa hoặc hủy dữ liệu cá nhân của người lao động, trừ trường hợp pháp luật hoặc thỏa thuận cho phép tiếp tục lưu giữ.

Quy định này đặt ra một yêu cầu rất thực tế: doanh nghiệp cần biết chính xác dữ liệu của từng người lao động đang được lưu ở đâu, phục vụ mục đích gì và căn cứ nào cho phép tiếp tục lưu giữ sau khi hợp đồng kết thúc.

Do đó, việc nhân sự nghỉ việc nhưng tài khoản, hồ sơ điện tử, dữ liệu trên các hệ thống quản lý vẫn được lưu giữ vô thời hạn là vấn đề doanh nghiệp cần rà soát.

Dữ liệu thu thập bằng công nghệ cũng phải được kiểm soát

Trong quản lý nhân sự hiện nay, doanh nghiệp có thể sử dụng nhiều công cụ công nghệ để thu thập và xử lý dữ liệu người lao động. Luật yêu cầu các biện pháp này phải phù hợp pháp luật, bảo đảm quyền và lợi ích của người có dữ liệu; người lao động phải được biết rõ về các biện pháp công nghệ, kỹ thuật được áp dụng.

Điều đó có nghĩa doanh nghiệp cần đặc biệt lưu ý với những hệ thống như chấm công, kiểm soát ra vào, camera, phần mềm quản trị nhân sự hoặc các nền tảng khác có khả năng thu thập thông tin về người lao động.

Không nên mặc định rằng dữ liệu đã được doanh nghiệp thu thập thì có thể sử dụng cho mọi mục đích hoặc lưu giữ không giới hạn.

Người lao động có quyền yêu cầu xóa dữ liệu

Một điểm đáng chú ý khác là quyền xóa dữ liệu của chủ thể dữ liệu.

Theo quy định của Luật, cá nhân có quyền yêu cầu xóa dữ liệu của mình trong một số trường hợp, chẳng hạn dữ liệu không còn cần thiết cho mục đích thu thập; người có dữ liệu rút lại sự đồng ý; hoặc phản đối việc xử lý khi bên kiểm soát dữ liệu không có căn cứ hợp pháp để tiếp tục. Quyền này được thực hiện cùng với các trường hợp xóa dữ liệu theo quy định của pháp luật.

Với doanh nghiệp, đây không còn đơn thuần là vấn đề quản lý hồ sơ nội bộ mà đã trở thành một phần của trách nhiệm bảo vệ dữ liệu cá nhân.

Sau khi người lao động nghỉ việc, doanh nghiệp nên có quy trình riêng để xử lý dữ liệu thay vì chỉ khóa tài khoản hoặc thu hồi thiết bị.

Trước hết, cần lập danh mục các loại dữ liệu đang lưu giữ; xác định thời hạn bảo quản theo pháp luật hoặc thỏa thuận; phân loại dữ liệu nào phải tiếp tục lưu và dữ liệu nào phải xóa, hủy khi hết căn cứ lưu giữ.

Cùng với đó, doanh nghiệp cần kiểm tra quyền truy cập của nhân sự đã nghỉ việc, các tài khoản trên phần mềm quản trị, hệ thống lưu trữ đám mây, email công việc và những nền tảng có chứa dữ liệu cá nhân.

Việc xây dựng quy trình “nghỉ việc - thu hồi quyền truy cập - xác định thời hạn lưu giữ - xóa hoặc hủy dữ liệu” sẽ giúp doanh nghiệp tránh tình trạng dữ liệu nhân sự tồn tại phân tán, không rõ mục đích và không xác định được thời điểm phải xử lý.