Dữ liệu nhân sự sau khi nghỉ việc: Doanh nghiệp có được tiếp tục lưu giữ?

    Trong bối cảnh kinh tế số, việc xử lý dữ liệu cá nhân của người lao động sau khi chấm dứt quan hệ lao động đang đặt ra nhiều vấn đề pháp lý mới đối với doanh nghiệp. Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật số 91/2025/QH15), có hiệu lực từ ngày 01/01/2026, đã thiết lập một khuôn khổ pháp lý riêng và cụ thể hơn về quyền, nghĩa vụ trong xử lý dữ liệu cá nhân.

Điều này đặt doanh nghiệp trước yêu cầu phải rà soát lại cách thức lưu trữ, sử dụng và xóa dữ liệu của người lao động sau khi nghỉ việc.

     Đối với doanh nghiệp, vấn đề không chỉ đơn thuần là “có phải xóa hay không”, mà còn là dữ liệu nào phải xóa, dữ liệu nào được tiếp tục lưu giữ và trong trường hợp nào doanh nghiệp có thể từ chối yêu cầu xóa dữ liệu của người lao động đã nghỉ việc. Dưới đây là những vấn đề pháp lý doanh nghiệp cần lưu ý khi xử lý dữ liệu nhân sự sau khi chấm dứt quan hệ lao động.

1. Theo quy định, nguyên tắc chung đối với dữ liệu là phải xóa, hủy dữ liệu khi chấm dứt hợp đồng

    Theo điểm c khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp có trách nhiệm xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động. Quy định này cho thấy việc người lao động nghỉ việc không chỉ làm chấm dứt quan hệ lao động mà còn đặt ra yêu cầu đối với doanh nghiệp trong việc rà soát và xử lý dữ liệu cá nhân đã thu thập trong quá trình tuyển dụng, quản lý và sử dụng lao động.

       Quy định này cũng phù hợp với nguyên tắc xử lý dữ liệu cá nhân tại Điều 14 của Luật. Theo đó, dữ liệu cá nhân phải được xóa, hủy khi đã hoàn thành mục đích xử lý hoặc hết thời hạn lưu trữ theo quy định. Thời gian lưu giữ không được kéo dài tùy ý mà phải phù hợp với mục đích xử lý dữ liệu ban đầu.

    Như vậy, doanh nghiệp không thể mặc nhiên tiếp tục lưu giữ toàn bộ hồ sơ, thông tin cá nhân của người lao động sau khi nghỉ việc chỉ với lý do “để sử dụng khi cần thiết”. Việc tiếp tục lưu trữ phải có căn cứ pháp lý phù hợp.

2. Khi nào doanh nghiệp được tiếp tục lưu giữ dữ liệu?

     Mặc dù nguyên tắc chung là xóa, hủy dữ liệu khi chấm dứt hợp đồng, pháp luật vẫn đặt ra một số trường hợp ngoại lệ cho phép doanh nghiệp tiếp tục lưu giữ dữ liệu cá nhân.

     Thứ nhất, doanh nghiệp có thể tiếp tục lưu giữ dữ liệu nếu có thỏa thuận khác rõ ràng với người lao động bằng văn bản. Việc lưu giữ cần dựa trên sự đồng ý tự nguyện, rõ ràng và có thể kiểm chứng của người lao động. Chẳng hạn, người lao động có thể đồng ý để doanh nghiệp lưu thông tin liên hệ nhằm duy trì mạng lưới cựu nhân viên hoặc lưu hồ sơ trong nguồn ứng viên cho các vị trí tuyển dụng trong tương lai.

      Thứ hai, doanh nghiệp được tiếp tục lưu giữ dữ liệu nếu pháp luật có quy định khác về thời hạn lưu trữ. Trên thực tế, một số loại hồ sơ liên quan đến tiền lương, thuế, bảo hiểm xã hội, kế toán hoặc các nghĩa vụ pháp lý khác có thể phải được lưu giữ trong một khoảng thời gian nhất định. Trong những trường hợp này, doanh nghiệp được tiếp tục lưu trữ dữ liệu trong phạm vi và thời hạn mà pháp luật yêu cầu.

        Điểm cần lưu ý là việc dữ liệu được phép lưu giữ không đồng nghĩa với việc doanh nghiệp được tiếp tục sử dụng dữ liệu cho mọi mục đích. Doanh nghiệp vẫn phải bảo đảm dữ liệu chỉ được xử lý trong phạm vi cần thiết và phù hợp với căn cứ pháp lý tương ứng.

3. Doanh nghiệp cần làm gì khi người lao động nghỉ việc?

       Để hạn chế rủi ro tuân thủ, doanh nghiệp nên đưa việc xử lý dữ liệu cá nhân trở thành một bước chính thức trong quy trình rút lui (off-boarding), thay vì chỉ tập trung vào bàn giao công việc, tài sản và quyền lợi của người lao động.

      Trước hết, doanh nghiệp cần xây dựng quy trình rà soát dữ liệu khi chấm dứt hợp đồng, xác định rõ loại dữ liệu nào phải xóa, loại dữ liệu nào cần tiếp tục lưu giữ và căn cứ pháp lý cho việc lưu giữ. Trường hợp doanh nghiệp có nhu cầu tiếp tục sử dụng thông tin của người lao động cho các mục đích mới, chẳng hạn tuyển dụng trong tương lai hoặc duy trì liên hệ, cần có sự đồng ý phù hợp của người lao động.

     Bên cạnh đó, doanh nghiệp nên phân loại dữ liệu thay vì áp dụng một phương thức xử lý chung cho toàn bộ hồ sơ nhân sự. Các dữ liệu phải lưu theo quy định của pháp luật chuyên ngành cần được tách biệt với những dữ liệu không còn mục đích xử lý, chẳng hạn một số thông tin liên hệ cá nhân, hình ảnh hoặc thông tin về người thân của người lao động.

    Cuối cùng, khi tiến hành xóa, hủy dữ liệu (trên cả hệ thống phần mềm lẫn hồ sơ giấy vật lý), doanh nghiệp phải áp dụng các biện pháp bảo mật cần thiết để đảm bảo thông tin không thể bị xâm nhập hoặc khôi phục trái phép.