RỦI RO PHÁP LÝ KHI LƯU TRỮ THÔNG TIN ỨNG VIÊN KHÔNG TRÚNG TUYỂN

Trong hoạt động tuyển dụng, nhiều doanh nghiệp có thói quen lưu trữ toàn bộ hồ sơ xin việc (CV), thông tin liên hệ, bằng cấp, lịch sử lương và kết quả phỏng vấn của ứng viên nhằm phục vụ cho các đợt tuyển dụng bổ sung trong tương lai. Trên thực tế, rất ít doanh nghiệp biết rằng việc giữ lại hồ sơ của ứng viên không trúng tuyển mà không có sự đồng ý hoặc thỏa thuận rõ ràng là hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Từ ngày 01/01/2026, hành vi này có thể khiến doanh nghiệp bị xử phạt hành chính lên tới 50 triệu đồng theo quy định pháp lý mới nhất.

1. Hai nhóm hành vi vi phạm thường gặp

1.1. Xử lý dữ liệu cá nhân khi chưa được sự đồng ý

Theo khoản 6 điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, “Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.”

Theo điểm c khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP, hành vi xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý bị phạt tiền từ 20 triệu đồng đến 50 triệu đồng.

Quy định này áp dụng đối với hoạt động tuyển dụng khi doanh nghiệp thu thập, lưu trữ, sử dụng hoặc thực hiện các hoạt động xử lý khác đối với dữ liệu cá nhân của ứng viên nhưng chưa có sự đồng ý của ứng viên hoặc sử dụng dữ liệu không đúng với phạm vi, mục đích đã được thống nhất.

Dữ liệu cá nhân của người dự tuyển có thể bao gồm họ tên, thông tin liên hệ, trình độ chuyên môn, quá trình học tập, kinh nghiệm làm việc, hồ sơ xin việc và các thông tin khác được doanh nghiệp thu thập trong quá trình tuyển dụng. Doanh nghiệp cần đảm bảo việc xử lý các thông tin này chỉ được thực hiện trong phạm vi cần thiết cho mục đích tuyển dụng hoặc theo đúng nội dung mà ứng viên đã đồng ý.

1.2. Không xóa, hủy dữ liệu cá nhân khi không tuyển dụng

Theo điểm d khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP, đối với hành vi không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác, bị phạt tiền từ 20 triệu đồng đến 50 triệu đồng.

Quy định này đặt ra yêu cầu đối với doanh nghiệp trong quá trình tuyển dụng phải xử lý dữ liệu cá nhân của ứng viên đúng mục đích, phạm vi và thời hạn cần thiết. Trường hợp ứng viên không trúng tuyển, doanh nghiệp không được tiếp tục lưu giữ các thông tin cá nhân đã thu thập như hồ sơ xin việc, thông tin liên hệ, trình độ chuyên môn, kinh nghiệm làm việc hoặc các dữ liệu khác phục vụ tuyển dụng, trừ khi có thỏa thuận khác với người dự tuyển hoặc thuộc trường hợp pháp luật cho phép.

2. Căn cứ pháp lý tại Luật Bảo vệ dữ liệu cá nhân 2025

Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025 quy định cụ thể về trách nhiệm bảo vệ dữ liệu cá nhân trong tuyển dụng lao động. Theo đó:

• Doanh nghiệp chỉ được yêu cầu cung cấp các thông tin phục vụ cho mục đích tuyển dụng, phù hợp với quy định của pháp luật;

• Thông tin được cung cấp chỉ được sử dụng vào mục đích tuyển dụng và mục đích khác theo thỏa thuận phù hợp với quy định pháp luật;

• Thông tin cung cấp phải được xử lý theo quy định của pháp luật và phải được sự đồng ý của người dự tuyển;

• Phải xóa, hủy thông tin đã cung cấp của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển.

Ngoài ra, theo quy định tại Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025, việc xóa, hủy dữ liệu cá nhân được thực hiện khi đã hoàn thành mục đích xử lý dữ liệu cá nhân. Đối với hồ sơ ứng viên không trúng tuyển, mục đích xử lý (tuyển dụng) đã hoàn thành, do đó dữ liệu phải được xóa hoặc hủy theo quy định.

4. Hậu quả pháp lý ngoài phạt tiền

Ngoài hình thức phạt tiền, doanh nghiệp vi phạm còn có thể bị áp dụng biện pháp khắc phục hậu quả theo quy định tại khoản 4 Điều 61 Nghị định 330/2026/NĐ-CP, trong đó có buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định.

Điều này có nghĩa là doanh nghiệp không chỉ bị phạt tiền mà còn phải thực hiện việc xóa dữ liệu theo yêu cầu của cơ quan có thẩm quyền – một quy trình có thể ảnh hưởng đến hoạt động tuyển dụng và uy tín của doanh nghiệp.

5. Khuyến nghị cho doanh nghiệp

Thứ nhất, rà soát toàn bộ quy trình tuyển dụng hiện hành. Doanh nghiệp cần xác định rõ những loại dữ liệu cá nhân nào đang được thu thập từ ứng viên, mục đích sử dụng, thời hạn lưu trữ và ai có quyền truy cập.

Thứ hai, xây dựng cơ chế xin thỏa thuận lưu trữ. Trường hợp doanh nghiệp muốn giữ lại hồ sơ ứng viên cho các đợt tuyển dụng sau, cần có thỏa thuận rõ ràng với ứng viên và đồng ý theo đó về việc lưu trữ và sử dụng dữ liệu trong tương lai. Sự im lặng hoặc không phản hồi không được coi là sự đồng ý theo quy định tại Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025.

Thứ ba, thiết lập quy trình xóa dữ liệu tự động. Doanh nghiệp nên xây dựng quy trình nội bộ để xóa hoặc hủy dữ liệu cá nhân của ứng viên không trúng tuyển trong thời hạn hợp lý sau khi kết thúc quá trình tuyển dụng, trừ trường hợp có thỏa thuận lưu trữ.

Thứ tư, lưu ý về thời hạn lưu trữ đối với người lao động đã trúng tuyển. Theo quy định tại điểm a khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP, hành vi lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng.