Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, nhân viên nghỉ việc có phải xóa dữ liệu của họ không?

20/06/2026
4 lượt xem
0 bình luận

Điểm c khoản 2 Điều 25 nói phải xóa khi chấm dứt hợp đồng, trừ trường hợp có thỏa thuận hoặc pháp luật quy định khác. Ngoại lệ này rộng hơn nhiều người nghĩ.

Người lao động nghỉ việc, hồ sơ của họ trong hệ thống nhân sự xử lý thế nào? Điều 25 Luật 91/2025/QH15 có quy định riêng cho giai đoạn quản lý, sử dụng lao động.

Ba nội dung tại khoản 2

Khoản 2 Điều 25 quy định trách nhiệm bảo vệ dữ liệu cá nhân trong quản lý, sử dụng người lao động:

Tuân thủ quy định của Luật này, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;
Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;
Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.

Ngoại lệ "pháp luật có quy định khác" là phần quyết định

Trong thực tế, một phần đáng kể hồ sơ lao động phải được giữ theo các quy định pháp luật chuyên ngành — về lao động, bảo hiểm xã hội, thuế, kế toán. Những thời hạn đó nằm ngoài Luật Bảo vệ dữ liệu cá nhân và được tôn trọng theo chính điểm c khoản 2 Điều 25.

Vì vậy câu trả lời đúng không phải "xóa tất cả" mà là: phân loại dữ liệu người lao động thành hai nhóm — nhóm có căn cứ pháp luật buộc lưu giữ và nhóm không có. Nhóm thứ hai phải xóa khi chấm dứt hợp đồng.

Nhóm thường không có căn cứ giữ lại

Đây là phần mà doanh nghiệp nên rà trước tiên:

Bản sao căn cước, hộ chiếu lưu trong thư mục chung của phòng nhân sự;
Hồ sơ khám sức khỏe đầu vào — thuộc dữ liệu nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP;
Dữ liệu vân tay hoặc khuôn mặt dùng cho máy chấm công;
Ảnh chụp, video từ hoạt động nội bộ có hình người đã nghỉ;
Tài khoản, hộp thư điện tử và nội dung trong đó;
Thông tin liên hệ trong nhóm trò chuyện nội bộ và danh bạ chung.

Dữ liệu thu bằng biện pháp công nghệ

Khoản 3 Điều 25 đặt thêm điều kiện cho việc xử lý dữ liệu cá nhân của người lao động thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động. Theo đó chỉ được áp dụng các biện pháp phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu, trên cơ sở người lao động biết rõ biện pháp đó; và không được xử lý, sử dụng dữ liệu thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

Điều kiện "người lao động biết rõ biện pháp đó" áp dụng cho máy chấm công sinh trắc học, phần mềm theo dõi máy tính, camera trong khu vực làm việc, thiết bị định vị trên xe công. Việc triển khai âm thầm không đáp ứng yêu cầu này.

Xóa phải an toàn

Khoản 3 Điều 14 Luật 91/2025/QH15 yêu cầu việc xóa, hủy dữ liệu cá nhân phải được thực hiện bằng các biện pháp an toàn, ngăn chặn xâm nhập và khôi phục trái phép. Khoản 4 Điều 14 cấm cố ý khôi phục trái phép dữ liệu đã bị xóa, hủy.

Quy trình nghỉ việc nên bổ sung gì

Danh sách bàn giao khi nghỉ việc ở hầu hết doanh nghiệp mới chỉ có tài sản và công việc. Nên bổ sung phần dữ liệu:

Thu hồi quyền truy cập vào toàn bộ hệ thống ngay trong ngày cuối cùng;
Xóa mẫu sinh trắc học khỏi máy chấm công;
Xử lý hộp thư điện tử theo chính sách đã công bố, thay vì để nguyên vô thời hạn;
Rà và xóa bản sao giấy tờ tùy thân không thuộc diện phải lưu theo pháp luật;
Ghi lại đã xóa những gì, ngày nào.

Bước đầu tiên vừa là nghĩa vụ bảo vệ dữ liệu, vừa là biện pháp an ninh cơ bản — vì tài khoản của người đã nghỉ vẫn hoạt động là một trong những nguyên nhân lộ lọt dữ liệu phổ biến nhất.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 25
Luật 91/2025/QH15 Điều 14

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.