Doanh nghiệp xử lý hồ sơ ứng viên và dữ liệu nhân viên: cần sửa gì?

Một đợt tuyển dụng kết thúc không có nghĩa doanh nghiệp được giữ mọi CV để dùng về sau. Điều 25 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đặt ra yêu cầu riêng cho hồ sơ dự tuyển, dữ liệu nhân viên và việc quản lý lao động bằng công nghệ. Với bộ phận nhân sự, việc cần rà soát là từng biểu mẫu thu thập, lý do giữ hồ sơ và cách xóa dữ liệu khi quan hệ tuyển dụng hoặc lao động kết thúc.

Phiếu ứng tuyển chỉ nên hỏi thông tin phục vụ tuyển dụng

Điểm a khoản 1 Điều 25 chỉ cho phép yêu cầu cung cấp thông tin phục vụ mục đích tuyển dụng phù hợp quy định pháp luật. Thông tin được cung cấp chỉ được dùng cho tuyển dụng và mục đích khác theo thỏa thuận phù hợp quy định pháp luật. Vì vậy, một biểu mẫu dùng chung cho mọi vị trí không nên mặc nhiên yêu cầu ứng viên khai đầy đủ mọi thông tin mà công ty có thể muốn biết.

Về thực hành, nhân sự nên gắn từng trường thông tin với một bước đánh giá cụ thể. Kinh nghiệm và bằng cấp liên quan có thể phục vụ sàng lọc chuyên môn; một yêu cầu khai thêm thông tin đời tư phải được xem lại về sự cần thiết và tính phù hợp. Đây là cách rà soát biểu mẫu, không phải danh mục thông tin được phép thu thập áp dụng cứng cho mọi công việc.

Có CV trong hộp thư chưa thay cho sự đồng ý xử lý

Điểm b khoản 1 Điều 25 yêu cầu thông tin được cung cấp phải được xử lý theo quy định pháp luật và có sự đồng ý của người dự tuyển. Doanh nghiệp không nên chỉ dựa vào việc ứng viên gửi tệp hồ sơ để kết luận rằng mọi hoạt động xử lý tiếp theo đều đã được chấp thuận, nhất là khi phát sinh mục đích khác với đợt tuyển dụng ban đầu.

Một cách triển khai là trình bày rõ mục đích xử lý ngay tại kênh tiếp nhận hồ sơ, đồng thời lưu được nội dung mà ứng viên đã đồng ý. Nếu muốn dùng hồ sơ cho nhu cầu khác, nhân sự cần kiểm tra thỏa thuận có thực sự bao phủ nhu cầu đó hay không. Cách tổ chức biểu mẫu này là khuyến nghị quản trị; không thay thế việc đối chiếu đầy đủ điều kiện pháp lý về sự đồng ý.

Không tuyển dụng thì xử lý kho CV thế nào?

Điểm c khoản 1 Điều 25 yêu cầu xóa, hủy thông tin đã cung cấp của người dự tuyển nếu không tuyển dụng, trừ trường hợp có thỏa thuận khác với người đã dự tuyển. Quy định này tác động trực tiếp đến thói quen lưu CV vô thời hạn trong thư mục chung hoặc giữ hồ sơ để chờ một vị trí chưa xác định.

Nếu muốn xây dựng nguồn ứng viên cho lần tuyển sau, doanh nghiệp nên có thỏa thuận rõ về việc tiếp tục lưu hồ sơ và phạm vi sử dụng. Không nên coi một dòng thông báo một chiều rằng công ty sẽ giữ mọi CV là đã chứng minh được thỏa thuận với từng ứng viên. Đồng thời, không tự đặt một thời hạn giữ hồ sơ mặc định rồi giới thiệu đó là thời hạn do Điều 25 quy định.

Quy trình kết thúc tuyển dụng nên có người xác định nhóm không được tuyển, kiểm tra thỏa thuận lưu tiếp và chuyển yêu cầu xóa đến nơi đang giữ bản sao. Bản CV trong email người phỏng vấn, bảng tổng hợp và tệp tải xuống cũng cần được kiểm kê. Đây là biện pháp thực hiện nghĩa vụ xóa, không phải một thủ tục riêng được điều luật mô tả chi tiết.

Khi ứng viên trở thành nhân viên, cần lập lại bảng lưu trữ

Khoản 2 Điều 25 quy định dữ liệu cá nhân của người lao động phải được lưu trữ trong thời hạn theo quy định pháp luật hoặc theo thỏa thuận. Như vậy, không nên áp dụng một thời hạn duy nhất cho toàn bộ hồ sơ nhân sự mà không xác định căn cứ tương ứng của từng nhóm dữ liệu.

Doanh nghiệp có thể lập bảng gồm loại hồ sơ, mục đích sử dụng, nơi lưu, người được truy cập và căn cứ xác định thời hạn. Việc chuyển hồ sơ ứng viên trúng tuyển sang hồ sơ nhân viên cũng nên được rà soát: thông tin cần cho quản lý lao động khác với các bản ghi phục vụ riêng cho vòng phỏng vấn. Bảng này giúp tránh giữ dữ liệu chỉ vì phần mềm còn dung lượng hoặc chưa có ai phụ trách xóa.

Nhân viên nghỉ việc không đồng nghĩa xóa sạch hoặc giữ tất cả

Điểm c khoản 2 Điều 25 yêu cầu xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác. Vì có ngoại lệ, doanh nghiệp không nên diễn giải thành yêu cầu xóa ngay mọi giấy tờ, nhưng cũng không thể lấy khả năng tồn tại ngoại lệ làm lý do giữ nguyên toàn bộ hồ sơ.

Khi làm thủ tục nghỉ việc, nhân sự nên chia dữ liệu thành phần phải xóa và phần tiếp tục lưu có căn cứ. Với phần lưu tiếp, cần ghi rõ căn cứ, thời hạn và phạm vi truy cập tương ứng. Bài viết không ấn định số năm lưu cho từng chứng từ, vì Điều 25 không đưa ra một thời hạn chung như vậy. Việc xác định thời hạn cụ thể cần đối chiếu riêng trước khi ban hành lịch lưu trữ.

Chấm công, giám sát bằng công nghệ phải để người lao động biết rõ

Khoản 3 Điều 25 điều chỉnh dữ liệu người lao động thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý. Chỉ được áp dụng biện pháp phù hợp quy định pháp luật, bảo đảm quyền, lợi ích của chủ thể dữ liệu, trên cơ sở người lao động biết rõ biện pháp đó. Dữ liệu thu thập từ biện pháp công nghệ, kỹ thuật trái pháp luật không được xử lý, sử dụng.

Với hệ thống chấm công hoặc công cụ theo dõi công việc, doanh nghiệp nên giải thích cụ thể cách thức đang áp dụng thay vì chỉ ghi chung rằng công ty có quyền giám sát. Việc thông báo không tự làm cho mọi biện pháp trở thành hợp pháp. Trước khi vận hành, cần kiểm tra đồng thời tính phù hợp của công cụ, dữ liệu thu được và ảnh hưởng đến quyền của người lao động.

Điểm bắt đầu thiết thực là rà lại biểu mẫu ứng tuyển, thỏa thuận giữ CV và quy trình nhân viên nghỉ việc. Mỗi bước nên có người chịu trách nhiệm cùng bằng chứng thực hiện, để việc bảo vệ dữ liệu không dừng ở một chính sách chung trên giấy.

Thông tin trong bài viết chỉ mang tính tham khảo; người đọc nên tham vấn luật sư hoặc tổ chức hành nghề luật sư cho trường hợp cụ thể.

Thiên Kỳ