Nhân viên nghỉ việc nhưng hồ sơ của họ — CMND/CCCD, hợp đồng lao động, bảng lương, tài khoản email nội bộ — vẫn nằm trong hệ thống của doanh nghiệp. Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đặt ra nguyên tắc rõ ràng: chấm dứt hợp đồng lao động thì phải xóa, hủy dữ liệu, trừ khi có căn cứ giữ lại. Dưới đây là 5 lưu ý cho bộ phận nhân sự và pháp chế.
1. Nguyên tắc: nghỉ việc thì xóa, hủy dữ liệu
Điểm c khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 91/2025 quy định: khi chấm dứt hợp đồng lao động, tổ chức phải xóa, hủy dữ liệu cá nhân của người lao động, trừ trường hợp các bên có thỏa thuận khác hoặc pháp luật có quy định khác.
Đây là nghĩa vụ mặc định: doanh nghiệp không cần chờ người lao động yêu cầu mới xóa. Giữ lại hồ sơ “cho tiện”, “phòng khi cần” mà không có căn cứ là vi phạm.
2. Xóa đúng cách: an toàn, ngăn khôi phục trái phép, kể cả bản backup
Việc xóa, hủy phải thực hiện bằng biện pháp an toàn, ngăn chặn khả năng khôi phục trái phép dữ liệu (khoản 3, khoản 4 Điều 14 Luật 91/2025/QH15). Xóa khỏi giao diện phần mềm nhưng dữ liệu vẫn còn nguyên trong database, hoặc vẫn nằm trong bản backup mà không có quy trình hủy theo chu kỳ, thì chưa đáp ứng yêu cầu “xóa, hủy” của luật.
Thực hành: doanh nghiệp cần quy trình xóa bao phủ cả hệ thống chính, hệ thống dự phòng và các bản sao mà bên thứ ba (nhà cung cấp dịch vụ HR, lưu trữ cloud) đang nắm giữ.
3. Thời hạn lưu trữ phải được xác định trước
Điểm b khoản 2 Điều 25 yêu cầu tổ chức phải xác định trước thời hạn lưu trữ dữ liệu cá nhân của người lao động — căn cứ theo quy định của pháp luật hoặc thỏa thuận với người lao động. Việc lưu trữ cũng phải tuân thủ nguyên tắc phù hợp với mục đích xử lý (khoản 3 Điều 3): hết mục đích, hết thời hạn thì phải xóa.
Doanh nghiệp nên đưa thời hạn lưu trữ vào quy tắc bảo vệ dữ liệu cá nhân nội bộ và thông báo cho người lao động ngay từ khi ký hợp đồng.
4. Được giữ lại khi pháp luật chuyên ngành bắt buộc — nhưng phải chỉ rõ căn cứ
Ngoại lệ của nguyên tắc xóa là khi pháp luật chuyên ngành bắt buộc lưu trữ — ví dụ nghĩa vụ lưu trữ hồ sơ theo pháp luật về thuế, kế toán, bảo hiểm xã hội. Trong trường hợp này, doanh nghiệp được giữ lại dữ liệu trong phạm vi nghĩa vụ đó, nhưng phải chỉ rõ căn cứ pháp lý cụ thể cho từng loại dữ liệu được giữ.
Lưu ý: không ghi thời hạn lưu trữ cụ thể theo năm nếu chưa đối chiếu trực tiếp văn bản pháp luật chuyên ngành — mỗi loại hồ sơ có thời hạn khác nhau và có thể thay đổi.
5. Người lao động cũ vẫn có quyền rút đồng ý và yêu cầu xóa
Việc chấm dứt hợp đồng lao động không làm mất đi quyền của chủ thể dữ liệu. Người lao động đã nghỉ việc vẫn có quyền rút lại sự đồng ý, yêu cầu xóa dữ liệu của mình (Điều 4, Điều 10, Điều 14 Luật 91/2025/QH15). Doanh nghiệp cần duy trì kênh tiếp nhận (email, đầu mối phụ trách) để xử lý các yêu cầu này ngay cả sau khi người lao động đã rời đi.
Câu hỏi thường gặp
Giữ hồ sơ nhân viên cũ “phòng khi cơ quan thuế kiểm tra” có được không?
Được, nếu thuộc nghĩa vụ lưu trữ theo pháp luật về thuế/kế toán — nhưng phải chỉ rõ căn cứ pháp lý cụ thể và chỉ giữ trong phạm vi, thời hạn mà pháp luật chuyên ngành yêu cầu.
Xóa tài khoản email nội bộ của nhân viên nghỉ việc đã đủ chưa?
Chưa đủ. Nghĩa vụ xóa, hủy bao phủ toàn bộ dữ liệu cá nhân trong hệ thống chính, hệ thống dự phòng, bản backup và dữ liệu do bên thứ ba nắm giữ — bằng biện pháp an toàn, ngăn khôi phục trái phép.
Nhân viên cũ yêu cầu xóa dữ liệu, doanh nghiệp có thể từ chối không?
Chỉ được từ chối khi có căn cứ hợp pháp: thỏa thuận với người lao động hoặc pháp luật có quy định khác về lưu trữ (điểm c khoản 2 Điều 25; Điều 14).
Nguồn trích dẫn
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 — hiệu lực 01/01/2026: Điều 3.3, Điều 4, Điều 10, Điều 14 (xóa, hủy dữ liệu), Điều 18, Điều 25 (khoản 2: điểm b thời hạn lưu trữ, điểm c xóa khi chấm dứt hợp đồng), Điều 33.2;
- Bộ luật Lao động 45/2019/QH14.
Kết luận
Từ 01/01/2026, dữ liệu của nhân viên đã nghỉ việc không còn là “tài sản để dành” của doanh nghiệp: nghỉ việc thì xóa, hủy là nguyên tắc mặc định; xóa phải an toàn, không khôi phục được, bao gồm cả backup; thời hạn lưu trữ phải xác định trước; chỉ được giữ lại khi pháp luật chuyên ngành bắt buộc và chỉ rõ căn cứ; và người lao động cũ vẫn giữ quyền rút đồng ý, yêu cầu xóa. Thiết lập quy trình 5 bước trên ngay từ bây giờ giúp bộ phận nhân sự tuân thủ luật mà không bị động.
Doanh nghiệp bạn cần xây dựng quy trình xử lý dữ liệu nhân sự theo Luật 91/2025/QH15? Liên hệ FLAT Law Firm để được tư vấn.
Thông tin tham khảo, không phải tư vấn pháp lý. Nội dung do AI soạn thảo, sẽ được AI Legal Council của FLAT Law Firm kiểm tra chất lượng trước khi xem xét đăng tải; không phải ý kiến tư vấn của luật sư người thật. Quy định pháp luật có thể thay đổi; bạn nên đối chiếu văn bản hiện hành trước khi áp dụng.
