Pháp luật hiện hành không ấn định một con số tối đa chung cho thời hạn lưu trữ dữ liệu cá nhân. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (khung hiện hành, thay thế Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026) áp dụng nguyên tắc: lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý, trừ khi pháp luật chuyên ngành có quy định khác.
Trả lời ngắn
- Nguyên tắc chung: lưu trữ “trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác” (Điều 3.3 Luật 91/2025/QH15).
- Hết mục đích → xóa, hủy: khi hoàn thành mục đích xử lý hoặc hết thời hạn theo quy định pháp luật, bên xử lý dữ liệu phải xóa, hủy dữ liệu (Điều 14.1.b, 14.1.c).
- Chế tài: lưu trữ dữ liệu cá nhân của người lao động quá thời hạn cần thiết có thể bị phạt 50–70 triệu đồng (Điều 61.2 Nghị định 330/2026/NĐ-CP).
“Không có con số tối đa chung” nghĩa là gì?
Không giống một số quy định đặt ra trần số năm cố định, Luật 91/2025/QH15 gắn thời hạn lưu trữ với mục đích xử lý đã được thông báo cho chủ thể dữ liệu. Doanh nghiệp thu thập dữ liệu để làm gì (tuyển dụng, giao kết hợp đồng, chăm sóc khách hàng…) thì chỉ được lưu trữ dữ liệu trong thời gian phù hợp với mục đích đó.
Khi mục đích hoàn thành — ví dụ: ứng viên không được tuyển và thời gian lưu hồ sơ ứng viên đã hết, hợp đồng đã thanh lý xong — việc tiếp tục lưu trữ không còn căn cứ hợp pháp.
Nghĩa vụ xóa, hủy dữ liệu khi hết thời hạn
Điều 14.1 Luật 91/2025/QH15 đặt ra nghĩa vụ rõ ràng cho bên xử lý dữ liệu:
- Điểm b khoản 1 Điều 14: khi hoàn thành mục đích xử lý dữ liệu cá nhân → phải xóa, hủy dữ liệu.
- Điểm c khoản 1 Điều 14: khi hết thời hạn lưu trữ theo quy định của pháp luật → phải xóa, hủy dữ liệu.
Xóa, hủy ở đây không chỉ là xóa khỏi màn hình hiển thị mà phải bảo đảm dữ liệu không thể khôi phục bằng biện pháp thông thường — doanh nghiệp cần quy trình kỹ thuật và biên bản xác nhận việc xóa/hủy để chứng minh tuân thủ khi có kiểm tra.
Thời hạn cụ thể theo từng lĩnh vực chuyên ngành
Điều 3.3 dự liệu trường hợp “pháp luật có quy định khác” — tức là nhiều lĩnh vực có thời hạn lưu trữ riêng mà doanh nghiệp phải tuân thủ, chẳng hạn:
- Hồ sơ người lao động: thời hạn lưu trữ gắn với thời gian thực hiện quan hệ lao động và các nghĩa vụ sau chấm dứt (bảo hiểm xã hội, thuế thu nhập cá nhân…) theo pháp luật lao động, bảo hiểm xã hội, thuế.
- Tài liệu kế toán, chứng từ: thời hạn lưu trữ tối thiểu 5 năm, 10 năm hoặc vĩnh viễn tùy loại theo Luật Kế toán.
- Dữ liệu trong lĩnh vực ngân hàng, viễn thông, y tế: pháp luật chuyên ngành có thể quy định thời hạn lưu trữ riêng, thường dài hơn do yêu cầu phòng chống rửa tiền, giải quyết khiếu nại, truy vết.
Nguyên tắc áp dụng: khi pháp luật chuyên ngành ấn định thời hạn cụ thể, áp dụng thời hạn đó; khi không có, áp dụng nguyên tắc “phù hợp với mục đích xử lý” của Điều 3.3.
Hậu quả khi lưu trữ quá thời hạn
Điều 61.2 Nghị định 330/2026/NĐ-CP quy định mức phạt 50–70 triệu đồng đối với hành vi lưu trữ dữ liệu cá nhân của người lao động quá thời hạn cần thiết. Đây là chế tài hành chính trực tiếp nhắm vào việc “giữ dữ liệu thừa” — doanh nghiệp cần:
- Rà soát định kỳ: lập danh mục dữ liệu cá nhân đang lưu, đối chiếu mục đích xử lý và thời hạn pháp luật chuyên ngành.
- Quy trình xóa/hủy: ban hành quy định nội bộ về thời điểm xóa/hủy từng nhóm dữ liệu, phân công trách nhiệm và lưu vết thực hiện.
- Hợp đồng với bên xử lý dữ liệu: yêu cầu bên thứ ba (đơn vị cung cấp dịch vụ nhân sự, marketing…) cam kết xóa dữ liệu khi hết mục đích và báo cáo việc thực hiện.
Câu hỏi thường gặp
Công ty có được lưu hồ sơ ứng viên không trúng tuyển để “dự phòng” không? Chỉ được lưu trong thời gian phù hợp với mục đích đã thông báo (ví dụ: xét tuyển đợt sau trong một khoảng thời gian xác định và có sự đồng ý của ứng viên). Lưu vô thời hạn “để dành” là lưu trữ quá thời hạn cần thiết và có thể bị xử phạt.
Hết thời hạn lưu trữ nhưng dữ liệu đang là chứng cứ trong tranh chấp thì sao? Khi dữ liệu cần thiết cho việc giải quyết tranh chấp, khiếu nại, tố tụng đang diễn ra, việc tiếp tục lưu trữ có căn cứ hợp pháp (mục đích xử lý mới phát sinh). Doanh nghiệp cần ghi nhận lý do và thời điểm dự kiến xóa sau khi vụ việc kết thúc.
Nghị định 13/2023/NĐ-CP còn áp dụng được không? Không. Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ 01/01/2026; khung hiện hành là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.
Nguồn trích dẫn
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: khoản 3 Điều 3, điểm b, c khoản 1 Điều 14; còn hiệu lực (khung hiện hành từ 01/01/2026).
- Nghị định 330/2026/NĐ-CP, khoản 2 Điều 61 — chế tài lưu trữ dữ liệu cá nhân người lao động quá thời hạn cần thiết.
- Nghị định 13/2023/NĐ-CP — đã hết hiệu lực từ 01/01/2026, chỉ còn giá trị tham khảo lịch sử.
Doanh nghiệp cần rà soát tuân thủ dữ liệu cá nhân? Đội ngũ FLAT Law Firm tư vấn xây dựng chính sách bảo vệ dữ liệu cá nhân, rà soát thời hạn lưu trữ và quy trình xóa/hủy theo Luật 91/2025/QH15. Liên hệ với chúng tôi tại https://flaw.vn/lien-he/.
Thông tin trong bài chỉ mang tính tham khảo chung theo pháp luật hiện hành tại thời điểm viết (14/10/2026), không phải tư vấn pháp lý cho vụ việc cụ thể. Doanh nghiệp nên tham vấn luật sư trước khi áp dụng.
Ghi chú minh bạch: Bài viết do hệ thống sản xuất nội dung AI của FLAT Law Firm soạn thảo, đang trong quy trình kiểm duyệt nội bộ trước khi xuất bản. Bài viết chưa được luật sư người thật rà soát.