Doanh nghiệp phải xóa dữ liệu cá nhân của người lao động sau khi chấm dứt hợp đồng từ 01/01/2026

Doanh nghiệp phải xóa dữ liệu cá nhân của người lao động sau khi chấm dứt hợp đồng từ 01/01/2026 (Hình từ Internet)

Doanh nghiệp phải xóa dữ liệu cá nhân của người lao động sau khi chấm dứt hợp đồng từ 01/01/2026

Đây là nội dung được đề cập trong quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng người lao động theo Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực thi hành từ ngày 01/01/2026.

Cụ thể trong quản lý, sử dụng người lao động, cơ quan, tổ chức, cá nhân phải có những trách nhiệm sau đây trong việc bảo vệ dữ liệu cá nhân của người lao động:

- Tuân thủ quy định của Luật Bảo vệ dữ liệu cá nhân 2025, pháp luật về lao động, việc làm, pháp luật về dữ liệu và quy định khác của pháp luật có liên quan;

- Dữ liệu cá nhân của người lao động phải lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận;

- Phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.

Trong đó, việc xử lý dữ liệu cá nhân của người lao động được thu thập bằng biện pháp công nghệ, kỹ thuật trong quản lý người lao động được quy định như sau:

- Chỉ được áp dụng các biện pháp công nghệ, kỹ thuật phù hợp với quy định của pháp luật và bảo đảm quyền, lợi ích của chủ thể dữ liệu cá nhân, trên cơ sở người lao động biết rõ biện pháp đó;

- Không được xử lý, sử dụng dữ liệu cá nhân thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

Cơ sở pháp lý: Khoản 2, 3 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025.

Dữ liệu cá nhân của người lao động từ ngày 01/01/2026 gồm những gì?

Cụ thể, dữ liệu cá nhân của người lao động là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.

Trong đó:

- Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.

- Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.

Cơ sở pháp lý: Khoản 1, 2, 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025.

Người lao động được xóa dữ liệu cá nhân từ 01/01/2026 trong trường hợp nào?

Theo Luật Bảo vệ dữ liệu cá nhân 2025, người lao động được xóa dữ liệu cá nhân được trong các trường hợp sau đây:

[1] Chủ thể dữ liệu cá nhân có yêu cầu và chấp nhận các rủi ro, thiệt hại có thể xảy ra đối với mình. Yêu cầu của chủ thể dữ liệu cá nhân trong trường hợp này phải tuân thủ đầy đủ các nguyên tắc quy định tại khoản 3 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025;

Điều 3. Nguyên tắc bảo vệ dữ liệu cá nhân

…

3. Bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phủ hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

[2] Đã hoàn thành mục đích xử lý dữ liệu cá nhân;

[3] Hết thời hạn lưu trữ theo quy định của pháp luật;

[4] Thực hiện theo quyết định của cơ quan nhà nước có thẩm quyền;

[5] Thực hiện theo thỏa thuận;

[6] Trường hợp khác theo quy định của pháp luật.

Lưu ý: Không thực hiện yêu cầu của chủ thể dữ liệu cá nhân về việc xóa, hủy dữ liệu cá nhân trong các trường hợp quy định tại Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025.

Điều 19. Xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân

1. Các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân bao gồôm:

a) Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách; bảo vệ quyền hoặc lợi ích chính đáng của mình, của người khác hoặc lợi ích của Nhà nước, của cơ quan tổ chức một cách cần thiết trước hành vi xâm phạm lợi ích nói trên. Bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có trách nhiệm chứng minh trường hợp này;

b) Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia nhưng chưa đến mức ban bố tình trạng khần cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật;

c) Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật;

d) Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật;

đ) Trường hợp khác theo quy định của pháp luật.

2. Cơ quan, tổ chức, cá nhân có liên quan phải thiết lập cơ chế giám sát khi xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân bao gồm:

a) Thiết lập quy trình, quy định xử lý dữ liệu cá nhân và xác định trách nhiệm của cơc quan, tổ chức, cá nhân trong quá trình xử lý dữ liệu cá nhân;

b) Triển khai các biện pháp bảo vệ dữ liệu cá nhân phù hợp; thường xuyên đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân;

c) Thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của pháp luật, quy trình, quy định xử lý dữ liệu cá nhân;

d) Có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan.

Hoặc việc xóa, hủy dữ liệu cá nhân vi phạm quy định tại khoản 3 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025.

Cơ sở pháp lý: Khoản 1, 2 Điều 14 Luật Bảo vệ dữ liệu cá nhân 2025.