TỪ NGÀY 01/01/2026: DOANH NGHIỆP BẮT BUỘC XOÁ TOÀN BỘ DỮ LIỆU CỦA NHÂN VIÊN CŨ KHI CHẤM DỨT HỢP ĐỒNG LAO ĐỘNG ? 

Khi một nhân viên rời khỏi doanh nghiệp, câu chuyện thường thấy là phòng nhân sự vẫn giữ lại hồ sơ cá nhân, hợp đồng lao động, bản sao giấy tờ tùy thân, dữ liệu chấm công, bảng lương, thông tin bảo hiểm xã hội, thậm chí cả hồ sơ y tế hoặc thông tin nhạy cảm liên quan đến quá trình làm việc. 

Khi một nhân viên rời khỏi doanh nghiệp, hành trình của họ tại công ty có thể đã kết thúc, nhưng kho dữ liệu của họ vẫn được doanh nghiệp lưu trữ. Điều này không chỉ xuất phát từ thói quen hành chính giữ lại cho chắc mà còn là nhu cầu thực tiễn để phục vụ cho công tác kiểm tra thuế, hoàn thiện thủ tục BHXH, hoặc làm bằng chứng xử lý các tranh chấp lao động có thể phát sinh về sau. 

Tuy nhiên, từ ngày 01/01/2026 – khi các quy định của Luật Bảo vệ dữ liệu cá nhân 2025 được triển khai – câu hỏi lớn đặt ra cho các doanh nghiệp là: Liệu có bắt buộc phải xoá toàn bộ dữ liệu cá nhân của nhân viên cũ ngay khi họ nghỉ việc hay không?  

Bài viết dưới đây sẽ giúp doanh nghiệp có cái nhìn rõ hơn về vấn đề trên. 

1. Dữ liệu cá nhân là gì? 

Theo quy định tại Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Trong đó: 

• Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội. Đây là những thông tin định danh quen thuộc, thường xuyên được sử dụng trong cuộc sống hàng ngày và trong môi trường làm việc. Ví dụ như sơ yếu lý lịch của một nhân viên: họ và tên, ngày tháng năm sinh, giới tính, nơi thường trú, số điện thoại, email cá nhân, số Căn cước công dân, mã số thuế cá nhân, thông tin tài khoản ngân hàng để trả lương, và cả những thông tin về mối quan hệ gia đình để tính giảm trừ gia cảnh,… 

• Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân có thể là: thông tin về tình trạng sức khỏe trong hồ sơ khám sức khỏe; quan điểm chính trị hoặc tôn giáo (dù hiếm khi được thu thập); dữ liệu sinh trắc học như dấu vân tay, nhận dạng khuôn mặt dùng để chấm công; hoặc thông tin về các khoản vay, giao dịch tài chính nếu công ty có các chương trình phúc lợi liên quan.  

Như vậy, từ bản CV ứng tuyển đầu tiên cho đến phiếu thanh toán lương cuối cùng, doanh nghiệp đang nắm trong tay một “kho dữ liệu cá nhân” đồ sộ của NLĐ.  

2. Vậy, khi nhân viên nghỉ việc, doanh nghiệp có buộc phải xóa toàn bộ những dữ liệu đó không?  

Câu trả lời là: Có, nhưng không phải tất cả. Luật quy định rằng khi mục đích xử lý dữ liệu đã đạt được hoặc khi hợp đồng lao động chấm dứt, doanh nghiệp phải tiến hành xóa hoặc hủy dữ liệu cá nhân của NLĐ, trừ khi có căn cứ pháp luật khác cho phép lưu giữ. Mục tiêu của quy định này là bảo vệ quyền riêng tư của cá nhân, ngăn chặn việc dữ liệu bị lạm dụng, rò rỉ hoặc sử dụng sai mục đích. Bởi nếu thông tin cá nhân của một nhân viên cũ bị rò rỉ ra ngoài, gây ra lừa đảo hoặc hành vi vi phạm pháp luật, doanh nghiệp sẽ phải đối mặt với thiệt hại về uy tín mà còn có thể bị xử phạt rất nặng theo quy định mới.  

Tuy nhiên, quy định về việc xóa dữ liệu không phải là tuyệt đối. Pháp luật về bảo vệ dữ liệu cá nhân cũng dự liệu các trường hợp ngoại lệ quan trọng quy định tại điểm c khoản 2 Điều 25 Luật bảo vệ dữ liệu cá nhân 2025. Doanh nghiệp được phép lưu trữ hồ sơ trong những trường hợp sau đây: 

1. Pháp luật chuyên ngành có quy định khác:

Đây là trường hợp ngoại lệ quan trọng nhất. Rất nhiều văn bản pháp luật khác yêu cầu doanh nghiệp phải lưu trữ hồ sơ của NLĐ trong một khoảng thời gian nhất định, ngay cả khi họ đã nghỉ việc. Ví dụ: 

Pháp luật về Thuế – Kế toán: Các chứng từ kế toán sử dụng trực tiếp để ghi sổ kế toán và lập báo cáo tài chính, sổ kế toán và báo cáo tài chính năm thì thời gian lưu trữ ít nhất10 năm. Đối với các loại chứng từ kế toán không sử dụng trực tiếp để ghi sổ kế toán, lập báo cáo tài chính thời hạn lưu trữ ít nhất 05 năm. 

Pháp luật về lao động:  

• Thời hiệu giải quyết tranh chấp lao động là 06 tháng, 09 tháng hoặc 01 năm tuỳ trường hợp cụ thể. Khi phát sinh tranh chấp, doanh nghiệp sẽ phải có nghĩa vụ cung cấp tài liệu, chứng cứ chứng minh trong việc giải quyết tranh chấp với NLĐ. Do đó, các hồ sơ liên quan đến NLĐ cần được lưu trữ ít nhất 01 năm sau khi chấm dứt HĐLĐ.

• Hồ sơ liên quan đến việc đóng và hưởng các chế độ BHXH, BHYT, BHTN cần được lưu trữ để phục vụ cho việc giải quyết các quyền lợi sau này của NLĐ. 

2. Khi có thoả thuận với NLĐ

Doanh nghiệp có thể thỏa thuận với NLĐ về việc tiếp tục lưu trữ dữ liệu của họ sau khi nghỉ việc. Tuy nhiên, thỏa thuận này phải được lập thành văn bản rõ ràng, nêu rõ mục đích, phạm vi sử dụng và thời gian lưu trữ. 

3. Để bảo vệ quyền và lợi ích hợp pháp của doanh nghiệp:

Trong trường hợp có các tranh chấp lao động xảy ra, doanh nghiệp có quyền lưu trữ lại các dữ liệu cần thiết để làm bằng chứng tự bảo vệ mình trước tòa án hoặc các cơ quan có thẩm quyền. 

3. Lời khuyên dành cho doanh nghiệp 

Trong bối cảnh quy định mới sắp được thực thi, thay vì chờ đợi, các doanh nghiệp cần có một kế hoạch hành động chủ động. Cụ thể: 

Rà soát và phân loại dữ liệu: Doanh nghiệp nên tiến hành một cuộc kiểm tra toàn bộ dữ liệu nhân sự mà doanh nghiệp đang lưu trữ. Phân loại chúng thành các nhóm khác nhau: dữ liệu nào cần xóa, dữ liệu nào được phép giữ lại và trong bao lâu. 

Xây dựng quy trình xóa dữ liệu: Thiết lập một quy trình xóa dữ liệu an toàn và hiệu quả. Bao gồm: 

• Lịch trình lưu trữ (Retention Schedule): Quy định rõ thời gian lưu trữ tối đa cho từng loại dữ liệu. Việc này không chỉ để tuân thủ mà còn là một hành động chiến lược. Bằng cách xác định rõ thời gian lưu trữ cần thiết cho việc giải quyết tranh chấp, doanh nghiệp đảm bảo mình có đủ chứng cứ chứng minh để tự bảo vệ khi cần. 

• Quy trình hủy dữ liệu an toàn: Thiết lập quy trình xóa hoặc hủy dữ liệu một cách an toàn sau khi hết thời hạn lưu trữ, đảm bảo thông tin không thể bị khôi phục, giúp giảm thiểu rủi ro rò rỉ dữ liệu.

Cập nhật các văn bản nội bộ: Rà soát và cập nhật lại hợp đồng lao động, nội quy lao động, thỏa ước lao động tập thể, và các chính sách bảo vệ dữ liệu cá nhân của công ty để bổ sung các điều khoản liên quan đến việc xử lý dữ liệu sau khi chấm dứt hợp đồng. 

Đào tạo và nâng cao nhận thức: Tổ chức các buổi đào tạo cho bộ phận nhân sự và các cấp quản lý về quy định mới này. Khi tất cả mọi người đều hiểu rõ và tuân thủ, rủi ro pháp lý sẽ được giảm thiểu, đồng thời xây dựng một văn hóa tôn trọng dữ liệu trong toàn tổ chức. 

Kết luận

Tóm lại, từ ngày 01/01/2026, doanh nghiệp không nhất thiết phải xóa toàn bộ dữ liệu của nhân viên sau khi đã chấm dứt hợp đồng lao động. Thay vào đó, quy định mới yêu cầu doanh nghiệp phải chuyển từ thói quen “lưu trữ mặc định” sang “lưu trữ có chủ đích”. Việc thiết lập một quy trình xử lý dữ liệu minh bạch ngay bây giờ là hành động thiết thực nhất giúp doanh nghiệp vừa tuân thủ quy định, vừa khẳng định văn hóa quản trị chuyên nghiệp.