Trong bối cảnh chuyển đổi số và yêu cầu bảo vệ quyền riêng tư ngày càng được chú trọng, vấn đề quản lý và xử lý dữ liệu cá nhân của người lao động đang trở thành một trong những nội dung pháp lý quan trọng đối với doanh nghiệp. Đặc biệt, kể từ khi Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân chính thức có hiệu lực, trách nhiệm của doanh nghiệp trong việc bảo vệ, lưu trữ và xóa dữ liệu cá nhân của người lao động sau khi chấm dứt hợp đồng lao động đã được xác lập rõ ràng.
1. Khung pháp lý điều chỉnh
Theo Điều 16 Nghị định 13/2023/NĐ-CP, người xử lý dữ liệu cá nhân (trong đó bao gồm doanh nghiệp) có nghĩa vụ phải xóa hoặc hủy bỏ dữ liệu cá nhân khi:
Mục đích xử lý dữ liệu đã đạt được;
Hết thời hạn lưu trữ theo thỏa thuận với chủ thể dữ liệu hoặc theo quy định của pháp luật;
Có yêu cầu từ chủ thể dữ liệu;
Hoặc trong các trường hợp pháp luật quy định khác.
Như vậy, khi người lao động nghỉ việc, nếu không có căn cứ pháp lý rõ ràng để tiếp tục lưu trữ, doanh nghiệp phải tiến hành xóa dữ liệu cá nhân của họ. Dữ liệu cá nhân ở đây bao gồm cả dữ liệu cơ bản (họ tên, ngày sinh, số CCCD, địa chỉ, số điện thoại, thông tin tài khoản ngân hàng…) và dữ liệu nhạy cảm (tình trạng sức khỏe, mã số thuế, dấu vân tay, hình ảnh, thông tin người thân…).
2. Trách nhiệm của doanh nghiệp
Doanh nghiệp có trách nhiệm:
Đánh giá thời hạn và mục đích lưu trữ dữ liệu: Việc lưu giữ dữ liệu cá nhân người lao động sau khi nghỉ việc chỉ được phép nếu còn cần thiết cho mục đích kế toán, kiểm toán, khiếu nại hoặc tố tụng. Hết các mục đích này, dữ liệu cần được xóa.
Thiết lập quy trình xóa dữ liệu: Bao gồm các bước rà soát, đánh giá, phân loại và thực hiện xóa dữ liệu một cách an toàn, tránh rò rỉ thông tin.
Đáp ứng yêu cầu từ người lao động: Nếu người lao động có yêu cầu xóa dữ liệu cá nhân, doanh nghiệp buộc phải thực hiện, trừ khi có căn cứ pháp luật chứng minh cần tiếp tục lưu giữ.
Chịu trách nhiệm nếu vi phạm: Hành vi không xóa dữ liệu khi đã hết thời hạn hoặc không có căn cứ lưu giữ có thể bị xử phạt theo quy định tại Nghị định số 13/2023/NĐ-CP và các văn bản pháp luật có liên quan.
3. Chế tài xử lý vi phạm
Theo Điều 8. Xử lý vi phạm pháp luật về bảo vệ dữ liệu cá nhân của Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực từ ngày 01/01/2026, các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử phạt hành chính lên đến 3 tỷ đồng, tùy vào tính chất và mức độ vi phạm. Ngoài ra, doanh nghiệp còn có thể phải bồi thường thiệt hại cho người lao động nếu việc giữ lại hoặc để lộ dữ liệu cá nhân gây ảnh hưởng tiêu cực đến họ. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó.
4. Tổng đài tư vấn pháp luật qua điện thoại:
Nếu quý khách hàng còn có thắc mắc hay câu hỏi nào cần được tư vấn từ luật sư. Quý khách vui lòng liên hệ vào số Hotline 0978 333 379 để được luật sư tư vấn. Trân trọng cảm ơn!
