Với việc Luật Bảo vệ dữ liệu cá nhân của Việt Nam có hiệu lực từ ngày 01/01/2026, các doanh nghiệp sẽ phải gánh vác những nghĩa vụ mới liên quan đến việc thu thập, lưu trữ và xóa bỏ thông tin người lao động. Bài viết này sẽ phân tích chi tiết về thời hạn bảo quản hồ sơ nhân sự và các biện pháp ứng phó trong thực tiễn.

Hiện nay, việc lưu trữ và quản lý hồ sơ của người lao động sau khi nghỉ việc không chỉ đơn thuần là một nghiệp vụ hành chính, mà đã trở thành một phần quan trọng trong việc quản trị rủi ro pháp lý, bảo mật thông tin và tuân thủ quy định. Đặc biệt, theo Luật Bảo vệ dữ liệu cá nhân năm 2025 (có hiệu lực từ 01/01/2026), những nghĩa vụ mới về "thu thập, lưu trữ, sử dụng, xóa và hủy" dữ liệu cá nhân đã được bổ sung, đòi hỏi các doanh nghiệp phải rà soát và cải tổ toàn diện hệ thống quản lý dữ liệu người lao động.

Dựa trên hệ thống pháp luật hiện hành của Việt Nam, bài viết này sẽ hệ thống hóa lại thời hạn bảo quản, thời điểm tiêu hủy, định hướng số hóa hồ sơ nhân sự, đồng thời phân tích những điểm cần lưu ý trên thực tế để đảm bảo tuân thủ pháp luật trong thời gian tới.

Phụ lục I ban hành kèm theo Thông tư số 10/2022/TT-BNV của Bộ Nội vụ Việt Nam đã quy định rõ thời hạn bảo quản đối với các tài liệu liên quan đến người lao động trong doanh nghiệp.

Như vậy, các hồ sơ liên quan đến nghỉ việc, điều động, kỷ luật... có thể được tiêu hủy sau 20 năm kể từ ngày người lao động nghỉ việc. Tuy nhiên, đối với các hồ sơ cơ bản của người lao động (sổ quản lý nhân sự, bản sao giấy tờ tùy thân...), doanh nghiệp có nghĩa vụ bảo quản lên đến 70 năm.

Doanh nghiệp cần thiết lập lộ trình lưu trữ cho từng loại hồ sơ, nhằm tối ưu hóa sự cân bằng giữa việc tiêu hủy, số hóa và lưu trữ bản cứng.

● Thời hạn bảo quản Hợp đồng lao động

Theo Phụ lục I Thông tư số 10/2022/TT-BNV (Mục 3.2, khoản 41), Hợp đồng lao động (có thời hạn, không xác định thời hạn, theo mùa vụ, dưới 12 tháng) được xếp vào "Hồ sơ về tuyển dụng, điều động, thay đổi chức danh, biệt phái, kỷ luật...". Do đó, thời hạn bảo quản đối với các loại hợp đồng lao động này là 20 năm.

(Có hiệu lực từ 01/01/2026: Luật Bảo vệ dữ liệu cá nhân 2025)

Luật Bảo vệ dữ liệu cá nhân năm 2025, có hiệu lực từ ngày 01/01/2026, sẽ đặt ra những nghĩa vụ mới cho doanh nghiệp liên quan đến việc thu thập, lưu trữ, sử dụng, xóa và hủy dữ liệu cá nhân của người lao động cũng như ứng viên tuyển dụng.

Với sự ra đời của đạo luật này, doanh nghiệp không chỉ đơn thuần lưu trữ dữ liệu mà còn phải chịu trách nhiệm thực hiện việc xóa và hủy dữ liệu một cách hợp pháp và chuẩn mực.

● Dữ liệu cá nhân là gì?

Đạo luật này định nghĩa dữ liệu cá nhân như sau:

• Dữ liệu cá nhân cơ bản (Basic personal data): Các thông tin được sử dụng trong các giao dịch và đời sống xã hội thông thường như danh tính, lý lịch, các mối quan hệ xã hội của cá nhân.
• Dữ liệu cá nhân nhạy cảm (Sensitive personal data): Là những thông tin gắn liền sâu sắc với quyền riêng tư, mà khi bị sử dụng trái phép hoặc rò rỉ có thể xâm phạm trực tiếp đến quyền và lợi ích hợp pháp của cá nhân.

Do đó, toàn bộ sơ yếu lý lịch, hợp đồng, hồ sơ ứng tuyển, thông tin liên lạc... của người lao động và ứng viên đều được coi là "dữ liệu cá nhân". Doanh nghiệp bắt buộc phải hoàn thiện hệ thống quản lý tuân thủ pháp luật đối với khâu thu thập, lưu trữ, xóa và hủy các dữ liệu này.

2.1. Nghĩa vụ của doanh nghiệp đối với dữ liệu người lao động

Khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025 quy định về nghĩa vụ của doanh nghiệp trong việc quản lý dữ liệu cá nhân trong quan hệ lao động như sau:

a. Tuân thủ quy định của Luật này, pháp luật về lao động, việc làm và các quy định pháp luật khác có liên quan.

b. Dữ liệu cá nhân của người lao động chỉ được lưu trữ trong khoảng thời gian theo quy định của pháp luật hoặc theo thỏa thuận giữa các bên.

c. Khi chấm dứt hợp đồng lao động, phải tiến hành xóa hoặc hủy dữ liệu cá nhân.

Trừ trường hợp việc lưu trữ được phép theo thỏa thuận giữa người sử dụng lao động và người lao động hoặc theo quy định của pháp luật.

➡️ Nói cách khác, doanh nghiệp không được phép lưu trữ dữ liệu người lao động vượt quá thời hạn luật định. Về nguyên tắc, khi hợp đồng chấm dứt, doanh nghiệp có nghĩa vụ xóa và hủy dữ liệu cá nhân đó. Ngoại lệ duy nhất cho phép lưu trữ thêm một thời gian nhất định là khi có văn bản thỏa thuận (sự đồng ý của người lao động) hoặc khi có nghĩa vụ lưu trữ theo quy định của các luật khác.

2.2. Nghĩa vụ đối với dữ liệu của ứng viên tuyển dụng

Khoản 1 Điều 25 của Luật này quy định về việc xử lý dữ liệu cá nhân trong hoạt động tuyển dụng như sau:

a. Doanh nghiệp chỉ được phép yêu cầu các thông tin cần thiết phục vụ cho mục đích tuyển dụng trong phạm vi pháp luật cho phép. Thông tin thu thập được chỉ được sử dụng cho mục đích tuyển dụng hoặc các mục đích khác nếu được sự đồng ý của ứng viên.

b. Việc xử lý thông tin được cung cấp phải tuân thủ quy định pháp luật và phải có sự đồng ý của ứng viên.

c. Đối với thông tin cá nhân của ứng viên không trúng tuyển, doanh nghiệp có nghĩa vụ xóa và hủy sau khi kết thúc đợt tuyển dụng, trừ trường hợp có sự đồng ý của ứng viên hoặc có thỏa thuận khác.

➡️ Theo đó, thông tin của các ứng viên không trúng tuyển phải được xóa và tiêu hủy nhanh chóng ngay sau khi quy trình tuyển dụng kết thúc. Việc tiếp tục lưu trữ sơ yếu lý lịch hay thông tin liên lạc mà không có sự đồng ý rõ ràng từ ứng viên có thể bị coi là hành vi vi phạm pháp luật.

● Điểm lưu ý trên thực tiễn

• Cần minh bạch hóa quy định nội bộ về thời hạn lưu trữ dữ liệu của người nghỉ việc và ứng viên, đồng thời phổ biến rõ ràng đến từng phòng ban.
• Xây dựng quy trình xóa, hủy dữ liệu (áp dụng cho cả dữ liệu điện tử và hồ sơ giấy) và lưu giữ lại biên bản/nhật ký thực hiện.
• Bắt buộc phải thu thập sự đồng ý bằng văn bản của người đó nếu muốn tái sử dụng hoặc tra cứu lại dữ liệu của ứng viên.
• Có các biện pháp kỹ thuật để xử lý triệt để các dữ liệu còn sót lại trên hệ thống sao lưu (backup) hoặc lưu trữ đám mây sau khi đã thực hiện thao tác xóa.

Đây sẽ là một trong những lĩnh vực trọng tâm nhất trong công tác tuân thủ bảo vệ dữ liệu từ năm 2026 trở đi.

Trong bối cảnh yêu cầu về tuân thủ pháp luật và bảo mật dữ liệu ngày càng khắt khe, các doanh nghiệp cần sớm xây dựng một hệ thống quản lý toàn diện đối với hồ sơ nhân sự và dữ liệu cá nhân, đảm bảo ba yếu tố: An toàn - Hiệu quả - Hợp chuẩn.

Dưới đây là một số giải pháp ứng phó hiệu quả trên thực tế:

① Hệ thống hóa cách thức phân loại và lưu trữ hồ sơ

• Phân loại rõ ràng các loại hồ sơ nhân sự theo từng nhóm (hồ sơ gốc, hợp đồng lao động, hồ sơ nghỉ việc, kỷ luật...) và nắm bắt chính xác thời hạn bảo quản của từng loại.
• Sau khi hết thời hạn bảo quản, tiến hành xóa, tiêu hủy hoặc số hóa một cách phù hợp.
• Xây dựng sổ tay/hệ thống theo dõi hồ sơ, thiết lập cơ chế truy xuất theo từng người phụ trách và từng năm.

② Thiết lập môi trường lưu trữ an toàn

• Đối với hồ sơ giấy: Lưu trữ tại tủ/kho tài liệu chuyên dụng có trang bị hệ thống kiểm soát ra vào.
• Đối với dữ liệu điện tử: Ứng dụng các nền tảng lưu trữ đám mây an toàn (OneDrive, SharePoint, Google Workspace...), thiết lập cơ chế sao lưu (backup) và phân quyền truy cập nghiêm ngặt.
• Định kỳ rà soát lịch sử truy cập, triệt để ngăn chặn tình trạng xem trái phép và rò rỉ thông tin.

③ Xây dựng quy chế nội bộ về việc xóa và hủy dữ liệu cá nhân

• Văn bản hóa các quy định về thời điểm, thủ tục và người chịu trách nhiệm xóa, hủy dữ liệu của người lao động sau khi nghỉ việc.
• Thiết lập các quy trình về mặt kỹ thuật và vận hành nhằm ngăn chặn tình trạng "lưu trữ kép" hoặc phát sinh "tệp ẩn".
• Lưu giữ lại bằng chứng xóa dữ liệu (nhật ký/log) để sẵn sàng phục vụ cho công tác thanh tra, kiểm toán.