Nghĩa vụ và thời hạn lưu trữ hồ sơ nhân sự trước thềm Luật Bảo vệ Dữ liệu Cá nhân có hiệu lực - Những việc doanh nghiệp cần chuẩn bị từ năm 2026

01 - Thời hạn lưu trữ hồ sơ nhân sự theo quy định pháp luật

Phụ lục I của Thông tư 10/2022/TT-BNV (Bộ Nội vụ) quy định rõ thời hạn lưu trữ đối với các hồ sơ liên quan đến người lao động trong doanh nghiệp:

Loại hồ sơ	Thời hạn lưu trữ
Hồ sơ liên quan đến tuyển dụng, điều động, thuyên chuyển, thay đổi vị trí công việc, kỷ luật	20 năm
Hồ sơ liên quan đến thủ tục nghỉ việc	20 năm
Thông tin cơ bản của người lao động (sơ yếu lý lịch, bằng cấp, quyết định tuyển dụng, bản sao CMND/CCCD, hộ chiếu, v.v.)	70 năm
Hồ sơ phản hồi liên quan đến chế độ, đãi ngộ đối với người lao động	10 năm

Diễn giải đơn giản: hồ sơ về nghỉ việc, điều động, kỷ luật... có thể tiêu hủy sau 20 năm kể từ khi người lao động nghỉ việc; nhưng hồ sơ cơ bản của người lao động (sổ nhân sự gốc, bản sao giấy tờ tùy thân...) phải giữ đến 70 năm. Doanh nghiệp cần lập lịch trình lưu trữ theo từng loại hồ sơ, cân đối hợp lý giữa việc tiêu hủy, số hóa và lưu trữ.

Riêng hợp đồng lao động lưu bao lâu?

Theo Phụ lục I Thông tư 10/2022/TT-BNV (mục 3.2, khoản 41), hợp đồng lao động các loại (có thời hạn, không xác định thời hạn, theo mùa vụ, dưới 12 tháng) thuộc nhóm "hồ sơ liên quan đến tuyển dụng, điều động, thay đổi vị trí công việc, biệt phái, kỷ luật" - tức thời hạn lưu trữ là 20 năm.

02 - Quy định mới về xóa, tiêu hủy dữ liệu cá nhân của người đã nghỉ việc và ứng viên

(Có hiệu lực từ ngày 1/1/2026: Luật Bảo vệ Dữ liệu Cá nhân 2025)

Luật Bảo vệ Dữ liệu Cá nhân 2025 đặt ra cho doanh nghiệp những nghĩa vụ mới trong toàn bộ vòng đời của dữ liệu: thu thập - lưu trữ - sử dụng - xóa - tiêu hủy. Nói cách khác, từ năm 2026, doanh nghiệp phải chịu trách nhiệm cả về việc xóa dữ liệu đúng cách, chứ không chỉ về việc lưu giữ.

Dữ liệu cá nhân là gì?

Luật phân dữ liệu cá nhân thành hai loại:

• Dữ liệu cá nhân cơ bản (Basic personal data): thông tin về nhân thân, lý lịch, quan hệ xã hội... được sử dụng trong các giao dịch, sinh hoạt xã hội thông thường.
• Dữ liệu cá nhân nhạy cảm (Sensitive personal data): thông tin gắn liền sâu sắc với đời sống riêng tư, mà việc sử dụng trái phép hoặc để lộ, lọt có thể xâm phạm trực tiếp đến quyền và lợi ích của cá nhân.

Theo đó, sơ yếu lý lịch, hợp đồng, hồ sơ ứng tuyển, thông tin liên hệ... của người lao động và ứng viên đều là "dữ liệu cá nhân", và doanh nghiệp phải có cơ chế quản lý hợp pháp cho toàn bộ vòng đời của các dữ liệu này.

2.1. Nghĩa vụ đối với dữ liệu của người lao động

Khoản 2 Điều 25 Luật Bảo vệ Dữ liệu Cá nhân 2025 quy định nghĩa vụ của doanh nghiệp về quản lý dữ liệu cá nhân trong quan hệ lao động:

• a. Tuân thủ luật này cùng pháp luật về lao động, việc làm và pháp luật khác có liên quan.
• b. Dữ liệu cá nhân của người lao động chỉ được lưu trữ trong thời hạn theo quy định pháp luật hoặc theo thỏa thuận giữa các bên.
• c. Khi hợp đồng lao động chấm dứt, phải xóa hoặc tiêu hủy dữ liệu cá nhân - trừ trường hợp có thỏa thuận giữa người sử dụng lao động và người lao động, hoặc pháp luật cho phép lưu trữ.

➡️ Nói cách khác: doanh nghiệp không được lưu dữ liệu người lao động vượt quá thời hạn pháp luật quy định, và về nguyên tắc phải xóa, tiêu hủy sau khi hợp đồng chấm dứt. Chỉ được lưu tiếp trong hai trường hợp: có văn bản thỏa thuận với sự đồng ý của người lao động, hoặc pháp luật khác quy định nghĩa vụ lưu trữ (như thời hạn 20/70 năm nêu ở mục 01).

2.2. Nghĩa vụ đối với dữ liệu của ứng viên tuyển dụng

Khoản 1 Điều 25 quy định về xử lý dữ liệu cá nhân trong hoạt động tuyển dụng:

• a. Doanh nghiệp chỉ được yêu cầu những thông tin cần thiết cho mục đích tuyển dụng, trong phạm vi pháp luật cho phép. Thông tin đã thu thập chỉ được dùng cho mục đích tuyển dụng, hoặc mục đích khác nếu được ứng viên đồng ý.
• b. Thông tin ứng viên cung cấp phải được xử lý theo quy định pháp luật và có sự đồng ý của chính ứng viên.
• c. Thông tin cá nhân của ứng viên không trúng tuyển phải được xóa, tiêu hủy sau khi kết thúc quá trình tuyển dụng, trừ khi có sự đồng ý của ứng viên hoặc có thỏa thuận riêng.

➡️ Điểm dễ mắc lỗi nhất: nhiều doanh nghiệp có thói quen giữ lại CV của ứng viên trượt để "dành cho đợt sau". Từ năm 2026, nếu không có sự đồng ý rõ ràng của ứng viên, việc tiếp tục lưu sơ yếu lý lịch hoặc thông tin liên hệ đó có thể bị coi là vi phạm pháp luật.

Lưu ý thực tiễn

• Quy định rõ trong nội quy công ty về thời hạn lưu dữ liệu của người đã nghỉ việc, ứng viên; phổ biến đến từng bộ phận
• Xác định quy trình xóa, tiêu hủy dữ liệu (cả điện tử và giấy) và lưu lại hồ sơ thực hiện
• Khi muốn tái sử dụng, tham chiếu lại dữ liệu ứng viên: bắt buộc có sự đồng ý bằng văn bản của chính ứng viên
• Áp dụng biện pháp kỹ thuật với dữ liệu còn sót trên bản sao lưu hoặc nền tảng đám mây sau khi đã xóa

Đây là một trong những mảng quan trọng nhất của công tác tuân thủ bảo vệ dữ liệu từ năm 2026 trở đi.

03 - Giải pháp và cách xử lý thực tiễn được khuyến nghị cho doanh nghiệp

Trước yêu cầu tuân thủ và bảo mật ngày càng cao, doanh nghiệp nên sớm xây dựng cơ chế quản lý toàn diện đối với hồ sơ nhân sự và dữ liệu cá nhân, bảo đảm ba yếu tố: an toàn, hiệu quả, đúng pháp luật. Ba nhóm việc cụ thể:

① Hệ thống hóa việc phân loại và phương thức lưu trữ hồ sơ

• Phân loại hồ sơ nhân sự thành các nhóm rõ ràng (hồ sơ gốc, hợp đồng lao động, hồ sơ nghỉ việc, kỷ luật...) và nắm chính xác thời hạn lưu trữ từng nhóm
• Hết thời hạn lưu trữ: thực hiện xóa, tiêu hủy, số hóa một cách phù hợp
• Xây dựng sổ theo dõi quản lý hồ sơ, có thể tra cứu theo từng người phụ trách, từng năm

② Xây dựng môi trường lưu trữ an toàn

• Hồ sơ giấy: lưu tại kho, tủ chuyên dụng có kiểm soát ra vào
• Dữ liệu điện tử: lưu trên nền tảng đám mây an toàn (OneDrive, SharePoint, Google Workspace...), thiết lập nghiêm ngặt việc sao lưu và phân quyền truy cập
• Định kỳ kiểm tra lịch sử truy cập để phòng ngừa xem trái phép, lộ lọt thông tin

③ Xây dựng quy chế nội bộ về xóa, tiêu hủy dữ liệu cá nhân

• Quy định bằng văn bản: thời điểm, thủ tục xóa dữ liệu của người đã nghỉ việc và người chịu trách nhiệm
• Thiết lập quy trình kỹ thuật và vận hành để không phát sinh "bản lưu trùng lặp", "tệp tin ẩn"
• Lưu lại dấu vết xóa dữ liệu (nhật ký) để phục vụ kiểm toán, thanh tra khi cần

Danh mục việc cần chuẩn bị (checklist)

• Rà soát danh mục hồ sơ nhân sự hiện có, đối chiếu với thời hạn lưu trữ theo quy định pháp luật
• Xây dựng quy trình xóa, tiêu hủy dữ liệu cá nhân của ứng viên và nhân viên đã nghỉ việc
• Cập nhật chính sách bảo mật thông tin nội bộ trước ngày Luật có hiệu lực (1/1/2026)
• Chỉ định người hoặc bộ phận phụ trách tuân thủ Luật Bảo vệ Dữ liệu Cá nhân
• Tham vấn luật sư nếu chưa rõ hồ sơ nào cần lưu, hồ sơ nào cần xóa theo quy định mới