Nghĩa vụ và thời hạn lưu trữ hồ sơ nhân sự trước thềm Luật Bảo vệ Dữ liệu Cá nhân có hiệu lực - Những việc doanh nghiệp cần chuẩn bị từ năm 2026

Luật Bảo vệ Dữ liệu Cá nhân của Việt Nam có hiệu lực từ ngày 1/1/2026 đặt ra cho doanh nghiệp những nghĩa vụ mới liên quan đến việc thu thập, lưu trữ, xóa bỏ thông tin người lao động. Bài viết này giải thích về thời hạn lưu trữ hồ sơ nhân sự và cách xử lý trên thực tiễn.

Hiện nay, việc lưu trữ, quản lý hồ sơ của người lao động sau khi nghỉ việc không còn đơn thuần là một nghĩa vụ hành chính, mà đã trở thành một phần quan trọng của công tác quản lý rủi ro pháp lý, bảo mật thông tin và tuân thủ pháp luật. Đặc biệt, Luật Bảo vệ Dữ liệu Cá nhân năm 2025 (có hiệu lực từ ngày 1/1/2026) đã đưa ra những nghĩa vụ mới liên quan đến việc "thu thập - lưu trữ - sử dụng - xóa - tiêu hủy" thông tin cá nhân, buộc doanh nghiệp phải rà soát lại một cách căn bản cơ chế quản lý dữ liệu người lao động.

Bài viết này, trên cơ sở các quy định pháp luật hiện hành của Việt Nam, hệ thống hóa thời hạn lưu trữ, thời điểm tiêu hủy hồ sơ nhân sự và định hướng số hóa, đồng thời trình bày những lưu ý thực tiễn để tuân thủ pháp luật trong thời gian tới.

01 - Thời hạn lưu trữ hồ sơ nhân sự (thời hạn lưu trữ theo quy định pháp luật)

Phụ lục I của Thông tư 10/2022/TT-BNV của Bộ Nội vụ Việt Nam quy định rõ thời hạn lưu trữ đối với các hồ sơ liên quan đến người lao động trong doanh nghiệp.

Loại hồ sơ

Thời hạn lưu trữ

Hồ sơ liên quan đến tuyển dụng, điều động, thuyên chuyển, thay đổi vị trí công việc, kỷ luật

20 năm

Hồ sơ liên quan đến thủ tục nghỉ việc

20 năm

Thông tin cơ bản của người lao động (sơ yếu lý lịch, bằng cấp, quyết định tuyển dụng, bản sao CMND/CCCD, hộ chiếu, v.v.)

70 năm

Hồ sơ phản hồi liên quan đến chế độ, đãi ngộ đối với người lao động

10 năm

Do đó, các hồ sơ liên quan đến nghỉ việc, điều động, kỷ luật, v.v. có thể tiêu hủy sau 20 năm kể từ khi người lao động nghỉ việc, nhưng hồ sơ cơ bản của người lao động (sổ nhân sự gốc, bản sao giấy tờ tùy thân, v.v.) phải được lưu trữ trong 70 năm.

Doanh nghiệp cần thiết lập lịch trình lưu trữ theo từng loại hồ sơ và tối ưu hóa sự cân bằng giữa việc tiêu hủy, số hóa và lưu trữ.

● Thời hạn lưu trữ hợp đồng lao động ●

Theo Phụ lục I Thông tư 10/2022/TT-BNV (mục 3.2, khoản 41), hợp đồng lao động (có thời hạn, không xác định thời hạn, theo mùa vụ, dưới 12 tháng) thuộc "nhóm hồ sơ liên quan đến tuyển dụng, điều động, thay đổi vị trí công việc, biệt phái, kỷ luật". Thời hạn lưu trữ đối với các loại hợp đồng lao động này là 20 năm.

02 - Quy định mới về xóa, tiêu hủy dữ liệu cá nhân của người đã nghỉ việc và ứng viên

(Có hiệu lực từ ngày 1/1/2026: Luật Bảo vệ Dữ liệu Cá nhân 2025)

Luật Bảo vệ Dữ liệu Cá nhân 2025 của Việt Nam, có hiệu lực từ ngày 1/1/2026, đặt ra cho doanh nghiệp những nghĩa vụ mới liên quan đến việc thu thập, lưu trữ, sử dụng, xóa, tiêu hủy dữ liệu cá nhân của người lao động và ứng viên tuyển dụng.
Với việc luật này có hiệu lực, doanh nghiệp không chỉ đơn thuần lưu trữ dữ liệu, mà còn phải chịu trách nhiệm thực hiện việc xóa, tiêu hủy dữ liệu một cách đúng đắn.

● Dữ liệu cá nhân là gì

Luật này định nghĩa dữ liệu cá nhân như sau:

Dữ liệu cá nhân cơ bản (Basic personal data)
Thông tin về nhân thân, lý lịch, quan hệ xã hội của cá nhân, v.v., được sử dụng trong các giao dịch, sinh hoạt xã hội thông thường.
Dữ liệu cá nhân nhạy cảm (Sensitive personal data)
Thông tin gắn liền sâu sắc với đời sống riêng tư, mà việc sử dụng trái phép hoặc để lộ, lọt có thể xâm phạm trực tiếp đến quyền và lợi ích của cá nhân.

Do đó, sơ yếu lý lịch, hợp đồng, hồ sơ ứng tuyển, thông tin liên hệ, v.v. của người lao động và ứng viên tuyển dụng đều được coi là "dữ liệu cá nhân", và doanh nghiệp cần xây dựng cơ chế quản lý tuân thủ pháp luật đối với việc thu thập, lưu trữ, xóa, tiêu hủy các dữ liệu này.

2.1. Nghĩa vụ của doanh nghiệp liên quan đến dữ liệu người lao động

Khoản 2 Điều 25 Luật Bảo vệ Dữ liệu Cá nhân 2025 quy định nghĩa vụ của doanh nghiệp về quản lý dữ liệu cá nhân trong quan hệ lao động như sau:

a. Tuân thủ luật này cùng pháp luật về lao động, việc làm và pháp luật khác có liên quan.

b. Dữ liệu cá nhân của người lao động chỉ được lưu trữ trong thời hạn theo quy định pháp luật hoặc theo thỏa thuận giữa các bên.

c. Khi hợp đồng lao động chấm dứt, phải xóa hoặc tiêu hủy dữ liệu cá nhân.
Trừ trường hợp có thỏa thuận giữa người sử dụng lao động và người lao động, hoặc pháp luật cho phép lưu trữ.

➡️ Nói cách khác, doanh nghiệp không được lưu trữ dữ liệu người lao động vượt quá thời hạn pháp luật quy định, và về nguyên tắc có nghĩa vụ xóa, tiêu hủy dữ liệu cá nhân sau khi hợp đồng chấm dứt. Ngoại lệ chỉ được áp dụng khi có văn bản thỏa thuận với sự đồng ý của người lao động, hoặc khi pháp luật khác quy định nghĩa vụ lưu trữ, thì mới được lưu trữ trong một thời hạn nhất định.

2.2. Nghĩa vụ liên quan đến dữ liệu của ứng viên tuyển dụng

Khoản 1 Điều 25 luật này quy định về việc xử lý dữ liệu cá nhân trong hoạt động tuyển dụng như sau:

a. Doanh nghiệp chỉ được yêu cầu những thông tin cần thiết cho mục đích tuyển dụng, trong phạm vi pháp luật cho phép.
Thông tin đã thu thập chỉ được sử dụng cho mục đích tuyển dụng hoặc mục đích khác được sự đồng ý của ứng viên.

b. Thông tin đã cung cấp phải được xử lý theo quy định pháp luật và phải có sự đồng ý của chính ứng viên.

c. Thông tin cá nhân của ứng viên không trúng tuyển phải được xóa, tiêu hủy sau khi kết thúc quá trình tuyển dụng, trừ khi có sự đồng ý của chính ứng viên hoặc có thỏa thuận riêng.

➡️ Do đó, thông tin của ứng viên không trúng tuyển phải được xóa, tiêu hủy kịp thời sau khi kết thúc quy trình tuyển dụng. Trừ khi ứng viên đồng ý rõ ràng, việc tiếp tục lưu trữ sơ yếu lý lịch hoặc thông tin liên hệ có thể bị coi là vi phạm pháp luật.

● Lưu ý thực tiễn
Quy định rõ trong nội quy công ty về thời hạn lưu trữ dữ liệu của người đã nghỉ việc, ứng viên và phổ biến đến từng bộ phận.
Xác định quy trình xóa, tiêu hủy dữ liệu (cả dữ liệu điện tử và dữ liệu giấy) và lưu lại hồ sơ thực hiện.
Khi tái sử dụng, tham chiếu lại dữ liệu ứng viên, bắt buộc phải có sự đồng ý bằng văn bản của chính ứng viên đó.
Áp dụng các biện pháp kỹ thuật đối với dữ liệu còn tồn tại trên bản sao lưu hoặc trên nền tảng đám mây sau khi đã xóa.

Những việc trên là một trong những lĩnh vực quan trọng nhất trong công tác tuân thủ bảo vệ dữ liệu kể từ năm 2026 trở đi.

03 - Giải pháp và cách xử lý thực tiễn được khuyến nghị cho doanh nghiệp

Trong bối cảnh yêu cầu về tuân thủ pháp luật và bảo mật dữ liệu ngày càng cao, doanh nghiệp cần sớm xây dựng cơ chế quản lý toàn diện đối với hồ sơ nhân sự và dữ liệu cá nhân, xét trên các khía cạnh an toàn, hiệu quả và phù hợp với quy định pháp luật.
Dưới đây là một số biện pháp xử lý hiệu quả trên thực tiễn.

① Hệ thống hóa việc phân loại và phương thức lưu trữ hồ sơ
Phân loại các hồ sơ nhân sự vào các nhóm rõ ràng (hồ sơ gốc, hợp đồng lao động, hồ sơ nghỉ việc, kỷ luật, v.v.) và nắm rõ chính xác thời hạn lưu trữ.
Sau khi hết thời hạn lưu trữ, thực hiện xóa, tiêu hủy, số hóa một cách phù hợp.
Xây dựng sổ theo dõi quản lý hồ sơ, áp dụng cơ chế có thể theo dõi theo từng người phụ trách, từng năm.

② Xây dựng môi trường lưu trữ an toàn
Hồ sơ giấy được lưu trữ tại kho, tủ lưu trữ chuyên dụng có thể kiểm soát ra vào.
Dữ liệu điện tử được lưu trữ trên nền tảng lưu trữ đám mây an toàn (OneDrive, SharePoint, Google Workspace, v.v.), thiết lập nghiêm ngặt việc sao lưu và quyền truy cập.
Định kỳ kiểm tra lịch sử truy cập, triệt để phòng ngừa việc xem trái phép, để lộ, lọt thông tin.

③ Xây dựng quy chế nội bộ về xóa, tiêu hủy dữ liệu cá nhân
Quy định rõ bằng văn bản về thời điểm, thủ tục xóa, tiêu hủy dữ liệu của người lao động sau khi nghỉ việc và người chịu trách nhiệm.
Thiết lập quy trình kỹ thuật và vận hành để ngăn ngừa việc phát sinh "lưu trữ trùng lặp", "tệp tin ẩn" của dữ liệu.
Lưu lại dấu vết xóa dữ liệu (nhật ký) để phục vụ cho công tác kiểm toán, thanh tra khi cần thiết.

Các đầu việc cần chuẩn bị

■ Rà soát danh mục hồ sơ nhân sự hiện có và đối chiếu với thời hạn lưu trữ theo quy định pháp luật

■ Xây dựng quy trình xóa, tiêu hủy dữ liệu cá nhân của ứng viên và nhân viên đã nghỉ việc

■ Cập nhật chính sách bảo mật thông tin nội bộ trước ngày Luật có hiệu lực (1/1/2026)

■ Chỉ định người hoặc bộ phận phụ trách tuân thủ Luật Bảo vệ Dữ liệu Cá nhân

■ Tham vấn luật sư nếu chưa rõ hồ sơ nào cần lưu, hồ sơ nào cần xóa theo quy định mới