Xóa dữ liệu cá nhân của người lao động khi nghỉ việc

Cơ sở pháp lý điều chỉnh yêu cầu xóa dữ liệu cá nhân

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 là văn bản trung tâm điều chỉnh hoạt động thu thập, lưu trữ, sử dụng, chia sẻ và xóa dữ liệu cá nhân tại Việt Nam. Luật này ghi nhận quyền của chủ thể dữ liệu được yêu cầu xóa dữ liệu trong các trường hợp luật định, đồng thời đặt ra nghĩa vụ cho bên kiểm soát và bên xử lý dữ liệu phải tuân thủ nguyên tắc mục đích, tối thiểu hóa và an toàn dữ liệu. Trong lĩnh vực lao động, dữ liệu của người lao động thường phát sinh từ hồ sơ tuyển dụng, hợp đồng lao động, chấm công, lương, bảo hiểm, thuế và kỷ luật lao động, nên doanh nghiệp không thể mặc nhiên coi mọi dữ liệu đều phải xóa ngay khi chấm dứt hợp đồng.

Bên cạnh Luật Bảo vệ dữ liệu cá nhân 2025, quan hệ lao động còn chịu sự điều chỉnh của Bộ luật Lao động 2019, pháp luật về bảo hiểm xã hội, thuế, kế toán, lưu trữ và các quy định chuyên ngành khác. Chính các quy định này tạo ra những nghĩa vụ lưu giữ hồ sơ trong một khoảng thời gian nhất định, làm phát sinh giới hạn hợp pháp đối với quyền yêu cầu xóa. Do đó, câu trả lời pháp lý không nằm ở việc doanh nghiệp có bắt buộc xóa hay không theo một nghĩa vụ tuyệt đối, mà ở việc xác định dữ liệu nào được xóa ngay và dữ liệu nào phải tiếp tục lưu theo căn cứ pháp luật.

Người lao động nghỉ việc có quyền yêu cầu xóa dữ liệu cá nhân không

Người lao động sau khi nghỉ việc vẫn là chủ thể dữ liệu và vẫn có quyền yêu cầu doanh nghiệp xem xét xóa dữ liệu cá nhân của mình. Quyền này phát sinh theo Luật Bảo vệ dữ liệu cá nhân 2025, đặc biệt trong các trường hợp dữ liệu không còn cần thiết cho mục đích thu thập ban đầu, người lao động rút lại sự đồng ý, hoặc việc xử lý dữ liệu không còn căn cứ hợp pháp. Việc chấm dứt hợp đồng lao động không làm mất đi quyền riêng tư của người lao động đối với dữ liệu cá nhân đã cung cấp trong thời gian làm việc.

Tuy nhiên, quyền yêu cầu xóa không đồng nghĩa với quyền buộc doanh nghiệp xóa toàn bộ dữ liệu ngay lập tức và vô điều kiện. Pháp luật bảo vệ dữ liệu cá nhân cho phép việc tiếp tục lưu giữ dữ liệu khi cần thiết để tuân thủ nghĩa vụ pháp lý, thực hiện hợp đồng còn liên quan, giải quyết tranh chấp, hoặc phục vụ yêu cầu của cơ quan nhà nước có thẩm quyền. Vì vậy, yêu cầu xóa dữ liệu của người lao động nghỉ việc chỉ được chấp nhận trong phạm vi không xung đột với các nghĩa vụ lưu trữ bắt buộc.

Doanh nghiệp có phải đáp ứng yêu cầu xóa dữ liệu hay không

Doanh nghiệp phải xem xét và đáp ứng yêu cầu xóa dữ liệu nếu dữ liệu thuộc nhóm không còn mục đích xử lý hợp pháp hoặc không còn căn cứ pháp luật để lưu giữ. Trong thực tiễn lao động, các dữ liệu như ảnh chân dung nội bộ, tài khoản hệ thống không còn sử dụng, dữ liệu marketing, dữ liệu gắn với hoạt động truyền thông nội bộ không còn cần thiết thường phải được xóa hoặc vô hiệu hóa khi người lao động đã nghỉ việc và có yêu cầu hợp lệ. Nghĩa vụ này xuất phát từ nguyên tắc giới hạn mục đích và tối thiểu hóa dữ liệu.

Ngược lại, doanh nghiệp không phải xóa những dữ liệu mà pháp luật buộc phải lưu giữ. Các tài liệu liên quan đến tiền lương, thuế thu nhập cá nhân, bảo hiểm xã hội, quyết toán, an toàn lao động, tai nạn lao động, kỷ luật lao động hoặc tranh chấp lao động có thể phải được giữ theo thời hạn luật định hoặc theo nhu cầu chứng minh quyền, nghĩa vụ của doanh nghiệp. Trong trường hợp này, doanh nghiệp có quyền từ chối xóa phần dữ liệu cần lưu, nhưng phải giải thích rõ căn cứ pháp lý, phạm vi dữ liệu được giữ và thời hạn bảo quản tương ứng.

Phạm vi dữ liệu có thể xóa và dữ liệu phải tiếp tục lưu giữ

Dữ liệu thường có thể xóa khi người lao động nghỉ việc

Nhóm dữ liệu có thể xóa thường bao gồm dữ liệu không còn phục vụ mục đích quản trị nhân sự, vận hành nội bộ hoặc thực hiện nghĩa vụ pháp lý. Chẳng hạn, doanh nghiệp có thể xóa dữ liệu truy cập hệ thống nội bộ, email công vụ, tài khoản phần mềm, ảnh nhận diện phục vụ chấm công nội bộ, hồ sơ truyền thông không bắt buộc và các thông tin mà người lao động đã đồng ý cung cấp cho mục đích tùy chọn. Nếu doanh nghiệp đã sao lưu toàn bộ dữ liệu mà không phân tách mục đích sử dụng, việc xử lý tiếp theo phải tuân theo nguyên tắc giới hạn lưu giữ, không được giữ quá lâu chỉ vì thuận tiện kỹ thuật.

Dữ liệu phải giữ lại theo nghĩa vụ pháp luật

Những dữ liệu gắn với quan hệ lao động, tiền lương, thuế, bảo hiểm, an toàn lao động, tai nạn lao động, hồ sơ giải quyết tranh chấp và chứng từ kế toán thường phải được lưu trong thời hạn pháp luật chuyên ngành quy định. Đây là nhóm dữ liệu mà yêu cầu xóa của người lao động không làm phát sinh nghĩa vụ xóa tuyệt đối cho doanh nghiệp. Khi có yêu cầu, doanh nghiệp chỉ được xóa phần dữ liệu không cần thiết, còn phần bắt buộc lưu trữ phải được bảo quản an toàn, giới hạn truy cập và sử dụng đúng mục đích pháp lý.

Trình tự xử lý yêu cầu xóa dữ liệu của doanh nghiệp

Khi nhận yêu cầu, doanh nghiệp cần xác minh danh tính người yêu cầu, ghi nhận nội dung yêu cầu và đối chiếu từng nhóm dữ liệu trong hệ thống. Bước tiếp theo là phân loại dữ liệu theo ba nhóm: dữ liệu phải xóa ngay, dữ liệu được tiếp tục lưu do nghĩa vụ pháp lý, và dữ liệu cần được ẩn danh hoặc hạn chế xử lý. Cách làm này giúp doanh nghiệp vừa tôn trọng quyền của người lao động vừa tránh vi phạm nghĩa vụ lưu trữ bắt buộc.

Doanh nghiệp cũng phải trả lời trong thời hạn hợp lý theo quy định nội bộ và theo yêu cầu của pháp luật về bảo vệ dữ liệu cá nhân. Nếu từ chối một phần hoặc toàn bộ yêu cầu, cần nêu rõ căn cứ pháp lý, nêu loại dữ liệu bị từ chối xóa và thời hạn lưu giữ dự kiến. Việc từ chối chung chung, không giải thích hoặc tiếp tục sử dụng dữ liệu ngoài mục đích hợp pháp có thể làm phát sinh trách nhiệm hành chính và rủi ro tranh chấp.

Rủi ro pháp lý nếu doanh nghiệp không xử lý đúng

Nếu cố tình giữ dữ liệu không có căn cứ, doanh nghiệp có thể bị xem là xử lý dữ liệu sai mục đích hoặc vượt quá phạm vi cần thiết. Hành vi này đặc biệt rủi ro khi liên quan đến dữ liệu nhạy cảm như thông tin sức khỏe, sinh trắc học, thông tin tài chính hoặc hồ sơ kỷ luật lao động. Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 đã có hiệu lực, việc quản trị hồ sơ nhân sự theo kiểu “giữ càng nhiều càng tốt” không còn phù hợp với chuẩn pháp lý mới.

Ở chiều ngược lại, nếu xóa cả những dữ liệu bắt buộc phải lưu, doanh nghiệp có thể gặp rủi ro về kế toán, thuế, bảo hiểm và chứng minh trong tranh chấp lao động. Vì vậy, xử lý yêu cầu xóa dữ liệu phải dựa trên ma trận lưu trữ: dữ liệu nào bắt buộc lưu, dữ liệu nào nên xóa, dữ liệu nào cần ẩn danh, và dữ liệu nào phải chấm dứt xử lý hoàn toàn. Đây là nội dung mà doanh nghiệp cần thể chế hóa trong quy chế bảo vệ dữ liệu cá nhân và quy trình quản trị nhân sự.

Kết luận pháp lý

Người lao động nghỉ việc có quyền yêu cầu xóa dữ liệu cá nhân, và doanh nghiệp phải đáp ứng trong phạm vi dữ liệu không còn cần thiết hoặc không còn căn cứ pháp luật để tiếp tục lưu giữ. Tuy nhiên, doanh nghiệp không có nghĩa vụ xóa tuyệt đối mọi dữ liệu, vì nhiều nhóm hồ sơ nhân sự, tiền lương, thuế, bảo hiểm và tranh chấp phải tiếp tục được bảo quản theo quy định chuyên ngành. Cách tiếp cận đúng là phân loại dữ liệu theo mục đích và căn cứ lưu trữ, xử lý xóa có chọn lọc, bảo đảm cả quyền riêng tư của người lao động và nghĩa vụ pháp lý của doanh nghiệp.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025, số 91/2025/QH15.
• Bộ luật Lao động 2019.
• Luật Bảo hiểm xã hội 2024.
• Luật Kế toán 2015.
• Luật Lưu trữ 2024.
• Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.