Hành vi sử dụng hồ sơ của người lao động sai mục đích tuyển dụng ban đầu đang là điểm mù pháp lý nghiêm trọng khiến nhiều doanh nghiệp đối mặt với mức phạt hàng chục triệu đồng theo Nghị định 330/2026/NĐ-CP. Khám phá ngay giải pháp pháp lý chuyên sâu và tối ưu được cung cấp bởi đội ngũ Luật sư tại Công ty Luật TNHH DPO để bảo đảm tuân thủ tuyệt đối quy định về bảo vệ dữ liệu nhân sự và tránh rủi ro thanh tra.
Dịch vụ Uy tín & Tuân thủ
Giải Pháp Bảo Vệ Dữ Liệu Cá Nhân & Tuân Thủ Pháp Lý Toàn Diện
Luật DPO cung cấp giải pháp rà soát tuân thủ Luật Bảo vệ dữ liệu cá nhân 2025, xây dựng quy trình xử lý dữ liệu nhân sự (HR) chuẩn mực, đảm bảo an toàn pháp lý tối đa cho doanh nghiệp.
Hotline Luật sư: 0976926655
Sử dụng hồ sơ của người lao động sai mục đích tuyển dụng ban đầu là gì? Tổng quan và khái niệm cốt lõi
Tóm tắt chuyên môn: Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân 2025, doanh nghiệp chỉ được yêu cầu cung cấp thông tin phục vụ cho mục đích tuyển dụng. Việc sử dụng hồ sơ (CV, CCCD, khám sức khỏe) của ứng viên cho các mục đích khác (như tiếp thị, bán dữ liệu cho bên thứ ba, chia sẻ chéo) khi chưa có sự đồng ý rõ ràng là hành vi vi phạm pháp luật nghiêm trọng.
Trong quá trình tuyển dụng, bộ phận Nhân sự (HR) thường xuyên tiếp nhận một lượng lớn dữ liệu cá nhân cơ bản và nhạy cảm từ ứng viên. Các dữ liệu này bao gồm: Họ tên, số điện thoại, email, lịch sử làm việc, mức lương cũ, và thậm chí là tình trạng sức khỏe. Nguyên tắc tối thượng của pháp luật là: Dữ liệu thu thập vì mục đích gì thì chỉ được sử dụng cho mục đích đó.
Hành vi sử dụng hồ sơ của người lao động sai mục đích tuyển dụng ban đầu thường biểu hiện qua các hình thức:
- Chuyển thông tin liên lạc của ứng viên (dù trúng tuyển hay không) sang bộ phận Marketing để gửi email/tin nhắn quảng cáo sản phẩm của công ty.
- Chia sẻ, trao đổi hoặc bán danh sách hồ sơ ứng viên (CV) cho các công ty săn đầu người (Headhunter) hoặc đối tác kinh doanh khác mà không có văn bản đồng ý của ứng viên.
- Sử dụng hình ảnh, thông tin cá nhân trong CV của ứng viên để làm tài liệu truyền thông nội bộ hoặc bên ngoài trái phép.
Tại sao việc tuân thủ mục đích sử dụng hồ sơ nhân sự lại quan trọng? Rủi ro và Mức phạt
Tóm tắt chuyên môn: Việc vi phạm quy định về quản lý dữ liệu người lao động không chỉ gây tổn hại nghiêm trọng đến uy tín tuyển dụng (Employer Branding) mà còn khiến doanh nghiệp đối mặt với các chế tài phạt tiền rất nặng theo Nghị định 330/2026/NĐ-CP, lên tới 100.000.000 VNĐ hoặc buộc nộp lại toàn bộ số lợi bất hợp pháp.
1. Chế tài xử phạt hành chính khắt khe theo Nghị định 330/2026/NĐ-CP
Theo kinh nghiệm tư vấn thực chiến của đội ngũ Luật sư tại Luật DPO, cơ quan chức năng (Cục A05 – Bộ Công an) đang siết chặt việc thanh tra các doanh nghiệp có quy mô nhân sự lớn. Cụ thể, tại Điều 61 Nghị định 330/2026/NĐ-CP quy định rõ:
- Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với hành vi: Sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển; hoặc Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được đồng ý.
- Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi: Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định; hoặc Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động (hoặc khi ứng viên không trúng tuyển).
2. Rủi ro bồi thường thiệt hại và khủng hoảng truyền thông
Bên cạnh việc bị phạt tiền, doanh nghiệp còn phải đối mặt với rủi ro bị ứng viên khởi kiện đòi bồi thường thiệt hại nếu việc sử dụng sai mục đích gây ảnh hưởng đến danh dự, nhân phẩm hoặc tài sản của họ. Hơn nữa, trong thời đại mạng xã hội, một “phốt” về việc công ty bán thông tin ứng viên sẽ phá hủy hoàn toàn nỗ lực xây dựng thương hiệu tuyển dụng của tổ chức.
TƯ VẤN DOANH NGHIỆP & QUẢN TRỊ NHÂN SỰ
Đồng hành cùng doanh nghiệp thiết lập quy trình tuyển dụng chuẩn pháp lý, soạn thảo thỏa thuận bảo mật (NDA) và quy chế xử lý dữ liệu nội bộ, ngăn chặn rủi ro từ gốc rễ.
Các quy định pháp lý mới nhất về xử lý và xóa dữ liệu ứng viên
Một trong những hệ lụy lớn nhất của việc sử dụng hồ sơ sai mục đích là doanh nghiệp thường lờ đi yêu cầu xóa dữ liệu của ứng viên. Quyền yêu cầu xóa dữ liệu cá nhân là quyền của chủ thể dữ liệu được ghi nhận tại điểm d khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025. Việc thực hiện quyền xóa, hủy dữ liệu được quy định cụ thể tại Điều 14 của Luật.
Việc không thực hiện yêu cầu xóa dữ liệu cá nhân đúng quy định có thể khiến doanh nghiệp phát sinh rủi ro pháp lý và bị xử phạt hành chính. Doanh nghiệp cần xây dựng quy trình tiếp nhận, đánh giá và xử lý yêu cầu xóa dữ liệu phù hợp với quy định pháp luật. Dưới đây là bảng tổng hợp các mức phạt liên quan đến việc từ chối hoặc lờ đi yêu cầu xóa thông tin theo Nghị định 330/2026/NĐ-CP:
| Hành vi vi phạm (NĐ 330/2026/NĐ-CP) | Mức phạt tiền (VNĐ) | Biện pháp khắc phục hậu quả đi kèm |
|---|---|---|
| Không thực hiện yêu cầu xóa dữ liệu trong thời hạn 20 ngày; trường hợp cần bên xử lý/bên thứ ba thì không bảo đảm 30 ngày (Điều 44) | 30.000.000 đến 40.000.000 | Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu và cung cấp minh chứng cho cơ quan chức năng. |
| Bên xử lý/bên thứ ba không thực hiện yêu cầu xóa, hủy dữ liệu đúng thời hạn (Điều 44) | 20.000.000 đến 30.000.000 | Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu và cung cấp minh chứng. |
| Không thực hiện xóa, hủy dữ liệu của người dự tuyển trong trường hợp không tuyển dụng (Điều 61) | 20.000.000 đến 50.000.000 | Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập trái quy định. |
| Cố ý khôi phục trái phép dữ liệu đã xóa, hủy (Điều 51) | 50.000.000 đến 60.000.000 | Buộc hủy, xóa đến mức không thể khôi phục dữ liệu đã khôi phục trái phép. |
Quy trình thực hiện quản lý và xóa dữ liệu nhân sự từng bước chuẩn pháp lý
Tóm tắt chuyên môn: Khi nhận được yêu cầu xóa dữ liệu cá nhân hợp lệ, bên kiểm soát dữ liệu cá nhân phải phản hồi trong 02 ngày làm việc và thực hiện việc xóa trong thời hạn 20 ngày. Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân hoặc bên thứ ba thực hiện thì thời hạn là 30 ngày.
Theo khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP, tổ chức phải xây dựng quy trình, thủ tục và biểu mẫu rõ ràng để thực hiện quyền của chủ thể dữ liệu cá nhân. Dưới đây là SOP chuẩn mực do Luật DPO khuyến nghị cho bộ phận HR:
- Bước 1: Tiếp nhận yêu cầu & Phản hồi (Trong 02 ngày làm việc): Ghi nhận yêu cầu xóa CV/hồ sơ của ứng viên. Gửi email xác nhận đã tiếp nhận yêu cầu và thông báo thời hạn xử lý.
- Bước 2: Kiểm tra căn cứ pháp lý: Xác định xem hồ sơ này có thuộc diện bắt buộc phải lưu trữ theo Luật Kế toán, Luật Lao động hay không. Nếu ứng viên chưa từng ký hợp đồng (chỉ nộp CV), doanh nghiệp không có quyền giữ lại nếu họ yêu cầu xóa.
- Bước 3: Thực hiện xóa/hủy (Trong 20 ngày): Tiến hành xóa dữ liệu trên mọi nền tảng (Email HR, phần mềm ATS, file cứng). Quá trình vận hành nội bộ cần làm rõ xóa dữ liệu cá nhân khác hủy dữ liệu cá nhân như thế nào để đội ngũ IT áp dụng đúng biện pháp kỹ thuật phần mềm (xóa vĩnh viễn, không thể khôi phục).
- Bước 4: Phối hợp với bên thứ ba (Trong 30 ngày): Nếu doanh nghiệp dùng phần mềm tuyển dụng của bên thứ ba (Bên xử lý dữ liệu), phải gửi lệnh yêu cầu bên đó xóa dữ liệu đồng bộ.
- Bước 5: Lập biên bản lưu vết: Ghi nhận hành động xóa vào Nhật ký hệ thống để làm minh chứng khi cơ quan chức năng thanh tra.
Những sai lầm thường gặp khi quản lý hồ sơ ứng viên và giải pháp từ Luật DPO
Khó khăn chủ yếu của doanh nghiệp là bảo đảm yêu cầu xóa được thực hiện thống nhất trên toàn bộ hệ thống và với các bên đang tham gia xử lý dữ liệu. Dưới đây là các sai lầm phổ biến:
- Lưu trữ CV ứng viên trượt vô thời hạn: Nhiều công ty có thói quen giữ lại CV của ứng viên không trúng tuyển để “dành cho các đợt tuyển dụng sau” mà không có văn bản xin phép gia hạn lưu trữ. Theo Điều 61 NĐ 330/2026, hành vi này bị phạt từ 20-50 triệu đồng.
- Từ chối yêu cầu xóa dữ liệu sai luật: Doanh nghiệp không được tự ý từ chối yêu cầu xóa dữ liệu cá nhân hợp pháp. Tuy nhiên, doanh nghiệp có thể từ chối nếu việc lưu trữ là để thực hiện nghĩa vụ pháp lý (ví dụ: hồ sơ đóng BHXH của nhân viên cũ). Việc từ chối phải được lập thành văn bản nêu rõ lý do.
- Thiếu sự đồng bộ giữa HR và IT: HR báo đã xóa, nhưng file CV vẫn nằm trên Google Drive chung của công ty hoặc trong thùng rác (Recycle Bin) có thể khôi phục được.
Giải pháp từ Luật DPO: Hồ sơ đánh giá tác động (DPIA) giúp tổ chức ghi nhận và đánh giá các hoạt động xử lý dữ liệu cá nhân, qua đó làm cơ sở để xác định biện pháp bảo vệ dữ liệu. Trong trường hợp cần hỗ trợ chuyên môn, Luật DPO có thể cung cấp giải pháp tư vấn, rà soát toàn bộ quy trình tuyển dụng và hỗ trợ doanh nghiệp xây dựng quy trình bảo vệ dữ liệu cá nhân phù hợp, tránh rủi ro bị phạt kịch khung.
ĐẠI DIỆN TRANH CHẤP & TỐ TỤNG LAO ĐỘNG
Bảo vệ tối đa quyền và lợi ích hợp pháp của doanh nghiệp trước các khiếu kiện, tranh chấp lao động liên quan đến việc xử lý dữ liệu nhân sự và hợp đồng lao động.
Câu hỏi thường gặp về xử lý dữ liệu người lao động (FAQs)
Các trường hợp nào doanh nghiệp được phép từ chối yêu cầu xóa thông tin hợp pháp?
Doanh nghiệp có thể không thực hiện yêu cầu xóa dữ liệu cá nhân nếu dữ liệu thuộc trường hợp pháp luật quy định không được xóa (như hồ sơ kế toán, thuế, BHXH) hoặc việc xóa dữ liệu làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc việc thực hiện nghĩa vụ pháp lý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025.
Thời gian gia hạn tối đa để xử lý lệnh hủy thông tin là bao lâu?
Trường hợp yêu cầu xóa dữ liệu cá nhân có tính chất phức tạp, thời hạn xử lý có thể được gia hạn tối đa 01 lần, không quá 20 ngày. Bên kiểm soát dữ liệu cá nhân phải thông báo cho chủ thể dữ liệu về lý do gia hạn và chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý theo khoản 4 Điều 5 Nghị định 356/2025/NĐ-CP.
Khôi phục lại thông tin đã hủy bỏ có vi phạm luật không?
Có. Cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy có thể bị phạt từ 50.000.000 đồng đến 60.000.000 đồng theo khoản 3 Điều 51 Nghị định 330/2026/NĐ-CP. Ngoài ra, dữ liệu được khôi phục trái phép còn bị buộc hủy, xóa đến mức không thể khôi phục.
Đơn vị trung gian xử lý thông tin chậm trễ thì ai chịu trách nhiệm?
Bên xử lý dữ liệu cá nhân hoặc bên thứ ba đã nhận được yêu cầu hợp lệ từ bên kiểm soát dữ liệu nhưng không thực hiện đúng thời hạn có thể bị phạt từ 20.000.000 đồng đến 30.000.000 đồng theo khoản 2 Điều 44 Nghị định 330/2026/NĐ-CP.
Biện pháp xử lý của người dùng khi quyền lợi bị doanh nghiệp xâm phạm là gì?
Khi quyền và lợi ích về dữ liệu cá nhân bị xâm phạm, cá nhân có quyền khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại theo quy định của pháp luật (điểm đ khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025).
Nhận tư vấn và bảo vệ quyền lợi pháp lý cùng Công ty Luật TNHH DPO
Việc quản trị dữ liệu nhân sự và tuân thủ quy định không sử dụng hồ sơ của người lao động sai mục đích tuyển dụng ban đầu là thách thức lớn đối với mọi bộ phận HR. Để thiết lập quy trình quản trị thông tin chuẩn mực, lập hồ sơ DPIA chính xác và tránh rủi ro phạt kịch khung, ban lãnh đạo hãy liên hệ ngay với Luật DPO. Với bề dày kinh nghiệm và sự am hiểu sâu sắc về Luật Bảo vệ dữ liệu cá nhân 2025, chúng tôi cam kết bảo vệ tối đa quyền lợi của doanh nghiệp. Liên hệ ngay Hotline 0976926655 hoặc đến trực tiếp trụ sở Tầng 6, Tòa tháp Ngôi Sao, Dương Đình Nghệ, P. Cầu Giấy, TP. Hà Nội để được hỗ trợ.
Lưu ý: Nội dung bài viết mang tính chất tham khảo pháp lý và được tổng hợp bởi đội ngũ Luật DPO. Để nhận được giải pháp pháp lý chính xác nhất cho từng trường hợp cụ thể, quý khách vui lòng liên hệ trực tiếp với chúng tôi qua Hotline: 0976926655.
