Lưu dữ liệu người lao động quá hạn có thể bị phạt đến 70 triệu đồng

Doanh nghiệp có thể bị xử phạt đến 70 triệu đồng nếu lưu trữ dữ liệu người lao động quá hạn, sai mục đích. Ảnh minh họa: Phương Lâm.

Quy định này được nêu tại Điều 61 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8.

Điều 61 quy định riêng các hành vi vi phạm trong bảo vệ dữ liệu cá nhân khi tuyển dụng, quản lý và sử dụng lao động. Trách nhiệm của doanh nghiệp vì vậy trải dài từ lúc tiếp nhận hồ sơ ứng viên, trong quá trình người lao động làm việc đến khi quan hệ lao động chấm dứt.

Lưu dữ liệu người lao động quá hạn có thể bị phạt 70 triệu đồng

Theo khoản 2 Điều 61, tổ chức lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn pháp luật quy định hoặc vượt quá thời hạn đã thỏa thuận có thể bị phạt từ 50 đến 70 triệu đồng.

Cùng khung phạt này là hành vi không xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp các bên có thỏa thuận khác hoặc pháp luật cho phép tiếp tục lưu giữ.

Quy định này không đồng nghĩa toàn bộ dữ liệu của nhân viên phải được xóa ngay khi nghỉ việc. Một số thông tin vẫn có thể được giữ lại nếu có căn cứ pháp lý hoặc đã được doanh nghiệp và người lao động thỏa thuận phù hợp.

Một số thông tin của nhân sự có thể được doanh nghiệp giữ lại nếu có căn cứ pháp lý. Ảnh minh họa: Phương Lâm.

Tuy nhiên, doanh nghiệp không thể mặc nhiên giữ toàn bộ hồ sơ nhân sự vô thời hạn. Khi thời hạn pháp luật quy định hoặc thời hạn đã thỏa thuận kết thúc, việc tiếp tục lưu dữ liệu có thể trở thành hành vi vi phạm.

Trách nhiệm bảo vệ dữ liệu bắt đầu từ khâu tuyển dụng

Ngay từ khi tiếp nhận hồ sơ ứng viên, doanh nghiệp đã phải tuân thủ các yêu cầu về bảo vệ dữ liệu cá nhân.

Theo Điều 61, tổ chức có thể bị phạt 20-50 triệu đồng nếu yêu cầu người dự tuyển cung cấp dữ liệu không phục vụ mục đích tuyển dụng hoặc không phù hợp với quy định pháp luật.

Mức phạt này cũng áp dụng nếu doanh nghiệp sử dụng dữ liệu của ứng viên cho mục đích khác ngoài tuyển dụng khi chưa có thỏa thuận, xử lý dữ liệu khi chưa được đồng ý hoặc vượt quá phạm vi, mục đích mà người dự tuyển đã chấp thuận.

Trường hợp ứng viên không được tuyển dụng, doanh nghiệp cũng phải xóa hoặc hủy dữ liệu cá nhân theo quy định, trừ khi có thỏa thuận khác với người dự tuyển.

Quy định này đáng chú ý với những doanh nghiệp thường lưu CV, số điện thoại, email hoặc hồ sơ ứng viên để sử dụng cho các đợt tuyển dụng sau. Việc ứng viên từng gửi hồ sơ không đồng nghĩa doanh nghiệp có thể mặc nhiên lưu giữ và sử dụng dữ liệu cho các mục đích khác.

Khi người lao động chính thức làm việc, yêu cầu bảo vệ dữ liệu tiếp tục áp dụng với các thông tin được thu thập trong môi trường làm việc, đặc biệt qua camera, phần mềm theo dõi hoặc các công cụ công nghệ khác.

Doanh nghiệp có thể bị phạt 50-70 triệu đồng nếu sử dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu mà không bảo đảm người lao động biết rõ về biện pháp đang được áp dụng.

Các hình thức được Nghị định đề cập gồm phần mềm theo dõi thiết bị, camera giám sát hoặc các thiết bị thu thập dữ liệu khác tại nơi làm việc.

Doanh nghiệp có thể bị xử phạt nếu sử dụng thiết bị công nghệ để thu thập dữ liệu người lao động trái quy định. Ảnh minh họa: Victoria Lappas.

Cùng mức phạt này là trường hợp sử dụng biện pháp công nghệ không phù hợp với quy định pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

Nếu dữ liệu thu được từ các biện pháp công nghệ, kỹ thuật trái quy định tiếp tục được xử lý hoặc sử dụng, mức phạt có thể tăng lên 70-100 triệu đồng.

Như vậy, việc lắp camera hay phần mềm theo dõi trong doanh nghiệp không chỉ là vấn đề quản trị nội bộ. Khi các công cụ này thu thập dữ liệu cá nhân, người lao động phải được biết rõ về cách thức thu thập, còn doanh nghiệp phải bảo đảm việc sử dụng thông tin nằm trong giới hạn pháp luật cho phép.

Các quy định tại Điều 61 cho thấy dữ liệu nhân sự không thể được thu thập, sử dụng hay lưu giữ theo cách tùy ý. Doanh nghiệp phải kiểm soát thông tin ngay từ khi tiếp nhận hồ sơ ứng viên cho đến sau khi người lao động rời khỏi công ty.