Luật Bảo vệ dữ liệu cá nhân 2025: người lao động cần biết gì?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết. Bài này giải thích luật từ phía người lao động: dữ liệu nào của bạn được bảo vệ, bạn có quyền gì, công ty phải phản hồi yêu cầu của bạn trong bao lâu, và bạn phải làm gì khi chính mình đang giữ dữ liệu của khách hàng, đồng nghiệp.

Luật bảo vệ dữ liệu cá nhân áp dụng từ khi nào, bảo vệ dữ liệu gì?

Luật được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 01/01/2026 (khoản 1 Điều 38 Luật Bảo vệ dữ liệu cá nhân). Nghị định 356/2025/NĐ-CP ngày 31/12/2025 cũng có hiệu lực từ 01/01/2026, và Nghị định 13/2023/NĐ-CP hết hiệu lực từ ngày đó (Điều 42 Nghị định 356/2025/NĐ-CP). Xử phạt vi phạm hành chính trong lĩnh vực này được hướng dẫn tại Nghị định 330/2026/NĐ-CP.

Trong quan hệ lao động, bạn là chủ thể dữ liệu cá nhân (người được dữ liệu phản ánh), còn công ty thường là bên kiểm soát dữ liệu cá nhân (bên quyết định mục đích và phương tiện xử lý) theo Điều 2 Luật Bảo vệ dữ liệu cá nhân.

Theo khoản 1 Điều 2, dữ liệu cá nhân là dữ liệu số hoặc thông tin dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm dữ liệu cơ bản và dữ liệu nhạy cảm; dữ liệu đã khử nhận dạng thì không còn là dữ liệu cá nhân. Danh mục cụ thể nằm ở Nghị định 356/2025/NĐ-CP:

• Dữ liệu cơ bản (Điều 3): họ tên, ngày sinh, giới tính, nơi ở, quốc tịch, hình ảnh cá nhân, số điện thoại, số định danh cá nhân, tình trạng hôn nhân, quan hệ gia đình... Đây là phần lớn nội dung hồ sơ nhân sự.
• Dữ liệu nhạy cảm (Điều 4): trong đó có tình trạng sức khoẻ, dữ liệu sinh trắc học, hình ảnh thẻ căn cước, thông tin đời sống riêng tư. Ở nơi làm việc, đó có thể là giấy khám sức khoẻ, vân tay hay khuôn mặt dùng để chấm công, ảnh chụp thẻ căn cước.

Sáu quyền của bạn với dữ liệu của mình

Khoản 1 Điều 4 Luật Bảo vệ dữ liệu cá nhân liệt kê các quyền của chủ thể dữ liệu. Bảng dưới đây diễn giải bằng tình huống ở công ty (ví dụ minh hoạ):

Quyền đi kèm giới hạn. Khoản 3 Điều 4 yêu cầu chủ thể dữ liệu không được gây khó khăn, cản trở việc thực hiện quyền, nghĩa vụ pháp lý của bên kiểm soát. Khoản 2 Điều 14 nêu các trường hợp không thực hiện yêu cầu xoá, trong đó có các trường hợp ở Điều 19. Vì vậy, không phải dữ liệu nào bạn yêu cầu xoá cũng xoá được; trường hợp cụ thể hãy hỏi bộ phận pháp chế.

Sự đồng ý: thế nào mới hợp lệ

Theo Điều 9 Luật Bảo vệ dữ liệu cá nhân, sự đồng ý chỉ có hiệu lực khi tự nguyện và bạn biết rõ loại dữ liệu, mục đích xử lý, bên kiểm soát, quyền và nghĩa vụ của mình (khoản 2). Phải đồng ý theo từng mục đích, không được kèm điều kiện bắt buộc đồng ý với mục đích khác ngoài nội dung thoả thuận, và im lặng hoặc không phản hồi không được coi là đồng ý (khoản 4).

Điều 6 Nghị định 356/2025/NĐ-CP bổ sung: cách xin đồng ý phải kiểm chứng được (văn bản, cuộc gọi ghi âm, tin nhắn theo cú pháp, email, website hoặc ứng dụng có thiết lập kỹ thuật...); công ty phải lưu sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp; không được đặt mặc định là đồng ý; khi xin đồng ý với dữ liệu nhạy cảm phải báo cho bạn biết đó là dữ liệu nhạy cảm.

Yêu cầu rút lại sự đồng ý, hạn chế xử lý phải bằng văn bản, kể cả dạng điện tử, và không áp dụng ngược với việc xử lý trước thời điểm yêu cầu (Điều 10). Lưu ý: khoản 1 Điều 19 nêu các trường hợp xử lý không cần sự đồng ý, trong đó có thực hiện thoả thuận của chủ thể dữ liệu theo quy định của pháp luật. Một hoạt động cụ thể có thuộc trường hợp này không, hãy hỏi bộ phận nhân sự hoặc pháp chế.

Khi đi xin việc và khi đang làm việc

Điều 25 Luật Bảo vệ dữ liệu cá nhân có quy định riêng cho tuyển dụng và quản lý người lao động:

• Khi tuyển dụng (khoản 1)
  chỉ được yêu cầu thông tin phục vụ mục đích tuyển dụng; thông tin chỉ dùng cho tuyển dụng và mục đích khác theo thoả thuận; phải có sự đồng ý của người dự tuyển; phải xoá, huỷ thông tin của người không được tuyển, trừ khi có thoả thuận khác.
• Khi đang làm việc (khoản 2)
  dữ liệu người lao động lưu theo thời hạn luật định hoặc theo thoả thuận, và phải xoá, huỷ khi chấm dứt hợp đồng, trừ trường hợp theo thoả thuận hoặc pháp luật có quy định khác.
• Khi công ty dùng công nghệ để quản lý (khoản 3)
  chỉ được áp dụng biện pháp công nghệ, kỹ thuật phù hợp quy định của pháp luật, trên cơ sở người lao động biết rõ biện pháp đó.

Ví dụ giả định: chị Lan nộp hồ sơ vào một công ty bán lẻ và không trúng tuyển. Theo điểm c khoản 1 Điều 25, công ty phải xoá, huỷ hồ sơ của chị, trừ khi hai bên có thoả thuận khác (chẳng hạn chị đồng ý để hồ sơ lại cho đợt tuyển sau). Nếu công ty bạn dùng AI để sàng lọc hồ sơ, có thể đọc thêm bài AI trong quá trình tuyển dụng.

Công ty phải phản hồi yêu cầu của bạn trong bao lâu?

Điều 5 Nghị định 356/2025/NĐ-CP yêu cầu bên kiểm soát xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để bạn thực hiện quyền (khoản 1), và quy định thời hạn khi nhận được yêu cầu theo đúng thủ tục:

Tuỳ mức độ phức tạp, công ty được gia hạn tối đa một lần, phải báo lý do và chứng minh việc gia hạn là cần thiết. Mẹo: gửi yêu cầu bằng văn bản theo đúng kênh công ty hướng dẫn và giữ lại bản đã gửi.

Nghĩa vụ của chính bạn khi giữ dữ liệu của người khác

Nhân viên kinh doanh có danh sách khách hàng, nhân sự có hồ sơ đồng nghiệp, kế toán có thông tin thanh toán. Khoản 2 Điều 4 Luật Bảo vệ dữ liệu cá nhân yêu cầu mỗi người tự bảo vệ dữ liệu của mình, tôn trọng và bảo vệ dữ liệu cá nhân của người khác. Điều 7 liệt kê các hành vi bị nghiêm cấm, trong đó có mua, bán dữ liệu cá nhân (trừ trường hợp luật có quy định khác) và chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân. Trong công việc hằng ngày:

1. Không mang danh sách khách hàng ra ngoài hay sang công ty mới.
2. Chỉ chia sẻ dữ liệu cho bộ phận khác khi phù hợp mục đích xử lý đã xác lập (điểm b khoản 1 Điều 17).
3. Không dán dữ liệu khách hàng vào công cụ chưa được công ty duyệt.
4. Báo ngay cho quản lý khi nghi dữ liệu bị lộ, gửi nhầm hoặc mất thiết bị.

Hiểu luật qua tình huống cùng Vietdemy

Khoá Bảo vệ dữ liệu cá nhân cho người lao động là khoá tự học bám Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, đi qua các tình huống nơi làm việc như hồ sơ nhân sự, dữ liệu khách hàng, chia sẻ tệp. Mỗi phần có quiz, cuối khoá có bài kiểm tra; hoàn thành khoá, bạn nhận chứng nhận hoàn thành của Vietdemy. Khoá giúp bạn hiểu và làm đúng trong công việc, không thay cho tư vấn pháp lý.

Nếu bạn phụ trách đào tạo cho công ty, xem trang Vietdemy cho doanh nghiệp để đào tạo nhân viên theo đầu người. Người học cá nhân có thể xem đề cương và học thử bài đầu tiên.

Câu hỏi thường gặp

Công ty có được yêu cầu nộp ảnh chụp căn cước không?

Hình ảnh thẻ căn cước thuộc danh mục dữ liệu nhạy cảm (điểm i khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Khi xử lý dữ liệu nhạy cảm, tổ chức phải thiết lập phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật (khoản 2 Điều 4 Nghị định này). Hãy hỏi phòng nhân sự mục đích thu cụ thể.

Nghỉ việc rồi, công ty có phải xoá dữ liệu của tôi không?

Điểm c khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân yêu cầu xoá, huỷ dữ liệu người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thoả thuận hoặc pháp luật có quy định khác. Một số dữ liệu có thể phải lưu tiếp theo quy định khác, nên hãy hỏi công ty phần nào được xoá.

Nhân viên làm lộ dữ liệu khách hàng có bị xử lý không?

Cố ý làm lộ dữ liệu cá nhân là hành vi bị nghiêm cấm (Điều 7). Theo khoản 1 Điều 8, tuỳ tính chất, mức độ, hậu quả, người vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, và phải bồi thường nếu gây thiệt hại.

Bài viết nhằm phổ biến kiến thức, không phải tư vấn pháp lý. Văn bản trích dẫn: Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, tra cứu ngày 09/10/2026; tình huống cụ thể hãy hỏi bộ phận pháp chế hoặc luật sư.