(Lưu ý: Thông tin trong bài viết mang tính chất hướng dẫn tuân thủ, không thay thế cho tư vấn pháp lý chính thức.)
Ứng viên gửi CV → HR tiếp nhận → sàng lọc → chuyển hồ sơ cho quản lý → phỏng vấn → ra quyết định → lưu lại hoặc xóa/hủy dữ liệu.
Trong suốt hành trình đó, dữ liệu ứng viên có thể xuất hiện ở nhiều nơi và được nhiều người tiếp cận. Vì vậy, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 không chỉ liên quan đến việc doanh nghiệp “có bảo mật CV hay không”, mà còn đi vào cách doanh nghiệp thu thập, sử dụng, tiếp cận, lưu giữ và xử lý dữ liệu ứng viên trong quá trình tuyển dụng.
Đây cũng là 4 câu hỏi giúp HR bắt đầu rà soát vòng đời dữ liệu ứng viên trong chính quy trình tuyển dụng của doanh nghiệp.
Luật số 91/2025/QH15 được Quốc hội thông qua ngày 26/06/2025 và có hiệu lực từ ngày 01/01/2026. Luật quy định về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của các cơ quan, tổ chức và cá nhân có liên quan.
Đối với tuyển dụng, Luật đáng chú ý ở hai lớp:
Theo Luật 91, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một cá nhân cụ thể. Luật phân thành dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
Trong một CV điển hình có thể xuất hiện:
Các thông tin này có thể là dữ liệu cá nhân nếu xác định hoặc giúp xác định một cá nhân cụ thể.
Vì vậy, dữ liệu ứng viên không chỉ nằm trong “file CV”. Trong quá trình tuyển dụng, dữ liệu có thể xuất hiện trong form ứng tuyển, email, tin nhắn, ghi chú phỏng vấn, kết quả đánh giá, lịch sử trao đổi, ATS hoặc các hệ thống khác được sử dụng để tiếp nhận và xử lý hồ sơ.
Doanh nghiệp cũng cần lưu ý rằng không phải mọi dữ liệu cá nhân đều có cùng mức độ nhạy cảm. Nghị định 356/2025/NĐ-CP quy định chi tiết hơn về dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, từ đó giúp doanh nghiệp xác định các yêu cầu bảo vệ phù hợp trong quá trình xử lý.
→ Đọc tiếp: Dữ liệu ứng viên gồm những gì? Dữ liệu cơ bản và dữ liệu nhạy cảm trong hồ sơ tuyển dụng.
Trong một quy trình tuyển dụng thực tế, dữ liệu ứng viên có thể đi qua nhiều bước khác nhau:
Luật 91 điều chỉnh nhiều hoạt động liên quan đến dữ liệu cá nhân trong quá trình xử lý, từ thu thập, lưu trữ, truy cập, cung cấp, chia sẻ đến xóa, hủy.
Vì vậy, khi rà soát tuân thủ, HR không nên chỉ kiểm tra thời điểm ứng viên nộp CV mà cần nhìn toàn bộ hành trình dữ liệu trong quy trình tuyển dụng.
Hãy bắt đầu bằng việc kiểm kê chính xác doanh nghiệp đang yêu cầu ứng viên cung cấp thông tin nào.
Điều 25 đặt ra yêu cầu trực tiếp rằng thông tin được yêu cầu phải phục vụ mục đích tuyển dụng. Do đó, nguyên tắc thực tế không nên là: “Form trước đây có trường này nên bây giờ vẫn hỏi.” Mà nên là doanh nghiệp cần xác định từng loại thông tin được yêu cầu phục vụ mục đích tuyển dụng nào.
Nhận được dữ liệu không có nghĩa doanh nghiệp có thể mặc nhiên sử dụng nó cho mọi mục đích.
Ở mỗi tình huống, câu hỏi cần đặt lại là: Mục đích này có còn nằm trong phạm vi mà ứng viên đã được thông tin và đồng ý hay không?
Vì vậy, khi rà soát quy trình, đừng chỉ kiểm tra “CV được thu ở đâu”, mà hãy kiểm tra cả “CV được dùng tiếp vào đâu”.
Luật 91 quy định việc xử lý thông tin người dự tuyển phải phù hợp quy định và có sự đồng ý của người dự tuyển.
Điểm này cũng cho thấy một việc cần thận trọng:
Ứng viên tự gửi CV không đồng nghĩa với việc doanh nghiệp có quyền sử dụng hồ sơ đó không giới hạn cho mọi mục đích và mọi thời gian.
Trong một quy trình tuyển dụng thực tế, người xem CV hiếm khi chỉ có recruiter. Hồ sơ có thể đi qua:
Mỗi điểm trong chuỗi này đều là một điểm HR nên biết dữ liệu đang được tiếp cận bởi ai và cho mục đích gì.
Do đó câu hỏi không chỉ là: “CV có bảo mật không?” mà là: Ai thực sự cần quyền truy cập và họ cần xem những dữ liệu nào?
Việc chia sẻ và chuyển giao dữ liệu là một nhóm nghĩa vụ riêng và cần được đánh giá theo mục đích, phạm vi và vai trò của các bên.
→ Đọc tiếp: Chia sẻ, chuyển giao và công khai dữ liệu ứng viên: doanh nghiệp cần lưu ý gì?
Đây là câu hỏi nhiều doanh nghiệp dễ bỏ qua nhất.
Điều 25 quy định rằng nếu người dự tuyển không được tuyển dụng, thông tin họ cung cấp phải được xóa hoặc hủy, trừ trường hợp có thỏa thuận khác. Điều này tác động trực tiếp đến những kho CV được tích lũy nhiều năm.
Thay vì: “CV này tốt, cứ lưu lại.”, doanh nghiệp nên hỏi: “Chúng ta giữ lại dựa trên thỏa thuận nào, cho mục đích nào và căn cứ nào?”
→ Đọc tiếp: Lưu trữ, xóa và hủy hồ sơ ứng viên theo quy định.
Một điểm cần lưu ý là:
Doanh nghiệp nhận được dữ liệu không có nghĩa mọi quyền đối với dữ liệu đã chuyển sang doanh nghiệp.
Người dự tuyển là chủ thể dữ liệu đối với dữ liệu cá nhân của mình.
Theo Điều 4 Luật 91, chủ thể dữ liệu có các quyền như được biết về hoạt động xử lý dữ liệu cá nhân; đồng ý, không đồng ý hoặc yêu cầu rút lại sự đồng ý; xem, chỉnh sửa; yêu cầu cung cấp, xóa, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân và các quyền khác theo quy định của pháp luật.
Trong tuyển dụng, điều này có thể xuất hiện dưới những tình huống rất thực tế:
Mỗi yêu cầu của ứng viên có thể dẫn đến một nhóm nghĩa vụ khác nhau. Doanh nghiệp không chỉ cần ghi các quyền này vào chính sách. Doanh nghiệp còn phải có khả năng tiếp nhận và xử lý yêu cầu thực tế.
→ Đọc tiếp: Quyền của ứng viên đối với dữ liệu cá nhân và thời hạn doanh nghiệp phải đáp ứng.
Điều 25 là quy định trực tiếp về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng người lao động.
Khi rà soát quy trình tuyển dụng, HR cần đặc biệt đối chiếu 3 vấn đề:
→ Đọc phân tích chi tiết: Điều 25 Luật Bảo vệ dữ liệu cá nhân quy định gì về tuyển dụng?
Luật 91/2025/QH15 là nền tảng quy định các nguyên tắc, quyền và nghĩa vụ về bảo vệ dữ liệu cá nhân, trong đó có quy định trực tiếp về dữ liệu trong tuyển dụng.
Tuy nhiên, để hiểu đầy đủ cách các quy định này được triển khai và xử lý khi có vi phạm, HR còn cần biết đến Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP.
Có thể hình dung vai trò của 3 văn bản như sau:
Vì vậy, HR không nhất thiết phải đọc cả ba văn bản cùng lúc. Có thể bắt đầu từ Luật 91 để xác định quy định nền tảng, sau đó đọc Nghị định 356 khi cần hiểu cách triển khai cụ thể và tra cứu Nghị định 330 khi cần đối chiếu về vi phạm, xử phạt.
→ Xem bài tổng quan: Ba văn bản về dữ liệu cá nhân doanh nghiệp tuyển dụng cần biết năm 2026.
HR không nhất thiết phải bắt đầu bằng việc đọc toàn bộ Luật 91. Hãy chọn một vị trí tuyển dụng thực tế và rà soát theo bảng dưới đây:
Mục tiêu của bảng này là tạo ra một bản ghi nhận ban đầu về dữ liệu ứng viên trong một quy trình cụ thể. Đây chưa phải kết luận doanh nghiệp đã tuân thủ hay chưa. Với từng điểm phát sinh vấn đề, HR cần đối chiếu điều khoản cụ thể và bối cảnh thực tế.
Luật 91 có thể tác động đến nhiều điểm trong quy trình tuyển dụng, từ lúc doanh nghiệp thu dữ liệu ứng viên, sử dụng và phân quyền tiếp cận đến khi tiếp tục lưu giữ hoặc xóa/hủy dữ liệu.
Với HR, bước đầu là lập được bức tranh dữ liệu của một quy trình tuyển dụng cụ thể:
Thu gì → dùng vào đâu → ai tiếp cận → lưu ở đâu → khi nào xử lý tiếp hoặc xóa/hủy → cần đối chiếu điều khoản nào
Từ bản rà soát ban đầu đó, HR có thể xác định vấn đề nào cần đi sâu và chuyển sang các bài chuyên đề tương ứng.
Căn cứ pháp lý
Kinh nghiệm thực tế về thu hút, trò chuyện và tuyển nhân viên tuyến đầu, cùng các cập nhật pháp lý về dữ liệu ứng viên dành cho người làm tuyển dụng.
Quay lại
Thu hút ứng viên như làm tiếp thị, tuyển dụng qua từng cuộc hội thoại. Để lại thông tin, đội ngũ mHiring sẽ cùng bạn xem cách tiếp cận này phù hợp với việc tuyển nhân viên tuyến đầu của doanh nghiệp ra sao.
