Luật Bảo vệ dữ liệu cá nhân, Nghị định 356 và Nghị định 330: 3 văn bản doanh nghiệp tuyển dụng cần nắm

(Lưu ý: Thông tin trong bài viết mang tính chất hướng dẫn tuân thủ, không thay thế cho tư vấn pháp lý chính thức.)

Từ năm 2026, doanh nghiệp tuyển dụng cần đặc biệt lưu ý ba văn bản trọng tâm về bảo vệ dữ liệu cá nhân gồm:

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;
• Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật;
• Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Đối với hoạt động tuyển dụng, dữ liệu ứng viên xuất hiện xuyên suốt từ lúc ứng viên điền biểu mẫu, gửi CV, phỏng vấn đến khi doanh nghiệp lưu trữ, chia sẻ, phân tích hoặc xóa dữ liệu. Vì vậy, doanh nghiệp cần nhìn việc xử lý dữ liệu ứng viên trong toàn bộ quy trình tuyển dụng, thay vì chỉ ở bước thu thập thông tin.

1. Ba văn bản về dữ liệu cá nhân doanh nghiệp tuyển dụng cần biết

Một thay đổi quan trọng cần lưu ý: Nghị định 13/2023/NĐ-CP đã hết hiệu lực từ ngày 01/01/2026. Do đó, doanh nghiệp nên rà soát các biểu mẫu, chính sách và quy trình tuyển dụng vẫn đang viện dẫn Nghị định này để cập nhật căn cứ pháp lý.

2. Vì sao ba văn bản này liên quan trực tiếp đến tuyển dụng?

Trong tuyển dụng, doanh nghiệp tiếp nhận rất nhiều thông tin có thể xác định hoặc giúp xác định một cá nhân: họ tên, số điện thoại, email, hình ảnh, địa chỉ, quá trình học tập, kinh nghiệm làm việc và nhiều thông tin khác. Do đó, vấn đề không chỉ bắt đầu khi HR “lấy CV”.

Một hồ sơ ứng viên có thể đi qua cả một vòng đời:

Ứng viên điền form → HR tiếp nhận → lưu hồ sơ → chia sẻ cho quản lý → sàng lọc/phỏng vấn → đưa vào hệ thống hoặc công cụ AI → giữ lại cho nhu cầu sau → chia sẻ cho bên khác → xóa hoặc hủy dữ liệu

Trong suốt vòng đời đó, nhiều thao tác đều có thể là hoạt động xử lý dữ liệu cá nhân.

Theo Luật 91, hoạt động xử lý dữ liệu cá nhân bao gồm nhiều thao tác như thu thập, phân tích, lưu trữ, chỉnh sửa, xóa, hủy, cung cấp, chuyển giao và các hoạt động tác động khác đến dữ liệu. Vì vậy, việc lưu CV trên hệ thống, gửi CV cho người phỏng vấn, chuyển dữ liệu cho đơn vị cung cấp dịch vụ tuyển dụng hoặc xóa CV đều cần được xem xét trong quy trình xử lý dữ liệu cá nhân.

Đây là lý do bảo vệ dữ liệu ứng viên KHÔNG THỂ chỉ được giải quyết bằng một câu: “Ứng viên đã tự gửi CV nên công ty được quyền sử dụng.” Hoặc bằng một checkbox: “Tôi đồng ý với chính sách bảo mật.”

Vậy nên, khi nhận một CV, HR cần biết: CV này được dùng để làm gì, ai được xem, lưu đến bao giờ, có gửi cho bên khác không và khi nào phải xóa.

3. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15: Khung quyền và nghĩa vụ

Nếu phải bắt đầu từ một văn bản, doanh nghiệp nên bắt đầu từ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

a. Luật 91 quy định điều gì?

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 là văn bản ở cấp luật quy định về dữ liệu cá nhân, bảo vệ dữ liệu cá nhân và quyền, nghĩa vụ, trách nhiệm của các cơ quan, tổ chức và cá nhân có liên quan.

Đối với doanh nghiệp tuyển dụng, điều cần thay đổi đầu tiên trong cách nhìn là:

CV và hồ sơ ứng viên không chỉ là “tài liệu tuyển dụng”. Chúng đồng thời là dữ liệu cá nhân của một con người cụ thể.

Vì vậy, việc nhận CV chỉ là điểm bắt đầu. Lưu CV, xem CV, chia sẻ cho quản lý, nhập vào phần mềm, gửi cho headhunter, phân tích bằng công cụ AI, giữ lại sau đợt tuyển dụng hoặc xóa hồ sơ đều có thể liên quan tới hoạt động xử lý dữ liệu cá nhân. Luật Bảo vệ dữ liệu cá nhân số …

b. Điều 25: quy định trực tiếp về tuyển dụng, quản lý và sử dụng người lao động

Điểm đặc biệt đáng chú ý đối với HR là Luật 91 không chỉ quy định chung về dữ liệu cá nhân, mà còn có quy định riêng đối với tuyển dụng, quản lý và sử dụng người lao động. Theo nội dung Điều 25 được tổng hợp trong tài liệu Luật, bên tuyển dụng cần đặc biệt lưu ý ba vấn đề:

1. Thứ nhất, thông tin được yêu cầu phải phục vụ mục đích tuyển dụng: Doanh nghiệp không nên mặc định rằng vì đang tuyển người thì có thể yêu cầu ứng viên cung cấp bất kỳ thông tin nào.
2. Thứ hai, thông tin ứng viên phải được xử lý theo quy định và có sự đồng ý của người dự tuyển: Điều này đặt vấn đề về cách doanh nghiệp thiết kế form ứng tuyển, thông báo xử lý dữ liệu, cách xin và lưu bằng chứng về sự đồng ý.
3. Thứ ba, nếu người dự tuyển không được tuyển dụng thì thông tin họ đã cung cấp phải được xóa hoặc hủy, trừ trường hợp có thỏa thuận khác: Quy định cuối cùng đặc biệt quan trọng đối với những doanh nghiệp đang xây dựng Talent Pool, kho CV hoặc cơ sở dữ liệu ứng viên tiềm năng. Việc ứng viên từng nộp CV không đồng nghĩa với việc doanh nghiệp mặc nhiên được giữ hồ sơ vô thời hạn. Luật Bảo vệ dữ liệu cá nhân số …

Bài phân tích riêng về Điều 25 nên được liên kết tại đây: “Điều 25 Luật Bảo vệ dữ liệu cá nhân quy định gì về tuyển dụng?”

c. Không chỉ Điều 25 mới liên quan tới HR

Điều 25 là điều khoản trực tiếp nhất, nhưng không phải điều khoản duy nhất doanh nghiệp tuyển dụng cần quan tâm. Trong quá trình xử lý dữ liệu ứng viên, các nhóm quy định khác của Luật cũng có thể liên quan đến:

4. Nghị định 356/2025/NĐ-CP: biến yêu cầu của Luật thành cách thực hiện

Nếu Luật 91 trả lời câu hỏi “doanh nghiệp có nghĩa vụ gì?”, Nghị định 356 đi sâu hơn vào câu hỏi:

“Nghĩa vụ đó cần được thực hiện và chứng minh như thế nào?”

Nghị định 356 đặc biệt quan trọng khi doanh nghiệp chuyển các yêu cầu của Luật 91 thành quy trình thực tế. Với tuyển dụng, có thể tập trung vào các nhóm vấn đề sau:

‍

Nghị định 356 cũng cho thấy một điều quan trọng: Tuân thủ không chỉ là có chính sách. Doanh nghiệp phải có khả năng thực hiện và chứng minh.

Ví dụ, Điều 6 yêu cầu phương thức thể hiện sự đồng ý phải có khả năng kiểm chứng; bên kiểm soát dữ liệu phải lưu bằng chứng về sự đồng ý và không được thiết kế cách xin đồng ý gây nhầm lẫn giữa đồng ý và không đồng ý. 

Doanh nghiệp còn phải biết: Ai nhận yêu cầu? Ai xử lý? Dữ liệu nằm ở đâu? Có bên thứ ba giữ bản sao không? Khi nào phải hoàn thành? Và làm thế nào chứng minh đã xử lý?

Đó chính là khoảng cách giữa “biết luật” và “vận hành được luật”.

-> Đọc tiếp: Nghị định 356/2025/NĐ-CP giải thích dễ hiểu: các điều khoản doanh nghiệp tuyển dụng cần đọc.

5. Nghị định 330/2026/NĐ-CP: từ nghĩa vụ sang hành vi vi phạm

Nếu Luật 91 và Nghị định 356 chủ yếu giúp trả lời: “Doanh nghiệp phải làm gì và thực hiện như thế nào?” thì Nghị định 330/2026/NĐ-CP bổ sung câu hỏi:

“Nếu không thực hiện hoặc thực hiện không đúng thì hành vi đó được xử lý thế nào?”

Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/08/2026 

Với HR, không nên chỉ tìm “vi phạm dữ liệu cá nhân bị phạt bao nhiêu”. Quan trọng hơn là xem hành vi mình đang làm thuộc nhóm vi phạm nào. Các nhóm hành vi liên quan có thể được đối chiếu như sau:

‍

Điều 61: Nhóm vi phạm riêng trong tuyển dụng, quản lý và sử dụng lao động

Đối với HR, Điều 61 của Nghị định 330 đáng chú ý vì quy định riêng về vi phạm quy định bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý và sử dụng lao động. Điều này cho thấy hoạt động tuyển dụng không chỉ chịu các quy định chung mà đã có một nhóm hành vi vi phạm được quy định riêng. Những nhóm hành vi được điều khoản này đề cập bao gồm:

• Yêu cầu người dự tuyển cung cấp dữ liệu không phục vụ mục đích tuyển dụng hoặc không phù hợp với quy định;
• Sử dụng dữ liệu của người dự tuyển cho mục đích khác ngoài tuyển dụng khi không có thỏa thuận;
• Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý;
• Không thực hiện xóa, hủy dữ liệu của người không được tuyển dụng trong trường hợp phải thực hiện;
• Các hành vi liên quan đến bảo vệ dữ liệu trong quá trình quản lý, sử dụng người lao động.

Đây là điểm rất quan trọng đối với doanh nghiệp. Một thao tác có vẻ “bình thường” trong nghiệp vụ tuyển dụng có thể đồng thời là một hoạt động phải được kiểm soát dưới góc độ bảo vệ dữ liệu.

Tuy nhiên, không nên vì vậy mà hiểu rằng mọi sai sót đều dẫn tới cùng một mức phạt. Nghị định 330 phân loại nhiều hành vi, mức độ, hình thức xử phạt và biện pháp khắc phục khác nhau. Do đó, việc đánh giá mức xử lý phải dựa vào hành vi cụ thể, không nên suy đoán chỉ từ một thao tác đơn lẻ.

Đọc tiếp: Bảng tra mức phạt vi phạm dữ liệu cá nhân trong tuyển dụng theo Nghị định 330.

6. Ba văn bản liên kết với nhau như thế nào?

Cách dễ nhất để hiểu hệ thống này là xem ba văn bản như ba tầng:

Ví dụ: Một doanh nghiệp muốn giữ CV của ứng viên không trúng tuyển cho các vị trí sau này.

• Luật 91 giúp trả lời nguyên tắc: dữ liệu của người không được tuyển phải được xóa/hủy, trừ trường hợp có thỏa thuận khác.
• Nghị định 356 quy định chi tiết hơn một số yêu cầu liên quan đến sự đồng ý và hoạt động xử lý dữ liệu.
• Nghị định 330 cho biết việc không thực hiện đúng các nghĩa vụ đó có thể được xem xét dưới nhóm hành vi vi phạm nào.

Cùng một tình huống, nhưng ba văn bản trả lời ba câu hỏi khác nhau. Đó là lý do doanh nghiệp không nên chỉ đọc một văn bản riêng lẻ.

7. HR rà soát dữ liệu ứng viên ở đâu trong quy trình tuyển dụng?

Một cách khác để hiểu phạm vi ảnh hưởng là nhìn theo vòng đời của ứng viên. Nếu HR chưa có câu trả lời rõ cho một trong các câu hỏi dưới, đó là điểm nên rà soát lại trong quy trình trước khi tiếp tục thu thập hoặc sử dụng dữ liệu ứng viên. 

‍

8. Doanh nghiệp nên đọc tiếp nội dung nào?

Nếu đây là lần đầu bạn tiếp cận các quy định về dữ liệu ứng viên, không nhất thiết phải đọc toàn bộ ba văn bản từ đầu đến cuối ngay lập tức. Có thể bắt đầu theo câu hỏi đang cần giải quyết:

Căn cứ pháp lý chính

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội khóa XV thông qua tại kỳ họp thứ 9 vào ngày 26/6/2025, có hiệu lực từ 01/01/2026. 
• Nghị định số 356/2025/NĐ-CP được Chính phủ ban hành ngày 31/12/2025, quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• Nghị định số 330/2026/NĐ-CP được Chính phủ ban hành ngày 19/08/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.