(Lưu ý: Nội dung bài viết nhằm cung cấp thông tin và hỗ trợ doanh nghiệp hiểu quy định pháp luật trong hoạt động tuyển dụng, không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.)
Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
Doanh nghiệp nhận CV qua email, lưu vào Google Drive, gửi cho quản lý tuyển dụng và dùng một công cụ AI để tóm tắt hồ sơ. Vậy doanh nghiệp đang xử lý dữ liệu ở những khâu nào, dữ liệu được chia sẻ cho ai và những vấn đề nào cần rà soát theo Nghị định 356?
Trong tuyển dụng, dữ liệu ứng viên không chỉ xuất hiện khi HR nhận một bản CV.
Ứng viên có thể điền biểu mẫu, gửi CV, để lại số điện thoại qua tin nhắn, trao đổi với HR qua cuộc gọi, tham gia phỏng vấn trực tuyến hoặc trực tiếp. Sau đó, thông tin có thể được lưu trên hệ thống tuyển dụng, chia sẻ cho người quản lý, đưa vào công cụ AI để hỗ trợ sàng lọc hoặc tiếp tục được lưu để phục vụ nhu cầu tuyển dụng sau này. Những thao tác như thu thập, lưu trữ, phân tích, chia sẻ, chuyển giao hoặc xóa dữ liệu đều có thể liên quan đến hoạt động xử lý dữ liệu cá nhân.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đặt ra khung nghĩa vụ và nguyên tắc chung. Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật, trong đó có nhiều nội dung liên quan trực tiếp đến cách doanh nghiệp xử lý dữ liệu trong thực tế.
Với HR, có thể đọc Nghị định 356 theo một cách thực tế hơn: mỗi nhóm quy định đang điều chỉnh vấn đề gì, vấn đề đó xuất hiện ở đâu trong quy trình tuyển dụng và doanh nghiệp cần kiểm tra thông tin nào.
→ Đọc thêm: Luật 91/2025/QH15: Doanh nghiệp tuyển dụng cần biết gì? (link)
Điều 3 và Điều 4 Nghị định 356 quy định về dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
Với tuyển dụng, cần hiểu rằng “CV” hay “hồ sơ ứng viên” không phải một “loại dữ liệu” duy nhất. Đây là một tài liệu có thể chứa nhiều thông tin khác nhau. Tùy vào nội dung cụ thể, các thông tin trong hồ sơ ứng viên có thể thuộc dữ liệu cá nhân cơ bản hoặc dữ liệu cá nhân nhạy cảm theo quy định.
Vì vậy, KHÔNG NÊN chỉ nhìn “CV” như một loại tài liệu. Điều doanh nghiệp cần xác định là bên trong CV, biểu mẫu, tin nhắn, cuộc gọi hoặc hệ thống tuyển dụng đang chứa những loại dữ liệu nào và việc xử lý những dữ liệu đó có yêu cầu riêng gì hay không.
Ví dụ trong quy trình tuyển dụng:
Vì vậy, đầu ra HR cần có không phải là “CV = dữ liệu cơ bản”, mà là một cách nhìn rõ hơn: hồ sơ ứng viên đang chứa những loại dữ liệu nào, loại nào là dữ liệu cá nhân cơ bản, loại nào là dữ liệu cá nhân nhạy cảm và những dữ liệu đó đang được xử lý ở đâu trong quy trình tuyển dụng.
Ở góc độ quản trị, doanh nghiệp cần biết mình đang xử lý loại dữ liệu nào trước khi xác định cách thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu đó.
→ Xem thêm: Dữ liệu ứng viên gồm những gì? Dữ liệu cơ bản và dữ liệu nhạy cảm trong hồ sơ tuyển dụng
Điều 5 Nghị định 356 quy định về việc thực hiện quyền của chủ thể dữ liệu.
Trong tuyển dụng, điều này có thể phát sinh khi ứng viên yêu cầu doanh nghiệp xử lý một vấn đề liên quan đến dữ liệu cá nhân của mình, chẳng hạn yêu cầu liên quan đến thông tin đang được lưu trữ hoặc xử lý.
Điểm cần lưu ý với HR: khi ứng viên thực hiện quyền, câu chuyện không chỉ là “có nhận được yêu cầu hay không”, mà còn liên quan đến cách doanh nghiệp xác định ứng viên đang yêu cầu quyền nào, dữ liệu liên quan đang được xử lý ở đâu, ai phụ trách và thời hạn nào cần được đáp ứng.
Với HR, có thể bắt đầu từ 4 thông tin: ứng viên đang yêu cầu thực hiện quyền nào, dữ liệu liên quan đang nằm ở đâu, bộ phận hoặc hệ thống nào đang xử lý dữ liệu và ai là đầu mối chịu trách nhiệm tiếp nhận, xử lý yêu cầu.
Điều HR cần đặc biệt lưu ý: Điều 5 không chỉ yêu cầu doanh nghiệp xây dựng quy trình, thủ tục và biểu mẫu để tiếp nhận, xử lý quyền của chủ thể dữ liệu mà còn quy định thời hạn phản hồi và thực hiện yêu cầu. Doanh nghiệp phải phản hồi yêu cầu đúng thủ tục trong 02 ngày làm việc; thời hạn thực hiện tiếp theo phụ thuộc vào loại quyền và trường hợp có cần phối hợp với bên xử lý hoặc bên thứ ba hay không.
Như vậy, khi nhận được yêu cầu từ ứng viên, HR không nên chỉ ghi nhận “đã nhận yêu cầu”, mà cần xác định loại quyền, mốc thời gian cần phản hồi, thời hạn thực hiện và đầu mối phụ trách để theo dõi đến khi hoàn tất.
→ Xem thêm: Quyền của ứng viên đối với dữ liệu cá nhân
Điều 6 Nghị định 356 quy định về phương thức thể hiện sự đồng ý và các yêu cầu liên quan đến việc kiểm chứng, lưu trữ bằng chứng về sự đồng ý.
Đây là nhóm quy định HR cần đặc biệt chú ý. Điều 6 Nghị định 356 không tự tạo ra nghĩa vụ xin consent cho mọi hoạt động; mà quy định phương thức thể hiện và chứng minh sự đồng ý. Trong tuyển dụng, cần đọc Điều 6 cùng Điều 9 và Điều 25 Luật 91 để xác định trường hợp và phạm vi sự đồng ý cần có.
Điểm quan trọng không chỉ là “đã có checkbox đồng ý hay chưa”, mà là doanh nghiệp có thể xác định được sự đồng ý đó được thể hiện như thế nào, cho mục đích nào và có thể kiểm chứng hay không.
Vì vậy, HR cần kiểm tra 4 điểm: hoạt động xử lý đang thực hiện có thuộc trường hợp cần sự đồng ý hay không; sự đồng ý được ghi nhận bằng phương thức nào; nội dung và mục đích xử lý đã được thể hiện ra sao; và doanh nghiệp có thể truy xuất bằng chứng về sự đồng ý khi cần hay không.
→ Xem thêm: Sự đồng ý của ứng viên: điều kiện để hợp lệ theo Luật 91 và Nghị định 356.
Điều 7 Nghị định 356 quy định về chuyển giao dữ liệu cá nhân.
Trong thực tế, HR thường gọi chung tất cả những việc sau là “gửi CV”:
Nhưng về quản trị dữ liệu, không nên mặc định tất cả các luồng trên đều giống nhau. Bản bài hiện tại cũng đã nhận diện đúng sự khác biệt này.
Không phải mọi trường hợp “gửi CV” đều được quản lý theo cùng một cách. Gửi CV cho hiring manager trong cùng doanh nghiệp khác với chuyển CV cho headhunter, nhà cung cấp hoặc một tổ chức bên ngoài. Với chia sẻ nội bộ, doanh nghiệp cần có cơ chế kiểm soát việc truy cập, chia sẻ và sử dụng dữ liệu. Với trường hợp chuyển dữ liệu cho bên nhận bên ngoài, HR cần xác định vai trò của bên nhận, mục đích, phạm vi dữ liệu và các thỏa thuận, trách nhiệm liên quan theo Điều 7 Nghị định 356.
Vì vậy, thay vì hỏi: “HR có được gửi CV không?”, câu hỏi đúng hơn là:
“CV đang được chuyển cho ai, với mục đích gì, bên đó đóng vai trò gì và doanh nghiệp đang kiểm soát luồng dữ liệu đó bằng cách nào?”
Điều 10 Nghị định 356 quy định về xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo và hệ thống tự động.
Trong tuyển dụng, điều này có thể xuất hiện khi doanh nghiệp dùng AI để:
Việc đưa CV vào một công cụ AI đồng nghĩa dữ liệu trong hồ sơ đang được một hệ thống khác xử lý. Doanh nghiệp cần hiểu công cụ nào nhận dữ liệu, ai cung cấp công cụ, dữ liệu được lưu/chuyển đi đâu và kết quả AI được sử dụng như thế nào.
Điều đáng chú ý là kết quả suy luận do AI tạo ra vẫn có thể là dữ liệu cá nhân nếu kết quả đó xác định hoặc giúp xác định một con người cụ thể.
Nghị định cũng đặt ra các yêu cầu liên quan đến thông báo về xử lý tự động, giải thích nguyên tắc hoạt động của thuật toán và quyền của chủ thể dữ liệu trong các trường hợp thuộc phạm vi áp dụng.
Vì vậy:
Sử dụng AI trong tuyển dụng không mặc nhiên là vi phạm. Nhưng việc “dán CV vào AI rồi dùng kết quả” không nên được xem là một thao tác tách khỏi hệ thống quản trị dữ liệu của doanh nghiệp.
Điều 12 Nghị định 356 quy định về xử lý dữ liệu cá nhân trên điện toán đám mây.
Nếu doanh nghiệp sử dụng ATS, hệ thống tuyển dụng hoặc dịch vụ cloud để lưu hồ sơ, việc rà soát không nên chỉ dừng ở quyền đăng nhập. Doanh nghiệp cần hiểu:
Tuy nhiên, Nghị định 356 đi xa hơn vấn đề quản lý tài khoản. Điều 12 còn đặt ra các yêu cầu liên quan đến biện pháp kỹ thuật, phân quyền và bảo vệ dữ liệu trong môi trường cloud.
Điểm chú ý: “Dữ liệu đang nằm trên một phần mềm uy tín” không tự động đồng nghĩa doanh nghiệp đã hoàn thành nghĩa vụ của mình. Doanh nghiệp vẫn phải hiểu vai trò, hợp đồng và luồng xử lý của nhà cung cấp.
Điều 13 và Điều 14 Nghị định 356 quy định về nhân sự, bộ phận thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân và nhiệm vụ liên quan.
Đây không chỉ là câu hỏi: “HR có giữ CV cẩn thận không?”, mà là:
“Doanh nghiệp đã phân công ai chịu trách nhiệm về bảo vệ dữ liệu và cơ chế phối hợp giữa HR - IT - pháp lý - các bộ phận khác được tổ chức ra sao?”
Một điểm đáng chú ý với chính đội ngũ HR là Điều 13 có quy định về điều kiện của nhân sự được chỉ định, trong đó kinh nghiệm thuộc lĩnh vực quản lý nhân sự, tổ chức cán bộ là một trong những nhóm kinh nghiệm có thể được xem xét. Quy định còn đặt yêu cầu về trình độ, kinh nghiệm và đào tạo/bồi dưỡng liên quan đến bảo vệ dữ liệu.
Điều này không có nghĩa mọi HR mặc nhiên đủ điều kiện hoặc mọi doanh nghiệp đều phải tổ chức giống nhau. Nghĩa vụ về bộ phận/nhân sự bảo vệ dữ liệu còn phải được đọc cùng Luật 91 và các cơ chế riêng, trong đó có quy định dành cho một số doanh nghiệp nhỏ tại Điều 41.
Vì vậy, doanh nghiệp cần xác định rõ: Ai là người thực hiện nhiệm vụ, ai phối hợp và ai có quyền quyết định khi phát sinh yêu cầu hoặc sự cố.
Nghị định 356 quy định về hồ sơ đánh giá tác động xử lý dữ liệu cá nhân đối với các trường hợp thuộc phạm vi phải thực hiện. Hồ sơ giúp doanh nghiệp hệ thống hóa những thông tin quan trọng của hoạt động xử lý, như loại dữ liệu, mục đích, căn cứ xử lý, vai trò của các bên, thời gian lưu trữ/xóa, bên nhận dữ liệu và biện pháp bảo vệ.
Trong tuyển dụng, nhiều thông tin cần thiết cho hồ sơ này nằm ngay trong quy trình HR đang vận hành: doanh nghiệp thu dữ liệu gì, dữ liệu đi qua ATS/cloud/AI nào, ai được truy cập, có bên thứ ba nào tham gia và dữ liệu được lưu/xóa ra sao. Nếu thuộc trường hợp phải lập hồ sơ, doanh nghiệp cần lưu ý mốc 60 ngày theo quy định áp dụng tại Điều 19 Nghị định 356.
→ Xem thêm: Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong doanh nghiệp.
Không nhất thiết.
Điều 17-20 Nghị định 356 quy định về chuyển dữ liệu cá nhân xuyên biên giới và hồ sơ đánh giá tác động liên quan.
Một doanh nghiệp sử dụng ATS của công ty nước ngoài chưa đủ để kết luận ngay rằng doanh nghiệp đang thực hiện chuyển dữ liệu xuyên biên giới. Điều cần kiểm tra là luồng dữ liệu thực tế: dữ liệu được lưu ở đâu, chuyển cho ai, được xử lý trên máy chủ/nền tảng nào và có rơi vào các trường hợp pháp luật xác định hay không.
Nếu phát sinh trường hợp thuộc phạm vi phải đánh giá, doanh nghiệp còn phải xem xét yêu cầu về hồ sơ và thời hạn thực hiện tương ứng.
Vì vậy, câu hỏi không phải: “Phần mềm này là của nước nào?” mà là: “Dữ liệu ứng viên thực tế đang đi đâu?”
→ Xem thêm: Quy định về chuyển dữ liệu cá nhân xuyên biên giới và hồ sơ đánh giá tác động.
Điều 28 Nghị định 356 quy định về nội dung thông báo khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân.
Trong tuyển dụng, sự cố có thể liên quan đến những tình huống như dữ liệu ứng viên bị truy cập trái phép, bị lộ hoặc bị xử lý không đúng quy định.
Khi đó, HR không nên chỉ nhìn sự cố như một vấn đề kỹ thuật của hệ thống.
Doanh nghiệp cần xác định:
Vì vậy, khi xảy ra sự cố, HR không nên mặc định rằng “có sự cố = phải thông báo trong 72 giờ”. Việc cần làm trước hết là xác định loại dữ liệu, phạm vi ảnh hưởng và trường hợp vi phạm, sau đó đối chiếu nghĩa vụ thông báo và thời hạn áp dụng.
Đây cũng là lý do việc xử lý sự cố dữ liệu ứng viên cần có sự phối hợp giữa HR, bộ phận phụ trách dữ liệu, IT và các đầu mối liên quan, thay vì chỉ phụ thuộc vào người trực tiếp tuyển dụng.
→ Xem thêm: Quy trình xử lý sự cố và thời hạn thông báo vi phạm dữ liệu cá nhân.
Có cơ chế riêng, nhưng không phải miễn toàn bộ Luật.
Điều 41 Nghị định 356 quy định chi tiết việc áp dụng khoản 2, khoản 3 Điều 38 Luật 91 đối với doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp, hộ kinh doanh và doanh nghiệp siêu nhỏ.
Cơ chế này chỉ liên quan đến một số nghĩa vụ nhất định và còn có các trường hợp không được áp dụng. Vì vậy, quy mô nhỏ không phải căn cứ để kết luận doanh nghiệp không cần quan tâm đến sự đồng ý, quyền ứng viên, mục đích xử lý, bảo vệ dữ liệu hoặc các nghĩa vụ khác.
-> Xem thêm: Doanh nghiệp nhỏ có phải tuân thủ Luật Bảo vệ dữ liệu cá nhân?
Điểm quan trọng nhất của Nghị định 356 không phải là HR ghi nhớ “Điều 5 nói gì, Điều 6 nói gì”. Nếu đặt các quy định vào hoạt động tuyển dụng, doanh nghiệp nên dần hình thành 6 lớp quản trị sau:
Nếu doanh nghiệp chưa trả lời được những câu hỏi này, vấn đề không chỉ nằm ở một checkbox hay một chính sách bảo mật, mà ở việc vòng đời dữ liệu ứng viên chưa được quản trị như một hệ thống.
Nghị định 356 vì vậy nên được nhìn như phần chuyển tiếp từ “Luật quy định doanh nghiệp có nghĩa vụ” sang “nghĩa vụ đó phải được tổ chức thế nào trong vận hành thực tế”.
Với HR và lãnh đạo doanh nghiệp, đó mới là giá trị quan trọng nhất cần rút ra từ văn bản này.
Luật 91/2025/QH15 đặt ra khung nguyên tắc, quyền và nghĩa vụ về bảo vệ dữ liệu cá nhân. Nghị định 356/2025/NĐ-CP hướng dẫn và cụ thể hóa một số nội dung để doanh nghiệp triển khai trong thực tế.
Vì vậy, khi gặp một tình huống tuyển dụng, HR không nên chỉ tra riêng một điều của Nghị định 356 mà cần đối chiếu với hoạt động xử lý dữ liệu thực tế, Luật 91 và các quy định liên quan.
→ Xem thêm: “Cẩm nang Luật Bảo vệ dữ liệu cá nhân của Cục A05: Những nội dung doanh nghiệp tuyển dụng cần đọc”
Nghị định 356/2025/NĐ-CP giúp làm rõ nhiều nội dung liên quan đến việc bảo vệ dữ liệu cá nhân trong thực tế, từ phân loại dữ liệu, sự đồng ý, chuyển giao, AI, điện toán đám mây đến quản trị dữ liệu và xử lý sự cố.
Đối với tuyển dụng, điểm cần hiểu không phải là ghi nhớ toàn bộ số điều, mà là nhận diện quy định nào đang chạm vào hoạt động tuyển dụng mà doanh nghiệp đang thực hiện.
Ứng viên có thể cung cấp dữ liệu qua CV, biểu mẫu, tin nhắn hoặc cuộc gọi; dữ liệu sau đó có thể được lưu trữ, chia sẻ, phân tích hoặc xử lý trên nhiều hệ thống. Mỗi hoạt động có thể đặt ra những yêu cầu pháp lý khác nhau.
Sau khi xác định đúng vấn đề, HR có thể tiếp tục đi vào các bài chuyên sâu để tìm hiểu điều kiện, hồ sơ và cách thực hiện cụ thể.
Kinh nghiệm thực tế về thu hút, trò chuyện và tuyển nhân viên tuyến đầu, cùng các cập nhật pháp lý về dữ liệu ứng viên dành cho người làm tuyển dụng.
Quay lại
Thu hút ứng viên như làm tiếp thị, tuyển dụng qua từng cuộc hội thoại. Để lại thông tin, đội ngũ mHiring sẽ cùng bạn xem cách tiếp cận này phù hợp với việc tuyển nhân viên tuyến đầu của doanh nghiệp ra sao.
%20(1)%20(1).png)
