Doanh nghiệp phải xóa dữ liệu lao động khi nghỉ việc từ 2026

Luật Bảo vệ dữ liệu cá nhân gồm 5 chương, 39 điều, được ban hành nhằm cụ thể hóa các quy định của Hiến pháp về quyền con người, quyền riêng tư, đồng thời thiết lập khuôn khổ pháp lý thống nhất cho hoạt động thu thập, xử lý và bảo vệ dữ liệu cá nhân trong môi trường số.

Đáng chú ý, Luật cũng quy định trường hợp cơ quan, tổ chức, cá nhân trong quản lý và sử dụng người lao động có trách nhiệm bảo vệ dữ liệu cá nhân của nhân viên.

Theo đó, cơ quan, tổ chức, doanh nghiệp phải tuân thủ đầy đủ các quy định của Luật Bảo vệ dữ liệu cá nhân, pháp luật về lao động, việc làm, pháp luật về dữ liệu và các quy định pháp luật liên quan khác; Dữ liệu cá nhân của người lao động phải được lưu trữ trong thời hạn theo quy định của pháp luật hoặc theo thỏa thuận giữa các bên;

Khi kết thúc hợp đồng lao động, cơ quan, tổ chức, doanh nghiệp phải xóa hoặc hủy dữ liệu cá nhân của nhân viên, trừ những trường hợp pháp luật hoặc thỏa thuận cho phép tiếp tục lưu giữ.

Như vậy, từ 1/1/2026, khi nhân viên nghỉ việc, doanh nghiệp bắt buộc phải xóa hoặc hủy dữ liệu cá nhân của họ sau khi chấm dứt hợp đồng.

Khoản 3 Điều 25 cũng quy định rõ về việc xử lý dữ liệu cá nhân của người lao động được thu thập bằng các biện pháp công nghệ, kỹ thuật.

Theo đó, chỉ được sử dụng các công cụ, phương tiện kỹ thuật phù hợp với pháp luật, đảm bảo quyền và lợi ích của chủ thể dữ liệu, đồng thời phải đảm bảo người lao động biết rõ về các biện pháp này.

Nghiêm cấm việc xử lý hoặc sử dụng dữ liệu cá nhân từ các biện pháp công nghệ, kỹ thuật nếu trái với quy định pháp luật.

Trong quá trình làm việc, nếu doanh nghiệp muốn xử lý dữ liệu cá nhân của nhân viên thu thập thông qua công nghệ hay kỹ thuật sẽ phải thông báo trước để người lao động nắm được.

Một điểm đáng chú ý khác tại Luật Bảo vệ dữ liệu cá nhân là người dân lần đầu được trao quyền yêu cầu xóa dữ liệu của mình khỏi hệ thống của các tổ chức, doanh nghiệp.

Cụ thể, chủ thể dữ liệu có thể yêu cầu bên kiểm soát dữ liệu xóa dữ liệu cá nhân trong trường hợp dữ liệu không còn cần thiết cho mục đích thu thập ban đầu; khi chủ thể dữ liệu rút lại sự đồng ý theo quy định tại Điều 12; hoặc khi chủ thể dữ liệu phản đối việc xử lý và bên kiểm soát, xử lý dữ liệu không có căn cứ pháp lý hợp pháp để tiếp tục (khoản 1 Điều 16).