English
中文 (中国)
日本語
Trong quá trình tuyển dụng và quản trị nhân sự, doanh nghiệp thường xuyên thu thập và lưu trữ lượng lớn thông tin về ứng viên và người lao động, từ họ tên, số điện thoại, thông tin nghề nghiệp đến lịch sử làm việc, kết quả tuyển dụng và các thông tin liên quan đến quá trình thực hiện công việc. Những dữ liệu này phục vụ nhu cầu quản trị nhân sự và kiểm soát rủi ro của doanh nghiệp. Tuy nhiên, việc doanh nghiệp có quyền thu thập hoặc sử dụng dữ liệu cho mục đích nội bộ không đồng nghĩa với việc có thể tự do công khai những thông tin đó trên Internet.
Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 được thực thi, vấn đề này càng trở nên đáng chú ý. Đặc biệt, những trường hợp doanh nghiệp công khai danh sách nhân sự, ứng viên hoặc người lao động từng có vi phạm đặt ra câu hỏi về ranh giới giữa quyền quản trị doanh nghiệp và quyền bảo vệ dữ liệu cá nhân. Vấn đề không chỉ nằm ở việc doanh nghiệp kinh doanh tại Việt Nam đã che bao nhiêu thông tin, mà quan trọng hơn là dữ liệu được công khai có còn cho phép nhận diện một cá nhân cụ thể hay không và việc công khai đó có phù hợp với mục đích, căn cứ và phạm vi xử lý dữ liệu hay không.
Công khai thông tin nhân sự và bài toán bảo vệ dữ liệu cá nhân
Doanh nghiệp có nhu cầu chính đáng trong việc quản lý nhân sự và kiểm soát rủi ro tuyển dụng. Đối với những doanh nghiệp có quy mô lớn, việc lưu trữ thông tin ứng viên, kết quả tuyển dụng, lịch sử làm việc hoặc các trường hợp vi phạm quy định nội bộ là hoạt động tương đối phổ biến. Một số doanh nghiệp thậm chí xây dựng cơ sở dữ liệu nội bộ để cảnh báo các trường hợp từng gây thiệt hại hoặc có hành vi vi phạm nghiêm trọng.
Về nguyên tắc, nhu cầu quản trị này không đương nhiên bị pháp luật cấm. Tuy nhiên, việc doanh nghiệp có quyền xử lý dữ liệu cho một mục đích nhất định không đồng nghĩa với việc có quyền sử dụng dữ liệu cho mọi mục đích khác. Đặc biệt, việc đưa thông tin lên website hoặc công khai trên Internet có phạm vi tiếp cận hoàn toàn khác với việc lưu trữ và sử dụng dữ liệu trong hệ thống quản trị nội bộ.
Do đó, doanh nghiệp cần xác định rõ mục đích của từng hoạt động xử lý dữ liệu. Thông tin được thu thập để phục vụ tuyển dụng có thể cần thiết cho quá trình đánh giá ứng viên, nhưng việc tiếp tục công khai thông tin đó sau khi quá trình tuyển dụng kết thúc lại là một vấn đề khác. Tương tự, dữ liệu về lịch sử làm việc có thể cần thiết cho quản trị nội bộ nhưng chưa chắc cần thiết hoặc phù hợp để công bố rộng rãi cho công chúng.
Đây chính là ranh giới quan trọng giữa quản trị nhân sự và bảo vệ dữ liệu cá nhân mà doanh nghiệp cần lưu ý.
Thông tin ứng viên và người lao động nào được xem là dữ liệu cá nhân?
Một trong những vấn đề thường gây nhầm lẫn là doanh nghiệp cho rằng chỉ những thông tin như số căn cước công dân, số điện thoại hoặc địa chỉ mới có khả năng định danh cá nhân. Trên thực tế, khả năng nhận diện cần được đánh giá dựa trên tổng thể các thông tin được xử lý.
Họ tên của một người, nếu đứng riêng lẻ, có thể chưa đủ để xác định chính xác một cá nhân trong trường hợp có nhiều người trùng tên. Tuy nhiên, khi họ tên được kết hợp với chức danh, vị trí công việc, đơn vị công tác, thời gian làm việc hoặc những thông tin nghề nghiệp khác, khả năng nhận diện có thể tăng lên đáng kể.
Vì vậy, doanh nghiệp không nên đánh giá dữ liệu theo từng trường thông tin riêng biệt. Một danh sách có thể đã loại bỏ số điện thoại hoặc che một phần số căn cước công dân nhưng vẫn chứa họ tên đầy đủ và chức danh của người lao động. Trong nhiều trường hợp, chỉ với những thông tin còn lại, người khác vẫn có thể xác định chính xác cá nhân được đề cập.
Điều này đặc biệt đáng chú ý khi thông tin được công khai trên Internet, nơi dữ liệu từ nhiều nguồn khác nhau có thể được kết hợp để xác định một người.
Che thông tin có đồng nghĩa với khử nhận dạng dữ liệu?
Việc che một phần thông tin định danh thường được doanh nghiệp sử dụng như một biện pháp bảo vệ dữ liệu. Tuy nhiên, cần phân biệt giữa khử nhận dạng dữ liệu và giả danh hóa dữ liệu.
Giả danh hóa có thể được thực hiện bằng cách thay thế, che bớt hoặc loại bỏ một số thông tin nhận dạng. Tuy nhiên, nếu vẫn có thể xác định chủ thể dữ liệu thông qua những thông tin còn lại hoặc bằng cách kết hợp dữ liệu với nguồn thông tin khác thì khả năng nhận diện vẫn tồn tại.
Trong khi đó, khử nhận dạng theo đúng nghĩa phải hướng tới việc làm mất khả năng nhận diện chủ thể dữ liệu. Vì vậy, việc thay một số ký tự bằng dấu “*” hoặc che một phần số căn cước công dân không đương nhiên có nghĩa rằng dữ liệu đã được khử nhận dạng.
Đây là điểm doanh nghiệp cần đặc biệt lưu ý khi công khai thông tin ứng viên hoặc người lao động. Thay vì chỉ đặt câu hỏi “đã che bao nhiêu thông tin?”, doanh nghiệp cần đặt câu hỏi “sau khi che thông tin, một người khác có còn khả năng xác định cá nhân này là ai hay không?”.
Nếu câu trả lời vẫn là có, doanh nghiệp cần thận trọng với việc coi dữ liệu đó là dữ liệu đã được khử nhận dạng.
Nguy cơ tái nhận dạng khi công khai thông tin trên Internet
Sự phát triển của môi trường số khiến nguy cơ tái nhận dạng ngày càng trở nên rõ ràng. Một thông tin tưởng như không đủ để nhận diện một người nếu đứng riêng lẻ có thể trở nên có tính định danh cao khi kết hợp với các nguồn dữ liệu khác.
Chẳng hạn, họ tên và chức danh của một người được công khai trên website doanh nghiệp có thể được kết hợp với thông tin trên mạng xã hội, hồ sơ nghề nghiệp, các bài viết trên Internet hoặc dữ liệu công khai khác. Từ đó, người tiếp cận dữ liệu có thể xác định chính xác cá nhân đang được nhắc đến.
Vì vậy, việc đánh giá khả năng khử nhận dạng không nên chỉ dựa trên bản thân tập dữ liệu mà doanh nghiệp dự định công khai. Doanh nghiệp cũng cần cân nhắc khả năng dữ liệu đó được kết hợp với những nguồn thông tin khác.
Đây là lý do việc đánh giá rủi ro tái nhận dạng có ý nghĩa đặc biệt đối với các danh sách nhân sự được công khai trên Internet. Một dữ liệu được xem là “không định danh” trong môi trường nội bộ chưa chắc vẫn giữ được trạng thái đó khi được đưa lên môi trường công khai.
Doanh nghiệp nên tham khảo dịch vụ tư vấn pháp lý cho doanh nghiệp chuyên sâu của các Công ty luật tại Hà Nội để nhận được giải đáp phù hợp nhất cho tình hình thực tế của mình.
Doanh nghiệp có thể công khai thông tin ứng viên và người lao động đến đâu?
Câu hỏi quan trọng không phải chỉ là doanh nghiệp có thông tin đó hay không mà là doanh nghiệp có căn cứ và mục đích phù hợp để công khai thông tin đó hay không.
Việc doanh nghiệp thu thập và lưu trữ dữ liệu phục vụ tuyển dụng hoặc quản trị nhân sự có thể là cần thiết. Tuy nhiên, công khai dữ liệu trên website là một hình thức xử lý có phạm vi tiếp cận rộng hơn nhiều. Do đó, doanh nghiệp cần đánh giá riêng hoạt động công khai thay vì mặc định rằng quyền xử lý ban đầu cũng bao gồm quyền công khai.
Trước khi công khai, doanh nghiệp nên xem xét mục đích, phạm vi, mức độ cần thiết và tác động của việc công khai đối với chủ thể dữ liệu. Nếu mục tiêu quản trị có thể đạt được thông qua một cơ sở dữ liệu nội bộ hoặc một cơ chế hạn chế quyền truy cập, việc đưa toàn bộ thông tin lên Internet có thể tạo ra mức độ rủi ro cao hơn cần thiết.
Đặc biệt, đối với những thông tin liên quan đến việc tuyển dụng, đánh giá nhân sự hoặc lịch sử vi phạm của người lao động, doanh nghiệp kinh doanh tại Việt Nam cần cân nhắc kỹ giữa lợi ích quản trị và tác động đến quyền, lợi ích hợp pháp của cá nhân.
Quyền của ứng viên và người lao động đối với dữ liệu cá nhân
Một thay đổi quan trọng trong cách tiếp cận hiện nay là ứng viên và người lao động không chỉ được nhìn nhận là những người cung cấp thông tin cho doanh nghiệp mà còn là chủ thể dữ liệu được pháp luật bảo vệ.
Theo đó, doanh nghiệp cần tính đến các quyền của chủ thể dữ liệu, bao gồm quyền được biết, quyền tiếp cận, quyền chỉnh sửa, quyền yêu cầu xóa dữ liệu, quyền hạn chế xử lý và quyền phản đối việc xử lý trong những trường hợp pháp luật quy định.
Điều này đặt ra yêu cầu doanh nghiệp phải thay đổi cách thiết kế quy trình tuyển dụng và quản trị nhân sự. Khi xây dựng cơ sở dữ liệu nhân sự hoặc thực hiện các hoạt động xử lý dữ liệu mới, doanh nghiệp không chỉ cần xem xét nhu cầu quản trị mà còn phải đánh giá tác động của hoạt động đó đối với quyền và lợi ích hợp pháp của người lao động, ứng viên.
Đặc biệt, đối với những hoạt động xử lý có nguy cơ cao hoặc có phạm vi công khai lớn, doanh nghiệp cần có cơ chế đánh giá và kiểm soát phù hợp trước khi triển khai.
Những vấn đề doanh nghiệp cần lưu ý khi công khai dữ liệu nhân sự
Từ góc độ tuân thủ, doanh nghiệp cần chuyển từ cách tiếp cận đơn giản là “che thông tin” sang đánh giá toàn diện khả năng nhận diện và rủi ro xử lý dữ liệu.
Trước hết, cần phân biệt dữ liệu đã thực sự được khử nhận dạng với dữ liệu chỉ được che hoặc giả danh hóa một phần. Tiếp đó, doanh nghiệp cần đánh giá khả năng nhận diện dựa trên toàn bộ tập dữ liệu và khả năng kết hợp với các nguồn thông tin khác.
Doanh nghiệp cũng cần phân biệt rõ giữa việc sử dụng dữ liệu trong phạm vi nội bộ và việc công khai dữ liệu trên Internet. Mỗi hoạt động có phạm vi tiếp cận và mức độ rủi ro khác nhau, do đó không nên áp dụng một cách máy móc cùng một cơ chế xử lý.
Đối với các hoạt động xử lý dữ liệu có nguy cơ cao, đặc biệt trong lĩnh vực tuyển dụng và lao động, doanh nghiệp nên cân nhắc thực hiện đánh giá tác động bảo vệ dữ liệu cá nhân, xác định rõ mục đích xử lý, phạm vi dữ liệu cần thiết và các biện pháp giảm thiểu rủi ro trước khi triển khai.
Từ quản trị nhân sự đến quản trị dữ liệu cá nhân
Công khai thông tin ứng viên và người lao động cho thấy hoạt động quản trị nhân sự ngày càng gắn chặt với yêu cầu bảo vệ dữ liệu cá nhân. Khi dữ liệu nhân sự được số hóa và có thể dễ dàng chia sẻ trên nhiều nền tảng, rủi ro không chỉ nằm ở việc doanh nghiệp thu thập dữ liệu mà còn nằm ở cách thức, phạm vi và mục đích sử dụng dữ liệu.
Doanh nghiệp vì vậy cần thay đổi tư duy từ “che thông tin để bảo vệ dữ liệu” sang đánh giá khả năng nhận diện và kiểm soát rủi ro trong toàn bộ quá trình xử lý dữ liệu. Một thông tin dù đã được che một phần vẫn có thể là dữ liệu cá nhân nếu cá nhân đó có thể được nhận diện thông qua các thông tin còn lại hoặc bằng cách kết hợp với nguồn dữ liệu khác.
Trong thời gian tới, các vấn đề pháp lý liên quan đến dữ liệu nhân sự có thể sẽ không chỉ xoay quanh câu hỏi doanh nghiệp có được thu thập dữ liệu hay không, mà ngày càng tập trung vào việc doanh nghiệp sử dụng dữ liệu đến đâu, cho mục đích gì và công khai theo cách nào. Đây sẽ là một trong những ranh giới quan trọng mà doanh nghiệp cần kiểm soát khi cân bằng giữa yêu cầu quản trị nhân sự và quyền bảo vệ dữ liệu cá nhân trong nền kinh tế số.
ASL Law là công ty luật độc lập và cung cấp đầy đủ dịch vụ được tín nhiệm cao của Việt Nam gồm các luật sư giàu kinh nghiệm và tài năng. ASL Law được Legal500, Asia Law, WTR và Asia Business Law Journal xếp hạng là Công ty Luật hàng đầu tại Việt Nam. Có trụ sở tại Hà Nội và Thành phố Hồ Chí Minh, mục đích chính của ASL LAW là cung cấp lời tư vấn và giải pháp lý thiết thực, hiệu quả và hợp pháp nhất cho khách hàng trong nước và quốc tế. Nếu cần sự trợ giúp, Quý khách hàng có thể gửi email liên hệ tới [email protected].
Liên hệ với công ty Luật ASL LAW để được tư vấn Luật về Lao động và Việc làm.
BÀI VIẾT HỮU ÍCH LIÊN QUAN
