Doanh nghiệp xử lý dữ liệu cá nhân của ứng viên khi chưa được đồng ý bị phạt đến 50 triệu đồng

Theo điểm c khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP, hành vi xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý bị phạt tiền từ 20 triệu đồng đến 50 triệu đồng.

Quy định này áp dụng đối với hoạt động tuyển dụng khi doanh nghiệp thu thập, lưu trữ, sử dụng hoặc thực hiện các hoạt động xử lý khác đối với dữ liệu cá nhân của ứng viên nhưng chưa có sự đồng ý của ứng viên hoặc sử dụng dữ liệu không đúng với phạm vi, mục đích đã được thống nhất.

Dữ liệu cá nhân của người dự tuyển có thể bao gồm họ tên, thông tin liên hệ, trình độ chuyên môn, quá trình học tập, kinh nghiệm làm việc, hồ sơ xin việc và các thông tin khác được doanh nghiệp thu thập trong quá trình tuyển dụng. Do đó, doanh nghiệp cần bảo đảm việc xử lý các thông tin này chỉ được thực hiện trong phạm vi cần thiết cho mục đích tuyển dụng hoặc theo đúng nội dung mà ứng viên đã đồng ý.

Bên cạnh hành vi xử lý dữ liệu cá nhân khi chưa được đồng ý, doanh nghiệp còn có thể bị xử phạt nếu sử dụng dữ liệu cá nhân của ứng viên vào mục đích khác ngoài tuyển dụng khi chưa có thỏa thuận. Theo điểm b khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP, hành vi này cũng bị phạt tiền từ 20 triệu đồng đến 50 triệu đồng.

Ngoài ra, trường hợp ứng viên không được tuyển dụng, doanh nghiệp còn phải thực hiện xóa, hủy dữ liệu cá nhân theo quy định, trừ trường hợp có thỏa thuận khác với người dự tuyển. Việc tiếp tục lưu giữ hoặc sử dụng dữ liệu cá nhân của ứng viên không đúng quy định có thể làm phát sinh trách nhiệm xử phạt hành chính.

Như vậy, doanh nghiệp xử lý dữ liệu cá nhân của ứng viên khi chưa được đồng ý có thể bị phạt đến 50 triệu đồng. 

Do đó, doanh nghiệp cần rà soát quy trình tuyển dụng, bảo đảm việc thu thập, sử dụng và xử lý dữ liệu cá nhân của ứng viên đúng phạm vi, mục đích và có sự đồng ý hợp lệ của người dự tuyển để tránh nguy cơ bị xử phạt.