Lưu dữ liệu cá nhân của ứng viên không trúng tuyển, doanh nghiệp bị phạt đến 50 triệu đồng

Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, ban hành ngày 19/8/2026.

Theo điểm d khoản 1 Điều 61 Nghị định 330/2026/NĐ-CP, hành vi không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển, bị phạt tiền từ 20 triệu đồng đến 50 triệu đồng.

Quy định này đặt ra yêu cầu đối với doanh nghiệp trong quá trình tuyển dụng phải xử lý dữ liệu cá nhân của ứng viên đúng mục đích, phạm vi và thời hạn cần thiết. Trường hợp ứng viên không trúng tuyển, doanh nghiệp không được tiếp tục lưu giữ các thông tin cá nhân đã thu thập như hồ sơ xin việc, thông tin liên hệ, trình độ chuyên môn, kinh nghiệm làm việc hoặc các dữ liệu khác phục vụ tuyển dụng, trừ khi có thỏa thuận khác với người dự tuyển hoặc thuộc trường hợp pháp luật cho phép.

Việc tiếp tục lưu trữ dữ liệu cá nhân của ứng viên không trúng tuyển mà không có căn cứ phù hợp có thể làm phát sinh rủi ro về bảo vệ dữ liệu cá nhân, đặc biệt khi doanh nghiệp sử dụng các thông tin này cho mục đích khác ngoài tuyển dụng hoặc chia sẻ cho bên thứ ba khi chưa được phép.

Ngoài hình thức phạt tiền, doanh nghiệp vi phạm còn có thể bị áp dụng biện pháp khắc phục hậu quả theo quy định tại khoản 4 Điều 61 Nghị định 330/2026/NĐ-CP, trong đó có buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định.

Như vậy, lưu dữ liệu cá nhân của ứng viên không trúng tuyển khi không có thỏa thuận khác với người dự tuyển có thể khiến doanh nghiệp bị phạt đến 50 triệu đồng.

Do đó, doanh nghiệp cần chủ động rà soát, thiết lập thời hạn lưu giữ và thực hiện xóa, hủy dữ liệu cá nhân của ứng viên không được tuyển dụng theo đúng quy định, nhằm hạn chế rủi ro vi phạm trong quá trình tuyển dụng và quản lý dữ liệu cá nhân.