Hồ sơ ứng viên không trúng tuyển: khi nào phải xóa và muốn giữ lại cần gì?

Điểm c khoản 1 Điều 25 Luật Bảo vệ dữ liệu cá nhân quy định phải xóa, hủy thông tin người dự tuyển đã cung cấp trong trường hợp không tuyển dụng, trừ khi có thỏa thuận khác với người đã dự tuyển. Cần tách quy tắc này khỏi thời hạn lưu hồ sơ của người đã trở thành người lao động.

Doanh nghiệp không nên tự đặt một khoảng lưu chung rồi coi đó là ngoại lệ do pháp luật cho phép. Nếu một loại thông tin có căn cứ pháp luật riêng cần giữ, phải xác định rõ căn cứ, phạm vi và người được tiếp cận. Không lấy nhu cầu lưu cho tiện làm lý do mặc nhiên giữ toàn bộ CV, giấy tờ định danh và nhận xét phỏng vấn.

Điều 25 cũng giới hạn thông tin được yêu cầu theo mục đích tuyển dụng và việc xử lý phải tuân thủ pháp luật, có sự đồng ý của người dự tuyển. Khi muốn lưu để tìm vị trí khác sau này, cần làm rõ thỏa thuận giữ lại: dữ liệu nào, để làm gì, ai quản lý và cách người dự tuyển thực hiện quyền của mình.

Theo các nguyên tắc tại Điều 3 và cơ chế sự đồng ý tại Điều 9, mục đích phải cụ thể, phạm vi phù hợp và sự đồng ý phải kiểm chứng được. DVT Venture đề xuất tách lựa chọn tham gia ngân hàng ứng viên khỏi việc nộp đơn cho một vị trí. Đây là khuyến nghị thiết kế quy trình; nội dung thỏa thuận vẫn cần được rà soát theo hoạt động thực tế.

Một lệnh xóa trong phần mềm có thể chưa xử lý bản CV đính kèm email, thư mục tải xuống hoặc bản in. Đề xuất vận hành là xác định nơi phát sinh, người nhận, nơi sao lưu và nhà cung cấp tham gia xử lý. Giao một người chịu trách nhiệm kiểm tra kết quả thay vì chỉ yêu cầu từng người tự dọn thư mục.

Cơ chế sao lưu cần được xem xét theo tính năng hệ thống và yêu cầu pháp luật, không hứa xóa tức thời ở mọi nơi nếu không có khả năng thực hiện. Cần quy định hạn chế truy cập và cách tránh khôi phục dữ liệu đã thuộc diện xóa vào sử dụng thông thường. Việc thu hồi quyền không đồng nghĩa dữ liệu đã bị xóa, nên hai kết quả này phải được kiểm tra riêng.

Giả định Công ty A không tuyển một ứng viên nhưng chuyển hồ sơ sang Công ty B trong cùng nhóm để tham khảo. Ứng viên trước đó chỉ gửi đơn cho A. Đây là ví dụ giả định, không mô tả một người dự tuyển hoặc doanh nghiệp thực tế.

Không nên suy ra hai công ty cùng nhóm thì được dùng chung mọi dữ liệu. Cần xác định chủ thể xử lý, mục đích, căn cứ và nội dung đã thông tin, thỏa thuận với ứng viên. Nếu chưa có cơ sở phù hợp, cần xử lý điểm thiếu trước khi chuyển. Thỏa thuận giữa hai doanh nghiệp không tự thay thế quyền của người có dữ liệu.

Đề xuất của DVT Venture là ghi nhận đợt tuyển đã đóng, căn cứ giữ hoặc xóa, đầu mối xử lý và kết quả kiểm tra. Bản ghi kiểm soát nên giới hạn thông tin ở mức cần thiết; không tạo thêm một kho dữ liệu nhạy cảm chỉ để chứng minh đã xóa kho cũ.

Doanh nghiệp cần rà soát Luật Bảo vệ dữ liệu cá nhân cùng Nghị định 356/2025/NĐ-CP hiện hành, các quyền của chủ thể và nghĩa vụ của bên kiểm soát, xử lý. Bài viết không đưa ra một số tháng áp dụng chung vì quyết định giữ dữ liệu phải dựa trên mục đích, thỏa thuận và căn cứ cụ thể, không dựa vào thói quen lưu trữ của bộ phận nhân sự.