Lưu dữ liệu người lao động đã nghỉ việc: Khi nào công ty có thể bị phạt 70 triệu đồng?

Lưu dữ liệu người lao động quá hạn có thể bị phạt đến 70 triệu đồng

Giải đáp thắc mắc trên, Luật sư Phạm Thanh Hữu (Đoàn luật sư TP.HCM) cho biết trên tờ VnExpress, theo điểm c khoản 2 Điều 25 Luật Bảo vệ dữ liệu cá nhân năm 2025, người sử dụng lao động phải xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác.

Đặc biệt, theo điểm b khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP (bắt đầu có hiệu lực từ ngày 19/8/2026), trường hợp người sử dụng lao động không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác sẽ bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng.

Như vậy, trường hợp sau khi người lao động nghỉ việc mà công ty không chịu xóa dữ liệu cá nhân của người lao động (trừ khi hai bên có thỏa thuận khác), thì công ty sẽ bị xử phạt theo quy định nêu trên.

Do đó, trong trường hợp người lao động đã chấm dứt hợp đồng lao động nhưng các vấn đề, quyền lợi liên quan giữa người lao động và công ty vẫn chưa được giải quyết xong, chẳng hạn như thủ tục về bảo hiểm xã hội, các khoản hỗ trợ sau khi nghỉ việc..., hai bên nên lập văn bản thỏa thuận. Theo đó, người lao động đồng ý cho người sử dụng lao động tiếp tục lưu giữ một số thông tin cá nhân cần thiết trong thời gian nhất định để phục vụ việc hoàn tất các thủ tục và giải quyết đầy đủ chế độ, quyền lợi cho người lao động.

Ngoài ra, mức phạt tiền từ 50 triệu đồng đến 70 triệu đồng cũng áp dụng đối với các hành vi vi phạm sau đây:

- Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận.

- Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động.

- Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

Tự ý cung cấp số điện thoại của người lao động, bị phạt đến 30 triệu đồng

Theo báo Lao động, khoản 7, Điều 3, Nghị định 356/2025/NĐ-CP, quy định danh mục dữ liệu cá nhân cơ bản gồm có: Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe.

Khoản 2, Điều 49 Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (có hiệu lực ngày 19/8/2026) quy định như sau: Phạt tiền từ 20 triệu đồng đến 30 triệu đồng đối với hành vi cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác.

Khoản 1, Điều 7, Mục 6, Chương II, Nghị định số 330/2026/NĐ-CP quy định về mức phạt tiền, thẩm quyền xử phạt như sau: Mục 6 Chương II Nghị định này quy định về mức phạt tiền được áp dụng đối với hành vi vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân do tổ chức thực hiện. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với tổ chức.

Như vậy, từ ngày 19/8/2026, doanh nghiệp tự ý cung cấp số điện thoại của người lao động thì có thể bị phạt đến 30 triệu đồng.