Quản lý dữ liệu nhân sự thế nào để đúng quy định?

Quản lý dữ liệu nhân sự thế nào để đúng quy định?

Doanh nghiệp nên lập bảng theo từng hoạt động sử dụng dữ liệu, thay vì chỉ liệt kê tên hồ sơ. Mỗi dòng cần trả lời ba câu hỏi: thông tin được dùng để làm gì, căn cứ nào cho phép xử lý và ai cần tiếp cận để hoàn thành công việc. Cách lập này giúp HR phát hiện dữ liệu thu thừa, mục đích chưa được xác lập và quyền truy cập rộng hơn nhiệm vụ.

Vì sao một mục “quản lý nhân sự” chưa đủ rõ?

Cùng một người lao động có thể có dữ liệu phục vụ giao kết hợp đồng, trả lương, đào tạo và chăm sóc sức khỏe. Những hoạt động này không có cùng phạm vi thông tin, người sử dụng hoặc thời gian lưu. Việc gom tất cả vào mục đích “quản lý nhân sự” khiến doanh nghiệp khó giải thích vì sao từng bộ phận được xem toàn bộ hồ sơ.

Điều 3 Luật 91/2025/QH15 yêu cầu xử lý trong phạm vi và mục đích cụ thể, rõ ràng. Bảng rà soát là một cách tổ chức thực hiện nguyên tắc này; pháp luật không ấn định mọi doanh nghiệp phải dùng đúng mẫu bảng dưới đây.

Nên ghi rõ công việc như “tính và thanh toán lương hằng tháng”, rồi xác định dữ liệu cần dùng.

Cột căn cứ xử lý nên ghi sự đồng ý hay hợp đồng lao động?

Cần xác định theo từng hoạt động. Trong tuyển dụng, điểm a–b khoản 1 Điều 25 Luật 91/2025/QH15 giới hạn thông tin theo mục đích tuyển dụng và yêu cầu sự đồng ý của người dự tuyển. Không nên dùng một câu chung “phục vụ tuyển dụng” để thu mọi thông tin đời tư.

Trong thực hiện quan hệ lao động, điểm d khoản 1 Điều 19 cho phép xử lý không cần đồng ý để thực hiện thỏa thuận của chủ thể dữ liệu với bên liên quan theo pháp luật. Nếu áp dụng căn cứ này, cần chỉ rõ điều khoản hoặc công việc phải thực hiện; việc đã ký hợp đồng lao động không cho phép mọi mục đích khác.

Khi dựa vào quy định pháp luật, nên ghi cụ thể nghĩa vụ và nhóm dữ liệu tương ứng. Chẳng hạn, Điều 16 Bộ luật Lao động quy định thông tin liên quan trực tiếp đến giao kết hợp đồng; Điều 95–96 quy định trả lương, bảng kê và hình thức thanh toán. Không chỉ ghi “theo luật” mà thiếu điều khoản và phạm vi.

Nếu xử lý dựa vào sự đồng ý, cần đáp ứng Điều 9 Luật và lưu bằng chứng theo Điều 6 Nghị định 356/2025/NĐ-CP. Đối với xử lý không cần đồng ý, khoản 2 Điều 19 vẫn yêu cầu cơ chế giám sát, bảo vệ, kiểm tra và tiếp nhận phản ánh.

Bảng mẫu về mục đích, căn cứ và người được truy cập

Bảng minh họa cách tách công việc; cần đối chiếu căn cứ với từng dữ liệu được sử dụng.

Khi triển khai, nên bổ sung các cột về nơi lưu, thời hạn, bên nhận ngoài doanh nghiệp, người chịu trách nhiệm và mã tài liệu chứng minh. Nếu một dòng chứa nhiều mục đích hoặc nhiều căn cứ khác nhau, nên tách dòng để dễ kiểm tra và xử lý khi cá nhân thay đổi lựa chọn.

Phân quyền theo phòng ban đã đủ chưa?

Tên phòng ban mới cho biết nhóm công việc, chưa xác định được mức độ tiếp cận. Doanh nghiệp nên phân biệt quyền xem, sửa, xuất danh sách, tải tài liệu và chia sẻ ra ngoài. Người quản lý trực tiếp có thể cần dữ liệu về thời gian làm việc nhưng không vì vậy cần xem mọi giấy tờ sức khỏe hoặc tài khoản ngân hàng.

Khoản 2 Điều 4 Nghị định 356/2025/NĐ-CP yêu cầu thiết lập quy định giới hạn truy cập, quy trình và biện pháp bảo mật khi xử lý dữ liệu nhạy cảm. Điều 7 khoản 4 yêu cầu kiểm soát chia sẻ nội bộ và phòng, chống nhân sự chia sẻ trái phép cho bên thứ ba.

Vì vậy, với mỗi quyền truy cập, nên ghi người phê duyệt, nhiệm vụ được giao và điều kiện kết thúc. Tài khoản kỹ thuật cần phục vụ vận hành cũng nên có phạm vi rõ; quyền quản trị hệ thống không tự đồng nghĩa được dùng nội dung hồ sơ cho mục đích riêng.

Dùng bảng để sửa một quyền truy cập quá rộng

Ví dụ minh họa: phần mềm cho mọi trưởng bộ phận tải toàn bộ hồ sơ nhân viên thuộc nhóm, gồm hợp đồng, dữ liệu công và hồ sơ sức khỏe. Khi đối chiếu bảng, doanh nghiệp xác định quản lý cần duyệt công, còn việc trả lương và xử lý hồ sơ sức khỏe thuộc các đầu mối khác.

Từ đó, HR đề xuất giới hạn dữ liệu hiển thị; kỹ thuật điều chỉnh quyền; người có thẩm quyền duyệt và kiểm tra kết quả. Với tài liệu cần xem trong một vụ việc cụ thể, có thể thiết lập quyền theo nhiệm vụ và thời gian phù hợp, thay vì duy trì quyền tải toàn bộ hồ sơ.

Việc triển khai cần bảo đảm đủ thông tin hợp pháp cho công việc và khả năng kiểm tra người đã tiếp cận.

Thuê phần mềm nhân sự có làm thay đổi bảng không?

Có. Cần bổ sung nhà cung cấp, hoạt động được thực hiện, nơi xử lý và dữ liệu được tiếp cận. Điều 37 Luật 91/2025/QH15 gắn trách nhiệm với vai trò của các bên; hợp đồng phần mềm cần phù hợp phạm vi đã ghi trong bảng.

Nếu có luồng xuyên biên giới, cần kiểm tra Điều 20 Luật và Điều 17 Nghị định. Luật có ngoại lệ đánh giá tác động đối với việc tổ chức lưu dữ liệu người lao động của mình trên dịch vụ đám mây; Nghị định có trường hợp quản lý nhân sự xuyên biên giới theo điều kiện quy định. Các ngoại lệ này không miễn mọi nghĩa vụ bảo vệ dữ liệu hoặc tự bao trùm hồ sơ ứng viên.

Khi nào cần cập nhật bảng?

Nên cập nhật khi đổi mục đích, dữ liệu, hệ thống, nhà cung cấp hoặc nhiệm vụ. HR xác nhận nghiệp vụ; pháp chế kiểm tra căn cứ; kỹ thuật đối chiếu cấu hình; bộ phận sử dụng xác nhận quyền cần thiết.

Với ứng viên không được tuyển hoặc người chấm dứt hợp đồng, Điều 25 quy định yêu cầu xóa, hủy và các trường hợp được tiếp tục lưu. Bảng cần thể hiện căn cứ còn tồn tại và thời điểm xem xét lại, đồng thời là đầu vào cho thông báo, quy trình thực hiện quyền và hồ sơ đánh giá tác động khi áp dụng.

Cần xây dựng bảng dữ liệu nhân sự cho doanh nghiệp?

Justix hỗ trợ rà soát mục đích, căn cứ, người tiếp cận và tài liệu cần điều chỉnh trong dịch vụ chuẩn hóa pháp lý dữ liệu nhân sự. Doanh nghiệp có thể chuẩn bị biểu mẫu đã che thông tin định danh, danh sách hệ thống và mô tả phân quyền hiện tại để trao đổi qua 0372717888 / 0878853686.