Thời hạn lưu trữ dữ liệu cá nhân là bao lâu, khi nào xóa?

Xây lịch lưu trữ và xóa dữ liệu: cần phân loại theo tiêu chí nào?

Lịch lưu trữ cần gắn từng nhóm dữ liệu với mục đích, căn cứ giữ, mốc bắt đầu và cách xử lý khi hết hạn. Mẫu dưới đây giúp phân công việc xóa trên hệ thống chính, bản sao và nhà cung cấp mà không đặt một thời hạn chung cho mọi hồ sơ.

Doanh nghiệp cần phân loại dữ liệu theo mục đích xử lý, nghĩa vụ lưu giữ, thỏa thuận hợp pháp, sự kiện kết thúc và nơi đang tồn tại bản sao. Khoản 3 Điều 3 Luật Bảo vệ dữ liệu cá nhân yêu cầu thời gian lưu phù hợp mục đích, trừ trường hợp pháp luật có quy định khác; Điều 14 quy định các trường hợp và yêu cầu xóa, hủy. Vì vậy, không thể áp chung một mốc như 5 năm hoặc 10 năm cho toàn bộ dữ liệu khách hàng và nhân viên. Lịch lưu trữ phải cho biết khi nào cần xem xét xóa, ai quyết định, ai thực hiện và bằng chứng nào xác nhận kết quả. Đây là công cụ quản trị đề xuất trên cơ sở Điều 3, Điều 14 và Điều 18 Luật số 91/2025/QH15.

Bắt đầu từ hoạt động sử dụng, không chỉ từ tên thư mục

Một bộ hồ sơ có thể chứa dữ liệu phục vụ nhiều mục đích khác nhau. Trong thư mục nhân sự có thể có hồ sơ tuyển dụng, hợp đồng, dữ liệu chấm công, tài liệu tính lương và bản sao giấy tờ. Việc một tài liệu còn phải lưu theo quy định chuyên ngành không tự tạo căn cứ giữ tất cả dữ liệu còn lại trong cùng thư mục.

Tương tự, hồ sơ khách hàng trên hệ thống có thể đồng thời phục vụ thực hiện dịch vụ, chăm sóc sau bán hàng và tiếp thị. Mỗi hoạt động cần được xem xét về căn cứ và thời gian sử dụng. Khi khách từ chối tiếp thị, doanh nghiệp phải xử lý lựa chọn đó; việc vẫn còn căn cứ giữ một chứng từ giao dịch không tự cho phép tiếp tục đưa khách vào danh sách quảng cáo.

Nên lập mỗi dòng lịch cho một nhóm dữ liệu có cùng mục đích và quy tắc lưu giữ. Nếu cùng một hồ sơ được lưu cho hai căn cứ khác nhau, cần mô tả phần được giữ theo từng căn cứ, người được tiếp cận và điều kiện kết thúc. Cách phân loại này giúp tránh hai sai sót: xóa nhầm tài liệu còn phải giữ hoặc giữ quá nhiều thông tin chỉ vì một phần hồ sơ chưa đến hạn.

Danh mục phải bao quát hệ thống chính, email, tệp tải xuống, bản giấy, thiết bị và bên cung cấp dịch vụ. Một chính sách chỉ áp dụng cho phần mềm trung tâm sẽ bỏ sót dữ liệu mà các phòng ban đã sao chép để làm việc.

Những tiêu chí cần xác định cho mỗi nhóm dữ liệu

Mục đích và căn cứ tiếp tục lưu

Người phụ trách nghiệp vụ cần giải thích dữ liệu còn được sử dụng để làm gì. Pháp chế hoặc đầu mối được giao kiểm tra quy định chuyên ngành, thỏa thuận và điều kiện của hoạt động đó. Lý do “có thể cần sau này” chưa đủ để xác định thời gian lưu.

Khoản 1 Điều 14 Luật quy định việc xóa, hủy khi đã hoàn thành mục đích, hết thời hạn lưu theo pháp luật, theo quyết định có thẩm quyền, thỏa thuận và các trường hợp khác được nêu. Với yêu cầu xóa của chủ thể dữ liệu, phải đối chiếu cả điều kiện tại điểm a khoản 1 và ngoại lệ tại khoản 2. Không nên gom mọi trường hợp thành một quy tắc “chỉ xóa khi khách yêu cầu”.

Đối với tuyển dụng, điểm c khoản 1 Điều 25 Luật yêu cầu xóa, hủy thông tin người dự tuyển nếu không tuyển dụng, trừ khi có thỏa thuận khác. Với người lao động, điểm b và điểm c khoản 2 yêu cầu lưu theo thời hạn pháp luật hoặc thỏa thuận và xóa khi chấm dứt hợp đồng, trừ thỏa thuận hoặc quy định khác. Đây là các quy tắc cần phản ánh vào lịch, không được thay bằng thời hạn do bộ phận nhân sự tự chọn cho toàn bộ hồ sơ.

Mốc bắt đầu và sự kiện làm thay đổi hạn lưu

“Lưu 12 tháng” chưa đủ nếu chưa xác định tính từ ngày nào. Mốc có thể là thời điểm kết thúc đợt tuyển dụng theo thỏa thuận, kết thúc một mục đích hoặc mốc do pháp luật chuyên ngành quy định. Không mặc nhiên tính mọi thời hạn từ ngày tạo tệp, ngày nhập lên hệ thống hoặc ngày khách ngừng sử dụng dịch vụ.

Lịch cũng cần ghi các sự kiện phải xem xét lại sớm: cá nhân thực hiện quyền, thay đổi thỏa thuận, phát hiện dữ liệu được lưu sai mục đích hoặc có quyết định của cơ quan có thẩm quyền. Chu kỳ kiểm tra nội bộ không làm lùi thời điểm phải thực hiện nghĩa vụ.

Khi có nhiều quy định cùng liên quan, phải kiểm tra phạm vi từng quy định trước khi chọn thời hạn. Cách làm không phải lấy mốc dài nhất trong tất cả văn bản rồi áp cho cả hồ sơ. Người xác nhận cần chỉ ra tài liệu nào thuộc quy định nào và vì sao phần thông tin đó còn cần được giữ.

Nơi lưu và người có thể thực hiện việc xóa

Lịch nên chỉ ra hệ thống chịu trách nhiệm giữ bản chính, bản sao phục vụ công việc và nhà cung cấp đang xử lý dữ liệu. Với mỗi nơi, cần xác định ai thực hiện, cách yêu cầu và bằng chứng kiểm tra. Ghi “IT xóa” sẽ khó áp dụng nếu IT không có quyền quản lý tài khoản của nhà cung cấp.

Khoản 3 Điều 14 Luật yêu cầu bên kiểm soát, bên kiểm soát và xử lý thực hiện hoặc yêu cầu bên xử lý, bên thứ ba xóa, hủy dữ liệu. Điều 12 Nghị định 356 còn đặt trách nhiệm về thời hạn xử lý, xóa, hủy và thực hiện quyền khi sử dụng cloud. Vì vậy, điều khoản dịch vụ và khả năng thao tác phải được kiểm tra cùng lịch lưu giữ.

Mẫu lịch lưu trữ theo dữ liệu

Bảng sau là khung có nội dung minh họa để doanh nghiệp triển khai. Mỗi dòng thực tế cần bổ sung mã nhóm, tên hệ thống, căn cứ cụ thể, ngày bắt đầu, ngày hoặc điều kiện kết thúc, người phụ trách và trạng thái thực hiện. Các nhóm chưa xác định được thời hạn phải giao người xử lý và hạn hoàn thành việc xác định; không biến trạng thái chưa rõ thành quyền lưu vô thời hạn.

Với dòng có thời hạn theo thỏa thuận, doanh nghiệp phải kiểm tra thỏa thuận thực sự tồn tại và phù hợp pháp luật. Không được chép mốc 12 tháng trong ví dụ vào toàn bộ hồ sơ ứng viên rồi coi như đã có căn cứ. Phần hồ sơ ứng viên và nhân viên nghỉ việc được lưu bao lâu phân tích sâu hơn việc tách dữ liệu tuyển dụng, lao động và chứng từ liên quan.

Lịch nên có người duyệt phiên bản và ngày áp dụng. Khi đổi hệ thống, thêm một bên xử lý hoặc thay đổi mục đích, cần kiểm tra dòng tương ứng và cập nhật tài liệu liên quan. Ngày sửa bảng không thay thế ngày phát sinh nghĩa vụ thực tế.

Từ lịch lưu trữ đến việc xóa có thể kiểm tra

Bộ phận quản lý dữ liệu cần tạo danh sách đến hạn theo quy tắc đã xác nhận. Trước khi thực hiện, người được giao kiểm tra căn cứ giữ lại, yêu cầu đang xử lý và các quyết định có liên quan. Nếu có trường hợp cần giữ một phần, phải ghi rõ phạm vi, lý do, người quyết định và thời điểm xem xét lại.

Sau đó, IT hoặc người quản lý nơi lưu thực hiện phương án phù hợp; đầu mối hợp đồng gửi yêu cầu tới nhà cung cấp nếu cần. Doanh nghiệp nên kiểm tra kết quả trên từng nơi đã liệt kê, gồm các tệp được chia sẻ và bản giấy. Xóa tên trên màn hình nhưng vẫn truy xuất được hồ sơ bằng mã định danh chưa tự chứng minh nghĩa vụ đã hoàn thành.

Khoản 3 và khoản 4 Điều 14 Luật yêu cầu xóa, hủy bằng biện pháp an toàn, ngăn chặn xâm nhập và khôi phục trái phép, đồng thời cấm cố ý khôi phục trái phép dữ liệu đã xóa, hủy. Phương pháp kỹ thuật phải phù hợp thiết bị, ứng dụng và môi trường lưu; bài này không đặt một kỹ thuật ghi đè hoặc hủy thiết bị chung cho mọi tình huống.

Hồ sơ kết quả có thể ghi mã nhóm hoặc mã yêu cầu, phạm vi, thời điểm, phương pháp thực hiện, người thao tác, người xác nhận và việc chưa hoàn tất. Khi lưu bằng chứng, nên dùng thông tin tối thiểu đủ để kiểm tra. Sao chép toàn bộ hồ sơ sang một thư mục “bằng chứng đã xóa” có thể làm mất ý nghĩa của chính việc xóa.

Bản sao lưu và khôi phục phải được xử lý trong cùng kế hoạch

Bản sao lưu phục vụ khôi phục sau sự cố nhưng vẫn cần căn cứ, thời gian lưu và biện pháp bảo vệ. Doanh nghiệp phải biết loại dữ liệu nào có trong bản sao, ai quản lý, có thể xử lý từng bản ghi hay không và việc phục hồi có đưa dữ liệu đã đến hạn trở lại sử dụng hay không.

Nếu kiến trúc hệ thống làm khó việc xóa một phần, IT cần mô tả trở ngại và phương án khả thi để đầu mối pháp lý đánh giá. Không thể tự đặt ngoại lệ “bản sao lưu giữ đến khi hệ thống tự ghi đè” rồi coi như đã đáp ứng thời hạn pháp luật. Khi không thể xóa vì lý do chính đáng sau yêu cầu của cá nhân, khoản 5 Điều 14 đặt nghĩa vụ thông báo cho chủ thể dữ liệu; lý do và phạm vi phải được xem xét thực chất.

Một biện pháp quản trị có thể xem xét là quản lý danh sách dữ liệu đã phải xử lý để đối chiếu trước khi đưa bản khôi phục vào vận hành. Danh sách chỉ giữ mức thông tin cần thiết, có giới hạn truy cập và thời hạn riêng. Đây là đề xuất tổ chức phối hợp, không phải căn cứ cho phép khôi phục hoặc giữ lại dữ liệu trái quy định.

Nếu bản sao ở nước ngoài, cần kiểm tra thêm luồng chuyển và nghĩa vụ tương ứng. Bài lưu bản sao dự phòng ở nước ngoài cần rà soát nghĩa vụ nào tập trung vấn đề này. Tên gọi “sao lưu kỹ thuật” không tự tạo ngoại lệ khỏi việc bảo vệ dữ liệu cá nhân.

Tình huống lịch ghi giữ CV 12 tháng nhưng chưa có thỏa thuận

Tình huống giả định: Công ty A có bảng nội bộ ghi mọi hồ sơ ứng viên được giữ 12 tháng sau đợt tuyển dụng. Tuy nhiên, biểu mẫu chỉ thể hiện mục đích tuyển cho một vị trí, không có thỏa thuận lưu tiếp. CV nằm trên nền tảng tuyển dụng, email HR và tệp đã gửi người phỏng vấn; hệ thống còn có bản sao dự phòng.

Theo điểm c khoản 1 Điều 25, A phải đối chiếu nghĩa vụ xóa, hủy đối với người không được tuyển và thỏa thuận khác nếu có. Bảng nội bộ không thay thế thỏa thuận với người dự tuyển. A cần xác định đúng nhóm hồ sơ, dừng việc mặc nhiên đưa họ vào kho ứng viên dùng lâu dài và tổ chức xử lý tại các nơi lưu liên quan.

Đối với đợt tuyển dụng tiếp theo, nếu có nhu cầu giữ hồ sơ cho cơ hội khác, A cần thiết kế thỏa thuận phù hợp về mục đích và thời hạn; khi dựa vào đồng ý phải đáp ứng Điều 9 Luật và Điều 6 Nghị định 356. Không ký lùi ngày hoặc tự ghi ứng viên đã đồng ý vì họ không phản hồi.

Đầu ra của việc khắc phục gồm danh mục hồ sơ theo căn cứ, yêu cầu gửi người giữ bản sao, xác nhận của nhà cung cấp, kết quả xử lý và quy tắc mới cho đợt tiếp theo. Mốc 12 tháng chỉ có thể được dùng khi đã được xác lập hợp pháp cho trường hợp tương ứng, đồng thời vẫn phải xét yêu cầu của cá nhân phát sinh trong thời gian đó.

Yêu cầu xóa không phải chờ lịch kiểm tra định kỳ

Lịch lưu giữ phục vụ việc chủ động quản lý dữ liệu. Khi nhận yêu cầu của cá nhân, doanh nghiệp cần xử lý theo quy trình thực hiện quyền và thời hạn tương ứng, không chờ đến ngày chạy đợt xóa định kỳ.

Khoản 4 Điều 5 Nghị định 356 quy định bên kiểm soát, bên kiểm soát và xử lý phải phản hồi yêu cầu xóa nhận đúng thủ tục trong 2 ngày làm việc, cung cấp thông tin về thủ tục và thực hiện trong 20 ngày. Trường hợp cần yêu cầu bên xử lý, bên thứ ba thực hiện công việc thuộc điều khoản này có mốc 30 ngày. Gia hạn tối đa một lần không quá 20 ngày phụ thuộc tính chất, mức độ phức tạp, phải thông báo lý do và chứng minh cần thiết, hợp lý.

Các mốc thực hiện không được tự đổi thành ngày làm việc hoặc cộng nối thành 20 ngày rồi thêm 30 ngày. Cần đồng thời đối chiếu điều kiện xóa, phạm vi giữ lại hợp pháp và nghĩa vụ phản hồi. Bài khách hàng yêu cầu xóa dữ liệu cá nhân, doanh nghiệp phải làm gì hướng dẫn riêng quy trình tiếp nhận và xác minh.

Câu hỏi thường gặp

Có thể ghi mọi dữ liệu được lưu 10 năm cho dễ quản lý không?

Không có căn cứ áp chung như vậy. Cần xác định từng nhóm tài liệu, mục đích và quy định hoặc thỏa thuận liên quan. Thời hạn của một loại chứng từ không tự áp dụng cho dữ liệu liên hệ, hồ sơ tuyển dụng hoặc bản sao giấy tờ khác.

Đổi tên khách hàng thành mã số đã đủ để giữ dữ liệu lâu dài chưa?

Chưa đủ để kết luận đã khử nhận dạng. Khoản 11 Điều 2 Luật yêu cầu dữ liệu sau quá trình này không thể xác định hoặc giúp xác định một người cụ thể. Nếu còn bảng đối chiếu hoặc có thể kết hợp thông tin để nhận diện, phải tiếp tục đánh giá nghĩa vụ đối với dữ liệu cá nhân.

Có tranh chấp thì được giữ nguyên toàn bộ dữ liệu không?

Cần xác định căn cứ cụ thể, tài liệu liên quan, phạm vi sử dụng và thời điểm rà lại. Không suy từ khả năng tranh chấp chung để giữ toàn bộ hồ sơ vô thời hạn. Việc thực hiện yêu cầu xóa phải được xem xét theo Điều 14, Điều 19 và quy định liên quan của vụ việc.

Ai nên chịu trách nhiệm xác nhận lịch lưu trữ?

Nghiệp vụ xác nhận mục đích; pháp chế và bộ phận chuyên môn kiểm tra căn cứ; IT, người giữ hồ sơ và nhà cung cấp xác nhận khả năng thực hiện. Người có thẩm quyền của doanh nghiệp duyệt cách tổ chức. Lịch và bằng chứng nên được liên kết với bộ tài liệu tuân thủ dữ liệu cá nhân để tránh mỗi phòng ban áp một phiên bản.

Justix hỗ trợ xây dựng lịch lưu và quy trình xóa

Doanh nghiệp có thể chuẩn bị danh mục dữ liệu, hệ thống, thỏa thuận đang dùng và mô tả cách lưu, xóa của nhà cung cấp. Trong dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân, Justix hỗ trợ rà căn cứ và xây dựng bảng thời hạn, quy trình, biểu mẫu theo hạng mục được lựa chọn. Phương án kỹ thuật do đầu mối chuyên môn xác nhận và triển khai. Có thể gửi danh mục đã lược thông tin cá nhân không cần thiết qua trang liên hệ Justix.