BẪY ĐỊNH KIẾN VÀ NGHĨA VỤ XÓA HỒ SƠ HAI “LỖ HỔNG” VẬN HÀNH HR CẦN VÁ NGAY TRONG NĂM 2026

Trong bối cảnh nền kinh tế số phát triển vượt bậc năm 2026, các tiêu chuẩn tuân thủ pháp lý tại Việt Nam ngày càng siết chặt và chuyên nghiệp hóa. Thế nhưng, nhiều người sử dụng lao động (“NSDLĐ”) và các nhà quản trị doanh nghiệp vẫn đang vận hành bộ máy với một niềm tin ngây thơ và lỗi thời: Trách nhiệm pháp lý chỉ phát sinh khi chiếc bút ký vào hợp đồng lao động (“HĐLĐ”) chính thức được hạ xuống.

Góc nhìn lệch lạc này đang mở đường cho những thiệt hại về tài chính và uy tín thương hiệu doanh nghiệp không đáng có. Thực tế, lưới pháp lý đã giăng sẵn ngay từ bước đăng tuyển, phỏng vấn cho đến khâu tiếp nhận và quản trị dữ liệu ứng viên. Việc xem nhẹ giai đoạn “tiền hôn nhân” này không chỉ tiềm tàng các tranh chấp lao động về sau mà còn đẩy doanh nghiệp vào tầm ngắm của những án phạt hành chính không ngờ dưới hai lăng kính Pháp luật lao động và Pháp luật bảo vệ dữ liệu cá nhân (“LDLCN”). Để bảo vệ thành quả kinh doanh, các doanh nghiệp bắt buộc phải nhận diện và lập tức vá hai lỗ hổng chí mạng đang tồn tại trong hầu hết các phòng nhân sự hiện nay: (i) Bẫy định kiến tuyển dụng và (ii) Nghĩa vụ xóa hồ sơ ứng viên.

LỖ HỔNG 1: BẪY ĐỊNH KIẾN TRONG THÔNG TIN TUYỂN DỤNG VÀ SAI LẦM TỪ TƯ DUY KIỂU CŨ

Khi phòng nhân sự bắt đầu phát tán một thông báo tuyển dụng ra thị trường hay tiến hành phỏng vấn sơ loại, doanh nghiệp đã chính thức bước vào đường đua tuân thủ của pháp luật lao động mà không có cơ hội sửa sai. Mọi lời nói, văn bản hay tiêu chí được đưa ra đều có thể trở thành bằng chứng chống lại doanh nghiệp nếu vi phạm các quy định về tính trung thực và bình đẳng.

1. Bản mô tả công việc (JD) “tô hồng” và cái giá của sự bất nhất:

Căn cứ theo quy định tại Khoản 1 Điều 16 Bộ luật Lao động 2019 (“BLLĐ 2019”), Người sử dụng lao động phải cung cấp thông tin trung thực cho người lao động về công việc, địa điểm làm việc, điều kiện làm việc, thời giờ làm việc, thời giờ nghỉ ngơi, an toàn, vệ sinh lao động, tiền lương, hình thức trả lương, bảo hiểm xã hội, bảo hiểm y tế, bảo hiểm thất nghiệp, quy định về bảo vệ bí mật kinh doanh, bảo vệ bí mật công nghệ và vấn đề khác liên quan trực tiếp đến việc giao kết hợp đồng lao động mà người lao động yêu cầu.

Trong thực tế, vì áp lực tuyển dụng, nhiều HR thường có thói quen “vẽ” ra một bản JD lý tưởng, mập mờ về cơ cấu lương thưởng (bản chất là KPI nhưng ghi là lương cứng) hoặc giấu kín việc điều động đi công tác xa. Sự thiếu trung thực này sẽ kích hoạt những hệ lụy pháp lý trực diện:

• Quyền lật kèo và đòi bồi thường của NLĐ: Nếu thực tế công việc hoặc địa điểm làm việc bị tráo đổi, không đúng như cam kết ban đầu khi chiêu mộ, người lao động (“NLĐ”) được toàn quyền đơn phương chấm dứt HĐLĐ ngay lập tức mà không cần báo trước theo Khoản 2 Điều 35 BLLĐ 2019. Doanh nghiệp không chỉ mất chi phí cơ hội, chi phí tuyển dụng mà còn rơi vào thế bị động về nhân sự.
• Bị xử phạt hành chính từ cơ quan thanh tra lao động: Hành vi tùy tiện bố trí NLĐ làm việc không đúng địa điểm, không đúng công việc hoặc không đúng điều kiện lao động đã thỏa thuận (hoặc đã cam kết ở giai đoạn tiền hợp đồng) sẽ khiến doanh nghiệp bị xử phạt hành chính từ 6.000.000 đồng đến 14.000.000 đồng theo Khoản 1 Điều 6 và Điểm a Khoản 2 Điều 11 Nghị định 12/2022/NĐ-CP.

2. Định kiến giới tính, vùng miền và các bản cam kết vô hiệu:

Một trong những lỗi phổ biến nhất của các doanh nghiệp Việt Nam là chèn các tiêu chí cảm tính, phân biệt đối xử vào tin tuyển dụng hoặc bảng tiêu chuẩn đánh giá. Những câu chữ tưởng chừng như bình thường như: “Chỉ tuyển nam vì công việc đi công tác nhiều”, “Ưu tiên ứng viên chưa có gia đình”, hoặc từ chối nhân sự theo địa phương như “Không nhận ứng viên có hộ khẩu tại vùng A, B, C” chính là hành vi phân biệt đối xử bị nghiêm cấm theo Khoản 8 Điều 3 và Khoản 1 Điều 8 BLLĐ 2019.

Khi cơ quan quản lý nhà nước rà soát hoặc có đơn thư tố cáo từ ứng viên, doanh nghiệp sẽ phải trả giá bằng các khung phạt tài chính lũy tiến rất nặng:

Khung phạt từ 20.000.000 đồng đến 30.000.000 đồng áp dụng đối với các hành vi: phân biệt đối xử về giới trong an toàn, vệ sinh lao động; dùng định kiến giới để ép buộc hoặc ngăn cản người khác tự do lựa chọn việc làm; phân công công việc theo giới tính dẫn đến chênh lệch thu nhập; từ chối hoặc hạn chế tuyển dụng nhân sự vì lý do giới tính. Đồng thời, doanh nghiệp buộc phải thực hiện các biện pháp khắc phục hậu quả nhằm khôi phục lại quyền lợi hợp pháp đã bị xâm phạm của ứng viên theo Khoản 2, Khoản 5 Điều 8 và Khoản 2 Điều 5 Nghị định 125/2021/NĐ-CP.

Khung phạt từ 40.000.000 đồng đến 60.000.000 đồng kèm theo lệnh cưỡng chế sửa đổi hoặc hủy bỏ văn bản nếu doanh nghiệp cố tình hợp thức hóa các quy định mang tính phân biệt đối xử giới tính vào bên trong quy chế nội bộ, quy trình tuyển dụng của tổ chức theo Khoản 3, Khoản 5 Điều 8 Nghị định 125/2021/NĐ-CP.

Khung phạt từ 10.000.000 đồng đến 20.000.000 đồng áp dụng chung cho tất cả các dạng hành vi phân biệt đối xử khác nằm ngoài danh mục giới tính, bao gồm phân biệt đối xử về vùng miền, dân tộc, màu da, thành phần xã hội hoặc tình trạng hôn nhân Điểm a Khoản 2 Điều 8 và Khoản 1 Điều 6 Nghị định 12/2022/NĐ-CP.

Song song đó, cái bẫy mang tên “Cam kết nhân thân trái luật” rất được nhiều bộ phận nhân sự hiện nay vẫn áp dụng các luật ngầm, buộc ứng viên nữ phải ký cam kết bằng văn bản hoặc hứa hẹn bằng lời nói: “Không kết hôn hoặc không sinh con trong vòng 02 năm đầu tiên làm việc”. Nhà quản trị cần hiểu rõ: Đây là hành vi can thiệp thô bạo vào quyền con người được Điều 36 Hiến pháp 2013 bảo hộ tuyệt đối.

Dưới lăng kính pháp lý, mọi cam kết dạng này đều vô hiệu hoàn toàn vì vi phạm điều cấm của pháp luật (Điều 123 Bộ luật Dân sự 2015; Điều 10 Pháp lệnh Dân số 2003, sửa đổi bổ sung 2025; Khoản 1 Điều 5 Luật Hôn nhân và Gia đình 2014). Nếu doanh nghiệp dựa vào việc NLĐ mang thai hay kết hôn để chấm dứt hợp đồng hoặc không gia hạn hợp đồng sau thử việc, doanh nghiệp sẽ rơi vào nhóm hành vi đơn phương chấm dứt HĐLĐ trái pháp luật, đối mặt với rủi ro phải bồi thường hàng trăm triệu đồng tiền lương và tổn thất tinh thần theo Điều 41 BLLĐ 2019.

LỖ HỔNG 2: NGHĨA VỤ XÓA HỒ SƠ ỨNG VIÊN VÀ KHỦNG HOẢNG DỮ LIỆU CÁ NHÂN TRONG NĂM 2026

Nếu lỗ hổng đầu tiên nằm ở tư duy sử dụng lao động, thì lỗ hổng thứ hai lại nằm ở quy trình kỹ thuật và quản trị dữ liệu. Khi một ứng viên gửi CV (bao gồm các thông tin nhân thân: họ tên, ngày sinh, số điện thoại, hình ảnh chân dung, lịch sử học vấn, kinh nghiệm làm việc…), những thông tin này lập tức nằm dưới sự bảo hộ nghiêm ngặt của Khoản 1 Điều 2 Luật Bảo vệ DLCN 2025. Doanh nghiệp lúc này chính thức gánh vác trách nhiệm pháp lý cao nhất với tư cách là Bên Kiểm soát và Xử lý dữ liệu cá nhân theo Khoản 6 Điều 2 Luật Bảo vệ DLCN 2025. Mọi thói quen quản trị hồ sơ theo kiểu “tiện tay lưu lại” hay “gom để dành” của HR đều là hành vi vi phạm pháp luật.

1. Thu thập “chui” khi chưa có lệnh bài đồng ý từ chủ thể dữ liệu:

Theo quy định cốt lõi của Luật Bảo vệ DLCN 2025 cùng Nghị định 356/2025/NĐ-CP, doanh nghiệp tuyệt đối không được phép thực hiện bất kỳ hành vi nào như thu thập, lưu trữ, đọc, đánh giá hay chuyển giao dữ liệu của ứng viên nếu chưa thiết lập được cơ chế xin sự đồng ý rõ ràng, tự nguyện và có thể rút lại của ứng viên.

Nhiều doanh nghiệp hiện nay tự ý quét CV công khai trên mạng, lấy thông tin từ các hội nhóm hoặc mua data từ bên thứ ba về để gọi điện mời phỏng vấn mà không có sự đồng ý của ứng viên. Đây là hành vi vi phạm nghiêm trọng. Mức quy định xử phạt hành chính áp theo Dự thảo Nghị định xử phạt an ninh mạng (“Dự thảo”):

Phạt từ 20.000.000 đồng đến 40.000.000 đồng đối với hành vi tự ý xử lý dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu theo Khoản 1 Điều 5 và điểm a Khoản 1 Điều 15 Dự thảo.

Phạt từ 20.000.000 đồng đến 40.000.000 đồng nếu doanh nghiệp không thông báo minh bạch cho ứng viên trước khi xử lý về các nội dung bắt buộc: Mục đích xử lý, loại dữ liệu sử dụng, cách thức xử lý, các bên liên quan được quyền tiếp cận, rủi ro tổn thất tiềm ẩn và thời hạn lưu trữ cụ thể tại Khoản 1 Điều 5 và điểm b Khoản 1 Điều 17 Dự thảo.

2. Thói quen đào sâu đời tư và lỗi thu thập vượt ngưỡng cần thiết:

Khoản 1 Điều 25 Luật Bảo vệ DLCN 2025 quy định rõ về nguyên tắc giới hạn mục đích: Việc thu thập dữ liệu chỉ được phép giới hạn trong phạm vi cần thiết để đạt được mục đích đã tuyên bố công khai. Đối với tuyển dụng, mục đích tối cao là đánh giá năng lực chuyên môn có phù hợp với vị trí công việc hay không.

Tuy nhiên, form thông tin ứng viên (application form) của nhiều doanh nghiệp lại được thiết kế như một bản điều tra lý lịch chuyên sâu: yêu cầu khai báo tình trạng hôn nhân, tôn giáo, dự định sinh con, kê khai chi tiết thu nhập của người thân, nghề nghiệp của bố mẹ, vợ/chồng… Việc ép buộc ứng viên cung cấp các thông tin không liên quan trực tiếp đến năng lực chuyên môn này bị coi là hành vi thu thập dữ liệu vượt quá phạm vi cần thiết.

Khung phạt hành chính áp dụng: Doanh nghiệp sẽ phải đối mặt với mức phạt tiền cực nặng, dao động từ 100.000.000 đồng đến 140.000.000 đồng đối với hành vi thu thập, xử lý thông tin không phù hợp, vượt quá giới hạn mục đích xử lý ban đầu tại Khoản 1 Điều 5 và Khoản 1 Điều 13 Dự thảo.

3. “Bom nổ chậm” từ nghĩa vụ xóa bỏ những bộ hồ sơ ứng viên thi trượt:

Đây chính là lỗ hổng lớn nhất và phổ biến nhất hiện nay. Thông thường, sau mỗi chiến dịch tuyển dụng, chỉ có 1-2 ứng viên trúng tuyển, hàng chục hoặc hàng trăm CV còn lại của những ứng viên thi trượt sẽ bị bỏ quên trong bộ nhớ máy tính của HR, trên Google Drive hoặc hòm thư chung của phòng nhân sự qua nhiều năm tháng.

Dưới góc nhìn pháp lý năm 2026, hành vi này là phạm luật. Căn cứ theo điểm c Khoản 1 Điều 25 Luật Bảo vệ DLCN 2025, một khi ứng viên bị loại, mục đích tuyển dụng ban đầu đối với cá nhân đó đã hoàn thành và chấm dứt. Doanh nghiệp phải có nghĩa vụ duy nhất là phải xóa bỏ hoặc hủy bỏ hoàn toàn toàn bộ dữ liệu, hồ sơ của ứng viên đó ngay lập tức trên mọi hệ thống lưu trữ.

Ngoại lệ duy nhất được chấp nhận là doanh nghiệp phải thiết lập một văn bản hoặc hành động xác nhận đồng ý riêng biệt từ ứng viên cho phép công ty giữ lại hồ sơ (ví dụ: “Đồng ý lưu hồ sơ trong vòng 12 tháng để xem xét cho các vị trí phù hợp tiếp theo”). Nếu không có sự đồng ý này mà doanh nghiệp vẫn âm thầm tích trữ dữ liệu cũ, rủi ro pháp lý là cực kỳ lớn.

Khung phạt hành chính áp dụng: Cố tình lưu trữ, không xóa dữ liệu cá nhân khi mục đích xử lý đã hoàn thành hoặc khi hết thời hạn lưu trữ đã thông báo sẽ bị xử phạt từ 50.000.000 đồng đến 100.000.000 đồng (Khoản 1 Điều 5 và Khoản 2 Điều 20 Dự thảo.

LỜI CẢNH BÁO: Điều 8 Luật Bảo vệ DLCN 2025 đã luật hóa mức phạt hành chính tối đa lên tới 3.000.000.000 đồng đối với các hành vi vi phạm nghiêm trọng về bảo vệ dữ liệu cá nhân, đi kèm các hình phạt bổ sung như đình chỉ toàn bộ hoạt động xử lý dữ liệu của doanh nghiệp từ 01 đến 03 tháng, tịch thu tang vật phương tiện hệ thống và có thể truy cứu trách nhiệm hình sự nếu làm rò rỉ dữ liệu trên quy mô lớn. (Định mức phạt tiền nêu trên áp dụng cho tổ chức; nếu NSDLĐ là cá nhân, mức phạt bằng 1/2 lần)

III. KỊCH BẢN PHÒNG VỆ: LẬP TỨC TÁI CẤU TRÚC QUY TRÌNH HR ĐỂ BẢO VỆ DOANH NGHIỆP TRONG NĂM 2026

Để bảo vệ thành quả kinh doanh trên thị trường và không biến phòng nhân sự thành nơi châm ngòi cho các cuộc khủng hoảng tài chính, ban điều hành doanh nghiệp cần quyết liệt chỉ đạo thực thi ngay chiến lược phòng vệ 5 bước sau đây:

Kiểm tra và chuẩn hóa toàn bộ bản JD: Rà soát lại tất cả các thông tin tuyển dụng đang phát tán công khai trên các nền tảng mạng xã hội và website. Loại bỏ triệt để các từ ngữ nhạy cảm có dấu hiệu định kiến giới tính, độ tuổi, vùng miền hoặc các yêu cầu cam kết đời tư trái luật. Đảm bảo các thông tin về lương, thưởng, địa điểm làm việc được ghi nhận chính xác, nhất quán.

Xây dựng “Cửa khẩu dữ liệu” hợp pháp: Tích hợp cơ chế hộp kiểm (checkbox) yêu cầu ứng viên chủ động tích chọn đồng ý xử lý dữ liệu cá nhân ngay tại form điền CV trực tuyến hoặc đính kèm điều khoản xin phép xử lý dữ liệu vào email tự động tiếp nhận hồ sơ đầu vào. Nội dung thông báo phải ghi rõ mục đích, phạm vi thu thập và thời hạn lưu trữ.

Thắt chặt quy trình và bộ câu hỏi phỏng vấn: Huấn luyện nghiêm ngặt cho đội ngũ HR và toàn bộ các quản lý chuyên môn (Line Manager) tham gia phỏng vấn. Loại bỏ hoàn toàn các câu hỏi đào sâu gia cảnh, tình trạng hôn nhân, kế hoạch sinh đẻ hoặc tài chính của người thân ứng viên nhằm triệt tiêu lỗi thu thập thông tin vượt quá phạm vi cần thiết.

Vận hành quy trình “Tiêu hủy định kỳ”: Thiết lập bộ lọc kỹ thuật tự động xóa bỏ triệt để hồ sơ của những ứng viên không đạt yêu cầu ngay khi chiến dịch tuyển dụng đóng lại. Trong trường hợp muốn giữ lại hồ sơ để tạo nguồn tài năng (Talent Pool), bắt buộc phải gửi email xin phép gia hạn lưu trữ và chỉ giữ lại khi ứng viên phản hồi đồng ý bằng văn bản/hành động xác nhận rõ ràng.

Cập nhật lá chắn pháp lý nội bộ: Thường xuyên tổ chức các buổi đào tạo nội bộ, cập nhật kiến thức pháp luật lao động và an ninh mạng cho bộ phận hành chính – nhân sự. Ban hành quy chế quản lý dữ liệu nội bộ rõ ràng, phân quyền tiếp cận CV ứng viên để tránh nguy cơ rò rỉ thông tin ra bên ngoài.

Tuyển dụng thông minh trong kỷ nguyên số không chỉ dừng lại ở việc tìm được người tài cho công ty, mà trước hết phải là một quy trình sạch và tuân thủ tuyệt đối về mặt pháp lý. Chủ động phòng ngừa rủi ro từ vòng sơ tuyển chính là giải pháp tối ưu nhất để bảo vệ dòng tiền, uy tín thương hiệu và sự phát triển bền vững của toàn doanh nghiệp.