Khi chấm dứt quan hệ lao động, người sử dụng lao động có được lưu trữ dữ liệu cá nhân của người lao động hay không và thời hạn lưu trữ là bao lâu?

Khi Hợp đồng lao động (“HĐLĐ”) giữa người sử dụng lao động (“NSDLĐ”) và người lao động (“NLĐ”) đã chấm dứt, trong bối cảnh Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (“Nghị định 13”) có hiệu lực từ tháng 07/2023, thì NSDLĐ có được tiếp tục lưu trữ dữ liệu cá nhân (“DLCN”) của NLĐ để làm cơ sở thực hiện các nghĩa vụ với cơ quan nhà nước hay không? Nếu được, thời hạn lưu trữ là bao lâu?

1. NSDLĐ có được lưu trữ dữ liệu cá nhân của NLĐ sau khi chấm dứt quan hệ lao động hay không?

Căn cứ theo Điều 11 và Điều 12 Nghị định 13 thì NSDLĐ có trách nhiệm thông báo việc xử lý DLCN và tiếp nhận sự đồng ý từ NLĐ trước khi tiến hành xử lý DLCN, trừ một số trường hợp đặc thù mà NSDLĐ xử lý DLCN không phải tiếp nhận sự đồng ý của NLĐ (Điều 17 Nghị định 13).

Theo đó, để NSDLĐ có quyền lưu trữ DLCN của NLĐ sau khi chấm dứt quan hệ lao động, NSDLĐ phải đảm bảo đã thực hiện thông báo việc xử lý DLCN trong đó nêu rõ mục đích việc lưu trữ,thời hạn lưu trữ tương ứng (bao gồm thời hạn sau khi chấm dứt HĐLĐ) trước khi tiến hành hoạt động lưu trữ DLCN và đã được NLĐ đồng ý. Tuy nhiên, cũng lưu ý rằng quyền này của NSDLĐ là không tuyệt đối vì căn cứ theo Điều 16 Nghị định 13, NLĐ vẫn được quyền rút lại sự đồng ý cho việc xử lý DLCN và yêu cầu NSDLĐ xóa DLCN của mình.

2. Thời hạn lưu trữ dữ liệu cá nhân của NLĐ là bao lâu?

Bộ luật Lao động 2019 và các văn bản hướng dẫn thi hành chưa có bất kỳ quy định điều chỉnh về thời hạn lưu trữ DLCN của NLĐ trong quan hệ lao động nhưng tại Nghị định 13 đã đặt ra giới hạn về thời gian lưu trữ dữ liệu của cá nhân. Cụ thể, Điều 3.7 Nghị định 13 quy định “Dữ liệu cá nhân chỉ được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu, trừ trường hợp pháp luật có quy định khác”. Tuy nhiên, hiện nay, pháp luật vẫn chưa có quy định rõ ràng như thế nào là “trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu”.

Về vấn đề này, LexNovum Lawyers đánh giá rằng việc xác định “trong khoảng thời gian phù hợp” sẽ căn cứ theo nhu cầu xử lý DLCN của NSDLĐ và phạm vi đồng ý của NLĐ đối với việc xử lý DLCN, cụ thể trong một số trường hợp nổi bật như sau:

- Phục vụ cho việc giải quyết tranh chấp, khiếu nại sau khi quan hệ lao động bị chấm dứt có liên quan đến DLCN của NLĐ, cụ thể:

Trên thực tế, trường hợp phát sinh những tranh chấp lao động sau khi các bên đã chấm dứt quan hệ lao động và DLCN của NLĐ được NSDLĐ thu thập và lưu trữ có thể trở thành chứng cứ thiết yếu chứng minh trong tranh chấp, khi đó trách nhiệm chứng minh này thông thường được đặt ra cho NSDLĐ (Điều 91.1.b Bộ luật Tố tụng dân sự 2015). Theo đó, NSDLĐ cần lưu trữ DLCN của NLĐ tương ứng với thời gian giải quyết tranh chấp hoặc thời hiệu khởi kiện theo quy định của pháp luật để NSDLĐ ứng phó và bảo vệ quyền lợi của NSDLĐ.

Qua tham khảo một số nghiên cứu, LNV nhận thấy có một số quan điểm cho rằng việc xử lý DLCN nên được mở rộng phù hợp với thời hiệu, thời gian giải quyết tranh chấp tương ứng.

Ví dụ, đối với mục đích giải quyết các tranh chấp phát sinh từ quan hệ lao động, tác giả Thạc sĩ Luật Đoàn Công Yên có ý kiến cho rằng “Nhà nước cần cho phép doanh nghiệp lưu trữ dữ liệu đến khi hết thời hiệu yêu cầu Tòa án giải quyết tranh chấp lao động cá nhân, nếu người lao động không có đơn yêu cầu cơ quan, tổ chức, cá nhân có thẩm quyền giải quyết tranh chấp lao động cá nhân được quy định tại Điều 187 BLLĐ năm 2019. Trường hợp, ngược lại, người lao động có đơn yêu cầu cơ quan, tổ chức, cá nhân có thẩm quyền giải quyết tranh chấp lao động cá nhân thì doanh nghiệp được quyền lưu trữ dữ liệu cá nhân đến khi các bên tranh chấp thi hành, thực hiện xong, đầy đủ nghĩa vụ trong biên bản hòa giải thành của hòa giải viên lao động hoặc quyết định giải quyết tranh chấp của Ban trọng tài lao động hoặc bản án đã có hiệu lực của Tòa án1”.

Tuy nhiên, vấn đề này vẫn còn là lí luận mà chưa có một văn bản pháp luật hoặc quyết định giải quyết tranh chấp chính thức từ cơ quan nhà nước xác nhận về cách xác định thời hạn như trên.

- Tuân thủ các nghĩa vụ với cơ quan nhà nước có liên quan đến DLCN của NLĐ, cụ thể:

Tương tự việc xác định thời hạn đối với trường hợp giải quyết tranh chấp, khiếu nại thì việc xác định thời hạn lưu trữ DLCN của NLĐ sau khi chấm dứt HĐLĐ để phục vụ cho việc thực hiện các nghĩa vụ với cơ quan nhà nước vẫn chưa có bất kỳ văn bản nào hướng dẫn hoặc hỗ trợ xác định một cách rõ ràng.

Ví dụ như trong quan hệ về thuế, một số trường hợp khi thanh tra, kiểm tra, cơ quan thuế yêu cầu doanh nghiệp cung cấp tài liệu, thông tin kê khai thuế của 10 năm liền trước. Đối với yêu cầu này, trong bối cảnh Nghị định 13 có hiệu lực, NSDLĐ vẫn lúng túng trong việc có nên hay không lưu trữ DLCN của NLĐ trong thời hạn 10 năm để thực hiện đúng nghĩa vụ của NSDLĐ.

Theo đó, trong bối cảnh chưa có một hướng dẫn chính thức nào từ cơ quan nhà nước, LNV đánh giá rằng để bảo vệ quyền lợi của doanh nghiệp, NSDLĐ có thể lưu trữ DLCN theo thời hạn và mục đích tương ứng mà NSDLĐ đã thông báo và nhận được sự đồng ý từ NLĐ (như được nêu tại tại Mục 1 của Bài viết này). Tuy nhiên, NSDLĐ cũng cần phải chuẩn bị các phương án để phản hồi hoặc giải trình khi có yêu cầu hoặc xảy ra trường hợp có phát sinh tranh chấp, khiếu nại (chi tiết về giải pháp, Quý độc giả vui lòng tham khảo Mục 3 được đề cập tại Bài viết này).

3. Giải pháp

Tại thời điểm tiếp nhận DLCN của NLĐ (cả trong giai đoạn tuyển dụng), NSDLĐ cần:

(i) xác lập các mục đích xử lý dữ liệu cụ thể mà NSDLĐ có thể dự đoán cùng giới hạn thời gian cụ thể hoặc nguyên tắc xác định “khoảng thời gian phù hợp với mục đích xử lý dữ liệu” cho việc xử lý và lưu trữ DLCN của NLĐ; và

(ii) chủ động thông báo cho NLĐ về nội dung này để đảm bảo các quy định về thời gian và mục đích trên đã nhận được sự hiểu và đồng ý từ phía NLĐ.

Mặt khác, trong trường hợp NSDLĐ chưa thông báo và thu thập được sự đồng ý của NLĐ về việc lưu trữ DLCN khi kết thúc quan hệ lao động, chúng tôi khuyến nghị NSDLĐ tiến hành thông báo về việc xử lý DLCN và thu thập sự đồng ý của NLĐ, bao gồm cả sự đồng ý đối với hoạt động xử lý DLCN nhằm phục vụ cho các nhu cầu tương ứng của NSDLĐ ngay khi có thể (bao gồm giai đoạn chấm dứt quan hệ lao động).

4. Chế tài xử phạt hành chính đối với hành vi vi phạm về thời hạn lưu trữ DLCN

Đối với hành vi tiếp tục lưu trữ DLCN khi không còn phù hợp với mục đích thu thập; khi chủ thể dữ liệu đã rút lại sự đồng ý hoặc yêu cầu xóa, hủy DLCN, NSDLĐ với tư cách là Bên kiểm soát và xử lý DLCN theo Nghị định 13 sẽ có thể phải đối mặt với các chế tài sau:

• Phạt tiền: Từ 80.000.000 đồng đến 120.000.000 đồng (Áp dụng đối với tổ chức, đối với cá nhân sẽ bằng 1/2 mức phạt của tổ chức);
• Biện pháp khắc phục hậu quả: buộc ngừng xử lý DLCN từ 01 tháng đến 03 tháng; hủy, xóa tới mức không thể khôi phục DLCN; hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm và công khai xin lỗi trên các phương tiện thông tin đại chúng.

(CSPL: Điều 21.1.a và Điều 21.4 Dự thảo lần ba Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng

*Lưu ý rằng chế tài được nêu trên vẫn đang trong giai đoạn dự thảo mà chưa thực tế được áp dụng để điều chỉnh và xử lý vi phạm, do đó mức phạt này chỉ có giá trị tham khảo)

Người thực hiện: Bình An - Ngọc Trâm