Ranh giới giữa quản trị nhân sự và bảo vệ dữ liệu cá nhân: Nhìn từ vụ NovaGroup

Việc Công ty cổ phần Tập đoàn Nova (NovaGroup) công bố trên website danh sách những cá nhân thuộc diện “không tái tuyển dụng” đã nhanh chóng trở thành chủ đề thu hút sự quan tâm của dư luận[1]. Đáng chú ý, danh sách được công bố không phải là toàn bộ thông tin định danh của cá nhân. Một phần số căn cước công dân và số điện thoại đã được che bớt. Điều này làm xuất hiện một lập luận khá phổ biến rằng dữ liệu đã được “ẩn danh” hoặc “khử nhận dạng”, từ đó không còn thuộc phạm vi điều chỉnh của pháp luật về bảo vệ dữ liệu cá nhân.

Không thể phủ nhận rằng doanh nghiệp có nhu cầu chính đáng trong việc quản lý rủi ro tuyển dụng.

Bên cạnh những tranh luận về cách thức quản trị nhân sự, vụ việc còn đặt ra một câu hỏi pháp lý đáng chú ý trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 đã được thực thi: doanh nghiệp có thể công khai dữ liệu cá nhân đến đâu để phục vụ mục đích quản trị nội bộ?

Quyền quản trị nhân sự không phải là quyền tuyệt đối

Không thể phủ nhận rằng doanh nghiệp có nhu cầu chính đáng trong việc quản lý rủi ro tuyển dụng. Đối với các tập đoàn có quy mô lớn, việc lưu trữ dữ liệu về ứng viên, kết quả tuyển dụng, lịch sử làm việc hoặc các hành vi vi phạm nội bộ là hoạt động phổ biến. Nhiều doanh nghiệp cũng xây dựng các cơ sở dữ liệu nhằm cảnh báo rủi ro đối với những trường hợp từng gây thiệt hại hoặc vi phạm nghiêm trọng quy định nội bộ.

Dưới góc độ quản trị, đây là một nhu cầu có thật và nhìn chung không bị pháp luật cấm. Tuy nhiên, Luật Bảo vệ dữ liệu cá nhân 2025 đã thiết lập một nguyên tắc quan trọng: mọi hoạt động xử lý dữ liệu cá nhân đều phải có căn cứ pháp lý phù hợp, giới hạn trong phạm vi mục đích đã xác định và bảo đảm quyền của chủ thể dữ liệu.

Điều này đồng nghĩa với việc doanh nghiệp có thể có quyền thu thập, lưu giữ có thời hạn hoặc sử dụng dữ liệu phục vụ quản trị nhân sự, nhưng chưa chắc có quyền công khai dữ liệu đó trên môi trường internet. Chính điểm này tạo nên ranh giới giữa quản trị nhân sự và bảo vệ dữ liệu cá nhân.

Vấn đề không nằm ở việc che bao nhiêu ký tự

Khi thảo luận về vụ NovaGroup, nhiều người tập trung vào việc doanh nghiệp đã che bớt một phần số căn cước công dân và số điện thoại. Tuy nhiên, đây chưa phải là câu hỏi pháp lý quan trọng nhất.

Câu hỏi cần được đặt ra là liệu các thông tin còn lại có cho phép nhận diện một cá nhân cụ thể hay không. Nếu câu trả lời là có, dữ liệu đó về bản chất vẫn là dữ liệu cá nhân.

Đây là điểm khác biệt quan trọng giữa cách hiểu thông thường và cách tiếp cận của pháp luật về bảo vệ dữ liệu cá nhân.

Trong thực tế, nhiều doanh nghiệp vẫn cho rằng chỉ cần thay vài ký tự bằng dấu sao (*) hoặc che một phần thông tin định danh là dữ liệu đã được bảo vệ đầy đủ. Tuy nhiên, khả năng nhận diện cá nhân không được đánh giá dựa trên từng trường dữ liệu riêng lẻ mà phải được đánh giá trên toàn bộ tập dữ liệu. Khi một danh sách vẫn thể hiện họ tên đầy đủ, cùng với chức danh tại công ty của cá nhân thì việc che vài chữ số trong căn cước công dân có thể không làm thay đổi đáng kể khả năng nhận diện. Thậm chí trong thời đại mạng xã hội và dữ liệu số, chỉ cần họ tên kết hợp với một số thông tin công khai khác cũng có thể đủ để xác định chính xác chủ thể dữ liệu là ai.

Khử nhận dạng dữ liệu và giả danh hóa dữ liệu là hai khái niệm khác nhau

Một điểm mới quan trọng của Nghị định 356/2025/NĐ-CP là việc tiếp cận sâu hơn đối với các biện pháp kỹ thuật nhằm bảo vệ dữ liệu cá nhân, trong đó có khử nhận dạng dữ liệu cá nhân. Tuy nhiên, trong thực tiễn quốc tế cũng như trong khoa học dữ liệu, cần phân biệt rõ giữa khử nhận dạng dữ liệu và giả danh hóa dữ liệu.

Giả danh hóa dữ liệu (pseudonymization) là việc thay thế hoặc che bớt một số thông tin nhận dạng nhưng vẫn tồn tại khả năng xác định chủ thể dữ liệu thông qua các thông tin còn lại hoặc thông qua việc kết hợp với nguồn dữ liệu khác. Ngược lại, khử nhận dạng dữ liệu theo đúng nghĩa phải hướng tới việc loại bỏ hoặc làm mất khả năng nhận diện chủ thể dữ liệu[2].

Nói cách khác, giả danh hóa là một phương pháp kỹ thuật, còn khử nhận dạng là một yêu cầu về kết quả cần đạt được. Đây là sự khác biệt mà nhiều doanh nghiệp hiện nay chưa nhận thức đầy đủ.

Trong trường hợp danh sách của NovaGroup, khi họ tên, chức vụ cá nhân vẫn được công khai thì có thể đặt ra câu hỏi liệu dữ liệu đã thực sự được khử nhận dạng hay mới chỉ được giả danh hóa một phần thông qua việc che bớt một số thông tin định danh. Hơn nữa, khi kết hợp các thông tin được tiết lộ, rất nhiều người có thể định danh được người đang được nhắc tới trongh danh sách của NovaGroup là ai.

Nếu một cá nhân vẫn có thể được xác định một cách hợp lý từ tập dữ liệu được công bố thì mục tiêu khử nhận dạng trên thực tế chưa đạt được.

Rủi ro tái nhận dạng trong thời đại dữ liệu số

Một trong những lý do khiến pháp luật hiện đại ngày càng thận trọng với các hoạt động công bố dữ liệu là nguy cơ tái nhận dạng. Khả năng nhận diện một cá nhân ngày nay không còn phụ thuộc vào một trường dữ liệu đơn lẻ như số căn cước công dân hay số điện thoại.

Các công cụ tìm kiếm, nền tảng mạng xã hội, cơ sở dữ liệu nghề nghiệp và dữ liệu công khai trên internet có thể được kết hợp với nhau để tái tạo hồ sơ nhận dạng của một cá nhân. Đây cũng là lý do các cơ quan quản lý dữ liệu tại nhiều quốc gia không đánh giá việc khử nhận dạng dựa trên việc dữ liệu đã bị che bao nhiêu phần trăm mà dựa trên mức độ rủi ro nhận diện còn tồn tại.

Nếu một cá nhân vẫn có thể được xác định một cách hợp lý từ tập dữ liệu được công bố thì mục tiêu khử nhận dạng trên thực tế chưa đạt được. Nhìn từ góc độ này, vụ NovaGroup không chỉ là câu chuyện về tuyển dụng mà còn là ví dụ thực tiễn cho thấy những thách thức trong việc đánh giá rủi ro tái nhận dạng dữ liệu.

Những quyền mới của chủ thể dữ liệu

Luật Bảo vệ dữ liệu cá nhân 2025 đánh dấu sự thay đổi đáng kể trong cách tiếp cận đối với quyền của cá nhân. Người lao động hoặc ứng viên không còn chỉ là đối tượng cung cấp thông tin cho doanh nghiệp.

Họ đồng thời là chủ thể dữ liệu với hàng loạt quyền được pháp luật bảo vệ như quyền được biết, quyền tiếp cận dữ liệu, quyền chỉnh sửa dữ liệu, quyền yêu cầu xóa dữ liệu, quyền hạn chế xử lý dữ liệu và quyền phản đối xử lý dữ liệu trong những trường hợp luật định.

Điều này đặt ra yêu cầu mới cho doanh nghiệp trong việc thiết kế các quy trình tuyển dụng và quản trị nhân sự. Không chỉ cần cân nhắc hiệu quả quản trị, doanh nghiệp còn phải đánh giá tác động của hoạt động xử lý dữ liệu đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu.

Bài học cho doanh nghiệp

Từ góc nhìn tuân thủ, vụ việc NovaGroup mang lại ít nhất bốn bài học quan trọng.

Thứ nhất, doanh nghiệp cần phân biệt rõ giữa dữ liệu đã được khử nhận dạng và dữ liệu chỉ mới được che hoặc giả danh hóa một phần.

Thứ hai, cần đánh giá khả năng nhận diện chủ thể dữ liệu trên toàn bộ tập dữ liệu thay vì chỉ nhìn vào từng trường thông tin riêng lẻ.

Thứ ba, phải phân biệt giữa hoạt động sử dụng dữ liệu trong phạm vi nội bộ và hoạt động công khai dữ liệu trên môi trường internet.

Thứ tư, cần xây dựng quy trình đánh giá tác động bảo vệ dữ liệu cá nhân đối với các hoạt động xử lý dữ liệu có nguy cơ cao, đặc biệt trong lĩnh vực tuyển dụng và lao động.

Nhìn ở góc độ rộng hơn, tranh luận xung quanh danh sách “không tái tuyển dụng” của NovaGroup phản ánh những thách thức đầu tiên mà cộng đồng doanh nghiệp Việt Nam đang đối mặt khi bước vào kỷ nguyên thực thi pháp luật bảo vệ dữ liệu cá nhân. Vấn đề cốt lõi không nằm ở việc doanh nghiệp đã che bao nhiêu ký tự trong số căn cước công dân hay số điện thoại. Điều quan trọng hơn là liệu dữ liệu đó còn cho phép nhận diện một cá nhân cụ thể hay không và việc xử lý dữ liệu đó có phù hợp với các nguyên tắc của pháp luật về bảo vệ dữ liệu cá nhân hay không.

Trong tương lai, các tranh chấp về dữ liệu cá nhân có thể sẽ không còn xoay quanh việc doanh nghiệp có thu thập dữ liệu hay không, mà sẽ tập trung nhiều hơn vào câu hỏi doanh nghiệp đã sử dụng dữ liệu đến đâu và sử dụng theo cách nào. Đó cũng chính là ranh giới mới giữa quyền quản trị doanh nghiệp và quyền bảo vệ dữ liệu cá nhân trong nền kinh tế số.

Luật sư Nguyễn Văn Phúc

Công ty Luật TNHH HM&P

Xem thêm: Ranh giới giữa quản trị nhân sự và bảo vệ dữ liệu cá nhân: Nhìn từ vụ NovaGroup