Ứng viên gửi CV sau khi được thông báo trong JD trước có cấu thành sự đồng ý hợp pháp theo Luật Bảo vệ dữ liệu cá nhân 2025 không?

LexNovum Lawyers

19/06/2026

Về nguyên tắc, Luật Bảo vệ dữ liệu cá nhân 2025 (“Luật BVDLCN 2025”) đặt ra yêu cầu phải có sự đồng ý của chủ thể dữ liệu trong quá trình thu thập và xử lý dữ liệu cá nhân (“DLCN”). Để đáp ứng yêu cầu này, trên thực tế, nhiều doanh nghiệp khi đăng tin tuyển dụng thường kèm theo nội dung như: “Bằng việc gửi CV đến chúng tôi, bạn đã đồng ý cho chúng tôi thu thập và xử lý DLCN của bạn cho mục đích tuyển dụng”. Trong tình huống này, câu hỏi đặt ra là liệu chỉ với hành động gửi CV, ứng viên đã được xem là đưa ra sự đồng ý hợp pháp theo Luật BVDLCN 2025 hay không?

Trong bài viết này, LNV sẽ trả lời câu hỏi trên thông qua: i) phân tích quy định về sự đồng ý theo Luật BVDLCN 2025; ii) bình luận trường hợp ứng viên gửi CV sau khi đã được thông báo trước có thể cấu thành sự đồng ý; và iii) đưa ra những khuyến nghị dành cho doanh nghiệp trong quá trình tuyển dụng.

1. Quy định về sự đồng ý theo Luật BVDLCN 2025

Theo Điều 9.1 Luật BVDLCN 2025, sự đồng ý của chủ thể DLCN là việc chủ thể dữ liệu cho phép xử lý DLCN của mình, trừ trường hợp pháp luật có quy định khác. Đồng thời, theo quy định tại Điều 11.1 Luật BVDLCN 2025, DLCN phải được sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ trường hợp pháp luật có quy định khác. Như vậy, về nguyên tắc, việc thu thập và xử lý DLCN chỉ hợp pháp khi có sự đồng ý trước của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.

Luật BVDLCN 2025 cũng đặt ra những điều kiện khá chặt chẽ để sự đồng ý có giá trị pháp lý:

(i) Theo Điều 9.2 Luật BVDLCN 2025, sự đồng ý chỉ có hiệu lực khi được đưa ra trên cơ sở tự nguyện và biết rõ các thông tin gồm: loại DLCN được xử lý, mục đích xử lý, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu, cũng như các quyền và nghĩa vụ của chủ thể dữ liệu.

(ii) Bên cạnh đó, Điều 9.3 Luật BVDLCN 2025 yêu cầu sự đồng ý phải được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, kể cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

Đáng chú ý, Điều 9.4 Luật BVDLCN 2025 nhấn mạnh bốn nguyên tắc quan trọng của sự đồng ý, bao gồm:

(i) Thứ nhất, sự đồng ý phải được thể hiện đối với từng mục đích xử lý.

(ii) Thứ hai, không được gắn kèm điều kiện buộc chủ thể dữ liệu phải đồng ý với các mục đích khác ngoài nội dung đã thỏa thuận.

(iii) Thứ ba, sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu thay đổi sự đồng ý đó hoặc theo quy định của pháp luật.

(iv) Thứ tư, sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

Ngoài ra, theo Điều 10 Luật BVDLCN 2025, chủ thể dữ liệu còn có quyền rút lại sự đồng ý hoặc yêu cầu hạn chế xử lý DLCN của mình.

Những quy định này cho thấy Luật BVDLCN 2025 không xem sự im lặng hoặc không phản hồi là sự đồng ý; sự đồng ý cần được thể hiện rõ ràng, cụ thể và có thể kiểm chứng.

2. Trường hợp ứng viên gửi CV sau khi đã được thông báo trước có được xem là sự đồng ý hợp pháp hay không?

Từ các quy định của Luật BVDLCN 2025, vấn đề đặt ra là: Trong trường hợp doanh nghiệp đã thông báo ngay trong tin tuyển dụng rằng việc gửi CV đồng nghĩa với việc đồng ý cho doanh nghiệp thu thập và xử lý DLCN với mục đích tuyển dụng, thì hành động ứng viên chủ động gửi CV có thể được xem là sự đồng ý hợp pháp hay không? Để có thể trả lời câu hỏi này, chúng ta cần đối chiếu hành động gửi CV với các điều kiện mà Luật BVDLCN 2025 đặt ra đối với sự đồng ý của chủ thể dữ liệu.

(i) Trước hết, đây là một hành động chủ động của ứng viên. Việc gửi CV là một hành động cụ thể cho thấy ứng viên mong muốn doanh nghiệp tiếp nhận hồ sơ của mình để xem xét tuyển dụng. Nếu trước khi thực hiện hành động đó, ứng viên đã được doanh nghiệp thông báo rõ rằng việc gửi CV đồng nghĩa với việc cho phép xử lý DLCN với mục đích tuyển dụng, thì có cơ sở để cho rằng ứng viên đã tự nguyện thực hiện hành động đó trong điều kiện đã biết trước hệ quả pháp lý của hành động gửi CV. Xét theo Điều 9.1 Luật BVDLCN 2025, đây có thể được xem là việc chủ thể dữ liệu cho phép xử lý DLCN của mình.

(ii) Thứ hai, trường hợp này có thể đáp ứng yêu cầu về việc chủ thể dữ liệu “biết rõ” thông tin trước khi đồng ý theo Điều 9.2 Luật BVDLCN 2025 nếu như nội dung thông báo trong tin tuyển dụng thể hiện đầy đủ các thông tin mà luật yêu cầu, cụ thể:

– Về loại DLCN được xử lý, trong trường hợp ứng viên chủ động gửi CV, có thể cho rằng ứng viên biết những dữ liệu nào trong chính CV của mình sẽ được doanh nghiệp tiếp cận và xử lý, chẳng hạn như họ tên, ngày sinh, số điện thoại, email, trình độ học vấn, kinh nghiệm làm việc, kỹ năng, ảnh cá nhân hoặc các thông tin khác mà ứng viên tự cung cấp. Ở phạm vi này, điều kiện về “loại DLCN được xử lý” có thể được xem là đã được đáp ứng. Quý doanh nghiệp cần lưu ý rằng trong quá trình tuyển dụng, doanh nghiệp có thể tiếp tục phát sinh thêm các DLCN mới ngoài các DLCN trong CV mà ứng viên cung cấp, ví dụ như: ghi chú phỏng vấn, bản ghi âm hoặc ghi hình buổi phỏng vấn, kết quả bài test, đánh giá nội bộ của bộ phận tuyển dụng hoặc các dữ liệu xác minh khác. Đối với những DLCN phát sinh này, nếu chưa được nêu rõ từ đầu trong thông báo tuyển dụng thì doanh nghiệp cần thông báo bổ sung và xin thêm sự đồng ý trước khi tiếp tục xử lý.

– Về mục đích xử lý DLCN, nếu doanh nghiệp đã ghi rõ trong tin tuyển dụng rằng DLCN của ứng viên sẽ được thu thập và xử lý cho mục đích tuyển dụng, thì điều kiện này được xem là đã được đáp ứng. Dù vậy, để chặt chẽ hơn, doanh nghiệp nên mô tả cụ thể hơn phạm vi của “mục đích tuyển dụng”, chẳng hạn dùng để tiếp nhận hồ sơ, sàng lọc ứng viên, liên hệ phỏng vấn và đánh giá mức độ phù hợp với vị trí tuyển dụng. Nếu doanh nghiệp còn muốn sử dụng dữ liệu cho các mục đích khác như lưu hồ sơ cho các đợt tuyển dụng sau hoặc chia sẻ trong nội bộ tập đoàn, thì những mục đích đó cũng cần được nêu rõ ngay từ đầu hoặc được xin sự đồng ý riêng trước khi thực hiện.

– Về bên kiểm soát DLCN hoặc bên kiểm soát và xử lý DLCN, trong trường hợp này, nếu tin tuyển dụng được đăng bởi chính doanh nghiệp đang tuyển dụng và thể hiện rõ tên doanh nghiệp, thì có thể hiểu rằng chủ thể kiểm soát DLCN hoặc chủ thể kiểm soát và xử lý DLCN là doanh nghiệp đang tuyển dụng. Khi đó, điều kiện này về cơ bản được đáp ứng. Để tránh tranh cãi, doanh nghiệp vẫn nên ghi rõ tên pháp lý đầy đủ của mình, đồng thời nêu thông tin liên hệ cơ bản để ứng viên biết chính xác ai là bên đang thu thập và xử lý dữ liệu của mình.

– Về các quyền và nghĩa vụ của chủ thể DLCN, đây là nội dung thường bị bỏ sót trong thực tế. Nếu tin tuyển dụng chỉ ghi rằng “bằng việc gửi CV, bạn đồng ý cho chúng tôi thu thập và xử lý DLCN của bạn với mục đích tuyển dụng”, thì ứng viên chưa chắc đã được thông tin đầy đủ về các quyền của mình theo quy định, chẳng hạn: quyền rút lại sự đồng ý, quyền yêu cầu hạn chế xử lý, quyền yêu cầu chỉnh sửa hoặc xóa dữ liệu trong những trường hợp luật định. Vì vậy, đối với điều kiện này, doanh nghiệp nên ghi rõ hơn trong tin tuyển dụng rằng ứng viên có các quyền và nghĩa vụ theo quy định của Luật BVDLCN 2025 hoặc liệt kê rõ các quyền và nghĩa vụ. Chỉ khi các thông tin này được cung cấp trước, việc ứng viên tiếp tục gửi CV mới đủ điều kiện theo quy định pháp luật để được xem là sự đồng ý được đưa ra trên cơ sở đã được thông tin đầy đủ.

(iii) Thứ ba, hành động gửi CV sau khi đã được thông báo trước có thể đáp ứng yêu cầu về việc sự đồng ý phải được thể hiện bằng phương thức rõ ràng, cụ thể và có thể kiểm chứng theo Điều 9.3 Luật BVDLCN 2025 nếu doanh nghiệp lưu giữ được bằng chứng phù hợp. Các bằng chứng này có thể bao gồm nội dung tin tuyển dụng hoặc thông báo tuyển dụng tại thời điểm công bố (trong đó có nêu rõ về việc gửi CV đồng nghĩa với việc đồng ý cho thu thập và xử lý DLCN với mục đích tuyển dụng), email ứng tuyển, dữ liệu nộp hồ sơ trên hệ thống, thời điểm ứng viên gửi biểu mẫu điện tử hoặc xác nhận điện tử của ứng viên. Những tài liệu này sẽ giúp doanh nghiệp chứng minh rằng ứng viên đã được cung cấp thông tin về việc xử lý DLCN và sau đó đã chủ động gửi CV trên cơ sở thông tin đó.

Từ những phân tích trên, có thể thấy rằng việc ứng viên gửi CV sau khi đã được doanh nghiệp thông báo rõ ràng trước về việc thu thập và xử lý DLCN với mục đích tuyển dụng có thể cấu thành sự đồng ý hợp pháp theo Luật BVDLCN 2025. Song, Quý doanh nghiệp cần lưu ý rằng, điều này chỉ đúng khi doanh nghiệp bảo đảm được các điều kiện theo Luật BVDLCN 2025. Nói cách khác, không phải cứ có câu thông báo gắn kèm trong tin tuyển dụng là mặc nhiên hợp pháp, tính hợp pháp của sự đồng ý vẫn phụ thuộc vào cách doanh nghiệp thiết kế nội dung thông báo và cách doanh nghiệp thực sự xử lý dữ liệu sau khi nhận CV.

3. Những khuyến nghị dành cho doanh nghiệp trong quá trình tuyển dụng

Trên cơ sở các phân tích, LNV khuyến nghị Quý doanh nghiệp trước hết cần rà soát lại toàn bộ quy trình tuyển dụng, đặc biệt là cách thức tiếp nhận CV qua email, website tuyển dụng, biểu mẫu điện tử hoặc nền tảng tuyển dụng của bên thứ ba. Nếu doanh nghiệp tiếp tục áp dụng cơ chế đồng ý thông qua hành động gửi CV, thì nội dung thông báo tuyển dụng cần thể hiện rõ các thông tin mà Điều 9.2 Luật BVDLCN 2025 yêu cầu, bao gồm: loại DLCN được xử lý, mục đích xử lý, bên kiểm soát DLCN hoặc bên kiểm soát và xử lý DLCN, cũng như các quyền và nghĩa vụ của ứng viên với tư cách là chủ thể dữ liệu. Đồng thời, doanh nghiệp cũng cần bảo đảm rằng việc xử lý dữ liệu trên thực tế chỉ giới hạn trong đúng phạm vi đã thông báo.

Để tránh rủi ro hơn, LNV khuyến nghị Quý doanh nghiệp nên áp dụng giải pháp đính kèm văn bản thu thập sự đồng ý riêng khi tiếp nhận hồ sơ ứng tuyển. Trong văn bản này, doanh nghiệp có thể trình bày rõ ràng các nội dung mà luật yêu cầu, ví dụ như: doanh nghiệp nào là bên kiểm soát DLCN, doanh nghiệp nào là bên kiểm soát và xử lý DLCN, những loại dữ liệu nào sẽ được sử dụng, dữ liệu được sử dụng để làm gì, có được lưu lại cho các đợt tuyển dụng sau hay không, có chia sẻ trong nội bộ tập đoàn hay không, thời gian lưu trữ là bao lâu và ứng viên có những quyền gì đối với dữ liệu của mình. Sau đó, doanh nghiệp có thể yêu cầu ứng viên điền thông tin, xác nhận đồng ý và ký tên hoặc xác nhận bằng hình thức điện tử có thể kiểm chứng được. Cách làm này sẽ giúp doanh nghiệp có căn cứ rõ ràng hơn để chứng minh sự đồng ý hợp pháp nếu sau này phát sinh tranh chấp.

Ngoài ra, Quý doanh nghiệp cần lưu ý rằng trong quá trình tuyển dụng có thể phát sinh thêm những dữ liệu mới ngoài nội dung của CV, chẳng hạn như ghi chú phỏng vấn, bản ghi âm hoặc ghi hình buổi phỏng vấn, kết quả bài test, đánh giá nội bộ hoặc dữ liệu xác minh từ bên thứ ba. Đối với các dữ liệu này, nếu chưa được nêu trong thông báo hoặc biểu mẫu đồng ý ban đầu, doanh nghiệp nên thông báo bổ sung và xin thêm sự đồng ý trước khi tiếp tục xử lý. Bên cạnh đó, doanh nghiệp nên thiết lập cơ chế lưu trữ hồ sơ ứng viên trong thời hạn hợp lý, có quy trình tiếp nhận yêu cầu rút lại sự đồng ý, chỉnh sửa, hạn chế xử lý hoặc xóa dữ liệu theo đúng quy định của Luật BVDLCN 2025.

Trên đây là một số phân tích của LNV về việc ứng viên gửi CV sau khi đã được thông báo trước có được xem là sự đồng ý hợp pháp cho việc xử lý DLCN theo Luật BVDLCN 2025 hay không, cũng như một số lưu ý đối với doanh nghiệp trong quá trình tuyển dụng. Trường hợp Quý khách hàng cần được tư vấn cụ thể hơn về việc xây dựng quy trình tuyển dụng phù hợp với quy định về bảo vệ DLCN hoặc các vấn đề pháp lý liên quan, Quý khách hàng vui lòng liên hệ hotline hoặc email của LNV tại địa chỉ info@lexnovum.com.vn để được hỗ trợ chi tiết.

Thực hiện: Thực tập sinh Trung Tín

Tham vấn: Luật sư Phan Nhi

Lưu ý:

Những thông tin tại bài viết này chỉ nên được sử dụng nhằm mục đích tham khảo. Chúng tôi không chịu trách nhiệm hay có nghĩa vụ pháp lý đối với bất kỳ cá nhân, tổ chức nào sử dụng thông tin tại bài viết này ngoài mục đích tham khảo. Trước khi đưa ra bất kỳ sự lựa chọn hoặc quyết định nào, Quý Khách hàng vui lòng tham vấn thêm các khuyến nghị một cách chính thức, hoặc liên hệ LexNovum Lawyers để nhận được sự tư vấn chuyên sâu từ chúng tôi.

Vui lòng trích dẫn nguồn “LexNovum Lawyers” khi sử dụng hoặc chia sẻ bài viết này tại bất kỳ đâu.