Mỗi lần tuyển dụng đều bắt đầu từ lòng tin, và mỗi cuộc kiểm tra lý lịch đều bắt đầu từ dữ liệu cá nhân. Ứng viên trao giấy tờ tùy thân, địa chỉ, hồ sơ học vấn và lịch sử việc làm, thường là trước cả khi họ gặp người quản lý tương lai. Trong nhiều năm, thông tin đó lưu chuyển qua các quy trình tuyển dụng mà ít bị giám sát. Đạo luật Bảo vệ dữ liệu cá nhân kỹ thuật số (DPDP) năm 2023 của Ấn Độ đang thay đổi điều đó.
Nếu tổ chức của bạn tuyển dụng nhân sự, hoặc xác minh những người mà đơn vị khác tuyển dụng, thì đạo luật này nay đã là một phần hoạt động hằng ngày của bạn. Dưới đây là phần trình bày dễ hiểu về nội dung của đạo luật, vì sao nó quan trọng và nó định hình lại xác minh lý lịch (BGV) như thế nào.
Tóm tắt về DPDP Act
DPDP Act là đạo luật chuyên biệt đầu tiên của Ấn Độ, áp dụng trên toàn nền kinh tế, về dữ liệu cá nhân kỹ thuật số. Đạo luật áp dụng đối với dữ liệu cá nhân được xử lý ở dạng kỹ thuật số, hoặc được số hóa sau khi thu thập, và có thể áp dụng cả với các tổ chức ngoài Ấn Độ khi họ xử lý dữ liệu của những người đang ở Ấn Độ.
Đạo luật sử dụng hai thuật ngữ chính:
- Data Principal (chủ thể dữ liệu): cá nhân mà dữ liệu thuộc về. Trong tuyển dụng, đó là ứng viên hoặc nhân viên.
- Data Fiduciary (bên kiểm soát dữ liệu): tổ chức quyết định mục đích và cách thức sử dụng dữ liệu. Trong tuyển dụng, đó là người sử dụng lao động. Các đơn vị cung cấp dịch vụ xác minh thường đóng vai trò là Data Processor (bên xử lý dữ liệu), làm việc thay mặt người sử dụng lao động, nghĩa là người sử dụng lao động vẫn chịu trách nhiệm về những gì xảy ra với dữ liệu.
Các Quy tắc hướng dẫn cách áp dụng đạo luật đã được ban hành, với các nghĩa vụ có hiệu lực theo từng giai đoạn. Thông điệp thực tiễn dành cho doanh nghiệp rất đơn giản: thời gian chuẩn bị đang mở ngay lúc này và sẽ không mở mãi mãi.
Vì sao đạo luật này quan trọng với các nhóm tuyển dụng
Tuyển dụng là một trong những hoạt động sử dụng nhiều dữ liệu nhất trong bất kỳ công ty nào. Một hồ sơ xác minh có thể chứa số định danh do chính phủ cấp, địa chỉ nhà, thông tin gia đình, bảng điểm học tập, lịch sử lương và phản hồi từ nhà tuyển dụng cũ. Đó chính là loại thông tin gây tổn hại thực sự khi bị xử lý sai.
Đạo luật nâng cao tiêu chuẩn theo nhiều cách có ảnh hưởng trực tiếp đến tuyển dụng:
- Sự đồng ý phải có ý nghĩa. Sự đồng ý phải tự nguyện, cụ thể, được cung cấp đầy đủ thông tin và rõ ràng, thể hiện qua một hành động xác nhận minh bạch. Một điều khoản chìm trong thư mời nhận việc là nền tảng yếu.
- Thông báo đi trước. Ứng viên phải được cho biết dữ liệu nào đang được thu thập, vì sao, và họ có thể thực hiện quyền của mình bằng cách nào.
- Giới hạn mục đích. Dữ liệu thu thập để xác minh phải được dùng cho việc xác minh, không được lặng lẽ chuyển sang dùng cho tiếp thị hay phân tích không liên quan.
- Giới hạn lưu trữ. Dữ liệu cá nhân không được lưu giữ vô thời hạn. Khi mục đích đã hoàn thành, dữ liệu cần được xóa trừ khi luật yêu cầu khác.
- Biện pháp bảo mật. Các tổ chức phải duy trì các biện pháp bảo vệ hợp lý về kỹ thuật và tổ chức để chống vi phạm dữ liệu.
- Thông báo vi phạm. Nếu xảy ra vi phạm dữ liệu cá nhân, cơ quan quản lý và các cá nhân bị ảnh hưởng phải được thông báo.
- Quyền của cá nhân. Ứng viên có thể yêu cầu thông tin về dữ liệu của mình, yêu cầu chỉnh sửa hoặc xóa, và sử dụng quy trình giải quyết khiếu nại.
- Mức phạt thực sự. Việc không duy trì các biện pháp bảo mật hợp lý có thể bị phạt lên đến 250 crore ₹, khiến đây là chủ đề ở cấp hội đồng quản trị chứ không chỉ là vấn đề của bộ phận CNTT.
Lưu ý về “sử dụng hợp pháp” trong lĩnh vực việc làm
Đạo luật thừa nhận một số tình huống dữ liệu có thể được xử lý mà không cần sự đồng ý mới, trong đó có các mục đích liên quan đến việc làm. Điều này không trao cho người sử dụng lao động toàn quyền tùy ý. Trường hợp miễn trừ gắn với mục đích việc làm và việc bảo vệ người sử dụng lao động khỏi tổn thất hoặc trách nhiệm pháp lý, đồng thời các nguyên tắc công bằng, thu thập tối thiểu và bảo mật vẫn được áp dụng. Cách an toàn nhất là minh bạch với ứng viên và chỉ thu thập những gì vị trí thực sự cần. Các tổ chức nên tham khảo ý kiến cố vấn pháp lý của mình về cách áp dụng điều này trong quy trình tuyển dụng của họ.
DPDP Act thay đổi xác minh lý lịch như thế nào
Xác minh lý lịch dựa trên việc thu thập và đối chiếu dữ liệu cá nhân. Vì vậy đây là một trong những quy trình đầu tiên chịu tác động. Sự thay đổi thể hiện ở những điểm sau.
1. Sự đồng ý trở thành một quy trình, không chỉ là một chữ ký
Một biểu mẫu đã ký và quét không còn là chuẩn mực cao nhất. Người sử dụng lao động cần một bản ghi sự đồng ý có thể theo dõi và có dấu thời gian, cho thấy ai đã đồng ý điều gì, vào lúc nào và cho những hạng mục kiểm tra nào. Việc ghi nhận sự đồng ý bằng hình thức số, liên kết trực tiếp với từng yêu cầu xác minh, giúp việc kiểm toán dễ dàng hơn nhiều.
2. Tối thiểu hóa dữ liệu thay đổi danh mục kiểm tra
Không phải vị trí nào cũng cần mọi hạng mục kiểm tra. Gói “kiểm tra tất cả” áp dụng cho mọi ứng viên rất khó bảo vệ khi luật yêu cầu chỉ thu thập những gì cần thiết. Các gói theo mức độ rủi ro, trong đó một nhân sự tài chính cấp cao có bộ kiểm tra khác với một nhân viên hỗ trợ cấp đầu vào, vừa tuân thủ tốt hơn vừa hiệu quả hơn.
3. Trách nhiệm đối với nhà cung cấp là trách nhiệm chung
Khi một đối tác xác minh xử lý dữ liệu cho bạn, bạn vẫn chịu trách nhiệm về cách dữ liệu được xử lý. Các nhóm tuyển dụng nên đặt câu hỏi sắc bén hơn khi lựa chọn nhà cung cấp: Dữ liệu được lưu ở đâu? Ai có thể truy cập? Dữ liệu được giữ bao lâu? Điều gì xảy ra sau một vụ vi phạm dữ liệu? Các chứng nhận độc lập như ISO 27001 và SOC 2 Type II là bằng chứng hữu ích cho thấy các thực hành bảo mật của nhà cung cấp đã được bên ngoài kiểm tra.
4. Lưu giữ và xóa dữ liệu cần có lịch trình
Báo cáo xác minh không nên nằm mãi trong hộp thư hay ổ đĩa dùng chung. Các tổ chức cần xác định thời hạn lưu giữ và có cách đáng tin cậy để xóa hoặc ẩn danh dữ liệu khi hết thời hạn, kể cả dữ liệu do nhà cung cấp của họ nắm giữ.
5. Ứng viên có tiếng nói mạnh hơn
Mọi người có thể hỏi những gì đang được lưu giữ về họ và yêu cầu chỉnh sửa. Trong BGV điều này là tích cực: một hồ sơ sai đánh dấu nhầm ứng viên có thể khiến họ mất việc. Quy trình cho phép ứng viên xem xét và phản đối kết quả sẽ cải thiện cả tính công bằng lẫn việc tuân thủ.
6. Xác minh xuyên biên giới cần thận trọng hơn
Nhiều người sử dụng lao động xác minh các ứng viên từng học tập hoặc làm việc ở nước ngoài. Việc chuyển dữ liệu cá nhân qua biên giới đặt ra thêm những cân nhắc, và đạo luật cho phép chính phủ hạn chế việc chuyển dữ liệu đến một số quốc gia được chỉ định. Điều khoản hợp đồng rõ ràng với các đối tác xác minh và một bức tranh được lập bản đồ về luồng dữ liệu là điều thiết yếu.
Danh sách kiểm tra mức độ sẵn sàng thực tiễn cho người sử dụng lao động
- Lập bản đồ mọi điểm mà dữ liệu ứng viên đi vào quy trình tuyển dụng của bạn.
- Thay sự đồng ý bằng giấy hoặc không chính thức bằng quy trình đồng ý số có thể kiểm toán.
- Soạn một thông báo quyền riêng tư ngắn gọn, dễ hiểu dành cho ứng viên.
- Điều chỉnh các gói xác minh theo mức rủi ro của từng vị trí.
- Rà soát hợp đồng với nhà cung cấp về các điều khoản xử lý dữ liệu, báo cáo vi phạm và cam kết xóa dữ liệu.
- Đặt thời hạn lưu giữ và kiểm tra rằng việc xóa dữ liệu thực sự diễn ra.
- Tạo một kênh đơn giản để ứng viên nêu thắc mắc hoặc khiếu nại.
- Đào tạo nhà tuyển dụng và nhân viên nhân sự, vì phần lớn sự cố dữ liệu bắt đầu từ con người chứ không phải hệ thống.
Tuân thủ như một lợi thế trong tuyển dụng
Thật dễ để coi DPDP Act hoàn toàn là một gánh nặng. Chúng tôi nhìn khác. Ứng viên ngày càng chú ý cách một công ty đối xử với thông tin của họ, và một trải nghiệm xác minh rõ ràng, tôn trọng sẽ tạo ấn tượng tốt cho thương hiệu nhà tuyển dụng. Quản trị dữ liệu tốt cũng giảm việc làm lại, tranh chấp và chậm trễ, từ đó đẩy nhanh quá trình tiếp nhận nhân sự.
Các tổ chức thích ứng sớm sẽ không chỉ tránh được mức phạt. Họ sẽ xây dựng được quy trình tuyển dụng mà ứng viên tin tưởng và kiểm toán viên có thể kiểm chứng.
Cách Quinfy tiếp cận vấn đề này
Tại Quinfy, chúng tôi xây dựng nền tảng xác minh dựa trên quan điểm rằng tốc độ và quyền riêng tư phải song hành. Hoạt động của chúng tôi được hậu thuẫn bởi các chứng nhận ISO 27001, ISO 9001 và SOC 2 Type II, và chúng tôi thiết kế sự đồng ý, kiểm soát truy cập và xử lý dữ liệu vào hành trình xác minh ngay từ đầu. Nếu bạn muốn trao đổi về việc quy trình sàng lọc hiện tại của mình so với khuôn khổ DPDP như thế nào, đội ngũ của chúng tôi sẵn lòng hỗ trợ.
Bài viết này chỉ mang tính thông tin chung và không cấu thành tư vấn pháp lý. Vui lòng tham khảo cố vấn pháp lý của bạn về cách DPDP Act áp dụng với tổ chức của bạn.
Về tác giả: Rajasvi phụ trách bán hàng quốc tế tại Quinfy, công ty xác minh lý lịch AI-native phục vụ khách hàng tại hơn 45 quốc gia.
