Theo Luật An ninh mạng 2025, bí mật kinh doanh bị xâm phạm trên mạng xử lý ra sao?

Điều 15 đặt bí mật kinh doanh ngang hàng với bí mật nhà nước trong danh mục được bảo vệ, và liệt kê sáu nhóm hành vi xâm phạm — trong đó có việc vô hiệu hóa biện pháp kỹ thuật bảo vệ.

Điều 15 Luật An ninh mạng 116/2025/QH15 có tên dài nhất trong toàn bộ đạo luật, và cũng là điều mà doanh nghiệp thương mại nên đọc kỹ nhất — vì nó là chỗ duy nhất Luật nói trực tiếp về bí mật kinh doanh.

Phạm vi bảo vệ rộng hơn tưởng

Tên đầy đủ của Điều 15 là: phòng, chống gián điệp mạng; bảo vệ thông tin thuộc bí mật nhà nước, bí mật công tác, bí mật kinh doanh, bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Sáu loại bí mật được đặt cạnh nhau trong cùng một điều:

• Bí mật nhà nước;
• Bí mật công tác;
• Bí mật kinh doanh;
• Bí mật cá nhân;
• Bí mật gia đình;
• Đời sống riêng tư.

Việc bí mật kinh doanh được liệt kê ngang hàng có ý nghĩa thực tế: doanh nghiệp bị đánh cắp thông tin kinh doanh qua mạng không chỉ có công cụ dân sự hay pháp luật về cạnh tranh, mà còn có căn cứ theo pháp luật về an ninh mạng.

Sáu nhóm hành vi xâm phạm

Khoản 1 Điều 15 liệt kê:

Chiếm đoạt, mua bán, thu giữ, cố ý làm lộ

Điểm a khoản 1 nêu bốn động từ: chiếm đoạt, mua bán, thu giữ, cố ý làm lộ thông tin thuộc bí mật nhà nước, bí mật công tác, bí mật kinh doanh. Với bí mật cá nhân, bí mật gia đình và đời sống riêng tư, điều luật thêm điều kiện: gây ảnh hưởng đến danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Chú ý sự khác biệt: với ba loại bí mật đầu, hành vi cấu thành ngay khi thực hiện; với ba loại sau, cần thêm yếu tố gây ảnh hưởng.

Cố ý xóa, làm hư hỏng, thất lạc, thay đổi

Điểm b khoản 1 mở rộng sang nhóm hành vi phá hoại tính toàn vẹn — không lấy cắp mà làm hỏng. Với doanh nghiệp, đây là kịch bản nhân sự bất mãn xóa dữ liệu trước khi nghỉ việc.

Vô hiệu hóa biện pháp kỹ thuật bảo vệ

Điểm c khoản 1 là nhóm hành vi mà nhiều tổ chức chưa để ý: cố ý thay đổi, hủy bỏ hoặc làm vô hiệu hóa biện pháp kỹ thuật được xây dựng, áp dụng để bảo vệ thông tin.

Nghĩa là việc tắt tường lửa, gỡ phần mềm giám sát, vô hiệu hóa mã hóa, hoặc tắt ghi nhật ký — dù chưa lấy đi dữ liệu nào — đã nằm trong danh mục hành vi xâm phạm.

Điều này có hệ quả trực tiếp tới quy định nội bộ: doanh nghiệp nên ghi rõ rằng việc tự ý vô hiệu hóa biện pháp bảo vệ là vi phạm, và ghi nhật ký mọi thay đổi cấu hình bảo mật.

Đưa lên mạng trái quy định

Điểm d khoản 1 nói về việc đưa lên không gian mạng những thông tin thuộc các loại bí mật nêu trên trái quy định của pháp luật.

Trong thực tế, nhóm hành vi này thường xảy ra không do ác ý mà do bất cẩn: nhân viên đăng ảnh chụp màn hình có dữ liệu khách hàng, tải tài liệu nội bộ lên dịch vụ chia sẻ công khai để tiện làm việc, hoặc để thư mục lưu trữ ở chế độ ai có liên kết đều xem được.

Nghe, ghi âm, ghi hình trái phép

Điểm đ khoản 1 quy định: cố ý nghe, ghi âm, ghi hình trái phép các cuộc đàm thoại.

Với doanh nghiệp, điểm này liên quan tới việc ghi âm cuộc gọi chăm sóc khách hàng, ghi hình cuộc họp trực tuyến, hoặc sử dụng phần mềm giám sát nhân viên có tính năng thu âm. Yếu tố quyết định là chữ "trái phép" — tức có căn cứ và có thông báo hay không.

Hành vi khác

Điểm e khoản 1 là điều khoản quét cho các hành vi cố ý xâm phạm chưa được liệt kê.

Liên hệ với Điều 26 về an ninh dữ liệu

Điểm d khoản 2 Điều 26 Luật 116/2025/QH15 yêu cầu triển khai cơ chế kiểm soát chặt chẽ nhân sự trực tiếp tham gia xử lý dữ liệu. Đây là biện pháp phòng ngừa tương ứng với các nhóm hành vi tại Điều 15.

Ghép hai điều lại: Điều 15 mô tả hành vi bị coi là xâm phạm, Điều 26 yêu cầu tổ chức phải có cơ chế ngăn hành vi đó xảy ra từ bên trong.

Biện pháp bảo vệ bí mật kinh doanh trong thực tế

Từ nội dung Điều 15, bộ biện pháp tối thiểu cho doanh nghiệp:

• Xác định rõ đâu là bí mật kinh doanh. Không thể bảo vệ thứ chưa được định danh. Nên có danh mục: công thức, quy trình, danh sách khách hàng, bảng giá nội bộ, dữ liệu nghiên cứu — mỗi loại kèm mức độ và ai được tiếp cận;
• Ký cam kết bảo mật với nhân sự tiếp cận thông tin đó, nêu rõ nghĩa vụ kéo dài sau khi chấm dứt hợp đồng;
• Phân quyền theo nhu cầu công việc, không cấp quyền rộng cho tiện;
• Ghi nhật ký truy cập và trích xuất, đặc biệt thao tác xuất dữ liệu hàng loạt — đây vừa là biện pháp răn đe vừa là chứng cứ khi có việc;
• Kiểm soát thay đổi cấu hình bảo mật theo điểm c khoản 1 Điều 15 — mọi lần tắt hoặc sửa biện pháp bảo vệ đều phải có phê duyệt và ghi lại;
• Thu hồi quyền ngay khi nhân sự chuyển vị trí hoặc nghỉ việc. Đây là điểm rò rỉ phổ biến nhất trong thực tế.

Khi bí mật kinh doanh đã bị xâm phạm

Điều 42 Luật 116/2025/QH15 quy định cơ quan, tổ chức, cá nhân sử dụng không gian mạng có trách nhiệm kịp thời cung cấp thông tin liên quan đến bảo vệ an ninh mạng, nguy cơ đe dọa an ninh mạng, hành vi xâm phạm an ninh mạng cho cơ quan có thẩm quyền, lực lượng bảo vệ an ninh mạng.

Về mặt xử lý sự việc, ưu tiên đầu tiên là bảo toàn chứng cứ: giữ nguyên nhật ký, ảnh chụp trạng thái hệ thống, dấu vết truy cập. Việc dọn dẹp hệ thống ngay lập tức tuy khôi phục hoạt động nhanh nhưng xóa mất căn cứ chứng minh về sau.

Song song, cần rà soát phạm vi: thông tin nào đã bị lấy, ai có khả năng tiếp cận, có dấu hiệu phát tán chưa. Việc này quyết định các bước tiếp theo về mặt pháp lý và về mặt kinh doanh.

Quan hệ với Điều 7

Khoản 7 Điều 7 Luật 116/2025/QH15 nằm trong nhóm hành vi bị nghiêm cấm. Điều 15 chi tiết hóa riêng mảng gián điệp mạng và xâm phạm bí mật, nên hai điều này bổ trợ nhau: Điều 7 xác lập ranh giới cấm, Điều 15 mô tả cụ thể các hình thái vi phạm trong lĩnh vực bí mật.

Đọc thêm cùng chủ đề

• Giấy chứng nhận bị thu hồi trong trường hợp nào?
• Yêu cầu chỉnh sửa dữ liệu phải xử lý ra sao?
• Cán bộ đòi nộp thêm giấy tờ đã có trên hệ thống thì xử lý sao?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 15
• Luật 116/2025/QH15 Điều 7
• Luật 116/2025/QH15 Điều 26

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.