Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, doanh nghiệp phải bồi thường khi làm lộ dữ liệu?

17/07/2026
4 lượt xem
0 bình luận

Có. Bồi thường là một lớp trách nhiệm riêng, độc lập với phạt hành chính — và chủ thể dữ liệu có quyền khởi kiện theo Điều 4.

Phần lớn thảo luận về chế tài tập trung vào mức phạt hành chính. Nhưng với doanh nghiệp có tệp khách hàng lớn, lớp trách nhiệm bồi thường mới là phần có quy mô khó lường nhất.

Ba lớp trách nhiệm tại Điều 8

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân có hành vi vi phạm quy định của Luật và quy định khác của pháp luật có liên quan đến bảo vệ dữ liệu cá nhân thì tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Cách diễn đạt cho thấy bồi thường là nghĩa vụ riêng, không phải phương án thay thế cho xử phạt. Một doanh nghiệp có thể vừa bị phạt hành chính, vừa phải bồi thường.

Trách nhiệm đặt lên bên kiểm soát

Điểm g khoản 1 Điều 37 Luật 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.

Điều này không phân biệt thiệt hại phát sinh ở khâu nào trong chuỗi. Nếu sự cố xảy ra tại hệ thống của nhà cung cấp mà doanh nghiệp thuê, chủ thể dữ liệu vẫn hướng tới bên kiểm soát.

Hệ quả với việc chọn đối tác

Điểm đ khoản 1 Điều 37 yêu cầu lựa chọn bên xử lý dữ liệu cá nhân phù hợp. Ghép với điểm g, thông điệp khá rõ: rủi ro từ đối tác là rủi ro của chính doanh nghiệp. Công cụ duy nhất để phân bổ lại là hợp đồng — nên điều khoản về trách nhiệm và bồi thường trong hợp đồng với nhà cung cấp cần được xem xét nghiêm túc.

Quyền khởi kiện của chủ thể dữ liệu

Điểm đ khoản 1 Điều 4 Luật 91/2025/QH15 quy định chủ thể dữ liệu cá nhân có quyền khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

Bốn quyền này được liệt kê cùng nhau, cho thấy chủ thể dữ liệu có thể chọn nhiều con đường và không nhất thiết phải chờ kết quả xử lý hành chính.

Vì sao quy mô khó lường

Mức phạt hành chính có trần: khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác là 03 tỷ đồng. Nghĩa vụ bồi thường thì tính theo thiệt hại thực tế của từng người bị ảnh hưởng, và số người bị ảnh hưởng trong một vụ lộ dữ liệu có thể lên tới hàng chục nghìn.

Đây là lý do việc giảm khối lượng dữ liệu đang lưu giữ có giá trị kinh tế trực tiếp: dữ liệu không giữ thì không thể bị lộ, và không phát sinh nghĩa vụ bồi thường.

Ba việc giảm rủi ro bồi thường

Xóa dữ liệu đã hết mục đích. Điểm b khoản 1 Điều 14 quy định việc xóa, hủy được thực hiện khi đã hoàn thành mục đích xử lý;
Khử nhận dạng dữ liệu chỉ dùng cho thống kê. Khoản 1 Điều 2 nêu dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân;
Lưu bằng chứng đã thực hiện biện pháp bảo vệ. Điểm c khoản 1 Điều 37 yêu cầu thực hiện biện pháp quản lý, kỹ thuật phù hợp và rà soát, cập nhật khi cần thiết — hồ sơ về việc này là căn cứ quan trọng khi xác định mức độ lỗi.

Ứng xử sau sự cố cũng ảnh hưởng tới hậu quả

Khoản 1 Điều 23 quy định nghĩa vụ thông báo cho cơ quan chuyên trách chậm nhất 72 giờ. Điều 29 Nghị định 356/2025/NĐ-CP còn yêu cầu thông báo trực tiếp cho chủ thể dữ liệu bị ảnh hưởng trong 72 giờ với dữ liệu vị trí và sinh trắc học, trong đó có nội dung hướng dẫn chủ thể dữ liệu thực hiện các biện pháp phòng ngừa, ngăn chặn tiếp theo.

Thông báo sớm giúp người bị ảnh hưởng kịp thời tự bảo vệ, qua đó giảm thiệt hại thực tế phát sinh — điều có ý nghĩa trực tiếp với phạm vi nghĩa vụ bồi thường.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 8
Luật 91/2025/QH15 Điều 37
Luật 91/2025/QH15 Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.