Bảo vệ dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân, không thông báo lộ dữ liệu bị xử lý thế nào?

14/07/2026
5 lượt xem
0 bình luận

Nghĩa vụ nằm ở Điều 23 với mốc chậm nhất 72 giờ. Chế tài nằm ở Điều 8, với mức phạt tiền tối đa 03 tỷ đồng cho nhóm vi phạm này.

Sự cố lộ dữ liệu là điều không doanh nghiệp nào mong muốn, nhưng việc không thông báo lại là một vi phạm độc lập — và hoàn toàn nằm trong tầm kiểm soát của doanh nghiệp.

Nghĩa vụ: Điều 23

Khoản 1 Điều 23 Luật 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm.

Cùng khoản này quy định trường hợp bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm thì phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý.

Ngưỡng kích hoạt nghĩa vụ

Không phải mọi sự cố đều phải báo trong 72 giờ. Điều kiện là vi phạm "có thể gây tổn hại" tới các lợi ích được liệt kê. Chữ "có thể" đặt ngưỡng ở mức khả năng, không đòi hỏi thiệt hại đã xảy ra.

Trong thực tế, hầu hết vụ lộ dữ liệu khách hàng đều có khả năng xâm phạm tài sản của chủ thể dữ liệu — vì dữ liệu bị lộ thường được dùng cho lừa đảo. Cách tiếp cận an toàn là mặc định coi là thuộc diện phải thông báo, trừ khi chứng minh được ngược lại.

Bốn trường hợp phải thông báo

Khoản 3 Điều 23 quy định cơ quan, tổ chức, cá nhân thông báo cho cơ quan chuyên trách trong các trường hợp:

Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;
Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận giữa chủ thể dữ liệu với bên kiểm soát hoặc bên kiểm soát và xử lý;
Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân;
Trường hợp khác theo quy định của pháp luật.

Trường hợp thứ ba đáng chú ý: việc không đáp ứng đúng quyền của chủ thể dữ liệu cũng thuộc diện phải thông báo, không chỉ các vụ bị tấn công.

Nghĩa vụ lập biên bản

Khoản 2 Điều 23 quy định bên kiểm soát và bên kiểm soát và xử lý phải lập biên bản xác nhận về việc xảy ra hành vi vi phạm, phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân xử lý hành vi vi phạm.

Biên bản này nên được lập ngay khi phát hiện, không đợi điều tra xong, vì nó ghi nhận mốc thời gian phát hiện — chính là mốc để tính 72 giờ.

Chế tài: Điều 8

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân có hành vi vi phạm quy định của Luật thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Khoản 5 Điều 8 quy định mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. Hành vi không thông báo vi phạm không thuộc nhóm mua bán dữ liệu tại khoản 3 hay nhóm chuyển dữ liệu xuyên biên giới tại khoản 4, nên áp dụng mức tại khoản 5.

Khoản 6 Điều 8 quy định mức phạt tiền tối đa nêu trên áp dụng với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt đối với tổ chức.

Vì sao đây là rủi ro dễ tránh nhất

Bị tấn công là điều có thể xảy ra với bất kỳ tổ chức nào, kể cả đơn vị đầu tư nghiêm túc cho an ninh. Nhưng việc gửi thông báo trong 72 giờ hoàn toàn phụ thuộc vào sự chuẩn bị nội bộ.

Ba thứ cần có sẵn: một người có thẩm quyền quyết định gửi thông báo mà không cần chờ họp; mẫu thông báo đủ nội dung theo Điều 28 Nghị định 356/2025/NĐ-CP; và bản đồ dữ liệu để trả lời được câu hỏi loại dữ liệu nào, bao nhiêu bản ghi bị ảnh hưởng.

Đọc thêm cùng chủ đề

Căn cứ pháp lý

Luật 91/2025/QH15 Điều 23
Luật 91/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.