Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân là hành vi bị nghiêm cấm. Ba lớp trách nhiệm có thể áp dụng cùng lúc: hành chính, hình sự và bồi thường.
Đây là tình huống mà doanh nghiệp vừa là bên chịu thiệt hại vừa có thể là bên phải chịu trách nhiệm, tùy vào việc đã làm gì trước và sau sự cố.
Hành vi bị nghiêm cấm
Khoản 7 Điều 7 Luật 91/2025/QH15 quy định hành vi bị nghiêm cấm bao gồm: chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.
Khoản 5 Điều 7 cũng cấm sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật.
Ba hành vi có mức độ lỗi khác nhau
"Chiếm đoạt" và "cố ý làm lộ" đòi hỏi yếu tố chủ đích. "Làm mất" thì không kèm chữ cố ý — đây là điểm quan trọng, vì nó bao trùm cả trường hợp mất dữ liệu do buông lỏng quản lý.
Trách nhiệm của doanh nghiệp khi nhân viên là người gây ra
Điểm g khoản 1 Điều 37 Luật 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
Điểm c khoản 1 Điều 37 yêu cầu thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân, rà soát và cập nhật các biện pháp này khi cần thiết.
Nghĩa là khi một nhân viên sao chép danh sách khách hàng đem đi, doanh nghiệp không thể chỉ chỉ vào cá nhân đó. Câu hỏi sẽ là: đã phân quyền truy cập hợp lý chưa, có ghi nhật ký truy cập không, có thu hồi quyền khi nhân sự chuyển vị trí không.
Ba lớp trách nhiệm
Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân có hành vi vi phạm thì tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
Ba lớp này độc lập. Nộp phạt hành chính không miễn nghĩa vụ bồi thường cho những người bị ảnh hưởng, và cũng không loại trừ trách nhiệm hình sự nếu hành vi đủ yếu tố cấu thành tội phạm.
Khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. Khoản 6 nêu cá nhân thực hiện cùng hành vi thì mức tối đa bằng một phần hai mức của tổ chức.
Nếu dữ liệu bị lộ rồi được đem bán
Khoản 3 Điều 8 quy định mức phạt tiền tối đa với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm. Với người đã lấy dữ liệu rồi bán ra, đây là mức áp dụng.
Nghĩa vụ sau sự cố
Khoản 1 Điều 23 Luật 91/2025/QH15 quy định phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm, với các vi phạm có thể gây tổn hại tới các lợi ích được liệt kê. Khoản 2 Điều 23 yêu cầu lập biên bản xác nhận và phối hợp với cơ quan chuyên trách xử lý.
Điểm i khoản 1 Điều 37 cũng đặt nghĩa vụ phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm.
Bốn biện pháp giảm rủi ro có hiệu lực ngay
- Thu hẹp quyền truy cập: mỗi người chỉ thấy phần dữ liệu cần cho công việc;
- Ghi nhật ký truy cập và trích xuất dữ liệu, giữ đủ lâu;
- Thu hồi toàn bộ quyền ngay trong ngày nhân sự nghỉ việc;
- Giới hạn khả năng xuất dữ liệu hàng loạt, hoặc yêu cầu phê duyệt cho thao tác này.
Bốn việc này đều làm được mà không cần ngân sách lớn, và chúng cũng là bằng chứng cho thấy doanh nghiệp đã thực hiện biện pháp quản lý, kỹ thuật phù hợp theo điểm c khoản 1 Điều 37.
Đọc thêm cùng chủ đề
- Gửi quảng cáo không xin phép bị xử lý ra sao?
- Doanh nghiệp phải bồi thường khi làm lộ dữ liệu?
- Cá nhân vi phạm bị phạt bằng bao nhiêu tổ chức?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 7
- Luật 91/2025/QH15 Điều 8
- Luật 91/2025/QH15 Điều 37
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.