Doanh nghiệp cần làm gì khi để lộ dữ liệu cá nhân khách hàng?

Doanh nghiệp cần làm gì khi để lộ dữ liệu cá nhân khách hàng là câu hỏi cấp bách đòi hỏi sự phản ứng nhanh chóng và chính xác để giảm thiểu thiệt hại. DPO.VN cung cấp giải pháp tư vấn pháp lý toàn diện, hỗ trợ doanh nghiệp thực hiện đúng quy trình báo cáo vi phạm trong 72 giờ, xử lý khủng hoảng và tuân thủ nghiêm ngặt các quy định của pháp luật về bảo vệ dữ liệu.

Nghĩa vụ thông báo khi xảy ra vi phạm dữ liệu cá nhân là gì?

Khi phát hiện sự cố lộ lọt dữ liệu, doanh nghiệp (Bên Kiểm soát dữ liệu) bắt buộc phải thông báo cho Bộ Công an (Cục A05) chậm nhất trong vòng 72 giờ kể từ khi xảy ra hành vi vi phạm theo quy định tại Nghị định 356/2025/NĐ-CP.

Sự cố lộ dữ liệu cá nhân không chỉ gây thiệt hại về tài chính và uy tín mà còn đặt doanh nghiệp trước những trách nhiệm pháp lý nặng nề. Điều 29 của Nghị định Số: 356/2025/NĐ-CP và Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định rõ ràng về trách nhiệm này.

Theo đó, ngay khi phát hiện sự cố, Bên Kiểm soát dữ liệu cá nhân và Bên Kiểm soát và xử lý dữ liệu cá nhân phải kích hoạt quy trình ứng phó khẩn cấp. Thời hạn vàng là 72 giờ. Trong khoảng thời gian này, doanh nghiệp phải gửi thông báo bằng văn bản (theo Mẫu số 03a) đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05) – Bộ Công an. Nếu thông báo chậm trễ hơn thời hạn này, doanh nghiệp phải có lý do chính đáng kèm theo.

Ngoài ra, đối với các dữ liệu đặc biệt nhạy cảm như dữ liệu vị trí cá nhân và dữ liệu sinh trắc học, Điều 30 Nghị định hướng dẫn Luật Bảo vệ dữ liệu cá nhân (Dự thảo) còn yêu cầu doanh nghiệp phải thông báo cho chính chủ thể dữ liệu bị ảnh hưởng trong cùng thời hạn 72 giờ. Điều này nhằm giúp khách hàng kịp thời thực hiện các biện pháp tự bảo vệ, như thay đổi mật khẩu, khóa tài khoản ngân hàng hoặc giám sát các giao dịch bất thường.

Quy trình và thủ tục báo cáo sự cố vi phạm dữ liệu cá nhân cho cơ quan chức năng như thế nào?

Doanh nghiệp cần lập biên bản xác nhận vi phạm, điền đầy đủ thông tin vào Mẫu số 03a (Thông báo vi phạm quy định bảo vệ dữ liệu cá nhân) và gửi trực tiếp, trực tuyến hoặc qua bưu chính đến Cục A05 – Bộ Công an.

Để đảm bảo tính tuân thủ và tránh các rắc rối pháp lý phát sinh, doanh nghiệp cần thực hiện quy trình báo cáo vi phạm bảo vệ dữ liệu cá nhân một cách bài bản theo các bước sau:

• Bước 1: Lập biên bản hiện trường: Ngay khi phát hiện sự cố, Bên Kiểm soát dữ liệu phải lập Biên bản xác nhận về việc xảy ra hành vi vi phạm. Biên bản này cần ghi nhận chi tiết thời gian, địa điểm, hiện trạng hệ thống và các dấu hiệu ban đầu của sự cố.
• Bước 2: Điền mẫu báo cáo: Sử dụng Mẫu số 08 ban hành kèm theo Nghị định 356/2025/NĐ-CP. Nội dung báo cáo phải bao gồm:
  • Mô tả tính chất vi phạm: Thời gian, địa điểm, hành vi, tổ chức/cá nhân liên quan, loại và số lượng dữ liệu bị rò rỉ.
  • Thông tin liên hệ: Chi tiết liên lạc của nhân viên phụ trách bảo vệ dữ liệu (DPO) hoặc người chịu trách nhiệm.
  • Hậu quả ước tính: Các thiệt hại có thể xảy ra đối với chủ thể dữ liệu và tổ chức.
  • Biện pháp khắc phục: Các hành động đã và đang được thực hiện để giải quyết, giảm thiểu tác hại.
• Bước 3: Gửi thông báo: Hồ sơ thông báo được gửi về Cục A05 qua các kênh: Trực tuyến (Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân), Trực tiếp tại trụ sở Cục, hoặc qua đường Bưu chính.
• Bước 4: Phối hợp xử lý: Sau khi gửi thông báo, doanh nghiệp có trách nhiệm phối hợp chặt chẽ với Cục A05 trong quá trình điều tra, xử lý hành vi vi phạm và khắc phục hậu quả.

Các biện pháp khắc phục và giảm thiểu thiệt hại khi doanh nghiệp làm lộ dữ liệu là gì?

Doanh nghiệp cần ngay lập tức khoanh vùng sự cố, ngăn chặn rò rỉ tiếp diễn, thông báo cho các bên bị ảnh hưởng, rà soát lỗ hổng bảo mật và thực hiện các biện pháp kỹ thuật để phục hồi dữ liệu.

Bên cạnh nghĩa vụ pháp lý, việc ứng phó sự cố nhanh chóng và hiệu quả là chìa khóa để bảo vệ uy tín thương hiệu. Dưới đây là các bước hành động khuyến nghị:

Mức xử phạt hành chính đối với hành vi làm lộ dữ liệu cá nhân là bao nhiêu?

Tùy thuộc vào tính chất và mức độ vi phạm, doanh nghiệp có thể bị phạt tiền lên đến 5% tổng doanh thu năm trước liền kề hoặc phạt tiền tối đa 03 tỷ đồng đối với các vi phạm nghiêm trọng về bảo vệ dữ liệu.

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 đã đưa ra những chế tài xử phạt rất nghiêm khắc nhằm răn đe các hành vi vi phạm. Điều 8 của Luật này quy định:

• Vi phạm quy định chuyển dữ liệu xuyên biên giới: Phạt tiền tối đa 5% doanh thu của năm trước liền kề. Đây là mức phạt rất lớn, đánh trực tiếp vào tài chính của doanh nghiệp.
• Hành vi mua bán dữ liệu cá nhân: Phạt tiền tối đa gấp 10 lần khoản thu có được từ hành vi vi phạm.
• Các hành vi vi phạm khác: Bao gồm việc làm lộ, mất dữ liệu do thiếu biện pháp bảo vệ, không thực hiện đúng quy định về đánh giá tác động… mức phạt tối đa có thể lên đến 03 tỷ đồng.

Ngoài phạt tiền, doanh nghiệp còn có thể chịu các hình phạt bổ sung như đình chỉ hoạt động xử lý dữ liệu, tước quyền sử dụng giấy phép, và buộc thực hiện các biện pháp khắc phục hậu quả.

Trách nhiệm của doanh nghiệp trong việc bảo vệ dữ liệu cá nhân theo pháp luật là gì?

Doanh nghiệp có trách nhiệm xây dựng hệ thống bảo vệ dữ liệu toàn diện, bao gồm các biện pháp quản lý, kỹ thuật, đánh giá tác động định kỳ và chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân.

Để tránh rơi vào tình huống khủng hoảng do lộ lọt dữ liệu, doanh nghiệp cần chủ động thực hiện đầy đủ trách nhiệm của Bên Kiểm soát dữ liệu cá nhân được quy định tại Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025:

• Thực hiện biện pháp bảo vệ: Áp dụng các biện pháp quản lý và kỹ thuật (như mã hóa, tường lửa, phân quyền truy cập) để bảo vệ dữ liệu ngay từ khi bắt đầu và trong suốt quá trình xử lý.
• Đánh giá tác động: Lập và lưu trữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (Mẫu số 02a/02b) và cập nhật định kỳ 6 tháng/lần.
• Chỉ định nhân sự: Bổ nhiệm bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân (DPO) để giám sát tuân thủ và là đầu mối liên hệ với cơ quan chức năng.
• Bảo đảm quyền chủ thể: Đáp ứng các yêu cầu của khách hàng về chỉnh sửa, xóa, rút lại sự đồng ý hoặc cung cấp dữ liệu của họ một cách kịp thời.

Các Câu Hỏi Thường Gặp Về Xử Lý Sự Cố Lộ Dữ Liệu

Tài liệu tham khảo

• Quốc hội. (2025). Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Cơ sở dữ liệu quốc gia về văn bản pháp luật.
• Chính phủ. (2025). Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• Bộ Công an. (2022). Nghị định số 53/2022/NĐ-CP quy định chi tiết một số điều của Luật An ninh mạng. Thư viện Pháp luật.
• DPO.VN. (2024). Hướng dẫn xử lý vi phạm dữ liệu cá nhân cho doanh nghiệp. https://dpo.vn