Doanh nghiệp bị đánh cắp dữ liệu khách hàng, đối tác: cẩn thận từ nạn nhân thành bên vi phạm
Khi dữ liệu khách hàng bị đánh cắp, doanh nghiệp vừa là nạn nhân của tin tặc, vừa có thể trở thành bên vi phạm nếu chưa làm tròn nghĩa vụ bảo vệ dữ liệu. Ranh giới giữa hai vị trí này được quyết định phần lớn trong 72 giờ đầu tiên.
Một buổi sáng, Công ty A., doanh nghiệp thương mại điện tử tại TP. Hồ Chí Minh, phát hiện tin tặc đã xâm nhập hệ thống quản lý khách hàng (CRM), sao chép dữ liệu của khoảng 40.000 khách hàng cùng một số hợp đồng, bảng giá của đối tác cung ứng. Ban giám đốc đứng trước nhiều câu hỏi cùng lúc: phải thông báo cho ai, trong bao lâu, doanh nghiệp có bị phạt hay bị khách hàng khởi kiện không, và làm sao để truy cứu kẻ tấn công.
Với sự đồng hành của Luật Minh Tú, Công ty A. đã thông báo đúng hạn, có đủ hồ sơ chứng minh mình đã áp dụng biện pháp bảo vệ dữ liệu, không phát sinh vụ kiện nào từ khách hàng, và vụ việc đã được chuyển sang cơ quan điều tra. Bài viết dưới đây phân tích các nghĩa vụ pháp lý của doanh nghiệp trong tình huống tương tự và cách xử lý để giữ vững vị thế bị hại.

1. Dữ liệu là tài sản, và cũng là trách nhiệm
Gần như mọi doanh nghiệp ngày nay đều nắm giữ dữ liệu: danh sách khách hàng, lịch sử mua hàng, số điện thoại, hồ sơ nhân sự, hợp đồng và bảng giá của đối tác. Dữ liệu giúp doanh nghiệp bán hàng tốt hơn, chăm sóc khách hàng chính xác hơn và ra quyết định nhanh hơn. Nhưng chính vì có giá trị, dữ liệu cũng trở thành mục tiêu hàng đầu của tin tặc.
Điều nhiều doanh nghiệp chưa nhận ra là pháp luật không coi dữ liệu cá nhân của khách hàng là tài sản riêng của doanh nghiệp. Doanh nghiệp chỉ là bên được phép xử lý dữ liệu, và đi kèm quyền đó là nghĩa vụ bảo vệ.
Từ năm 2026, khung pháp lý về vấn đề này đã thay đổi căn bản. Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) có hiệu lực từ ngày 01/01/2026, lần đầu nâng các quy định về dữ liệu cá nhân từ cấp nghị định lên cấp luật. Cùng ngày, Nghị định 356/2025/NĐ-CP hướng dẫn Luật này chính thức thay thế Nghị định 13/2023/NĐ-CP. Đến ngày 01/7/2026, Luật An ninh mạng 2025 (số 116/2025/QH15) có hiệu lực, hợp nhất Luật An ninh mạng 2018 và Luật An toàn thông tin mạng 2015. Mảnh ghép cuối cùng là Nghị định 330/2026/NĐ-CP ngày 19/8/2026, có hiệu lực ngay, lần đầu quy định cụ thể mức phạt đối với các vi phạm về an ninh mạng và bảo vệ dữ liệu cá nhân.
Riêng với bí mật kinh doanh của đối tác, doanh nghiệp còn chịu ràng buộc của hợp đồng, Bộ luật Dân sự 2015 và Luật Sở hữu trí tuệ. Vì vậy, khi dữ liệu bị đánh cắp, câu hỏi đặt ra không chỉ là ai đã lấy, mà còn là doanh nghiệp đã bảo vệ đủ hay chưa.
2. Bị đánh cắp dữ liệu: doanh nghiệp là nạn nhân hay bên vi phạm?
Câu trả lời ngắn gọn là doanh nghiệp có thể đồng thời ở cả hai vị trí. Trước hành vi xâm nhập, doanh nghiệp là bị hại. Nhưng trước khách hàng và cơ quan quản lý, doanh nghiệp vẫn là bên kiểm soát dữ liệu, có nghĩa vụ áp dụng biện pháp bảo vệ, phát hiện và thông báo sự cố. Doanh nghiệp đứng ở phía nào phụ thuộc vào việc đã làm tròn những nghĩa vụ đó hay chưa.
Một doanh nghiệp được nhìn nhận là nạn nhân khi đã có biện pháp bảo vệ thực chất: phân quyền truy cập, mã hóa dữ liệu, lưu nhật ký hệ thống và ban hành chính sách bảo vệ dữ liệu. Doanh nghiệp đó cũng đã chỉ định bộ phận hoặc nhân sự phụ trách, chỉ thu thập và lưu giữ những dữ liệu thực sự cần thiết, và có sẵn hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) cùng quy trình ứng phó sự cố. Khi sự cố xảy ra, họ phát hiện sớm, thông báo đúng hạn và khắc phục ngay.
Ngược lại, doanh nghiệp dễ bị xem là bên vi phạm khi để mật khẩu mặc định, không phân quyền, lưu dữ liệu ở dạng mở, không có ai chịu trách nhiệm, giữ dữ liệu vượt quá mục đích hoặc thời hạn cần thiết. Tình thế càng bất lợi nếu doanh nghiệp che giấu sự cố, chậm thông báo, báo cáo sai quy mô hoặc không có bất kỳ hồ sơ nào để chứng minh mình đã tuân thủ.
Thực tiễn cho thấy cơ quan chức năng hiếm khi xử phạt doanh nghiệp chỉ vì bị tấn công. Doanh nghiệp bị xử lý vì những lỗ hổng tuân thủ mà vụ tấn công làm lộ ra. Do đó, hồ sơ tuân thủ chính là bằng chứng giúp doanh nghiệp giữ được vị trí của người bị hại.
3. Việc bắt buộc phải làm đầu tiên khi phát hiện sự cố
Việc quan trọng nhất là thông báo trong 72 giờ. Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025, khi phát hiện dữ liệu cá nhân bị lộ, mất thuộc diện phải thông báo, doanh nghiệp phải báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an) trong vòng 72 giờ. Thời hạn này tính từ lúc phát hiện, không phải từ lúc điều tra xong.
Trong những giờ đầu, doanh nghiệp cần ưu tiên cô lập và ngăn chặn: ngắt kết nối hệ thống bị xâm nhập, đổi mật khẩu, khóa các tài khoản quản trị bị lộ. Song song đó là bảo toàn chứng cứ điện tử. Nhật ký truy cập, ảnh chụp hệ thống và email tống tiền (nếu có) phải được trích xuất trước khi khắc phục; doanh nghiệp tuyệt đối không xóa dữ liệu hay cài lại hệ thống khi chưa sao lưu chứng cứ, và có thể lập vi bằng để ghi nhận hiện trạng.
Bước tiếp theo là đánh giá sơ bộ để biết loại dữ liệu nào bị lộ, là dữ liệu cơ bản hay nhạy cảm, bao nhiêu người bị ảnh hưởng và có liên quan đến dữ liệu của đối tác hay không. Kết quả đánh giá là cơ sở cho thông báo gửi cơ quan chức năng. Nội dung thông báo phải trung thực về quy mô, bởi báo cáo không chính xác cũng là hành vi bị xử phạt.
Sau đó, doanh nghiệp cần thông báo cho khách hàng bị ảnh hưởng để họ kịp đổi mật khẩu và cảnh giác trước các chiêu lừa đảo, đồng thời thông báo cho đối tác theo điều khoản bảo mật trong hợp đồng. Nếu có dấu hiệu xâm nhập trái phép, doanh nghiệp nên tố giác tội phạm tới cơ quan công an. Toàn bộ quá trình phải được ghi nhận thành hồ sơ sự cố và lưu giữ tối thiểu 5 năm kể từ ngày khắc phục xong.
Điều không nên làm là im lặng chờ sự việc lắng xuống, hoặc tự ý thương lượng trả tiền chuộc với tin tặc khi chưa có ý kiến của luật sư và cơ quan chức năng.
4. Trách nhiệm hành chính: bị tấn công có bị phạt không?
Bản thân việc bị tấn công không phải là vi phạm, nhưng những thiếu sót xung quanh vụ tấn công thì có thể bị phạt. Từ ngày 19/8/2026, Nghị định 330/2026/NĐ-CP đã lấp khoảng trống chế tài mà Nghị định 13/2023 trước đây còn bỏ ngỏ.
Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức mua, bán trái phép dữ liệu cá nhân có thể bị phạt tối đa gấp 10 lần khoản thu có được từ hành vi vi phạm. Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có mức phạt tối đa 5% doanh thu của năm trước liền kề. Các hành vi vi phạm khác bị phạt tối đa 3 tỷ đồng. Cá nhân vi phạm chịu mức phạt bằng một nửa mức áp dụng cho tổ chức.
Sau một vụ đánh cắp dữ liệu, cơ quan chức năng thường phát hiện thêm các vi phạm đi kèm. Chậm thông báo hoặc báo cáo không chính xác quy mô sự cố có thể bị phạt từ 50 đến 70 triệu đồng. Không chỉ định nhân sự, bộ phận phụ trách bảo vệ dữ liệu cá nhân, hoặc không lập và duy trì hồ sơ đánh giá tác động, mỗi hành vi có thể bị phạt từ 20 đến 30 triệu đồng. Lưu trữ dữ liệu quá thời gian cần thiết hay xử lý vượt mục đích bị phạt từ 20 đến 40 triệu đồng. Việc không áp dụng biện pháp kỹ thuật, không hạn chế quyền truy cập với dữ liệu vị trí, sinh trắc học cũng bị xử phạt theo từng hành vi cụ thể.
Ngoài phạt tiền, doanh nghiệp còn có thể bị buộc nộp lại số lợi bất hợp pháp. Vì một vụ rò rỉ thường kéo theo nhiều hành vi vi phạm cùng lúc, tổng mức phạt thực tế có thể lớn hơn nhiều so với từng mức riêng lẻ.
5. Trách nhiệm dân sự: khách hàng có kiện được không?
Có. Khách hàng là chủ thể dữ liệu, có quyền khiếu nại, khởi kiện và yêu cầu bồi thường thiệt hại khi dữ liệu của mình bị xâm phạm. Quyền về đời sống riêng tư và bí mật cá nhân được ghi nhận tại Điều 38 Bộ luật Dân sự 2015.
Khách hàng có thể đi theo hai hướng. Hướng thứ nhất là yêu cầu doanh nghiệp chịu trách nhiệm theo hợp đồng (Điều 351, Điều 360 Bộ luật Dân sự 2015), khi doanh nghiệp đã cam kết bảo mật trong điều khoản sử dụng hoặc chính sách quyền riêng tư nhưng không thực hiện đúng. Hướng thứ hai là yêu cầu bồi thường ngoài hợp đồng (Điều 584), khi có hành vi xâm phạm quyền và lợi ích hợp pháp gây thiệt hại, kể cả thiệt hại về tinh thần do danh dự, uy tín bị xâm phạm (Điều 592).
Doanh nghiệp có thể được miễn hoặc giảm trách nhiệm nếu chứng minh được rằng mình đã áp dụng đầy đủ biện pháp bảo vệ phù hợp và sự cố vượt quá khả năng phòng ngừa hợp lý, rằng thiệt hại xuất phát từ lỗi của chính khách hàng, chẳng hạn tự tiết lộ mật khẩu, hoặc rằng không có mối quan hệ nhân quả giữa sự cố và thiệt hại mà khách hàng nêu ra.
Cần lưu ý, lập luận “bất khả kháng” theo Điều 156 Bộ luật Dân sự rất khó được chấp nhận. Tấn công mạng là rủi ro có thể lường trước, nên tòa án thường xem xét doanh nghiệp đã phòng ngừa đến đâu. Trên thực tế, khó khăn lớn nhất của khách hàng khi khởi kiện là chứng minh thiệt hại cụ thể. Dù vậy, một vụ kiện tập thể hay một bài đăng lan truyền trên mạng xã hội có thể gây tổn hại uy tín lớn hơn nhiều so với số tiền bồi thường.
6. Trách nhiệm với đối tác khi bí mật kinh doanh bị lộ
Với đối tác, trách nhiệm chủ yếu phát sinh từ hợp đồng. Nếu hợp đồng hoặc thỏa thuận bảo mật (NDA) có điều khoản bảo mật thông tin, việc để lộ hợp đồng, bảng giá, công thức hay danh sách khách hàng của đối tác có thể bị coi là vi phạm nghĩa vụ.
Hậu quả thường gặp là bị phạt vi phạm theo mức đã thỏa thuận; trong quan hệ thương mại, mức phạt này không vượt quá 8% giá trị phần nghĩa vụ bị vi phạm (Điều 301 Luật Thương mại 2005). Đối tác cũng có thể yêu cầu bồi thường thiệt hại thực tế theo Điều 302, 303 Luật Thương mại, với điều kiện chứng minh được có vi phạm, có thiệt hại và có mối quan hệ nhân quả. Nếu vi phạm bảo mật được hai bên thỏa thuận là vi phạm cơ bản, đối tác còn có quyền đơn phương chấm dứt hợp đồng. Trường hợp đối tác là cá nhân hoặc hộ kinh doanh, dữ liệu của họ đồng thời là dữ liệu cá nhân, nên Luật Bảo vệ dữ liệu cá nhân 2025 cũng được áp dụng.
Với bí mật kinh doanh, cần phân biệt rõ: người xâm phạm quyền đối với bí mật kinh doanh theo Điều 127 Luật Sở hữu trí tuệ là kẻ tấn công, không phải doanh nghiệp bị đánh cắp. Doanh nghiệp và đối tác thực chất đứng cùng một phía và có thể phối hợp yêu cầu xử lý người đánh cắp. Điểm mấu chốt nằm ở cách thông báo. Chủ động, minh bạch và kèm phương án khắc phục thường giữ được quan hệ hợp tác; còn im lặng để đối tác tự phát hiện gần như chắc chắn dẫn đến tranh chấp.
7. Truy cứu người tấn công như thế nào?
Doanh nghiệp có quyền tố giác tội phạm và đề nghị khởi tố người tấn công theo Bộ luật Hình sự 2015 (sửa đổi 2017). Tội danh thường được xem xét đầu tiên là tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác (Điều 289), áp dụng với hành vi vượt tường lửa hay dùng quyền quản trị của người khác để lấy cắp dữ liệu; khung hình phạt khởi điểm là phạt tiền từ 50 đến 300 triệu đồng hoặc phạt tù từ 1 đến 5 năm. Nếu dữ liệu đánh cắp bị đem ra mua bán, trao đổi hoặc công khai, người vi phạm có thể bị xử lý về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288). Còn khi dữ liệu được dùng để lừa đảo hay tống tiền, hành vi có thể cấu thành tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản (Điều 290). Mức hình phạt của hai tội sau tùy thuộc vào khung cụ thể.
Về trình tự, doanh nghiệp nộp đơn tố giác tới cơ quan công an, thường là Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (PA05) cấp tỉnh hoặc Cục A05. Kèm theo đơn là các chứng cứ điện tử đã được bảo toàn như nhật ký hệ thống, báo cáo phân tích sự cố và vi bằng. Trong quá trình xác minh, doanh nghiệp phối hợp với cơ quan điều tra, sau đó tham gia tố tụng với tư cách bị hại và có thể yêu cầu bồi thường thiệt hại ngay trong vụ án hình sự.
Nếu thủ phạm là nhân viên hoặc cựu nhân viên, doanh nghiệp còn có thể xử lý kỷ luật lao động và yêu cầu bồi thường theo hợp đồng lao động hoặc thỏa thuận bảo mật đã ký.
8. Kinh nghiệm của Luật Minh Tú: 72 giờ của Công ty A.
Một buổi sáng, Công ty A. nhận được email từ một địa chỉ lạ, kèm ảnh chụp danh sách khách hàng và lời đề nghị trả tiền để dữ liệu không bị công khai. Ban giám đốc lúng túng: báo công an thì sợ ảnh hưởng uy tín, còn im lặng thì sợ dữ liệu bị tung lên mạng.
Chúng tôi tư vấn khách hàng không trả tiền, cũng không im lặng, mà chia 72 giờ thành ba giai đoạn rõ ràng. Trong 24 giờ đầu, luật sư phối hợp với bộ phận IT cô lập hệ thống, trích xuất nhật ký truy cập và lập vi bằng ghi nhận email tống tiền, nhằm ngăn thiệt hại lan rộng và giữ lại chứng cứ. Từ giờ thứ 24 đến giờ thứ 48, chúng tôi cùng doanh nghiệp xác định loại và số lượng dữ liệu bị lộ, đồng thời rà soát các hợp đồng có điều khoản bảo mật với đối tác, để có số liệu trung thực làm căn cứ thông báo. Trong 24 giờ cuối, doanh nghiệp gửi thông báo tới cơ quan chuyên trách, thông báo cho khách hàng và đối tác, và nộp đơn tố giác tội phạm. Nhờ vậy, Công ty A. hoàn thành nghĩa vụ đúng hạn và chuyển hẳn sang vị thế bị hại.
Điểm mấu chốt giúp Công ty A. không bị xem là bên vi phạm là doanh nghiệp đã có sẵn hồ sơ đánh giá tác động xử lý dữ liệu, có nhân sự phụ trách và có nhật ký truy cập. Những hồ sơ này cho thấy doanh nghiệp đã áp dụng biện pháp bảo vệ, còn sự cố đến từ hành vi phạm tội của bên thứ ba.
Với đối tác, chúng tôi soạn thư thông báo nêu rõ phạm vi thông tin bị ảnh hưởng, các biện pháp đã thực hiện và đề nghị phối hợp. Kết quả, quan hệ hợp tác được duy trì và không phát sinh yêu cầu phạt vi phạm nào.
9. Quy trình xử lý khi doanh nghiệp bị đánh cắp dữ liệu
Quy trình dưới đây chia thành năm giai đoạn, thời hạn tính từ thời điểm phát hiện sự cố. Doanh nghiệp có thể dùng làm khung để giao việc cho từng bộ phận.
Giai đoạn chuẩn bị, trước khi có sự cố. Doanh nghiệp cần lập sẵn nhóm ứng phó gồm ban giám đốc, bộ phận IT, pháp chế hoặc luật sư, truyền thông và chăm sóc khách hàng, kèm đầu mối liên hệ khẩn của cơ quan chuyên trách (A05, PA05) và luật sư. Bên cạnh đó là một danh mục dữ liệu đang lưu giữ, ghi rõ loại dữ liệu, nơi lưu và người có quyền truy cập. Hồ sơ đánh giá tác động phải được lập và cập nhật, nhân sự phụ trách phải được chỉ định, nhật ký truy cập hệ thống phải được bật và lưu trữ. Doanh nghiệp cũng nên soạn sẵn mẫu thông báo gửi cơ quan chức năng, khách hàng, đối tác, và rà soát trước điều khoản bảo mật trong hợp đồng với đối tác và nhà cung cấp dịch vụ công nghệ thông tin.
Từ 0 đến 24 giờ: ngăn chặn và giữ chứng cứ. Việc đầu tiên là ghi nhận chính xác thời điểm phát hiện sự cố, vì đây là mốc tính thời hạn 72 giờ. Nhóm ứng phó được triệu tập và chỉ định một đầu mối điều phối duy nhất. Hệ thống bị xâm nhập phải được cô lập, tài khoản bị lộ phải bị khóa và mật khẩu quản trị phải được thay đổi. Trước khi khắc phục, doanh nghiệp sao lưu nhật ký và ảnh chụp hệ thống, lập vi bằng ghi nhận hiện trạng, email tống tiền hoặc dữ liệu bị rao bán nếu có. Trong giai đoạn này, doanh nghiệp không trả tiền chuộc, không tự liên hệ với tin tặc khi chưa có ý kiến luật sư, đồng thời hạn chế số người biết thông tin và thống nhất không phát ngôn ra bên ngoài.
Từ 24 đến 72 giờ: đánh giá và thông báo. Doanh nghiệp xác định loại dữ liệu bị lộ, gồm dữ liệu cá nhân cơ bản, dữ liệu nhạy cảm hay bí mật kinh doanh của đối tác, và ước tính số người, số đối tác bị ảnh hưởng, ghi rõ phần nào đã xác minh, phần nào còn là ước tính. Luật sư rà soát nội dung thông báo để bảo đảm trung thực và đúng quy mô trước khi gửi tới cơ quan chuyên trách trong hạn 72 giờ. Cùng lúc, doanh nghiệp thông báo cho khách hàng kèm hướng dẫn phòng tránh lừa đảo, thông báo cho đối tác theo hợp đồng, nộp đơn tố giác tội phạm kèm chứng cứ điện tử, và chuẩn bị nội dung trả lời báo chí, mạng xã hội nếu sự việc lan rộng.
Sau 72 giờ: khắc phục và xử lý trách nhiệm. Doanh nghiệp tiếp tục cập nhật cho cơ quan chức năng khi có thông tin mới về quy mô sự cố, phối hợp với cơ quan điều tra và tham gia tố tụng với tư cách bị hại. Các khiếu nại, yêu cầu bồi thường của khách hàng cần được tiếp nhận, phân loại và trả lời; với đối tác, doanh nghiệp làm việc về phạm vi ảnh hưởng và phương án khắc phục để tránh phát sinh phạt vi phạm. Nếu thủ phạm là người lao động, doanh nghiệp xử lý kỷ luật và yêu cầu bồi thường. Về kỹ thuật, các lỗ hổng phải được vá và quyền truy cập trên toàn hệ thống phải được rà soát lại.
Trong 30 ngày: hoàn thiện hồ sơ và phòng ngừa tái diễn. Doanh nghiệp lập báo cáo tổng kết sự cố, nêu nguyên nhân, thiệt hại và các biện pháp đã thực hiện, rồi lưu hồ sơ vi phạm tối thiểu 5 năm kể từ ngày khắc phục xong. Từ bài học thực tế, hồ sơ đánh giá tác động, chính sách bảo vệ dữ liệu, quy trình ứng phó và điều khoản bảo mật trong hợp đồng cần được cập nhật. Cuối cùng, doanh nghiệp nên tổ chức đào tạo nhận thức bảo mật cho người lao động và lên lịch diễn tập ứng phó sự cố định kỳ.
Luật Minh Tú đồng hành cùng doanh nghiệp
Tư vấn tuân thủ bảo vệ dữ liệu cá nhân, ứng phó sự cố rò rỉ dữ liệu, tranh chấp hợp đồng và bí mật kinh doanh, đại diện tố giác tội phạm công nghệ cao.
—
🏨 MINH TU LAW FIRM
📧 info@mtlf.vn
☎ 1900 0031
📞0907 374 868 – 0911 128 948
🌏 https://www.luatminhtu.vn
📌 VP HCM: 139B Pasteur, phường Xuân Hòa (bên cạnh Sở Tư pháp)
📌 VP Đà Nẵng: 81 Xô Viết Nghệ Tĩnh, phường Cẩm Lệ
