Rò rỉ dữ liệu cá nhân (DLCN) không còn là một rủi ro lý thuyết mà đã trở thành bài toán tuân thủ thực tế đòi hỏi doanh nghiệp phải chủ động nhận diện và có phương án ứng phó kịp thời. Dựa trên Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định số 356/2025/NĐ-CP, khi xảy ra sự cố, doanh nghiệp cần xác định rõ vai trò pháp lý, đánh giá mức độ tác động và thực thi nghiêm túc các biện pháp kỹ thuật cũng như pháp lý.
Nội dung dưới đây tóm lược các nghĩa vụ trọng tâm, những điểm thường bị bỏ sót và các khuyến nghị thực tiễn dành cho doanh nghiệp.
1. Các nghĩa vụ pháp lý trọng tâm khi xảy ra sự cố
-
Thứ nhất, ngăn chặn vi phạm và khắc phục hậu quả ban đầu: Theo Điều 23.4 Luật BVDLCN 2025, doanh nghiệp với vai trò kiểm soát/xử lý dữ liệu phải nhanh chóng cô lập hệ thống, khóa quyền truy cập bất thường, thay đổi thông tin xác thực và ngừng luồng chia sẻ dữ liệu có rủi ro. (Lưu ý: Theo Dự thảo Nghị định xử phạt vi phạm hành chính, hành vi không triển khai biện pháp ngăn chặn có thể đối mặt mức phạt từ 60 đến 80 triệu đồng). Đối với bên xử lý dữ liệu thuê ngoài, nghĩa vụ cốt lõi là phải thông báo ngay cho bên kiểm soát dữ liệu (Điều 23.1).
-
Thứ hai, lập biên bản xác nhận và lưu trữ hồ sơ: Doanh nghiệp phải lập biên bản ghi nhận thời điểm phát hiện, hệ thống ảnh hưởng, loại dữ liệu, nguyên nhân và biện pháp xử lý ban đầu (Điều 23.2 Luật BVDLCN 2025). Đặc biệt, với sự cố liên quan đến dữ liệu vị trí hoặc sinh trắc học, hồ sơ vi phạm phải được lưu giữ tối thiểu 05 năm kể từ ngày khắc phục xong (Điều 29.1.c Nghị định 356/2025/NĐ-CP).
-
Thứ ba, thông báo cho cơ quan chức năng (Cục A05): Doanh nghiệp phải gửi Thông báo vi phạm (theo Mẫu 08 ban hành kèm Nghị định 356/2025/NĐ-CP) trực tiếp đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao hoặc qua Cổng thông tin quốc gia, trong thời hạn tối đa 72 giờ kể từ khi phát hiện vi phạm (Điều 28 Nghị định 356/2025/NĐ-CP). Gửi chậm quá mốc thời gian này là rủi ro pháp lý lớn đối với doanh nghiệp.
-
Thứ tư, thông báo trực tiếp cho chủ thể DLCN: Bắt buộc thực hiện trong vòng 72 giờ đối với các sự cố lộ dữ liệu nhạy cảm liên quan đến tài chính, ngân hàng, dữ liệu vị trí hoặc sinh trắc học (Điều 27.1.d Luật BVDLCN 2025 và Điều 29 Nghị định 356/2025/NĐ-CP). Nếu chưa xác định ngay được danh sách cá nhân bị ảnh hưởng, doanh nghiệp phải thông báo công khai trên website/ứng dụng song song với việc tiếp tục thông báo riêng lẻ ngay khi có thể.
-
Thứ năm, phối hợp chặt chẽ với Cục A05: Doanh nghiệp có trách nhiệm cung cấp hồ sơ sự cố, nhật ký hệ thống (log), phạm vi dữ liệu bị ảnh hưởng và cử đầu mối có thẩm quyền làm việc cùng cơ quan nhà nước, tránh tư duy xử lý nội bộ khép kín đối với các sự cố lớn.
2. Các điểm tuân thủ doanh nghiệp thường bỏ sót
-
Nhầm lẫn rằng khắc phục kỹ thuật là đủ: Việc vá lỗ hổng hệ thống và chặn đứng sự cố không làm mất đi nghĩa vụ lập hồ sơ, báo cáo và tuân thủ thủ tục pháp lý với cơ quan chức năng.
-
Xác định sai vai trò pháp lý: Nhận diện không đúng vị trí của mình (bên kiểm soát dữ liệu hay bên xử lý dữ liệu) dẫn đến việc chậm trễ hoặc sai lệch trong quy trình thông báo cho đối tác và cơ quan nhà nước.
-
Hiểu lầm về mốc 72 giờ: Khoảng thời gian 72 giờ không phải là quỹ thời gian để doanh nghiệp hoàn tất điều tra nội bộ, mà là hạn chót để thực hiện nghĩa vụ thông báo ban đầu dựa trên dữ liệu thu thập được tại thời điểm đó.
-
Chủ quan với dữ liệu nhạy cảm: Các sự cố liên quan đến tài chính, ngân hàng, vị trí hoặc sinh trắc học đòi hỏi tiêu chuẩn thông báo khắt khe hơn rất nhiều về nội dung lẫn thời gian so với dữ liệu thông thường.
3. Khuyến nghị thực tiễn dành cho doanh nghiệp
-
Xây dựng quy trình ứng phó sự cố nội bộ (Incident Response Plan): Phân định rõ vai trò, trách nhiệm của các bộ phận (IT, pháp chế, nhân sự, truyền thông, kinh doanh) và quy định rõ cơ chế ra quyết định khi xảy ra sự cố.
-
Chuẩn bị sẵn biểu mẫu: Soạn thảo trước bộ hồ sơ gồm biên bản ghi nhận sự cố, checklist đánh giá tác động, mẫu thông báo gửi Cục A05 và mẫu thông báo gửi khách hàng để tối ưu hóa thời gian xử lý trong khung 72 giờ.
-
Thường xuyên diễn tập thực tế: Tổ chức các đợt diễn tập định kỳ để kiểm tra tốc độ phản ứng, điểm nghẽn trong phối hợp liên phòng ban và cập nhật kịp thời các thay đổi pháp lý.
-
Rà soát hợp đồng với bên thứ ba: Kiểm tra kỹ các điều khoản về bảo mật, cam kết xử lý dữ liệu, thời hạn phản hồi và trách nhiệm cung cấp log kỹ thuật từ các nhà cung cấp dịch vụ công nghệ, lưu trữ đám mây hoặc đối tác thuê ngoài.
-
Thiết lập hệ thống quản trị dữ liệu bài bản: Thực hiện phân loại dữ liệu, kiểm soát quyền truy cập, mã hóa và quản lý vòng đời dữ liệu ngay từ đầu để vừa giảm thiểu thiệt hại thực tế, vừa tạo căn cứ chứng minh doanh nghiệp đã tuân thủ nghĩa vụ cẩn trọng cần thiết.