British Airways bị phạt 20 triệu bảng Anh và Marriott International bị phạt 18,4 triệu bảng Anh. Cả hai quyết định do Văn phòng Ủy viên Thông tin Anh (ICO) ban hành vào tháng 10/2020. Mức đề xuất ban đầu lần lượt là khoảng 183 triệu và 99 triệu bảng. Trong cả hai vụ, dữ liệu khách hàng bị lộ qua một điểm nằm ngoài phần hệ thống doanh nghiệp tự quản lý: tài khoản của nhân viên một đối tác (British Airways) và hệ thống đặt phòng tiếp quản sau thương vụ mua lại (Marriott). ICO vẫn xác định trách nhiệm thuộc về hai doanh nghiệp này với tư cách bên kiểm soát dữ liệu. Bài viết tóm tắt hai vụ việc, đối chiếu với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, và nêu những điểm doanh nghiệp Việt Nam nên kiểm tra trong quản trị rủi ro bên thứ ba: hợp đồng vendor, quyền truy cập từ xa và quy trình thông báo sự cố.
1. Vụ British Airways bị phạt và vụ Marriott: diễn biến chính#
a) British Airways: mã độc trên trang thanh toán#
Năm 2018, kẻ tấn công vào được mạng nội bộ của British Airways bằng thông tin đăng nhập của một nhân viên Swissport, đối tác phục vụ mặt đất của hãng. Họ đi qua cổng truy cập từ xa, vốn không yêu cầu xác thực đa yếu tố (MFA). Sau đó, kẻ tấn công sửa mã JavaScript trên trang đặt vé để chuyển thông tin thẻ về một tên miền giả mạo. Họ tên, địa chỉ, số thẻ, ngày hết hạn và mã CVV của khoảng 429.000 khách hàng và nhân viên bị ảnh hưởng. Hoạt động này kéo dài khoảng hai tháng trước khi bị phát hiện.
ICO kết luận British Airways đã không áp dụng các biện pháp bảo mật sẵn có và hợp lý vào thời điểm đó, như MFA cho truy cập từ xa, giới hạn quyền của tài khoản và giám sát để phát hiện thay đổi bất thường. Khi giảm mức phạt so với đề xuất, ICO có xem xét tác động của đại dịch COVID-19 đối với hãng.
b) Marriott: hệ thống tiếp quản sau thương vụ mua lại#
Marriott mua lại Starwood năm 2016. Hệ thống đặt phòng của Starwood đã bị xâm nhập từ năm 2014, trước thương vụ, và đến tháng 9/2018 Marriott mới phát hiện. Khoảng 339 triệu bản ghi khách lưu trú bị ảnh hưởng trên toàn cầu, trong đó khoảng 30 triệu liên quan đến cư dân khu vực kinh tế châu Âu. Dữ liệu bị lộ gồm cả số hộ chiếu chưa mã hóa.
ICO chỉ xử phạt cho giai đoạn từ ngày 25/5/2018, khi GDPR có hiệu lực. Trọng tâm của quyết định là Marriott, với tư cách bên kiểm soát sau thương vụ, đã không giám sát và bảo vệ đầy đủ hệ thống mình tiếp quản. Với doanh nghiệp Việt Nam, điều này có nghĩa là thẩm định bảo vệ dữ liệu cá nhân trong M&A cần gồm cả kiểm tra kỹ thuật hệ thống của bên bị mua, không chỉ rà soát hồ sơ pháp lý và tài chính.
Với khách sạn, resort và homestay tại Việt Nam, nghĩa vụ về dữ liệu khách lưu trú, hộ chiếu và hệ thống đặt phòng được tổng hợp tại trang bảo vệ dữ liệu cá nhân ngành khách sạn.
2. Vì sao British Airways bị phạt dù sự cố bắt đầu từ bên thứ ba: đối chiếu Luật 91/2025#
Cả British Airways và Marriott đều không được miễn trách nhiệm vì sự cố đi qua tài khoản đối tác hoặc hệ thống tiếp quản. ICO đánh giá biện pháp bảo mật của chính bên kiểm soát dữ liệu.
Luật 91/2025 phân bổ trách nhiệm theo cùng hướng. Theo Điều 37:
- Bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra (điểm g khoản 1). Bên xử lý chịu trách nhiệm trước bên kiểm soát (điểm d khoản 2).
- Bên kiểm soát phải lựa chọn bên xử lý phù hợp (điểm đ khoản 1) và nêu rõ trách nhiệm, quyền, nghĩa vụ của các bên trong hợp đồng (điểm a khoản 1).
- Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng với bên kiểm soát (điểm a khoản 2).
Thỏa thuận chuyển giao dữ liệu cho bên xử lý phải có các nội dung tại khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP, trong đó có trách nhiệm phối hợp khi phát hiện vi phạm (điểm g). Bên xử lý phát hiện vi phạm thì phải thông báo kịp thời cho bên kiểm soát (khoản 1 Điều 23 Luật 91/2025). Không thông báo kịp thời bị phạt từ 10 đến 20 triệu đồng (điểm a khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP). Luật không ấn định số giờ. Mốc 24 giờ thường gặp trong hợp đồng xử lý dữ liệu (DPA) là thỏa thuận thương mại, để bên kiểm soát còn đủ thời gian đáp ứng mốc 72 giờ với cơ quan chức năng. Doanh nghiệp cần rà soát hàng loạt hợp đồng vendor có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của LexData.
Với tình huống kiểu Marriott: nếu thương vụ là sáp nhập, hợp nhất hoặc chia, tách doanh nghiệp, dữ liệu cá nhân được chuyển giao để tiếp tục xử lý theo điểm c khoản 1 Điều 17 Luật 91/2025. Hồ sơ đánh giá tác động đã nộp phải được cập nhật trong 10 ngày khi tổ chức được tổ chức lại (điểm a khoản 2 Điều 20 Nghị định 356/2025/NĐ-CP).
3. Khi sự cố xảy ra: mốc 72 giờ và các việc cần làm#
Khoản 1 Điều 23 Luật 91/2025 yêu cầu bên kiểm soát thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục A05, Bộ Công an) chậm nhất 72 giờ kể từ khi phát hiện vi phạm. Nghĩa vụ này áp dụng khi vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Một vụ lộ thông tin thẻ như của British Airways có nguy cơ xâm phạm tài sản của khách hàng.
- Thông báo cho Cục A05: dùng Mẫu số 08, nội dung gồm tính chất vi phạm (thời gian, địa điểm, loại và số lượng dữ liệu), đầu mối bảo vệ dữ liệu, hậu quả có thể xảy ra và biện pháp khắc phục (Điều 28 Nghị định 356/2025/NĐ-CP). Thông báo chậm hơn 72 giờ bị phạt từ 40 đến 60 triệu đồng (khoản 3 Điều 54 Nghị định 330/2026/NĐ-CP). Xem mẫu thông báo sự cố rò rỉ dữ liệu gửi Cục A05 và chủ thể dữ liệu.
- Thông báo cho chủ thể dữ liệu: bắt buộc khi sự cố liên quan đến dữ liệu vị trí hoặc sinh trắc học (không quá 72 giờ, Điều 29 Nghị định 356/2025/NĐ-CP); khi lộ, mất dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (không quá 72 giờ, khoản 3 Điều 8 Nghị định 356/2025/NĐ-CP); và khi lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng (điểm d khoản 1 Điều 27 Luật 91/2025). Ngoài các trường hợp này, doanh nghiệp nên thông báo khi sự cố có thể gây thiệt hại cho khách hàng. Thông báo cần nói rõ khách hàng nên làm gì ngay, như đổi mật khẩu hoặc khóa thẻ.
- Lập biên bản xác nhận vi phạm và phối hợp với Cục A05 (khoản 2 Điều 23 Luật 91/2025). Không lập biên bản bị phạt từ 10 đến 20 triệu đồng (điểm b khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP).
Về vận hành, trong những giờ đầu nhóm ứng phó (DPO, IT, pháp chế, truyền thông) nên: thu hồi tài khoản và khóa kết nối bị lộ, kể cả tài khoản của vendor; lưu bản sao nhật ký hệ thống phục vụ điều tra; xác định loại dữ liệu và số người bị ảnh hưởng để điền đúng nội dung thông báo; sau đó vá lỗ hổng và cập nhật hồ sơ đánh giá tác động nếu biện pháp bảo vệ thay đổi.
4. Checklist quản trị rủi ro bên thứ ba rút ra từ vụ British Airways bị phạt#
Các câu hỏi dưới đây bám vào hai điểm vào của vụ British Airways và Marriott: tài khoản của đối tác và hệ thống chưa được kiểm tra. Bộ phận mua sắm, IT và pháp chế có thể dùng khi ký mới hoặc rà soát định kỳ hợp đồng vendor.
[ ] 1. Đã có danh sách mọi tài khoản của đối tác có thể truy cập hệ thống, đặc biệt qua VPN, Citrix, RDP hoặc cổng quản trị từ xa chưa?
[ ] 2. Mọi tài khoản của vendor có bắt buộc MFA và chỉ được cấp quyền đúng phạm vi công việc không?
[ ] 3. Thỏa thuận với vendor có đủ các nội dung tại khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP (mục đích, loại dữ liệu, thời hạn xử lý và xóa, trách nhiệm bảo vệ, phối hợp khi có vi phạm) không?
[ ] 4. Hợp đồng có ấn định thời hạn vendor phải báo sự cố (ví dụ 24 giờ), quyền kiểm tra của doanh nghiệp và nghĩa vụ bồi hoàn khi lỗi thuộc về vendor không?
[ ] 5. Script và SDK của bên thứ ba trên trang thanh toán, đăng ký có được kiểm soát bằng Content Security Policy, Subresource Integrity và cảnh báo khi mã thay đổi không?
[ ] 6. Vendor có chứng chỉ an toàn thông tin độc lập (ISO 27001, SOC 2, PCI DSS nếu xử lý thẻ) còn hiệu lực không?
[ ] 7. Đã diễn tập tình huống sự cố 72 giờ có vendor tham gia chưa?
[ ] 8. Khi chấm dứt hợp đồng, có quy trình thu hồi tài khoản, API token và nhận xác nhận xóa dữ liệu từ vendor không?
[ ] 9. Trước thương vụ mua lại, đã kiểm tra kỹ thuật hệ thống của bên bị mua (dấu hiệu xâm nhập, dữ liệu chưa mã hóa) chưa?
Nếu mới bắt đầu, nên làm câu 1 và 2 trước: đó chính là điểm vào trong vụ British Airways bị phạt. Nội dung diễn tập ở câu 7 có thể lồng vào chương trình đào tạo bảo vệ dữ liệu cá nhân và diễn tập sự cố cho đội ngũ nội bộ.
