Làm lộ thông tin khách hàng thì ai chịu trách nhiệm và chịu đến đâu?

Làm lộ thông tin khách hàng có thể kéo theo ba loại trách nhiệm: phạt hành chính hoặc, với một số hành vi cố ý, trách nhiệm hình sự, cùng với bồi thường thiệt hại (khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15). Ba loại này không rơi vào cùng một người. Doanh nghiệp (pháp nhân) là bên bị phạt hành chính và là bên khách hàng đòi bồi thường, kể cả khi lỗi trực tiếp thuộc về nhân viên hay nhà cung cấp dịch vụ. Theo Bộ luật Hình sự hiện hành, trách nhiệm hình sự chỉ đặt ra với cá nhân (nhân viên bán hoặc công khai dữ liệu, người quản lý chỉ đạo việc đó, kẻ xâm nhập hệ thống), không đặt ra với công ty.

Bảng mức phạt đầy đủ theo Nghị định 330/2026/NĐ-CP đã có ở cẩm nang mức phạt vi phạm dữ liệu cá nhân; bài này chỉ nêu các khung gắn với hành vi làm lộ và cập nhật theo văn bản có hiệu lực đến ngày 27/10/2026.

Làm lộ thông tin khách hàng bị xử lý theo những tầng trách nhiệm nào?#

Luật Bảo vệ dữ liệu cá nhân 2025 cấm "chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân" (khoản 7 Điều 7). Bên cạnh lệnh cấm này, bên kiểm soát dữ liệu phải áp dụng biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu và chịu trách nhiệm trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra (điểm c, điểm g khoản 1 Điều 37). Vì vậy, doanh nghiệp vẫn có thể bị xử lý khi làm lộ thông tin khách hàng do sơ suất hoặc do bị tấn công, không chỉ khi cố ý.

Tầng trách nhiệm	Ai có thể phải chịu	Căn cứ chính	Điều kiện đáng chú ý
Hành chính	Doanh nghiệp; cá nhân tự thực hiện hành vi (mức phạt bằng 1/2 tổ chức)	Điều 8 Luật 91/2025; Nghị định 330/2026/NĐ-CP	Thời hiệu xử phạt 01 năm (khoản 1 Điều 3 Nghị định 330)
Dân sự	Doanh nghiệp bồi thường cho khách hàng; sau đó có quyền đòi người có lỗi hoàn trả	Điều 584, 585, 592, 597, 600 Bộ luật Dân sự 2015; điểm g khoản 1 Điều 37 Luật 91/2025	Phải có thiệt hại thực tế; thời hiệu khởi kiện 03 năm (Điều 588 BLDS)
Hình sự	Chỉ cá nhân (nhân viên, người quản lý chỉ đạo, kẻ xâm nhập)	Điều 159, 288, 289, 291 Bộ luật Hình sự	Hành vi cố ý và đạt ngưỡng thu lợi, thiệt hại hoặc hậu quả; pháp nhân không thuộc diện (Điều 76)

Chữ "hoặc" ở khoản 1 Điều 8 nghĩa là cùng một hành vi của cùng một người không bị xử lý cả hành chính lẫn hình sự. Theo cách đọc của chúng tôi, doanh nghiệp vẫn có thể bị phạt vì không bảo vệ dữ liệu trong khi nhân viên bị truy cứu vì bán dữ liệu đó, vì đây là hai hành vi của hai chủ thể.

Doanh nghiệp làm lộ thông tin khách hàng bị phạt hành chính về hành vi nào?#

Nghị định 330/2026/NĐ-CP (hiệu lực từ 19/08/2026) không có một điều riêng tên là "làm lộ dữ liệu". Cơ quan xử phạt sẽ quy hành vi về điều khoản gần nhất với nguyên nhân gây lộ. Các mức trong mục bảo vệ dữ liệu cá nhân (Điều 39 đến Điều 71) là mức áp dụng cho tổ chức; cá nhân có cùng hành vi bị phạt bằng một phần hai (khoản 1 Điều 7).

Các khung sát với tình huống lộ lọt nhất:

• Không triển khai biện pháp bảo vệ phù hợp làm lộ, mất dữ liệu đã thu thập: 20–30 triệu đồng (điểm a khoản 2 Điều 47). Điều 47 nằm trong nhóm vi phạm về xử lý dữ liệu không cần sự đồng ý. Theo cách đọc của chúng tôi, khoản này vẫn có thể áp khi doanh nghiệp xử lý dựa trên sự đồng ý, nhưng chưa có hướng dẫn chính thức.
• Không có quy trình kiểm soát chia sẻ nội bộ, không có biện pháp ngăn nhân sự chia sẻ trái phép dữ liệu ra bên thứ ba: 20–30 triệu đồng (điểm b khoản 1 Điều 52).
• Cung cấp dữ liệu cho người khác khi chưa được chủ thể đồng ý: 20–30 triệu đồng; gấp đôi nếu là dữ liệu nhạy cảm (khoản 2, khoản 3 Điều 49).
• Thuê hoặc dùng cloud mà không áp dụng biện pháp ngăn truy cập trái phép, không mã hóa dữ liệu khách hàng khi lưu và khi truyền: 50–70 triệu đồng (điểm a, điểm b khoản 2 Điều 69). Hợp đồng với nhà cung cấp cloud không xác định vai trò, trách nhiệm, yêu cầu bảo mật: 20–50 triệu đồng (điểm b khoản 1 Điều 69).
• Sau sự cố: không thông báo, thông báo chậm quá 72 giờ, che giấu quy mô khi báo cáo, không ngăn chặn và khắc phục bị phạt theo Điều 54, với các khung từ 10–20 đến 60–80 triệu đồng. Riêng tài chính, ngân hàng, thông tin tín dụng có khung 50–70 triệu đồng (điểm a khoản 1 Điều 64, xem phần 72 giờ đầu).
• Lộ dữ liệu gắn với chuyển dữ liệu ra nước ngoài: khi doanh nghiệp không lập hồ sơ đánh giá tác động hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, mức phạt tính theo tỷ lệ 1% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam (khoản 3 Điều 56); nếu không có doanh thu tại Việt Nam hoặc mức tính theo tỷ lệ thấp hơn 03 tỷ đồng thì phạt từ 200 triệu đến 3 tỷ đồng tùy số chủ thể (khoản 4 Điều 56).

Nếu việc làm lộ thông tin khách hàng xuất phát từ việc có người đem bán dữ liệu, khung áp dụng là Điều 53 (mua, bán trái phép dữ liệu cá nhân), phân tích tại cẩm nang mua bán dữ liệu cá nhân. Tiền phạt có thể không phải khoản lớn nhất: biện pháp khắc phục như buộc thông báo cho toàn bộ chủ thể bị ảnh hưởng (điểm c khoản 5 Điều 53) và chi phí ứng phó sự cố cũng tốn kém.

Tội làm lộ thông tin cá nhân: Bộ luật Hình sự hiện hành xử lý những hành vi nào?#

Bộ luật Hình sự hiện hành (hợp nhất tại Văn bản hợp nhất số 135/VBHN-VPQH năm 2025) không có tội danh nào tên là "làm lộ thông tin cá nhân". Luật 86/2025/QH15 (hiệu lực 01/07/2025) không sửa các điều dưới đây và cũng không sửa Điều 76 về phạm vi trách nhiệm hình sự của pháp nhân. Các hành vi làm lộ thông tin khách hàng có thể bị xem xét theo:

• Điều 288 (đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông): điểm b khoản 1 xử lý hành vi "mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hóa thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân trên mạng máy tính, mạng viễn thông mà không được phép của chủ sở hữu thông tin đó". Chỉ cấu thành tội khi thu lợi bất chính từ 50 triệu đồng, gây thiệt hại từ 100 triệu đồng, hoặc gây dư luận xấu làm giảm uy tín của cơ quan, tổ chức, cá nhân. Khung cơ bản: phạt tiền 30–200 triệu đồng, cải tạo không giam giữ đến 03 năm hoặc tù 06 tháng đến 03 năm. Khung tăng nặng tới 07 năm tù, ví dụ khi có tổ chức, lợi dụng quyền quản trị mạng, thu lợi từ 200 triệu đồng hoặc gây thiệt hại từ 500 triệu đồng (khoản 2).
• Điều 291 (thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng): ngưỡng thấp hơn nhiều, từ 20 tài khoản hoặc thu lợi từ 20 triệu đồng; mức cao nhất là tù 02 đến 07 năm (khoản 3).
• Điều 159 (xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác): khi nhân viên lấy nội dung tin nhắn, cuộc gọi, thư của khách; chỉ thành tội nếu đã bị kỷ luật hoặc xử phạt hành chính về hành vi này mà còn vi phạm (khoản 1).
• Điều 289 (xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác): áp dụng cho kẻ tấn công, không cho doanh nghiệp bị tấn công.

Như vậy, cái mà nhiều người gọi là "tội làm lộ thông tin cá nhân" thực chất là một trong các tội trên, và theo cách đọc của chúng tôi, tội nào cũng đòi hỏi lỗi cố ý. Lộ dữ liệu vì cấu hình sai, quên mã hóa hay gửi nhầm file thường dừng ở trách nhiệm hành chính và dân sự. Nhân viên đăng thông tin khách lên mạng xã hội mà chưa đến mức truy cứu hình sự vẫn có thể bị phạt theo điểm a khoản 1 Điều 13 Nghị định 330 (đưa lên không gian mạng thông tin thuộc bí mật cá nhân).

Doanh nghiệp có bị truy cứu trách nhiệm hình sự khi làm lộ thông tin khách hàng không?#

Hiện tại là không. Pháp nhân thương mại chỉ chịu trách nhiệm hình sự về các tội liệt kê tại Điều 76 Bộ luật Hình sự (buôn lậu, trốn thuế, rửa tiền, một số tội về môi trường…). Danh sách này không có Điều 159, 288, 289 hay 291. Ngay cả với tội có trong danh sách, pháp nhân chỉ chịu trách nhiệm khi hành vi được thực hiện nhân danh, vì lợi ích và có sự chỉ đạo, điều hành hoặc chấp thuận của pháp nhân (khoản 1 Điều 75).

Nhân viên làm lộ thông tin khách hàng phải chịu những gì?#

Nhân viên làm lộ thông tin khách hàng có thể chịu bốn loại hậu quả:

1. Phạt hành chính với tư cách cá nhân. Thu thập, sử dụng, tiết lộ hoặc truy cập trái phép dữ liệu cá nhân của người khác gây thiệt hại: 20–30 triệu đồng (điểm a khoản 2 Điều 42 Nghị định 330, khoản này ghi rõ mức "đối với cá nhân"). Nếu bán dữ liệu, cá nhân bị phạt theo Điều 53 bằng một phần hai mức của tổ chức (khoản 1 Điều 7).
2. Trách nhiệm hình sự theo Điều 288 hoặc 291 nếu đạt ngưỡng nêu ở trên. Nhân viên IT có quyền quản trị hệ thống mà lợi dụng quyền đó thuộc khung tăng nặng (điểm b khoản 2 Điều 288).
3. Kỷ luật lao động. Bộ luật Lao động cho phép sa thải khi người lao động tiết lộ bí mật kinh doanh hoặc có hành vi gây thiệt hại nghiêm trọng về tài sản, lợi ích của người sử dụng lao động, với điều kiện hành vi đó được quy định trong nội quy lao động (khoản 2 Điều 125 Bộ luật Lao động). Luật không gọi tên dữ liệu khách hàng, và không được kỷ luật hành vi chưa có trong nội quy hoặc hợp đồng (khoản 3 Điều 127). Theo cách đọc của chúng tôi, nội quy nên ghi rõ hành vi làm lộ dữ liệu khách hàng vào nhóm sa thải.
4. Hoàn trả cho doanh nghiệp. Khi doanh nghiệp đã bồi thường cho khách, doanh nghiệp có quyền yêu cầu người có lỗi hoàn trả một khoản tiền theo quy định của pháp luật (Điều 597, Điều 600 Bộ luật Dân sự 2015). Mức hoàn trả của người lao động phải xét lỗi, thiệt hại thực tế, hoàn cảnh gia đình và tài sản của họ (khoản 1 Điều 130 Bộ luật Lao động).

Thỏa thuận bảo mật với nhân viên (khoản 2 Điều 21 Bộ luật Lao động) giúp chứng minh lỗi, nhưng không chuyển trách nhiệm trước khách hàng sang nhân viên.

Người quản lý, giám đốc và DPO có chịu trách nhiệm cá nhân không?#

• Hình sự: người quản lý chỉ huy hoặc xúi giục việc bán, trao đổi dữ liệu khách hàng là người đồng phạm với vai trò người tổ chức hoặc người xúi giục (khoản 3 Điều 17 Bộ luật Hình sự); nếu có sự câu kết chặt chẽ giữa những người cùng thực hiện (khoản 2 Điều 17) thì thuộc tình tiết "có tổ chức" ở khung tăng nặng, điểm a khoản 2 Điều 288. Người quản lý không biết và không tham gia thì không chịu trách nhiệm hình sự chỉ vì giữ chức vụ.
• Hành chính: Nghị định 330 phạt tổ chức vi phạm; chúng tôi không thấy điều khoản nào phạt riêng giám đốc hay người đại diện theo pháp luật vì vi phạm của công ty.
• Bộ phận, nhân sự bảo vệ dữ liệu cá nhân (DPO): Luật 91/2025 và Nghị định 356/2025/NĐ-CP giao nhiệm vụ cho DPO nhưng không đặt chế tài riêng cho họ khi doanh nghiệp để lộ dữ liệu. Theo cách đọc của chúng tôi, DPO chỉ chịu trách nhiệm nội bộ theo hợp đồng, trừ khi chính họ vi phạm.

Nếu không có văn bản phân công ai phân quyền truy cập, ai duyệt chia sẻ dữ liệu, ai báo cáo sự cố, doanh nghiệp làm lộ thông tin khách hàng sẽ khó chứng minh lỗi của cá nhân để đòi hoàn trả.

Doanh nghiệp làm lộ thông tin khách hàng phải bồi thường thế nào?#

Chủ thể dữ liệu có quyền khiếu nại, khởi kiện và yêu cầu bồi thường (điểm đ khoản 1 Điều 4 Luật 91/2025). Bên kiểm soát dữ liệu chịu trách nhiệm trước chủ thể về thiệt hại do quá trình xử lý gây ra (điểm g khoản 1 Điều 37). Việc tính bồi thường theo Bộ luật Dân sự:

• Căn cứ: có hành vi xâm phạm quyền, lợi ích hợp pháp và có thiệt hại (khoản 1 Điều 584). Các bên trong hợp đồng không được tiết lộ bí mật cá nhân của nhau đã biết khi thực hiện hợp đồng (khoản 4 Điều 38).
• Thiệt hại vật chất: bồi thường toàn bộ và kịp thời (khoản 1 Điều 585), ví dụ tiền bị chiếm đoạt sau khi lộ thông tin tài khoản, chi phí khóa thẻ, đổi giấy tờ.
• Thiệt hại do danh dự, nhân phẩm, uy tín bị xâm phạm: chi phí hợp lý để hạn chế, khắc phục; thu nhập bị mất; và khoản bù đắp tổn thất tinh thần do các bên thỏa thuận, nếu không thỏa thuận được thì tối đa 10 lần mức lương cơ sở cho mỗi người (Điều 592). Với mức lương cơ sở 2.530.000 đồng/tháng từ 01/07/2026, mức trần này là 25,3 triệu đồng mỗi người. Theo cách đọc của chúng tôi, khoản này chỉ đặt ra khi việc lộ thông tin thực sự xâm phạm danh dự, nhân phẩm, uy tín của khách hàng (ví dụ lộ dữ liệu sức khỏe, đời sống riêng tư). Bộ luật Dân sự không có điều riêng về thiệt hại do xâm phạm đời sống riêng tư (Điều 38), và 10 lần lương cơ sở là mức tối đa khi các bên không thỏa thuận được, không phải mức mặc định cho mỗi người.
• Giảm trừ: khách hàng không được bồi thường phần thiệt hại do lỗi của chính mình hoặc do không áp dụng biện pháp hợp lý để hạn chế thiệt hại (khoản 4, khoản 5 Điều 585), ví dụ tiếp tục đưa mã OTP cho kẻ gian sau khi đã được cảnh báo.
• Nhiều bên cùng gây ra: doanh nghiệp và bên xử lý dữ liệu, hoặc doanh nghiệp và nhân viên, có thể phải liên đới bồi thường theo mức độ lỗi (Điều 587).
• Thời hiệu: 03 năm kể từ ngày khách hàng biết hoặc phải biết quyền lợi bị xâm phạm (Điều 588). Ngày khách hàng nhận thông báo sự cố thường sẽ được xem là thời điểm họ biết quyền lợi bị xâm phạm.

Khi nhân viên làm lộ thông tin khách hàng trong khi thực hiện công việc được giao, doanh nghiệp bồi thường trước rồi mới đòi lại (Điều 597, Điều 600 BLDS). Nếu nhân viên tự ý bán dữ liệu vì lợi ích riêng, doanh nghiệp có thể lập luận hành vi nằm ngoài nhiệm vụ được giao; theo cách đọc của chúng tôi, lập luận này khó thành công nếu doanh nghiệp đã cấp quyền truy cập rộng hơn mức cần thiết (Điều 37 Luật 91/2025).

Vendor hoặc đối tác để lộ dữ liệu thì doanh nghiệp có thoát trách nhiệm không?#

Không thoát với khách hàng. Luật 91/2025 chia trách nhiệm theo hai chiều: bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu, còn bên xử lý chịu trách nhiệm trước bên kiểm soát về thiệt hại do quá trình xử lý gây ra (điểm g khoản 1 và điểm d khoản 2 Điều 37). Bên kiểm soát còn phải chọn bên xử lý phù hợp (điểm đ khoản 1 Điều 37). Khi đơn vị gửi tin nhắn, CRM, call center hay cloud làm lộ thông tin khách hàng, doanh nghiệp chịu trước rồi đòi vendor theo hợp đồng.

Vì vậy, một hợp đồng xử lý dữ liệu (DPA) nên có: biện pháp bảo mật cụ thể, nghĩa vụ báo sự cố cho doanh nghiệp ngay khi phát hiện (bên xử lý chỉ được luật yêu cầu "kịp thời", khoản 1 Điều 23), quyền kiểm tra, điều khoản bồi hoàn chi phí thông báo, phạt hành chính và bồi thường cho khách, ràng buộc với nhà thầu phụ. Thiếu những điều khoản này, chính doanh nghiệp có thể bị phạt (điểm a khoản 1 Điều 52, điểm b khoản 1 Điều 69 Nghị định 330). Doanh nghiệp bán hàng cho người tiêu dùng còn chịu thêm Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15: việc ủy quyền hoặc thuê bên thứ ba thu thập, lưu trữ, sử dụng thông tin người tiêu dùng phải được người tiêu dùng đồng ý và phải lập văn bản quy định rõ phạm vi, trách nhiệm của mỗi bên (khoản 2 Điều 15). Xem thêm quy trình 4 bước đánh giá rủi ro vendor và case study British Airways, Marriott.

Ba tình huống minh họa khi doanh nghiệp làm lộ thông tin khách hàng#

Tình huống minh họa 1: nhân viên sale bán danh sách khách hàng#

Nhân viên kinh doanh của một công ty bất động sản xuất 8.000 số điện thoại khách từ CRM, bán cho sàn môi giới khác lấy 60 triệu đồng.

• Nhân viên: đã vượt ngưỡng thu lợi 50 triệu đồng của điểm b khoản 1 Điều 288 nên có thể bị truy cứu hình sự. Nếu chưa đến mức đó, nhân viên bị phạt hành chính theo Điều 53 (mức của cá nhân). Công ty có thể sa thải nếu nội quy quy định, và đòi hoàn trả số tiền đã bồi thường cho khách.
• Bên mua dữ liệu: bị xử lý về hành vi mua dữ liệu (Điều 53 Nghị định 330; Điều 288 nếu đủ yếu tố). Rủi ro của bên mua đã phân tích tại bài về mua bán data khách hàng trong telesale bất động sản.
• Công ty: không bị truy cứu hình sự, nhưng có thể bị phạt nếu không có biện pháp ngăn nhân sự chia sẻ trái phép (điểm b khoản 1 Điều 52) và phải bồi thường cho khách hàng có thiệt hại.

Tình huống minh họa 2: hệ thống bị tấn công vì không vá lỗi#

Website bán hàng của một chuỗi bán lẻ dùng plugin có lỗ hổng đã công bố từ nhiều tháng trước nhưng chưa cập nhật. Kẻ tấn công lấy được tên, địa chỉ, số điện thoại của 120.000 khách.

• Kẻ tấn công: Điều 289 (xâm nhập trái phép) và có thể Điều 288 nếu đem bán hoặc công khai dữ liệu.
• Doanh nghiệp: là bị hại về hình sự nhưng vẫn vi phạm về hành chính, vì không vá lỗ hổng đã biết khó được coi là đã áp dụng "biện pháp quản lý, kỹ thuật phù hợp" (điểm c khoản 1 Điều 37 Luật 91/2025). Khung có thể áp dụng là điểm a khoản 2 Điều 47; nếu dữ liệu nằm trên cloud mà không mã hóa thì áp điểm b khoản 2 Điều 69. Với 120.000 khách bị lộ số điện thoại và địa chỉ, nguy cơ lừa đảo nhắm vào tài sản của khách là rõ, nên theo cách đọc của chúng tôi doanh nghiệp phải thông báo cho Cục A05 trong 72 giờ (khoản 1 Điều 23 Luật 91/2025). Hệ thống chứa thông tin người tiêu dùng bị tấn công còn phải được báo cơ quan quản lý nhà nước có thẩm quyền trong 24 giờ kể từ khi phát hiện (khoản 3 Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng); theo cách đọc của chúng tôi, hai nghĩa vụ cùng áp dụng (khoản 2 Điều 5 Luật 91/2025).
• Bồi thường: khách hàng phải chứng minh thiệt hại và mối liên hệ nhân quả giữa sự cố với một vụ lừa đảo cụ thể; đây thường là điểm tranh chấp chính.

Tình huống minh họa 3: đơn vị gửi tin nhắn để lộ dữ liệu khách hàng#

Một phòng khám thuê công ty dịch vụ gửi tin nhắn nhắc lịch hẹn. Công ty này để máy chủ lưu danh sách bệnh nhân kèm lịch khám mở công khai trên Internet.

• Phòng khám (bên kiểm soát): vẫn chịu trách nhiệm trước bệnh nhân và có nghĩa vụ thông báo sự cố. Dữ liệu sức khỏe là dữ liệu nhạy cảm, nên khả năng khách hàng yêu cầu bù đắp tổn thất tinh thần và rủi ro bị xử phạt đều lớn hơn. Nếu hợp đồng không có điều khoản bảo vệ dữ liệu, phòng khám còn có thể bị phạt riêng về thỏa thuận chuyển giao (điểm a khoản 1 Điều 52).
• Công ty gửi tin nhắn (bên xử lý): bị phạt nếu không báo kịp thời cho phòng khám (điểm a khoản 1 Điều 54) và có thể bị phạt về biện pháp bảo vệ, ví dụ điểm a khoản 2 Điều 69 nếu máy chủ là dịch vụ cloud không chặn truy cập trái phép; chịu trách nhiệm bồi hoàn cho phòng khám theo hợp đồng và theo điểm d khoản 2 Điều 37 Luật 91/2025.

Phát hiện làm lộ thông tin khách hàng: cần làm gì trong 72 giờ đầu?#

Sau khi phát hiện làm lộ thông tin khách hàng, thứ tự việc cần làm ảnh hưởng trực tiếp đến mức xử lý. Chi tiết quy trình có tại cẩm nang Data Breach và quy tắc 72 giờ; tóm tắt:

1. Chặn nguồn lộ và giữ chứng cứ: khóa tài khoản, thu hồi quyền truy cập, sao lưu log trước khi sửa hệ thống. Xem bài về forensics sau sự cố rò rỉ.
2. Lập biên bản xác nhận vi phạm (khoản 2 Điều 23 Luật 91/2025). Không lập biên bản bị phạt 10–20 triệu đồng (điểm b khoản 1 Điều 54 Nghị định 330).
3. Đánh giá có phải thông báo không: bắt buộc thông báo cho cơ quan chuyên trách trong 72 giờ khi vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể hoặc gây tổn hại quốc phòng, an ninh, trật tự (khoản 1 Điều 23), theo Mẫu số 08 Nghị định 356/2025/NĐ-CP (Điều 28). Báo cáo phải trung thực: che giấu quy mô hay số người bị ảnh hưởng là một hành vi bị phạt riêng (điểm c khoản 1 Điều 54).
4. Thông báo cho khách hàng: bắt buộc trong 72 giờ trong hai trường hợp: sự cố liên quan đến dữ liệu vị trí hoặc sinh trắc học (Điều 29 Nghị định 356); lộ, mất dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (khoản 3 Điều 8 Nghị định 356; điểm d khoản 1 Điều 27 Luật 91/2025). Không thông báo trong trường hợp thứ hai bị phạt 50–70 triệu đồng (điểm a khoản 1 Điều 64 Nghị định 330). Với dữ liệu khác, thông báo sớm giúp khách hạn chế thiệt hại, cũng là cách hạn chế phần bồi thường của doanh nghiệp. Mẫu văn bản có tại bài mẫu thông báo sự cố rò rỉ dữ liệu cá nhân.
5. Tố giác tội phạm khi có dấu hiệu nhân viên bán dữ liệu hoặc hệ thống bị xâm nhập, và yêu cầu vendor liên quan báo cáo bằng văn bản.
6. Khắc phục và lưu hồ sơ: không ngăn chặn, không khắc phục hậu quả bị phạt 60–80 triệu đồng (khoản 4 Điều 54).

Để giảm rủi ro làm lộ thông tin khách hàng trước khi có sự cố, doanh nghiệp có thể tham khảo dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân cho doanh nghiệp của LexData. Danh mục biện pháp kỹ thuật và tổ chức tham khảo tại cẩm nang biện pháp bảo vệ dữ liệu cá nhân.

Câu hỏi thường gặp về làm lộ thông tin khách hàng#

Ngân hàng, fintech để lộ thông tin cá nhân bị phạt thế nào và có phải báo cho khách không?#

Có. Tổ chức tài chính, ngân hàng, thông tin tín dụng phải thông báo cho khách khi lộ, mất thông tin về tài khoản ngân hàng, tài chính, tín dụng, thông tin tín dụng (điểm d khoản 1 Điều 27 Luật 91/2025). Với dữ liệu nhạy cảm, thời hạn thông báo cho cả Cục A05 và khách hàng là 72 giờ kể từ khi phát hiện (khoản 3 Điều 8 Nghị định 356). Không thông báo hoặc thông báo chậm bị phạt 50–70 triệu đồng (điểm a khoản 1 Điều 64 Nghị định 330), ngoài các khung phạt khác về nguyên nhân gây lộ. Nhân viên mua bán thông tin của từ 20 tài khoản có thể bị truy cứu theo Điều 291 Bộ luật Hình sự.

Lộ thông tin cá nhân bị phạt bao nhiêu nếu chỉ do gửi nhầm email cho một khách?#

Không có khung riêng cho sự cố nhỏ. Hành vi có thể bị quy vào khoản 2 Điều 49 (cung cấp dữ liệu khi chưa có sự đồng ý) hoặc điểm a khoản 2 Điều 47 (không có biện pháp bảo vệ phù hợp làm lộ dữ liệu), cùng khung 20–30 triệu đồng với tổ chức. Việc có phải thông báo cho Cục A05 hay không phụ thuộc vào khả năng gây tổn hại theo khoản 1 Điều 23 Luật 91/2025.