Data Breach là gì? Quy tắc 72 giờ báo cáo sự cố theo Luật PDPD 2025

Data Breach là gì? Các dạng sự cố lộ lọt dữ liệu thường gặp

Nắm rõ data breach là gì và quy tắc 72 giờ giúp mọi tổ chức vận hành hệ thống thông tin có cơ chế phản ứng khẩn cấp kịp thời. Căn cứ Điều 23 Luật 91/2025/QH15, phản ứng nhanh trong 72 giờ đầu tiên là yếu tố sống còn giúp doanh nghiệp vừa kiểm soát thiệt hại an ninh mạng, vừa tránh được các án phạt pháp lý kịch khung.

Các sự cố thường gặp rơi vào một số dạng lặp lại:

• Lộ mật khẩu, lừa đảo (phishing): kẻ tấn công đăng nhập email, CRM, trang quản trị cloud bằng tài khoản bị đánh cắp.
• Mã độc tống tiền (ransomware): dữ liệu bị mã hóa và thường đã bị sao chép ra ngoài trước khi đòi tiền chuộc.
• Cấu hình cloud sai: kho lưu trữ, cơ sở dữ liệu hoặc bản sao lưu để mở công khai trên Internet.
• Gửi nhầm: phiếu lương, hợp đồng, kết quả xét nghiệm gửi nhầm người; tệp chia sẻ ở chế độ "ai có đường link cũng xem được".
• Nhân sự nội bộ: nhân viên tải danh sách khách hàng trước khi nghỉ việc hoặc tra cứu dữ liệu không vì công việc.
• Mất thiết bị: laptop, điện thoại, USB không mã hóa.
• Sự cố tại nhà cung cấp: đơn vị tính lương, hosting, marketing giữ dữ liệu với tư cách bên xử lý bị tấn công.

Data breach là gì theo Điều 23: những vi phạm nào phải thông báo?

Luật 91/2025 không dùng thuật ngữ "data breach" như GDPR, mà dùng khái niệm vi phạm quy định về bảo vệ dữ liệu cá nhân, rộng hơn sự cố an ninh. Nghĩa vụ thông báo gồm hai tầng.

Tầng 72 giờ (Khoản 1 Điều 23). Bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu phải thông báo cho Cục A05 chậm nhất 72 giờ kể từ khi phát hiện. Bên xử lý phát hiện vi phạm phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý.

Tầng thông báo chung (Khoản 3 Điều 23). Cơ quan, tổ chức, cá nhân thông báo cho Cục A05 khi:

• phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân (điểm a);
• dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận giữa chủ thể dữ liệu với bên kiểm soát (điểm b);
• không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu (điểm c);
• trường hợp khác theo quy định của pháp luật (điểm d).

Ngoài ra, bên kiểm soát, bên kiểm soát và xử lý phải lập biên bản xác nhận việc xảy ra vi phạm và phối hợp với Cục A05 xử lý (Khoản 2 Điều 23). Mọi bên liên quan đều có trách nhiệm ngăn chặn vi phạm và khắc phục hậu quả (Khoản 4 Điều 23).

Quy tắc 72 giờ ứng phó và thông báo Data Breach cho cơ quan chức năng

Kế hoạch phản ứng khẩn cấp trong 72 giờ:

Các mốc giờ dưới đây là kế hoạch khuyến nghị của LexData; mốc bắt buộc theo luật được ghi rõ ở từng bước.

• 0h – 12h: Kích hoạt đội phản ứng sự cố (nội bộ hoặc DPO thuê ngoài), cô lập máy chủ bị xâm nhập, chặn luồng rò rỉ.
• 12h – 36h: Điều tra kỹ thuật số (Forensics), xác định số lượng cá nhân và loại dữ liệu bị ảnh hưởng.
• 36h – 60h: Soạn thảo thông báo vi phạm chính thức theo Mẫu số 08 (Điều 28 Nghị định 356/2025/NĐ-CP) gửi Cục A05 (Bộ Công an); hạn chót luật định là 72 giờ kể từ khi phát hiện.
• 60h – 72h: Thông báo cho các chủ thể dữ liệu bị ảnh hưởng và thực hiện chiến dịch truyền thông xử lý khủng hoảng. Thông báo cho chủ thể dữ liệu trong 72 giờ là bắt buộc khi sự cố liên quan dữ liệu vị trí, dữ liệu sinh trắc học (Điều 29 Nghị định 356/2025/NĐ-CP) hoặc dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (Khoản 3 Điều 8 Nghị định 356/2025/NĐ-CP); với các sự cố khác, luật không ấn định mốc 72 giờ cho việc này và đây là khuyến nghị.

Đồng hồ bắt đầu chạy từ lúc phát hiện, không phải lúc điều tra xong. Thực tế, thời gian thường bị mất nhiều nhất ở khoảng giữa cảnh báo đầu tiên và lúc ban lãnh đạo xác định đây là vi phạm phải thông báo. Doanh nghiệp nên quy định trước ai có thẩm quyền ra quyết định này và ghi lại thời điểm phát hiện ngay khi có bằng chứng đáng tin cậy đầu tiên.

Nội dung thông báo data breach theo Mẫu số 08

Thông báo lập theo Mẫu số 08 tại Phụ lục Nghị định 356/2025/NĐ-CP. Theo Điều 28 Nghị định, thông báo phải mô tả:

1. Tính chất vi phạm: thời gian, địa điểm, hành vi, tổ chức, cá nhân liên quan, loại và số lượng dữ liệu cá nhân liên quan.
2. Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân, chẳng hạn DPO.
3. Hậu quả, thiệt hại có thể xảy ra.
4. Biện pháp đã áp dụng để giải quyết, giảm thiểu tác hại.

Thông báo được gửi đến Cục A05 hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân (Khoản 2 Điều 28). Hãy điền những gì đã biết tại thời điểm hạn chót thay vì chờ báo cáo điều tra đầy đủ, và cập nhật hồ sơ khi có thông tin mới để thông tin gửi Cục A05 luôn nhất quán. Bài viết mẫu thông báo sự cố rò rỉ dữ liệu gửi Cục A05 và chủ thể dữ liệu có mẫu soạn sẵn để tham khảo.

Thông báo cho khách hàng, người lao động bị ảnh hưởng

Luật 91 tập trung vào nghĩa vụ thông báo cơ quan chức năng; Nghị định 356 bổ sung nghĩa vụ thông báo cho cá nhân trong hai trường hợp:

• Dữ liệu vị trí và dữ liệu sinh trắc học: thông báo cho chủ thể dữ liệu bị ảnh hưởng trong 72 giờ kể từ khi phát hiện, đồng thời báo cáo Cục A05 theo Điều 28 (điểm a, b Khoản 1 Điều 29). Quy định này áp dụng cho mọi sự cố loại này, không phụ thuộc ngưỡng tổn hại tại Khoản 1 Điều 23. Nếu không thể kịp vì lý do kỹ thuật hoặc khẩn cấp, phải thông báo công khai trên website, ứng dụng của tổ chức và gửi thông báo ngay khi điều kiện cho phép. Hồ sơ vi phạm lưu tối thiểu 05 năm kể từ khi khắc phục xong (Điều 29 Nghị định 356/2025/NĐ-CP). Thông báo cho cá nhân phải có tối thiểu: thời điểm và cách thức phát hiện; loại dữ liệu bị ảnh hưởng (vị trí, sinh trắc học hoặc cả hai); mức độ nghiêm trọng và rủi ro; biện pháp đã, đang và sẽ thực hiện; hướng dẫn chủ thể dữ liệu tự phòng ngừa; thông tin liên hệ của bộ phận bảo vệ dữ liệu (Khoản 2 Điều 29).
• Tài chính, ngân hàng, thông tin tín dụng: lộ, mất dữ liệu nhạy cảm phải thông báo cho Cục A05 và chủ thể dữ liệu trong 72 giờ (Khoản 3 Điều 8 Nghị định 356/2025/NĐ-CP). Xem thêm bảo vệ dữ liệu cá nhân ngành ngân hàng.

Với các trường hợp khác, thông báo cho cá nhân là khuyến nghị chứ không có hạn chót cố định. Thông báo tốt cần cho người nhận biết chuyện gì đã xảy ra, dữ liệu nào bị ảnh hưởng, doanh nghiệp đang làm gì và họ nên làm gì, chẳng hạn đổi mật khẩu hoặc cảnh giác với cuộc gọi giả danh. Doanh nghiệp bảo hiểm xử lý dữ liệu sức khỏe nên xem thêm bảo vệ dữ liệu cá nhân ngành bảo hiểm.

Mức phạt khi không thông báo data breach

Nghị định 330/2026/NĐ-CP quy định mức phạt đối với tổ chức tại Điều 54:

• 10–20 triệu đồng: bên xử lý không thông báo kịp thời cho bên kiểm soát; bên kiểm soát không lập biên bản xác nhận vi phạm; báo cáo sự cố nhưng cố ý che giấu, cung cấp sai quy mô, loại dữ liệu (Khoản 1).
• 20–40 triệu đồng: không thông báo cho Cục A05 khi phát hiện vi phạm, khi dữ liệu bị xử lý sai mục đích hoặc quyền chủ thể dữ liệu bị xâm phạm (Khoản 2).
• 40–60 triệu đồng: thông báo cho Cục A05 chậm hơn 72 giờ kể từ khi phát hiện vi phạm gây hoặc có thể gây tổn hại đến an ninh, trật tự, tính mạng, sức khỏe, danh dự, tài sản của chủ thể dữ liệu (Khoản 3).
• 60–80 triệu đồng: không thực hiện biện pháp ngăn chặn, không khắc phục hậu quả hoặc không phối hợp với cơ quan chuyên trách (Khoản 4).

Ngoài tiền phạt về thông báo, doanh nghiệp còn có thể phải bồi thường cho khách hàng; xem làm lộ thông tin khách hàng thì ai chịu trách nhiệm.

Các lĩnh vực đặc thù có mức phạt riêng 50–70 triệu đồng: không thông báo hoặc thông báo chậm quá 72 giờ cho Cục A05 và chủ thể dữ liệu khi lộ, mất dữ liệu nhạy cảm trong tài chính, ngân hàng, thông tin tín dụng, hoặc thông báo thiếu nội dung tối thiểu (điểm a, b Khoản 1 Điều 64); với dữ liệu vị trí, sinh trắc học: không thông báo trong 72 giờ, thông báo cho cá nhân thiếu nội dung tối thiểu, không lưu hồ sơ vi phạm 05 năm, không thông báo công khai khi không thể thông báo cho từng người (điểm đ đến điểm h Khoản 1 Điều 70).

Tự khắc phục về kỹ thuật không thay thế nghĩa vụ thông báo. Bản thân sự cố còn có thể bị xử phạt riêng, ví dụ theo quy định về biện pháp bảo vệ dữ liệu hoặc về chuyển dữ liệu ra nước ngoài nếu dữ liệu bị đưa ra ngoài lãnh thổ.

Chuẩn bị trước khi xảy ra data breach: checklist cho doanh nghiệp

1. Xây dựng kế hoạch ứng phó sự cố, nêu rõ người ra quyết định, người rà soát pháp lý và người nộp Mẫu số 08.
2. Lập cây quyết định theo ngưỡng Khoản 1 Điều 23 để đội ngũ xác định nhanh sự cố có thuộc diện thông báo 72 giờ hay không.
3. Soạn sẵn mẫu thông báo với thông tin doanh nghiệp và đầu mối liên hệ bảo vệ dữ liệu.
4. Quy định thời hạn báo sự cố cho bên xử lý trong mọi hợp đồng xử lý dữ liệu (DPA), thông lệ là 24–48 giờ.
5. Biết dữ liệu nằm ở đâu. Sổ ghi hoạt động xử lý (RoPA) cập nhật giúp xác định nhanh nhóm dữ liệu, số người bị ảnh hưởng.
6. Lưu nhật ký hệ thống đủ lâu để truy vết và bảo vệ khỏi bị chỉnh sửa.
7. Diễn tập ít nhất mỗi năm một lần, gồm cả tình huống xảy ra vào cuối tuần, ngày lễ.