Dịch vụ ứng phó sự cố rò rỉ dữ liệu cá nhân (Data Breach)

Theo Điều 23 Luật 91/2025/QH15, mốc 72 giờ tính từ khi phát hiện hành vi vi phạm thuộc diện thông báo. Bên kiểm soát, bên kiểm soát và xử lý, bên thứ ba có nghĩa vụ tương ứng; bên xử lý phải thông báo kịp thời cho bên kiểm soát hoặc bên kiểm soát và xử lý. Cần kiểm tra thêm quy định chuyên biệt theo loại dữ liệu và ngành. Việc thuê đơn vị hỗ trợ không làm bắt đầu lại thời hạn.

Cần xác định loại dữ liệu, đối tượng bị ảnh hưởng và quy định chuyên biệt trước khi kết luận nghĩa vụ, thời điểm thông báo cho chủ thể dữ liệu. Không áp dụng một tiêu chí chung cho mọi sự cố. LexData hỗ trợ đối chiếu quy định và hợp đồng, đánh giá rủi ro và chuẩn bị nội dung thông báo phù hợp; nghĩa vụ này được xem xét riêng với thông báo cho cơ quan quản lý.

Tự khắc phục không thay thế nghĩa vụ thông báo khi thuộc diện. Điều 54 Nghị định 330/2026/NĐ-CP quy định mức phạt đối với tổ chức: 20–40 triệu đồng cho hành vi không thông báo thuộc khoản 2; 40–60 triệu đồng cho thông báo chậm quá 72 giờ thuộc khoản 3; 60–80 triệu đồng cho việc không ngăn chặn, khắc phục hoặc không phối hợp thuộc khoản 4. Khoản 3 áp dụng với vi phạm gây hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Cần xác định đúng hành vi, vai trò và điều kiện áp dụng; không cộng các khung phạt một cách mặc định.