Tình huống: Công ty fintech nhận được quyết định xử phạt vi phạm hành chính về bảo vệ dữ liệu cá nhân: bị phạt tiền vì “thu thập dữ liệu cá nhân vượt quá phạm vi cần thiết” và “không đánh giá tác động xử lý dữ liệu cá nhân”. Tổng mức phạt đáng kể, kèm biện pháp buộc khắc phục. Ban lãnh đạo cho rằng một số nội dung chưa chính xác. Khiếu nại thế nào, và khắc phục ra sao?
1. Đánh giá quyết định: khiếu nại điểm nào, bỏ điểm nào
(a) Rà soát căn cứ pháp lý: đối chiếu từng hành vi bị phạt với Luật 91/2025/QH15, NĐ 356/2025 và NĐ 330/2026 — điều khoản nào áp dụng, mức phạt có đúng khung không, thẩm quyền ban hành quyết định có đúng không, thời hiệu xử phạt còn không. (b) Rà soát chứng cứ: biên bản vi phạm có được lập đúng thủ tục không, chứng cứ có đủ không. (c) Chiến lược: chỉ khiếu nại những điểm có căn cứ và chứng cứ — khiếu nại “đại trà” mọi điểm mà không có lý lẽ chỉ làm mất thời gian và uy tín. Những điểm đúng thì nhận và khắc phục ngay (thể hiện thiện chí, có lợi khi xem xét giảm nhẹ).
2. Thủ tục khiếu nại: hai cấp
(a) Khiếu nại lần đầu tới người đã ra quyết định/thủ trưởng cơ quan đã xử phạt — trình bày căn cứ, đính kèm chứng cứ (tài liệu chứng minh đã tuân thủ, đánh giá tác động đã thực hiện…). (b) Nếu không đồng ý với kết quả giải quyết lần đầu — khiếu nại lần hai lên cấp trên trực tiếp, hoặc khởi kiện tại Tòa án hành chính. Lưu ý thời hiệu khiếu nại (thường 90 ngày từ khi nhận quyết định — kiểm tra quy định hiện hành) — quá hạn là mất quyền. Trong thời gian khiếu nại, quyết định xử phạt vẫn phải thi hành trừ khi được tạm đình chỉ — đừng vì khiếu nại mà không nộp phạt/khắc phục đúng hạn rồi bị cưỡng chế thêm.
3. Kế hoạch khắc phục: biến phạt thành tuân thủ
(a) Thực hiện đánh giá tác động xử lý dữ liệu cá nhân đầy đủ theo Luật 91/2025 (nếu chưa có). (b) Rà soát và thu hẹp phạm vi thu thập — chỉ thu thập dữ liệu cần thiết cho mục đích đã thông báo (nguyên tắc giới hạn mục đích). (c) Cập nhật thông báo xử lý dữ liệu và cơ chế đồng ý của khách hàng. (d) Bổ nhiệm nhân sự/bộ phận phụ trách bảo vệ dữ liệu cá nhân. Biến đợt xử phạt thành dự án tuân thủ toàn diện — vừa đáp ứng biện pháp buộc khắc phục, vừa phòng ngừa tái phạm (tái phạm bị phạt nặng hơn).
Câu hỏi thường gặp
Bị phạt về dữ liệu cá nhân thì khiếu nại ở đâu?
Khiếu nại lần đầu tới người/thủ trưởng cơ quan đã ra quyết định xử phạt; không đồng ý thì khiếu nại lần hai lên cấp trên hoặc khởi kiện tại Tòa án hành chính. Chú ý thời hiệu khiếu nại (quá hạn mất quyền) và quyết định vẫn phải thi hành trong lúc khiếu nại.
Khiếu nại điểm nào thì có cơ hội?
Những điểm có căn cứ pháp lý và chứng cứ: áp dụng sai điều khoản, sai khung phạt, sai thẩm quyền, hết thời hiệu, biên bản vi phạm sai thủ tục, hoặc chứng minh được công ty đã tuân thủ. Đừng khiếu nại đại trà không lý lẽ.
Khắc phục sau xử phạt gồm những gì?
Đánh giá tác động xử lý dữ liệu cá nhân; thu hẹp phạm vi thu thập theo nguyên tắc cần thiết; cập nhật thông báo và cơ chế đồng ý; bổ nhiệm nhân sự phụ trách bảo vệ dữ liệu. Thực hiện đầy đủ biện pháp buộc khắc phục trong quyết định.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng trước khi xuất bản.