Tình huống: nhân viên IT xóa dữ liệu ngay trước ngày nghỉ việc
Một kịch bản không hiếm trong thực tế: nhân viên IT sắp nghỉ việc, trong những ngày cuối cùng tại công ty, tự ý xóa cơ sở dữ liệu, xóa bản backup hoặc làm hỏng phần mềm quản lý của doanh nghiệp. Công ty phát hiện hệ thống tê liệt, dữ liệu khách hàng “bốc hơi”. Câu hỏi đặt ra: đây là tranh chấp dân sự, vi phạm kỷ luật lao động, hay đã đủ dấu hiệu của tội phạm hình sự?
Câu trả lời không phải lúc nào cũng là “đi tù”. Pháp luật Việt Nam phân định rất rõ ranh giới giữa xử lý dân sự – lao động và truy cứu hình sự, dựa trên các ngưỡng định lượng cụ thể.
Khi nào hành vi xóa dữ liệu là tội phạm hình sự?
Điều luật hình sự chính áp dụng cho hành vi này là Điều 287 Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017) – tội cản trở hoặc gây rối loạn hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử. Cấu thành tội phạm mô tả trực tiếp hành vi “tự ý xóa, làm tổn hại hoặc thay đổi phần mềm, dữ liệu điện tử”.
Ngưỡng định lượng bắt buộc tại khoản 1 Điều 287
Xóa dữ liệu không đương nhiên là tội phạm. Để cấu thành tội phạm theo khoản 1 (phạt tù từ 06 tháng đến 03 năm hoặc phạt tiền từ 30 triệu đến 200 triệu đồng), hành vi phải đạt một trong các ngưỡng sau:
- Thu lợi bất chính từ 50 triệu đồng đến dưới 200 triệu đồng;
- Gây thiệt hại từ 100 triệu đồng đến dưới 500 triệu đồng;
- Làm tê liệt, gián đoạn hoạt động của mạng máy tính, mạng viễn thông từ 30 phút đến dưới 24 giờ, hoặc từ 03 lần đến dưới 10 lần trong thời hạn 24 giờ;
- Làm đình trệ hoạt động của cơ quan, tổ chức từ 24 giờ đến dưới 72 giờ;
- Đã bị xử phạt vi phạm hành chính về hành vi này hoặc đã bị kết án về tội này, chưa được xóa án tích mà còn vi phạm.
Dưới các ngưỡng trên, hành vi chỉ bị xử lý dân sự và kỷ luật lao động (xem phần dưới).
Nhân viên IT có quyền quản trị: khung hình phạt tăng nặng
Khoản 2 Điều 287 quy định khung phạt tù từ 03 năm đến 07 năm khi phạm tội thuộc tình tiết “lợi dụng quyền quản trị mạng máy tính, mạng viễn thông”. Đây chính là trường hợp điển hình của nhân viên IT, quản trị hệ thống lạm dụng quyền truy cập được giao để xóa dữ liệu. Nói cách khác, càng có quyền cao trong hệ thống, trách nhiệm hình sự càng nặng khi lạm dụng quyền đó.
Khi nào chỉ xử lý dân sự và kỷ luật lao động?
Khi thiệt hại chưa đạt ngưỡng hình sự, doanh nghiệp vẫn có đầy đủ công cụ pháp lý để bảo vệ mình:
- Bồi thường thiệt hại ngoài hợp đồng theo Điều 584 – 588 Bộ luật Dân sự 2015, hoặc bồi thường do vi phạm nghĩa vụ theo hợp đồng lao động, thỏa thuận bảo mật (Điều 360 Bộ luật Dân sự 2015);
- Sa thải theo Điều 125 Bộ luật Lao động 2019 khi người lao động tiết lộ bí mật công nghệ, kinh doanh hoặc gây thiệt hại nghiêm trọng;
- Bồi thường trách nhiệm vật chất theo Điều 129 Bộ luật Lao động 2019: làm hư hỏng tài sản thì bồi thường theo giá thị trường; trường hợp sơ suất không nghiêm trọng (giá trị thiệt hại không quá 10 tháng lương tối thiểu vùng) thì bồi thường tối đa 03 tháng tiền lương.
Lưu ý quan trọng: Điều 105 Bộ luật Dân sự 2015 liệt kê tài sản gồm vật, tiền, giấy tờ có giá và quyền tài sản – dữ liệu số không được định nghĩa rõ là tài sản. Vì vậy, khi đòi bồi thường, doanh nghiệp không nên đưa ra “công thức định giá dữ liệu” tự nghĩ, mà tính theo chi phí khôi phục hệ thống, dữ liệu cộng với thiệt hại kinh doanh chứng minh được bằng chứng từ, sổ sách.
Đã nghỉ việc rồi mới truy cập và xóa: chuyển sang Điều 289
Cần phân biệt hai thời điểm. Nếu nhân viên đã nghỉ việc, đã hết quyền truy cập hợp pháp mà vẫn vượt qua cảnh báo, mã truy cập, tường lửa hoặc biện pháp bảo vệ khác để xâm nhập hệ thống rồi xóa dữ liệu, hành vi có thể bị xử lý theo Điều 289 Bộ luật Hình sự – tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác. Bản thân Điều 287 cũng loại trừ trường hợp thuộc phạm vi Điều 286 và Điều 289, nên việc xác định thời điểm mất quyền truy cập hợp pháp là mấu chốt.
Checklist 6 bước cho doanh nghiệp khi phát hiện dữ liệu bị xóa
- Bảo toàn chứng cứ ngay lập tức: ngắt quyền truy cập của người liên quan, niêm phong hiện trạng hệ thống;
- Sao lưu log hệ thống, lịch sử phân quyền: chứng minh ai đã thực hiện hành vi xóa, vào thời điểm nào, bằng quyền gì;
- Định giá thiệt hại: chi phí khôi phục, thời gian gián đoạn, thiệt hại kinh doanh – có chứng từ;
- Yêu cầu bồi thường: gửi văn bản yêu cầu người lao động bồi thường thiệt hại;
- Tố cáo: gửi đơn tố giác tội phạm đến cơ quan công an nếu có dấu hiệu đạt ngưỡng Điều 287 hoặc Điều 289;
- Khởi kiện: khởi kiện dân sự đòi bồi thường thiệt hại song song hoặc độc lập.
Chứng cứ số (log, file hệ thống) nên được lập vi bằng hoặc giám định tư pháp để bảo đảm giá trị chứng minh trước cơ quan tiến hành tố tụng.
Biện pháp phòng ngừa cho doanh nghiệp
- Áp dụng nguyên tắc phân quyền tối thiểu: mỗi nhân viên chỉ có quyền truy cập đúng phần việc của mình;
- Sao lưu dữ liệu offsite định kỳ, tách khỏi quyền kiểm soát của một cá nhân;
- Thu hồi toàn bộ quyền truy cập ngay khi nhân viên nghỉ việc, đổi mật khẩu các tài khoản dùng chung;
- Đưa điều khoản bảo mật, cấm xóa/hủy dữ liệu vào hợp đồng lao động và nội quy lao động.
Ghi chú về thời điểm “trước khi nghỉ việc”
Thời điểm “trước khi nghỉ việc” không phải tình tiết định tội hay định khung trong Bộ luật Hình sự. Ý nghĩa pháp lý của nó nằm ở chỗ chứng minh động cơ của người thực hiện và xác định tại thời điểm xóa dữ liệu, người đó còn hay đã hết quyền truy cập hợp pháp – từ đó phân định áp dụng Điều 287 hay Điều 289. Trong học thuật có quan điểm đề xuất tiếp cận hành vi này qua Điều 288, tuy nhiên hành vi xóa dữ liệu khớp trực tiếp với cấu thành “tự ý xóa… dữ liệu điện tử” tại Điều 287, đây là điều luật được áp dụng chính.
Tuyên bố miễn trừ trách nhiệm: Nội dung bài viết chỉ nhằm mục đích cung cấp thông tin pháp lý chung, không cấu thành tư vấn pháp lý cho bất kỳ trường hợp cụ thể nào. Văn bản pháp luật có thể được sửa đổi, bổ sung; độc giả nên tham khảo ý kiến luật sư trước khi áp dụng. Bài viết được rà soát bởi FLAW AI Legal Council.
Cần tư vấn cho trường hợp của doanh nghiệp bạn? Liên hệ FLAT Law Firm – đặt lịch tư vấn.
