Tình huống: Công ty thương mại điện tử phát hiện cơ sở dữ liệu khách hàng bị truy cập trái phép — thông tin của 10.000 khách hàng (họ tên, số điện thoại, địa chỉ, lịch sử mua hàng) bị đánh cắp và đang được rao bán trên một diễn đàn hacker. Pháp chế hỏi: theo Luật Bảo vệ dữ liệu cá nhân, công ty phải thông báo cho ai, trong thời hạn nào, và không thông báo thì bị gì?
1. Nghĩa vụ thông báo: cho ai và khi nào
Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) và các văn bản hướng dẫn (NĐ 356/2025/NĐ-CP), khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân, bên kiểm soát/bên xử lý dữ liệu có nghĩa vụ thông báo cho cơ quan có thẩm quyền và chủ thể dữ liệu (khách hàng bị ảnh hưởng) theo trình tự, thủ tục quy định. Nội dung thông báo gồm: loại dữ liệu bị rò rỉ, số lượng chủ thể ảnh hưởng, biện pháp đã và đang áp dụng, khuyến nghị cho khách hàng (đổi mật khẩu, cảnh giác lừa đảo). Với 10.000 khách hàng, công ty cần kênh thông báo hàng loạt (email, SMS, thông báo trên website/ứng dụng) — không thể gọi điện từng người.
2. Không thông báo: chế tài xử phạt
Hành vi không thông báo khi có nghĩa vụ là tình tiết tăng nặng và có thể bị xử phạt vi phạm hành chính theo NĐ 330/2026/NĐ-CP (19/8/2026, xử phạt VPHC về bảo vệ dữ liệu cá nhân). Ngoài phạt tiền, công ty đối mặt: (a) trách nhiệm dân sự — khách hàng khởi kiện đòi bồi thường thiệt hại (bị lừa đảo do lộ thông tin); (b) thiệt hại uy tín — vụ rò rỉ 10.000 khách hàng một khi lên báo sẽ ảnh hưởng nghiêm trọng niềm tin; (c) trách nhiệm hình sự (nếu có hành vi cố ý làm lộ hoặc tiếp tay). “Giấu” vụ rò rỉ gần như luôn là lựa chọn tồi tệ nhất — khi bị phát hiện sau, mọi chế tài đều nặng hơn.
3. Đánh giá tác động và khắc phục: song song với thông báo
(a) Đánh giá: xác định nguồn rò rỉ (lỗ hổng nào, ai truy cập), phạm vi dữ liệu (có dữ liệu nhạy cảm không: CMND, tài khoản ngân hàng?), nguy cơ cho khách hàng. (b) Khắc phục kỹ thuật: vá lỗ hổng, đổi toàn bộ credential, rà soát log, thuê đánh giá an ninh độc lập. (c) Hỗ trợ khách hàng: đường dây nóng, hướng dẫn bảo vệ tài khoản, miễn phí dịch vụ giám sát tín dụng (nếu có). (d) Báo cáo nội bộ: rà soát lại đánh giá tác động xử lý dữ liệu cá nhân và biện pháp bảo vệ theo Luật 91/2025 — đây cũng là tài liệu chứng minh công ty đã tuân thủ khi làm việc với cơ quan quản lý.
Câu hỏi thường gặp
Rò rỉ dữ liệu 10.000 khách hàng phải thông báo cho ai?
Theo Luật 91/2025/QH15 và NĐ 356/2025: thông báo cho cơ quan có thẩm quyền và cho các chủ thể dữ liệu (khách hàng bị ảnh hưởng) theo trình tự quy định. Nội dung: loại dữ liệu, số lượng ảnh hưởng, biện pháp đã/đang áp dụng, khuyến nghị cho khách hàng.
Không thông báo thì bị gì?
Xử phạt VPHC theo NĐ 330/2026; trách nhiệm dân sự (khách hàng kiện đòi bồi thường); thiệt hại uy tín nghiêm trọng; và có thể trách nhiệm hình sự nếu cố ý làm lộ. Giấu vụ rò rỉ luôn là lựa chọn tồi tệ nhất.
Thông báo cho 10.000 khách hàng bằng cách nào?
Kênh hàng loạt: email, SMS, thông báo đẩy trên website/ứng dụng, và thông báo công khai trên website công ty. Nội dung rõ ràng: dữ liệu gì bị lộ, công ty đã làm gì, khách hàng nên làm gì (đổi mật khẩu, cảnh giác lừa đảo mạo danh).
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng trước khi xuất bản.