Doanh nghiệp làm lộ dữ liệu khách hàng phải thông báo cho ai, trong bao lâu và có thể bị phạt tối đa bao nhiêu?
Rà soát 20/10/20262 văn bản căn cứ7 đoạn trích nguyên văn
Trả lời nhanh
Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phải báo cơ quan chuyên trách chậm nhất 72 giờ từ khi phát hiện vi phạm, theo khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Nghĩa vụ này áp dụng với vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể.
Chi tiết
Bên xử lý phải báo kịp thời cho các bên kiểm soát. Các bên kiểm soát phải lập biên bản, phối hợp xử lý theo khoản 2 Điều 23.
Thông báo dùng Mẫu số 08, gửi cơ quan chuyên trách hoặc qua cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân, theo Điều 28 Nghị định 356/2025/NĐ-CP. Riêng sự cố liên quan dữ liệu vị trí hoặc sinh trắc học, bên kiểm soát còn phải báo chủ thể bị ảnh hưởng không quá 72 giờ từ khi phát hiện, theo khoản 1 Điều 29 Nghị định 356. Tổ chức tài chính, ngân hàng, tín dụng phải báo chủ thể khi lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng, theo điểm d khoản 1 Điều 27 Luật Bảo vệ dữ liệu cá nhân.
Điều 7 Luật này cấm cố ý làm lộ, làm mất dữ liệu cá nhân. Theo Điều 8, trần phạt tổ chức với vi phạm khác ngoài mua bán dữ liệu và chuyển dữ liệu xuyên biên giới là 03 tỷ đồng; cá nhân tối đa bằng một nửa. Đây là mức trần theo luật; mức cụ thể từng hành vi do pháp luật xử phạt vi phạm hành chính quy định, theo khoản 2 Điều 8.
Trích nguyên văn điều luật
“Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân thì phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm. Trường hợp bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm phải thông báo kịp thời cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.”
“Khi xảy ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân có trách nhiệm: a)Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm;”
“Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý bên thứ ba gửi thông báo vi phạm quy định về dữ liệu cá nhân đến cơ quan chuyên trách bảo vệ dữ liệu cá nhân hoặc qua cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 tại Phụ lục của Nghị định này.”
“Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. ... Mức phạt tiền tối đa quy định tại các khoản 3, 4 và 5 Điều này được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.”
“Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân xử lý hành vi vi phạm.”
“Tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng có trách nhiệm sau đây: ... d)Thông báo cho chủ thể dữ liệu cá nhân trong trường hợp lộ, mất thông tin về tài khoản ngân hàng, tài chính, tín dụng, thông tin tín dụng.”
“Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.”