Làm lộ dữ liệu khách hàng năm 2026 – Doanh nghiệp đối mặt với rủi ro pháp lý nào?

Trong bối cảnh Luật Bảo vệ Dữ liệu Cá nhân 2025 chính thức có hiệu lực, nhiều doanh nghiệp vẫn đang vận hành với tư duy “chưa bị kiểm tra thì chưa cần lo”. Nhưng thực tế đang thay đổi nhanh hơn nhiều so với nhận thức đó. Một sự cố rò rỉ dữ liệu – dù vô tình hay cố ý – có thể kéo theo hậu quả pháp lý đủ sức ảnh hưởng trực tiếp đến sự tồn vong của doanh nghiệp.

Hành vi nào bị coi là làm lộ dữ liệu cá nhân?

Theo Luật Bảo vệ Dữ liệu Cá nhân 2025, làm lộ dữ liệu cá nhân xảy ra khi thông tin của khách hàng bị truy cập, sử dụng, tiết lộ hoặc chia sẻ cho bên không có thẩm quyền mà không có sự đồng ý của chủ thể dữ liệu hoặc không có căn cứ pháp lý rõ ràng.

Pháp luật phân biệt rõ hai trường hợp. Lộ dữ liệu do lỗ hổng kỹ thuật hoặc sơ suất quản trị – doanh nghiệp có thể được xem xét giảm nhẹ nếu chứng minh đã thực hiện đầy đủ các biện pháp bảo mật theo quy định. Mua bán dữ liệu trái phép – hành vi cố ý, bị nghiêm cấm hoàn toàn và chịu mức xử phạt cao nhất.

Điều quan trọng cần nhớ: doanh nghiệp không có quy trình bảo mật rõ ràng để nhân viên tự ý trích xuất dữ liệu bán ra ngoài sẽ bị coi là thiếu trách nhiệm nghiêm trọng – dù lãnh đạo không hay biết.

Mức phạt đối với doanh nghiệp làm lộ dữ liệu khách hàng

Hệ thống chế tài năm 2026 được thiết kế với tính răn đe cao, chuyển dịch từ mức phạt cố định sang mức phạt dựa trên quy mô doanh thu và mức độ thiệt hại thực tế.

Vi phạm chung về bảo vệ dữ liệu – không thực hiện biện pháp bảo mật dẫn đến rò rỉ, không thực hiện yêu cầu xóa dữ liệu của khách hàng – mức phạt tối đa lên đến 3 tỷ đồng.

• Không thông báo vi phạm trong vòng 72 giờ kể từ khi phát hiện sự cố – phạt từ 100 đến 300 triệu đồng.
• Chuyển dữ liệu ra nước ngoài không đúng quy định – phạt từ 1% đến 5% tổng doanh thu năm trước tại Việt Nam.
• Mua bán dữ liệu cá nhân trái phép – phạt lên đến 10 lần khoản thu bất chính từ hành vi vi phạm.

Ngoài phạt tiền, cơ quan chức năng có quyền đình chỉ toàn bộ hoạt động xử lý dữ liệu – đồng nghĩa với việc CRM, Marketing Automation, CDP của doanh nghiệp có thể bị đóng băng ngay lập tức. Với các vi phạm đặc biệt nghiêm trọng, pháp nhân thương mại có thể bị đình chỉ hoạt động từ 6 tháng đến 3 năm hoặc vĩnh viễn.

Trách nhiệm hình sự không chỉ là chuyện của doanh nghiệp

Nếu hành vi làm lộ dữ liệu được thực hiện cố ý, có tổ chức hoặc gây hậu quả đặc biệt nghiêm trọng, cá nhân vi phạm có thể đối mặt với mức án từ 1 đến 7 năm tù.

Người đứng đầu doanh nghiệp – Chủ tịch HĐQT, Tổng Giám đốc hoặc người đại diện pháp luật – cũng có thể bị truy cứu trách nhiệm hình sự về tội thiếu trách nhiệm gây hậu quả nghiêm trọng nếu không ban hành quy trình bảo mật hoặc không giám sát thường xuyên.

Quy trình 72 giờ: Khoảng thời gian quyết định khi xảy ra sự cố

Khi phát hiện rò rỉ dữ liệu, doanh nghiệp có đúng 72 giờ để thực hiện các nghĩa vụ thông báo bắt buộc theo quy định.

Trong 12 giờ đầu, ưu tiên kích hoạt đội ứng phó sự cố và cô lập hệ thống bị ảnh hưởng để ngăn rò rỉ tiếp diễn. Từ giờ 12 đến 36, đánh giá phạm vi dữ liệu bị mất và xác định loại dữ liệu để quyết định quy trình thông báo. Từ giờ 36 đến 60, soạn thảo hồ sơ thông báo và chuẩn bị thông điệp gửi khách hàng. Trong 12 giờ cuối, gửi báo cáo chính thức đến Cục A05 và thực hiện thông báo đến khách hàng bị ảnh hưởng.

Nếu rò rỉ liên quan đến dữ liệu nhạy cảm như thông tin ngân hàng hay sinh trắc học, doanh nghiệp còn phải thông báo trực tiếp cho khách hàng trong cùng thời hạn 72 giờ – kèm hướng dẫn cụ thể để họ tự bảo vệ mình.

Phòng ngừa luôn rẻ hơn khắc phục

Để giảm thiểu rủi ro pháp lý, doanh nghiệp cần chủ động trên ba mặt trận.

Lập và duy trì hồ sơ DPIA – nộp cho Bộ Công An trong vòng 60 ngày kể từ khi bắt đầu xử lý dữ liệu, cập nhật liên tục khi có thay đổi về mục đích xử lý hoặc hệ thống công nghệ.

Chỉ định nhân sự bảo vệ dữ liệu (DPO) – bắt buộc đối với tổ chức xử lý dữ liệu nhạy cảm, với yêu cầu chuyên môn và kinh nghiệm cụ thể theo quy định.

Xây dựng hệ thống quản lý consent – đảm bảo mọi sự đồng ý đều tự nguyện, cụ thể và có thể kiểm chứng. Các hình thức đồng ý ngầm định hay ô checkbox đánh dấu sẵn bị coi là bất hợp pháp từ năm 2026.

Vai trò của CMP trong việc giảm thiểu rủi ro

Một hệ thống quản lý consent đúng chuẩn không chỉ giúp thu thập sự đồng ý hợp lệ mà còn duy trì audit log đầy đủ – ghi nhận ai đồng ý gì, lúc nào, cho mục đích nào. Đây là bằng chứng pháp lý quan trọng nhất khi bị kiểm tra, đồng thời là nền tảng dữ liệu để hoàn thiện hồ sơ DPIA chính xác và nhanh chóng.

Khi xảy ra sự cố, doanh nghiệp có hệ thống CMP tốt có thể truy xuất ngay phạm vi dữ liệu bị ảnh hưởng, xác định khách hàng cần thông báo và xuất báo cáo cho cơ quan quản lý – thay vì mất nhiều ngày tổng hợp thủ công từ nhiều phòng ban.

FPT Consenta giúp doanh nghiệp xây dựng hạ tầng consent đúng chuẩn PDPL – vừa tuân thủ pháp lý, vừa sẵn sàng ứng phó khi có sự cố dữ liệu xảy ra.

Bảo vệ dữ liệu khách hàng không chỉ là nghĩa vụ pháp lý – đó là cách doanh nghiệp khẳng định uy tín và xây dựng niềm tin bền vững trong kỷ nguyên số.

Giải pháp CMP (nền tảng quản lý sự đồng ý của người dùng) của FPT giúp doanh nghiệp quản lý toàn bộ quá trình xin phép và sử dụng dữ liệu khách hàng một cách minh bạch, có hệ thống.

Mọi sự đồng ý đều được ghi nhận và lưu trữ đầy đủ, giúp doanh nghiệp tuân thủ quy định, giảm rủi ro pháp lý và vận hành hiệu quả hơn.

Liên hệ với chúng tôi để được tư vấn và triển khai giải pháp phù hợp cho doanh nghiệp của bạn.

Email: consenta@fpt.com

Website: https://biznext.vn

Zalo OA: https://zalo.me/931970518662218212

Account Manager | Data Privacy & Compliance Solutions

Hotline:  096 986 4741

Email:  NhungDH9@fpt.com