Cảnh báo nguy cơ vi phạm pháp luật về an ninh mạng đối với doanh nghiệp, hộ kinh doanh trong quá trình chuyển đổi số

Hiện nay, phần lớn doanh nghiệp, hộ kinh doanh đã xây dựng website, sử dụng mạng xã hội, triển khai các nền tảng thương mại điện tử, thanh toán trực tuyến và lưu trữ dữ liệu trên môi trường số. Tuy nhiên, cùng với quá trình chuyển đổi số, nguy cơ tấn công mạng, lừa đảo trực tuyến, đánh cắp dữ liệu và các hành vi lợi dụng không gian mạng để thực hiện hoạt động vi phạm pháp luật. Thực tiễn công tác quản lý nhà nước về an ninh mạng cho thấy nhiều vụ việc không xuất phát từ hành vi cố ý vi phạm mà bắt nguồn từ sự chủ quan, thiếu hiểu biết hoặc chưa quan tâm đúng mức đến các yêu cầu pháp lý trong quá trình vận hành hệ thống thông tin. Bên cạnh đó, hệ thống văn bản quy phạm pháp luật liên quan đến an ninh mạng, dữ liệu cá nhân và hoạt động trên môi trường số đã có nhiều thay đổi trong thời gian gần đây. Nhiều văn bản mới đã được ban hành như Luật An ninh mạng năm 2025, Luật Bảo vệ dữ liệu cá nhân năm 2025, Luật Dữ liệu năm 2024, Luật Giao dịch điện tử năm 2023, Luật Viễn thông năm 2023, Nghị định số 147/2024/NĐ-CP ngày 09/11/2024 của Chính phủ về quản lý, cung cấp và sử dụng dịch vụ Internet và thông tin trên mạng, Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành luật bảo vệ dữ liệu cá nhân… Các quy định này đặt ra những yêu cầu ngày càng cao đối với doanh nghiệp và hộ kinh doanh trong việc quản lý dữ liệu, vận hành hệ thống thông tin và cung cấp dịch vụ trên môi trường mạng.

Một trong những nguy cơ phổ biến nhất hiện nay là vi phạm các quy định về bảo vệ dữ liệu cá nhân. Trong hoạt động kinh doanh, nhiều đơn vị thường xuyên thu thập thông tin khách hàng như họ tên, số điện thoại, địa chỉ, tài khoản ngân hàng, hình ảnh hoặc lịch sử giao dịch,… Tuy nhiên, không phải doanh nghiệp nào cũng nhận thức đầy đủ rằng những thông tin này đều được pháp luật xác định là dữ liệu cá nhân và phải được bảo vệ. Theo quy định của Luật An ninh mạng năm 2025, cơ quan, tổ chức, cá nhân có trách nhiệm áp dụng các biện pháp bảo đảm an ninh mạng, bảo vệ dữ liệu và chịu trách nhiệm đối với việc thu thập, lưu trữ, xử lý, sử dụng dữ liệu trên không gian mạng.

Đồng thời, Nghị định số 356/2025/NĐ-CP ngày 31/12/2025 của Chính phủ về bảo vệ dữ liệu cá nhân quy định việc xử lý dữ liệu cá nhân phải dựa trên căn cứ pháp luật, đúng mục đích, đúng phạm vi, bảo đảm an toàn, bảo mật trong suốt quá trình xử lý; nghiêm cấm hành vi thu thập, sử dụng, cung cấp hoặc chia sẻ dữ liệu cá nhân trái quy định của pháp luật. Thực tiễn cho thấy, nhiều vụ việc vi phạm pháp luật trên không gian mạng có nguyên nhân xuất phát từ việc dữ liệu cá nhân không được quản lý, bảo vệ chặt chẽ hoặc bị thu thập, trao đổi trái phép. Đây không chỉ là nguy cơ mất an toàn thông tin mà còn có thể dẫn đến trách nhiệm hình sự đối với các cá nhân có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác.

Dữ liệu khách hàng không phải là tài sản mà doanh nghiệp được tùy ý khai thác, trao đổi hoặc định đoạt. Điều 7 Luật Bảo vệ dữ liệu cá nhân ( Luật số 91/2025/QH15) nghiêm cấm việc xử lý dữ liệu cá nhân trái pháp luật; mua, bán dữ liệu cá nhân; chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân. Tổ chức, cá nhân vi phạm, tùy tính chất, mức độ và hậu quả, có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Để phòng ngừa vi phạm, Công an tỉnh Hưng Yên đề nghị doanh nghiệp, hộ kinh doanh thực hiện các nội dung sau:

Thứ nhất, chỉ thu thập dữ liệu thực sự cần thiết và phải có căn cứ pháp lý. Trước khi thu thập thông tin khách hàng, doanh nghiệp phải thông báo rõ mục đích, phạm vi sử dụng, thời hạn lưu trữ và tạo điều kiện để khách hàng thể hiện sự đồng ý. Việc chia sẻ, tiết lộ hoặc chuyển giao thông tin cho bên thứ ba cũng được coi là sử dụng thông tin và phải tuân thủ đúng mục đích, phạm vi đã thông báo. Đây là trách nhiệm được quy định tại các Điều 15, 16, 17 và 18 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

Thứ hai, không được “khoán trắng” trách nhiệm bảo mật cho đơn vị công nghệ. Trường hợp thuê bên thứ ba xây dựng website, quản lý phần mềm, lưu trữ dữ liệu hoặc chăm sóc khách hàng, doanh nghiệp vẫn phải kiểm soát việc xử lý dữ liệu. Việc thuê, ủy quyền phải được lập thành văn bản, xác định rõ phạm vi tiếp cận dữ liệu, trách nhiệm bảo mật, trách nhiệm thông báo và khắc phục khi xảy ra sự cố. Khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng quy định việc thuê bên thứ ba phải được sự đồng ý của người tiêu dùng và phải có văn bản xác định rõ trách nhiệm của mỗi bên.

Thứ ba, triển khai các biện pháp bảo vệ tương xứng với mức độ nhạy cảm của dữ liệu. Doanh nghiệp cần phân quyền truy cập theo vị trí việc làm; áp dụng mật khẩu mạnh và xác thực đa yếu tố; mã hóa dữ liệu; thường xuyên cập nhật bản vá; sao lưu độc lập; thu hồi ngay tài khoản của nhân viên nghỉ việc; kiểm tra định kỳ website, máy chủ và phần mềm quản lý. Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu tổ chức, cá nhân kinh doanh phải có biện pháp ngăn ngừa việc đánh cắp, tiếp cận, sử dụng, chỉnh sửa hoặc hủy bỏ trái phép thông tin của khách hàng.

Thứ tư, không che giấu hoặc tự ý xóa dấu vết khi xảy ra sự cố. Ngay khi phát hiện dấu hiệu dữ liệu bị truy cập, sao chép hoặc phát tán trái phép, doanh nghiệp phải cô lập thiết bị, bảo toàn dữ liệu, nhật ký truy cập, thư điện tử, tin nhắn và các dấu vết điện tử; đồng thời thay đổi thông tin xác thực của tài khoản có nguy cơ bị lộ và phối hợp với cơ quan Công an xử lý.

Đặc biệt, doanh nghiệp cần lưu ý hai thời hạn thông báo pháp lý:

Theo khoản 3 Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng, khi hệ thống thông tin bị tấn công làm phát sinh nguy cơ mất an ninh thông tin của khách hàng, doanh nghiệp hoặc bên lưu trữ thông tin phải thông báo cho cơ quan quản lý nhà nước có thẩm quyền trong thời hạn 24 giờ kể từ thời điểm phát hiện.

Theo Điều 23 Luật Bảo vệ dữ liệu cá nhân, nếu vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm hoặc tài sản của chủ thể dữ liệu, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất trong 72 giờ kể từ khi phát hiện. Điều 28 Nghị định số 356/2025/NĐ-CP quy định thông báo được gửi đến cơ quan chuyên trách hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08.

Hai thời hạn trên áp dụng theo những căn cứ và điều kiện khác nhau. Trường hợp một sự cố đồng thời làm phát sinh cả hai nghĩa vụ, doanh nghiệp không được viện dẫn thời hạn 72 giờ để trì hoãn nghĩa vụ phải thực hiện trong 24 giờ.

Theo Điều 46 Nghị định số 98/2020/NĐ-CP, được sửa đổi, bổ sung bởi Nghị định số 24/2025/NĐ-CP, hành vi không có biện pháp bảo vệ thông tin khách hàng; chuyển giao thông tin cho bên thứ ba khi chưa được đồng ý; hoặc không thông báo cho cơ quan có thẩm quyền trong vòng 24 giờ có thể bị phạt từ 30 triệu đồng đến 40 triệu đồng đối với cá nhân. Mức phạt đối với tổ chức bằng hai lần mức phạt đối với cá nhân; trường hợp thông tin bị xâm phạm là dữ liệu cá nhân nhạy cảm, mức phạt đối với hành vi tương ứng tiếp tục bị tăng gấp hai lần.

Ngoài chế tài cụ thể nêu trên, Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định mức phạt tiền tối đa đối với các vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân có thể lên đến 3 tỷ đồng đối với tổ chức; hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm. Đây là mức phạt tối đa, việc áp dụng trong từng vụ việc phụ thuộc vào hành vi, hậu quả và các tình tiết liên quan.

Trường hợp cá nhân trực tiếp mua bán, trao đổi, công khai hóa hoặc sử dụng trái phép thông tin khách hàng trên mạng, nếu đủ yếu tố cấu thành tội phạm, có thể bị xử lý theo Điều 288 Bộ luật Hình sự; khung hình phạt cao nhất là phạt tiền đến 1 tỷ đồng hoặc phạt tù đến 7 năm.

Một sự cố lộ dữ liệu có thể bắt đầu từ lỗi kỹ thuật, nhưng việc thiếu biện pháp bảo vệ, chậm thông báo, che giấu sự cố hoặc tiếp tục để dữ liệu bị khai thác trái phép có thể trở thành hành vi vi phạm pháp luật. Chủ động bảo vệ dữ liệu khách hàng chính là bảo vệ uy tín, tài sản và sự tồn tại bền vững của doanh nghiệp.