Khi xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân — dữ liệu bị lộ, bị truy cập trái phép, bị gửi nhầm, bị mất — bên kiểm soát dữ liệu có nghĩa vụ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn ngắn mà pháp luật đặt ra, và trong nhiều trường hợp cũng nên thông báo cho chính những người bị ảnh hưởng. Nghị định 13/2023/NĐ-CP đã quy định nghĩa vụ này; Luật Bảo vệ dữ liệu cá nhân 2025 tiếp tục giữ tinh thần đó.
Bài này nói về phần pháp lý và giấy tờ của sự cố: thế nào là vi phạm cần thông báo, báo cho ai, nội dung gồm gì, biên bản nội bộ ghi gì. Các bước kỹ thuật như khoá tài khoản, đổi mật khẩu, khôi phục hệ thống có ở danh mục “Khi bị lừa, bị hack, lộ dữ liệu” của trang. Thời hạn và mẫu biểu cụ thể bạn đối chiếu theo quy định hiện hành, vì chúng có thể thay đổi theo văn bản hướng dẫn.
Thế nào là vi phạm cần thông báo: không chỉ là bị tin tặc tấn công
Khi nghe “lộ dữ liệu”, nhiều người nghĩ ngay tới tin tặc. Thực tế ở doanh nghiệp nhỏ, phần lớn sự cố đến từ những việc rất đời thường. Một nhân viên gửi bảng lương cho cả nhóm chat công ty thay vì chỉ cho kế toán. Một tệp danh sách khách được chia sẻ bằng đường dẫn “ai có link đều xem được” rồi đường dẫn bị chuyển tiếp. Điện thoại có ứng dụng bán hàng đang đăng nhập bị mất ở quán cà phê. Một người nghỉ việc mang theo tệp khách hàng sang công ty mới.
Với AI có thêm một kiểu: nhân viên dán đoạn hội thoại có thông tin khách vào công cụ AI không được phép dùng, hoặc chatbot của doanh nghiệp bị khai thác để trả lời thông tin của khách này cho người khác. Về nguyên lý, mọi tình huống dữ liệu cá nhân bị xử lý trái với quy định — bị tiết lộ, truy cập, thay đổi, mất mát ngoài ý muốn — đều có thể là vi phạm.
Không phải sự cố nào cũng nghiêm trọng như nhau, nhưng quyết định “không cần báo” nên là kết quả của một lần đánh giá có ghi lại, không phải phản xạ để tránh phiền. Câu hỏi để đánh giá: dữ liệu gì, của bao nhiêu người, ai đã có thể tiếp cận, có thể dẫn tới thiệt hại gì cho họ, và đã thu hồi hay khắc phục được tới đâu.
Thông báo cho ai
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Theo cơ chế hiện hành là đơn vị thuộc Bộ Công an được giao nhiệm vụ này. Kênh tiếp nhận và mẫu thông báo nên kiểm trên cổng thông tin chính thức tại thời điểm xảy ra sự cố, không dựa vào hướng dẫn cũ trên mạng.
Bên kiểm soát dữ liệu, nếu bạn là bên xử lý. Ví dụ bạn là đơn vị làm kế toán thuê hoặc chạy phần mềm cho một cửa hàng khác: khi phát hiện sự cố, bạn phải báo ngay cho khách hàng của mình là bên kiểm soát, để họ thực hiện nghĩa vụ thông báo.
Người bị ảnh hưởng. Khách hàng, nhân viên có dữ liệu bị lộ cần được biết để tự phòng vệ: cảnh giác với cuộc gọi giả danh, đổi mật khẩu, theo dõi tài khoản ngân hàng. Thông báo cho họ cũng là cách giữ niềm tin tốt hơn nhiều so với để họ biết qua tin đồn.
Cơ quan công an nơi xảy ra sự việc khi có dấu hiệu tội phạm như xâm nhập trái phép, trộm cắp dữ liệu, tống tiền.
Đối tác liên quan như ngân hàng, cổng thanh toán, nhà cung cấp phần mềm, khi sự cố có thể liên quan tới hệ thống của họ hoặc cần họ phối hợp chặn thiệt hại.
Nội dung một bản thông báo cho cơ quan chuyên trách
Theo tinh thần của quy định, bản thông báo cần đủ để cơ quan hiểu sự việc và đánh giá mức độ. Các mục thường gồm:
- Mô tả tính chất vi phạm: thời gian, địa điểm, hành vi, tổ chức hoặc cá nhân liên quan, loại dữ liệu và số lượng dữ liệu, số người bị ảnh hưởng ước tính.
- Thông tin liên lạc của người được giao nhiệm vụ bảo vệ dữ liệu hoặc người chịu trách nhiệm.
- Mô tả các hậu quả, thiệt hại có thể xảy ra.
- Các biện pháp đã và sẽ áp dụng để xử lý, giảm thiểu tác hại.
- Nếu chưa có đủ thông tin trong thời hạn, nêu lý do chậm và bổ sung sau; không nên chờ đủ mọi chi tiết mới báo.
Bản thông báo nên viết bằng sự kiện, tránh suy đoán và tránh đổ lỗi. “Ngày X, nhân viên phát hiện đường dẫn tới tệp danh sách khách hàng được đặt chế độ công khai từ ngày Y; tệp chứa họ tên và số điện thoại của khoảng N khách; đã khoá đường dẫn lúc Z” là kiểu câu nên dùng.
Thời hạn ngắn: vì sao phải chuẩn bị từ trước
Quy định đặt thời hạn thông báo tính bằng giờ kể từ khi phát hiện vi phạm, không phải tuần hay tháng. Con số cụ thể bạn kiểm theo quy định hiện hành, nhưng điều chắc chắn là nếu đến lúc có sự cố mới bắt đầu tìm hiểu báo cho ai, mẫu nào, ai ký, thì rất dễ trễ hạn, vì riêng việc tìm đúng kênh và người có thẩm quyền ký đã mất nửa ngày.
Vì vậy doanh nghiệp nhỏ nên có một trang “kịch bản sự cố dữ liệu” chuẩn bị sẵn, gồm: tên người phụ trách và người thay thế; danh sách hệ thống chứa dữ liệu cá nhân; kênh thông báo chính thức đã tra sẵn; mẫu biên bản nội bộ; mẫu tin nhắn cho khách bị ảnh hưởng; số liên hệ của nhà cung cấp phần mềm, ngân hàng. Trang này để ở nơi mọi người tìm được cả khi hệ thống chính bị khoá, ví dụ một bản in trong ngăn kéo.
Khi soạn kịch bản, hãy tập dượt một lần với một tình huống giả định: “Tệp khách hàng bị gửi nhầm vào nhóm chat có người ngoài công ty lúc 9 giờ sáng thứ Bảy.” Đi qua từng bước, ghi lại chỗ bị vướng — thường là không ai biết ai có quyền quyết định gửi thông báo, hoặc không ai nhớ mật khẩu tài khoản quản trị.
Biên bản nội bộ về sự cố: ghi những gì
Biên bản là bằng chứng doanh nghiệp đã xử lý có trách nhiệm. Nó được lập song song với việc khắc phục, không đợi xong mới viết lại theo trí nhớ.
| Mục | Ghi gì | Ví dụ giả định |
|---|---|---|
| Phát hiện | Ai phát hiện, lúc nào, bằng cách nào | Nhân viên kho thấy khách gọi hỏi vì sao người lạ biết đơn hàng của họ |
| Phạm vi | Loại dữ liệu, số người, khoảng thời gian bị lộ | Họ tên, số điện thoại, địa chỉ của khoảng 300 khách trong ba tháng |
| Nguyên nhân ban đầu | Điều đã biết và điều còn đang tìm hiểu | Đường dẫn chia sẻ tệp để chế độ công khai |
| Biện pháp ngay | Đã làm gì, lúc nào, ai làm | Tắt chia sẻ công khai, đổi mật khẩu tài khoản lưu trữ |
| Đánh giá rủi ro | Khả năng gây thiệt hại cho người bị ảnh hưởng | Nguy cơ bị gọi lừa giả danh shipper đòi phí |
| Thông báo | Đã báo cho ai, lúc nào, qua kênh nào | Cơ quan chuyên trách, khách hàng qua tin nhắn |
| Bằng chứng lưu giữ | Nhật ký truy cập, ảnh chụp màn hình, tin nhắn | Ảnh chụp cài đặt chia sẻ trước khi sửa |
| Việc tiếp theo | Biện pháp lâu dài, người phụ trách, hạn hoàn thành | Quy định không chia sẻ công khai tệp có dữ liệu khách |
Lưu ý thứ tự: chụp lại bằng chứng trước khi sửa cấu hình nếu có thể làm trong vài phút, vì sau khi sửa sẽ khó chứng minh tình trạng ban đầu.
Dùng AI hỗ trợ soạn thông báo: làm được gì, không nên làm gì
Trong lúc căng thẳng, AI giúp bạn viết nhanh và rõ hơn. Nhưng chính sự cố đã là chuyện dữ liệu đi ra ngoài, nên càng phải cẩn thận:
- Không dán dữ liệu bị lộ vào công cụ AI để “phân tích xem lộ những gì”. Tự đếm và mô tả bằng loại dữ liệu.
- Đưa cho AI bản mô tả sự kiện đã bỏ tên khách, tên nhân viên. Câu lệnh mẫu: “Dựa trên mô tả sự cố sau, viết tin nhắn ngắn gửi khách hàng bị ảnh hưởng: nói rõ chuyện gì xảy ra, dữ liệu nào bị lộ, cửa hàng đã làm gì, khách nên cảnh giác điều gì, liên hệ ở đâu; giọng thẳng thắn, không đổ lỗi, không hứa điều chưa chắc, dưới 150 chữ.”
- Đọc lại bản nháp và xoá mọi câu trấn an quá mức như “dữ liệu hoàn toàn an toàn” khi bạn chưa chắc.
- Thêm lời dặn cụ thể cho khách: cửa hàng sẽ không bao giờ gọi đòi chuyển khoản phí, không yêu cầu mã xác thực.
- Với bản thông báo gửi cơ quan chuyên trách, dùng mẫu chính thức nếu có, AI chỉ giúp sắp xếp ý và sửa câu.
- Người chịu trách nhiệm đọc và duyệt bản cuối trước khi gửi.
Nếu sự cố liên quan dữ liệu nhạy cảm, số lượng lớn hoặc có khả năng tranh chấp bồi thường, nên có ý kiến pháp lý trước khi gửi thông báo cho khách. Bạn có thể hỏi luật sư trên AI Cố Vấn (aicovan.com) để được xem xét đúng hoàn cảnh của doanh nghiệp.
Sau khi thông báo: rút kinh nghiệm để không lặp lại
Thông báo xong chưa phải là xong việc. Cơ quan chuyên trách có thể yêu cầu bổ sung thông tin, khách có thể gửi yêu cầu xoá dữ liệu hoặc hỏi thêm. Hãy giữ một người đầu mối trả lời nhất quán và lưu mọi trao đổi vào hồ sơ sự cố.
Trong vài tuần sau, tổ chức một buổi rút kinh nghiệm ngắn, tập trung vào quy trình chứ không phải tìm người để trách. Câu hỏi hữu ích: vì sao dữ liệu đó có ở chỗ nó bị lộ; có thật cần giữ dữ liệu đó không; nếu có, ai được tiếp cận; quy định nào đã có mà không được làm theo, vì sao. Nhiều doanh nghiệp phát hiện sau sự cố rằng tệp bị lộ là bản sao cũ không ai còn dùng.
Cuối cùng, cập nhật kịch bản sự cố, chính sách quyền riêng tư nếu cần, và đào tạo lại nhân viên bằng chính câu chuyện vừa xảy ra — đã ẩn tên người liên quan. Một sự cố thật được kể lại cụ thể có sức thuyết phục hơn mọi buổi tập huấn chung chung.
Câu hỏi thường gặp
Gửi nhầm email có danh sách khách cho một khách khác có phải thông báo không?
Đây là tình huống dữ liệu bị tiết lộ ngoài ý muốn nên cần đánh giá. Nếu đã yêu cầu người nhận xoá và có xác nhận, số người ít, dữ liệu không nhạy cảm, mức độ thấp hơn; nhưng nên ghi biên bản và kiểm quy định hiện hành về việc có bắt buộc báo cho cơ quan chuyên trách hay không.
Doanh nghiệp có bị phạt vì tự thông báo vi phạm không?
Thông báo là nghĩa vụ, việc thực hiện đúng và kịp thời thường được xem là tình tiết thể hiện trách nhiệm. Không thông báo hoặc che giấu mới là vi phạm thêm. Mức xử lý cụ thể phụ thuộc quy định hiện hành và tính chất sự việc.
Nhà cung cấp phần mềm bị lộ dữ liệu thì ai phải thông báo?
Nhà cung cấp là bên xử lý phải báo ngay cho doanh nghiệp bạn. Doanh nghiệp bạn, với vai trò bên kiểm soát, thường là bên phải thông báo cho cơ quan chuyên trách và khách hàng. Hợp đồng với nhà cung cấp nên ghi rõ thời hạn và cách họ báo cho bạn.
Có nên đăng thông báo công khai trên fanpage không?
Tuỳ quy mô. Khi số người bị ảnh hưởng lớn và không liên lạc riêng được hết, thông báo công khai giúp khách cảnh giác kịp thời. Nội dung công khai không được kèm thêm dữ liệu cá nhân nào và nên kèm cảnh báo về các cuộc gọi giả danh cửa hàng.
Nhân viên tự ý mang dữ liệu khách đi khi nghỉ việc có phải là vi phạm cần báo không?
Đây là dữ liệu bị xử lý ngoài phạm vi được phép nên cần đánh giá như một sự cố. Ngoài thông báo, doanh nghiệp có thể yêu cầu người đó xoá và cam kết bằng văn bản, và tham khảo luật sư về các biện pháp tiếp theo.
Có cần giữ hồ sơ sự cố bao lâu?
Thời hạn cụ thể nên kiểm theo quy định hiện hành. Về thực hành, nên giữ hồ sơ ít nhất cho tới khi hết khả năng có khiếu nại, kiểm tra hay tranh chấp liên quan, và lưu nơi có phân quyền vì chính hồ sơ cũng chứa thông tin nhạy cảm.