Cảnh báo nguy cơ vi phạm pháp luật về an ninh mạng với doanh nghiệp, hộ kinh doanh

Nhận diện sớm các nguy cơ vi phạm

Không gian mạng đang trở thành môi trường tiềm ẩn nhiều rủi ro pháp lý. Việc nhận diện sớm các nguy cơ vi phạm là giải pháp quan trọng giúp doanh nghiệp, hộ kinh doanh chủ động phòng ngừa, bảo vệ hoạt động sản xuất, kinh doanh và tránh các hậu quả pháp lý có thể phát sinh.

Theo Công an thành phố Hà Nội, hiện phần lớn doanh nghiệp, hộ kinh doanh đã xây dựng website, sử dụng mạng xã hội, triển khai các nền tảng thương mại điện tử, thanh toán trực tuyến và lưu trữ dữ liệu trên môi trường số. Nhưng với quá trình chuyển đổi số, nguy cơ tấn công mạng, lừa đảo trực tuyến, đánh cắp dữ liệu và các hành vi lợi dụng không gian mạng để thực hiện hoạt động vi phạm pháp luật ngày càng gia tăng.

Thực tiễn công tác quản lý nhà nước về an ninh mạng cho thấy, nhiều vụ việc không xuất phát từ hành vi cố ý vi phạm mà bắt nguồn từ sự chủ quan, thiếu hiểu biết hoặc chưa quan tâm đúng mức đến các yêu cầu pháp lý trong quá trình vận hành hệ thống thông tin.

Bên cạnh đó, hệ thống văn bản quy phạm pháp luật liên quan đến an ninh mạng, dữ liệu cá nhân và hoạt động trên môi trường số đã có nhiều thay đổi trong thời gian gần đây. Nhiều văn bản mới được ban hành như: Luật An ninh mạng năm 2025, Luật Bảo vệ dữ liệu cá nhân năm 2025, Luật Dữ liệu năm 2024, Luật Giao dịch điện tử năm 2023, Luật Viễn thông năm 2023, Nghị định số 147/2024/NĐ-CP ngày 9-11-2024 của Chính phủ về quản lý, cung cấp và sử dụng dịch vụ Internet và thông tin trên mạng; Nghị định số 356/2025/NĐ-CP ngày 31-12-2025 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành luật bảo vệ dữ liệu cá nhân… Các quy định này đặt ra những yêu cầu ngày càng cao đối với doanh nghiệp và hộ kinh doanh trong việc quản lý dữ liệu, vận hành hệ thống thông tin và cung cấp dịch vụ trên môi trường mạng.

Một trong những nguy cơ phổ biến nhất hiện nay là vi phạm các quy định về bảo vệ dữ liệu cá nhân. Trong hoạt động kinh doanh, nhiều đơn vị thường xuyên thu thập thông tin khách hàng như họ tên, số điện thoại, địa chỉ, tài khoản ngân hàng, hình ảnh hoặc lịch sử giao dịch,… Tuy nhiên, không phải doanh nghiệp nào cũng nhận thức đầy đủ những thông tin này đều được pháp luật xác định là dữ liệu cá nhân và phải được bảo vệ.

Theo quy định của Luật An ninh mạng năm 2025, cơ quan, tổ chức, cá nhân có trách nhiệm áp dụng các biện pháp bảo đảm an ninh mạng, bảo vệ dữ liệu và chịu trách nhiệm đối với việc thu thập, lưu trữ, xử lý, sử dụng dữ liệu trên không gian mạng.

Nghị định số 356/2025/NĐ-CP ngày 31-12-2025 của Chính phủ về bảo vệ dữ liệu cá nhân quy định việc xử lý dữ liệu cá nhân phải dựa trên căn cứ pháp luật, đúng mục đích, đúng phạm vi, bảo đảm an toàn, bảo mật trong suốt quá trình xử lý; nghiêm cấm hành vi thu thập, sử dụng, cung cấp hoặc chia sẻ dữ liệu cá nhân trái quy định của pháp luật.

Thực tiễn cho thấy, nhiều vụ việc vi phạm pháp luật trên không gian mạng có nguyên nhân xuất phát từ dữ liệu cá nhân không được quản lý, bảo vệ chặt chẽ hoặc bị thu thập, trao đổi trái phép. Đây không chỉ là nguy cơ mất an toàn thông tin mà còn có thể dẫn đến trách nhiệm hình sự đối với các cá nhân có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác.

Ảnh minh hoạ: Công an thành phố Hà Nội

Dữ liệu khách hàng không phải là tài sản mà doanh nghiệp được tùy ý khai thác, trao đổi hoặc định đoạt. Điều 7 Luật Bảo vệ dữ liệu cá nhân nghiêm cấm việc xử lý dữ liệu cá nhân trái pháp luật; mua, bán dữ liệu cá nhân; chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân. Tổ chức, cá nhân vi phạm, tùy tính chất, mức độ và hậu quả, có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Chủ động bảo vệ dữ liệu khách hàng

Theo khuyến cáo của Công an thành phố Hà Nội, để tránh rơi vào các tình huống vi phạm pháp luật trên không gian mạng, doanh nghiệp, hộ kinh doanh cần lưu ý một số nội dung quan trọng.

Thứ nhất, chỉ thu thập dữ liệu thực sự cần thiết và phải có căn cứ pháp lý. Trước khi thu thập thông tin khách hàng, doanh nghiệp phải thông báo rõ mục đích, phạm vi sử dụng, thời hạn lưu trữ và tạo điều kiện để khách hàng thể hiện sự đồng ý. Việc chia sẻ, tiết lộ hoặc chuyển giao thông tin cho bên thứ ba cũng được coi là sử dụng thông tin và phải tuân thủ đúng mục đích, phạm vi đã thông báo. Đây là trách nhiệm được quy định tại các Điều 15, 16, 17 và 18 Luật Bảo vệ quyền lợi người tiêu dùng số 19/2023/QH15.

Thứ hai, không được “khoán trắng” trách nhiệm bảo mật cho đơn vị công nghệ. Trường hợp thuê bên thứ ba xây dựng website, quản lý phần mềm, lưu trữ dữ liệu hoặc chăm sóc khách hàng, doanh nghiệp vẫn phải kiểm soát việc xử lý dữ liệu. Việc thuê, ủy quyền phải được lập thành văn bản, xác định rõ phạm vi tiếp cận dữ liệu, trách nhiệm bảo mật, trách nhiệm thông báo và khắc phục khi xảy ra sự cố. Khoản 2, Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng quy định việc thuê bên thứ ba phải được sự đồng ý của người tiêu dùng và phải có văn bản xác định rõ trách nhiệm của mỗi bên.

Thứ ba, triển khai các biện pháp bảo vệ tương xứng với mức độ nhạy cảm của dữ liệu. Doanh nghiệp cần phân quyền truy cập theo vị trí việc làm; áp dụng mật khẩu mạnh và xác thực đa yếu tố; mã hóa dữ liệu; thường xuyên cập nhật bản vá; sao lưu độc lập; thu hồi ngay tài khoản của nhân viên nghỉ việc; kiểm tra định kỳ website, máy chủ và phần mềm quản lý. Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng yêu cầu tổ chức, cá nhân kinh doanh phải có biện pháp ngăn ngừa việc đánh cắp, tiếp cận, sử dụng, chỉnh sửa hoặc hủy bỏ trái phép thông tin của khách hàng.

Thứ tư, không che giấu hoặc tự ý xóa dấu vết khi xảy ra sự cố. Ngay khi phát hiện dấu hiệu dữ liệu bị truy cập, sao chép hoặc phát tán trái phép, doanh nghiệp phải cô lập thiết bị, bảo toàn dữ liệu, nhật ký truy cập, thư điện tử, tin nhắn và các dấu vết điện tử; đồng thời thay đổi thông tin xác thực của tài khoản có nguy cơ bị lộ và phối hợp với cơ quan Công an xử lý.

Ngoài ra, theo khoản 3, Điều 19 Luật Bảo vệ quyền lợi người tiêu dùng, khi hệ thống thông tin bị tấn công làm phát sinh nguy cơ mất an ninh thông tin của khách hàng, doanh nghiệp hoặc bên lưu trữ thông tin phải thông báo cho cơ quan quản lý nhà nước có thẩm quyền trong thời hạn 24 giờ kể từ thời điểm phát hiện.

Điều 23 Luật Bảo vệ dữ liệu cá nhân quy định, nếu vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm hoặc tài sản của chủ thể dữ liệu, bên kiểm soát dữ liệu phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện.

Một sự cố lộ dữ liệu có thể bắt đầu từ lỗi kỹ thuật, nhưng việc thiếu biện pháp bảo vệ, chậm thông báo, che giấu sự cố hoặc tiếp tục để dữ liệu bị khai thác trái phép có thể trở thành hành vi vi phạm pháp luật. Chủ động bảo vệ dữ liệu khách hàng chính là bảo vệ uy tín, tài sản và sự tồn tại bền vững của doanh nghiệp.

“

Theo Điều 46 Nghị định số 98/2020/NĐ-CP, được sửa đổi, bổ sung bởi Nghị định số 24/2025/NĐ-CP, hành vi không có biện pháp bảo vệ thông tin khách hàng; chuyển giao thông tin cho bên thứ ba khi chưa được đồng ý; hoặc không thông báo cho cơ quan có thẩm quyền trong vòng 24 giờ có thể bị phạt từ 30 triệu đồng đến 40 triệu đồng đối với cá nhân. Mức phạt đối với tổ chức bằng hai lần mức phạt đối với cá nhân; trường hợp thông tin bị xâm phạm là dữ liệu cá nhân nhạy cảm, mức phạt đối với hành vi tương ứng tiếp tục bị tăng gấp hai lần.

Ngoài chế tài cụ thể nêu trên, Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định mức phạt tiền tối đa đối với các vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân có thể lên đến 3 tỷ đồng đối với tổ chức; hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm. Đây là mức phạt tối đa, việc áp dụng trong từng vụ việc phụ thuộc vào hành vi, hậu quả và các tình tiết liên quan.

Trường hợp cá nhân trực tiếp mua bán, trao đổi, công khai hóa hoặc sử dụng trái phép thông tin khách hàng trên mạng, nếu đủ yếu tố cấu thành tội phạm, có thể bị xử lý theo Điều 288 Bộ luật Hình sự; khung hình phạt cao nhất là phạt tiền đến 1 tỷ đồng hoặc phạt tù đến 7 năm.