Doanh nghiệp xảy ra sự cố xâm phạm dữ liệu cá nhân, xử lý như thế nào?

Trong bối cảnh chuyển đổi số mạnh mẽ hiện nay, các cuộc tấn công mạng, sự cố rò rỉ hay thất thoát dữ liệu cá nhân luôn tiềm ẩn nguy cơ gây tổn hại nghiêm trọng đến uy tín, tài chính và hoạt động vận hành của doanh nghiệp.

Vậy cụ thể quy trình ứng phó sự cố an ninh mạng và bảo vệ dữ liệu cá nhân thực hiện như thế nào? Cùng VDPC tìm hiểu chi tiết trong bài viết dưới đây.

Căn cứ pháp lý:

Điều 41 Luật an ninh mạng 2025
Điều 8, 23 Luật Bảo vệ dữ liệu cá nhân 2025
Điều 28 Nghị định 356/2025/NĐ-CP

I. Quy trình phản ứng khẩn cấp

Khi xảy ra sự cố an ninh mạng, ngay lập tức triển khai phương án ứng cứu khẩn cấp bảo đảm an ninh mạng, đồng thời báo cáo ngay với lực lượng chuyên trách bảo vệ an ninh mạng theo quy định.

Căn cứ tình huống sự cố và yêu cầu bảo đảm an toàn dữ liệu cá nhân, Công ty cần khẩn trương triển khai quy trình phản ứng sự cố nhằm ngăn chặn hành vi truy cập trái phép, hạn chế thất thoát dữ liệu và bảo toàn chứng cứ phục vụ công tác xử lý. Quy trình gồm các bước sau:

1. Cô lập tài khoản bị xâm phạm

Khóa ngay tài khoản Root/Super Admin.
Thu hồi toàn bộ phiên đăng nhập đang hoạt động.
Đổi mật khẩu và kích hoạt lại xác thực đa yếu tố (MFA).

2. Ngăn chặn hành vi tiếp tục xâm nhập

Chặn địa chỉ IP đang thực hiện truy cập trái phép.
Ngăn chặn các phiên tải xuống dữ liệu.
Tạm thời vô hiệu hóa quyền xuất dữ liệu nếu cần thiết.

3. Cô lập hệ thống

Kiểm tra máy tính của Giám đốc điều hành.
Cô lập thiết bị nếu có dấu hiệu nhiễm mã độc.
Kiểm tra toàn bộ hệ thống để phát hiện các tài khoản hoặc thiết bị khác bị xâm nhập.

4. Bảo toàn chứng cứ

Lưu giữ log hệ thống.
Sao lưu dữ liệu nhật ký truy cập.
Ghi nhận thời điểm phát hiện, địa chỉ IP, tài khoản bị xâm phạm và dữ liệu đã bị truy cập.

5. Đánh giá mức độ ảnh hưởng

Xác định số lượng chủ thể dữ liệu bị ảnh hưởng.
Xác định loại dữ liệu bị truy cập.
Đánh giá nguy cơ tiếp tục bị lộ hoặc sử dụng trái phép.

6. Khắc phục sự cố

Loại bỏ nguyên nhân gây xâm nhập.
Khôi phục hệ thống.
Rà soát lại toàn bộ quyền truy cập.
Tăng cường các biện pháp bảo mật để phòng ngừa tái diễn.

II. Nghĩa vụ lập hồ sơ thông báo

1. Thời hạn thông báo

Công ty có nghĩa vụ phải lập hồ sơ thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân gửi về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao – Bộ Công an) hoặc qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm. Như vậy, thời hạn để gửi thông báo cuối cùng là 23 giờ thứ tư.

2. Thành phần hồ sơ thông báo

Hồ sơ thông báo vi phạm được lập theo Mẫu số 08 ban hành kèm theo Nghị định 356/2025/NĐ-CP, tối thiểu phải chứa các nội dung sau:

Mô tả tính chất của việc vi phạm quy định bảo vệ dữ liệu cá nhân, bao gồm: thời gian, địa điểm, hành vi, tổ chức, cá nhân, các loại dữ liệu cá nhân và số lượng dữ liệu liên quan;
Chi tiết liên lạc của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
Mô tả các hậu quả, thiệt hại có thể xảy ra của việc vi phạm quy định bảo vệ dữ liệu cá nhân;
Mô tả biện pháp được đưa ra để giải quyết, giảm thiểu tác hại của hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.

III. Trách nhiệm pháp lý nếu chậm trễ dẫn đến hậu quả nghiêm trọng

Tổ chức, cá nhân có hành vi vi phạm quy định liên quan đến bảo vệ dữ liệu cá nhân thì tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

1. Đối với pháp nhân (công ty)

Xử phạt hành chính: tổ chức có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử phạt vi phạm hành chính với mức phạt tối đa 03 tỷ đồng. Mức xử phạt cụ thể do cơ quan có thẩm quyền quyết định căn cứ vào tính chất, mức độ và hậu quả của hành vi vi phạm. Nếu công ty không áp dụng đầy đủ các biện pháp quản lý, kỹ thuật để bảo vệ dữ liệu cá nhân hoặc chậm trễ trong việc xử lý sự cố dẫn đến dữ liệu bị phát tán thì có thể bị xem xét xử phạt theo quy định này.

Trách nhiệm dân sự: Trường hợp việc vi phạm gây thiệt hại cho chủ thể dữ liệu, Công ty có trách nhiệm bồi thường theo quy định của pháp luật dân sự nếu người bị thiệt hại chứng minh được thiệt hại thực tế và mối quan hệ nhân quả giữa hành vi vi phạm với thiệt hại phát sinh.

2. Đối với cá nhân (Nhân sự IT, DPO trực sự cố, hoặc Giám đốc điều hành)

Xử phạt hành chính cá nhân: Mức phạt tiền tối đa đối với cá nhân thực hiện cùng hành vi vi phạm bằng một phần hai (1/2) mức phạt đối với tổ chức (lên tới 1,5 tỷ đồng).

Trách nhiệm kỷ luật nội bộ: Tùy theo mức độ vi phạm, người lao động có thể bị xử lý kỷ luật theo nội quy lao động và quy định của Bộ luật Lao động.

Trường hợp cá nhân có hành vi cố ý vi phạm, thông đồng, chiếm đoạt, mua bán, phát tán trái phép dữ liệu cá nhân hoặc có hành vi khác đủ yếu tố cấu thành tội phạm thì có thể bị truy cứu trách nhiệm hình sự theo quy định của Bộ luật Hình sự.

Kết luận

Xây dựng sẵn sàng quy trình phản ứng khẩn cấp và kiểm soát chặt chẽ các biện pháp kỹ thuật là “lá chắn” sống còn giúp doanh nghiệp giảm thiểu thiệt hại tối đa khi xảy ra sự cố an ninh mạng. Việc chủ động nhận diện rõ trách nhiệm pháp lý từ mức xử phạt hành chính đến hình sự sẽ giúp tổ chức và đội ngũ nhân sự đề cao cảnh giác, vận hành hệ thống tuân thủ đúng quy định pháp luật.

Trên đây là Xử lý sự cố xâm phạm dữ liệu cá nhân và nghĩa vụ thông báo theo quy định của pháp luật. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: