CẨM NANG PHÁP LUẬT

Trách nhiệm của doanh nghiệp cung cấp phần mềm khi xảy ra sự cố rò rỉ dữ liệu cá nhân

Posted on by Linh Luật Sư
20
Aug

Hỏi: Công ty A là công ty chuyên cung cấp phần mềm, phần mềm được đối tác, khách hàng của công ty mua để phục vụ cho hoạt động kinh doanh. Phần mềm của công ty A có hoạt động thu thập dữ liệu cá nhân của người sử dụng, người tạo tài khoản trên phần mềm. Công ty A muốn hỏi nếu xảy ra sự cố lộ dữ liệu cá nhân được thu thập trên phần mềm, thì trách nhiệm pháp lý thuộc về Công ty A hay bên mua phần mềm?

Bài viết dưới đây VDPC sẽ tổng hợp và phân tích quy định về trách nhiệm của doanh nghiệp cung cấp phần mềm khi xảy ra sự cố rò rỉ dữ liệu cá nhân.

Căn cứ pháp lý:

1. Quy định chung

  • Chủ thể dữ liệu cá nhân: là người được dữ liệu cá nhân phản ánh.
  • Dữ liệu cá nhân (“DLCN”): là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, gồm: Họ, tên, ngày tháng năm sinh, địa chỉ (nơi ở thường trú, nơi ở tạm trú, địa chỉ liên hệ), tình trạng hôn nhân, giới tính, quốc tịch, thông tin gia đình (cha, mẹ, con, vợ, chồng), hình ảnh cá nhân, điện thoại, số định danh cá nhân, Căn cước công dân, tôn giáo tín ngưỡng, tình trạng sức khỏe, sinh trắc học, v.v. 
  • Xử lý dữ liệu cá nhân: là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân. 
  • Bên Kiểm soát dữ liệu cá nhân: là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân. 
  • Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng.
  • Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

2. Hoạt động xử lý dữ liệu cá nhân

Hoạt động xử lý dữ liệu cá nhân của Công ty được xác định như sau: (do thông tin quý khách hàng cung cấp chưa đầy đủ, chúng tôi xin được dự kiến như sau)

  • Chủ thể dữ liệu cá nhân: Cá nhân có thông tin trên phần mềm của Công ty
  • Loại dữ liệu cá nhân được xử lý: 
    • Dữ liệu cá nhân cơ bản: Họ và tên, ngày tháng năm sinh, địa chỉ, số điện thoại,…
    • Dữ liệu cá nhân nhạy cảm: Thông tin về hàng hóa, dịch vụ sử dụng, Lịch sử giao dịch tài chính,…
  • Bên kiểm soát và xử lý dữ liệu cá nhân: Đối tác, khách hàng mua phần mềm của công ty
  • Bên xử lý dữ liệu cá nhân: Công ty

Như vậy, trong quá trình hoạt động kinh doanh, Công ty đã tham gia vào hoạt động xử lý dữ liệu cá nhân của các cá nhân nêu trên với vai trò là Bên xử lý dữ liệu cá nhân. Vì vậy, Công ty cần tuân thủ, thực hiện các trách nhiệm theo quy định (bao gồm trách nhiệm khi xảy ra sự cố rò rỉ dữ liệu).

3. Trách nhiệm của Bên xử lý dữ liệu cá nhân khi xảy ra sự cố

Trách nhiệm của Bên xử lý dữ liệu cá nhân: (Công ty)

  • Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
  • Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định;
  • Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
  • Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
  • Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Như vậy, về mặt dân sự, bên mua phần mềm chịu trách nhiệm với chủ thể dữ liệu cá nhân, còn bên Công ty chịu trách nhiệm với bên mua phần mềm dựa trên hợp đồng/thỏa thuận. Tuy nhiên, về mặt hành chính, cơ quan chức năng sẽ xử phạt bên nào trực tiếp có hành vi vi phạm các quy định về các biện pháp vệ dữ liệu cá nhân hoặc nghĩa vụ thông báo hành vi vi phạm.

4. Chế tài xử lý vi phạm hành chính

(Dựa trên Dự thảo Nghị định xử phạt an ninh mạng và bảo vệ dữ liệu cá nhân được đăng tải trên cổng thông tin điện tử Bộ Tư Pháp ngày 20/05/2026, chỉ mang tính chất tham khảo, chưa có hiệu lực pháp luật)

Hành vi vi phạm Mức xử phạt  Xử phạt bổ sung và biện pháp khắc phục hậu quả
(i) Vi phạm quy định về thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân:

– Phát hiện nhưng không thông báo kịp thời cho Bên kiểm soát/Bên kiểm soát và xử lý DLCN;

– Báo cáo vi phạm sự cố rò rỉ cho Bộ công an nhưng cố ý che dấu, cung cấp thông tin sai lệch

 Phạt từ 10.000.000 đồng đến 20.000.000 đồng; Biện pháp khắc phục hậu quả:

– Buộc thực hiện đầy đủ nghĩa vụ thông báo vi phạm;

Buộc thực hiện các biện pháp ngăn chặn và khắc phục hậu quả.
(ii) Không thực hiện các biện pháp ngăn chặn, không khắc phục hậu quả xảy ra;

 – Không phối hợp với cơ quan chuyên trách

 Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng
(iii) Hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam. Phạt tiền từ 1% đến 2% doanh thu

hoặc 200.000.000 đồng đến 500.000.000 đồng

 Xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm; có thể bị tước quyền sử dụng giấy phép kinh doanh đối với ngành nghề có vi phạm từ 06 đến 12 tháng; Đình chỉ có thời hạn hoạt động chuyển DLCN xuyên biên giới từ 06 tháng đến 12 tháng.

Biện pháp khắc phục hậu quả:

– Buộc yêu cầu bên nhận dữ liệu xuyên biên giới hủy, xóa; cung cấp bằng chứng bên nhận đã thực hiện việc hủy, xóa cho cơ quan có thẩm quyền;

– Buộc nộp lại khoản thu có được thì hành vi vi phạm;

– Buộc thông báo bằng văn bản đến toàn bộ chủ thể DLCN bị ảnh hưởng
(iv) Hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam. Phạt tiền từ 2% đến 3% doanh thu

hoặc 500.000.000 đồng đến 1.000.000.000 đồng
(v) Hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên. Phạt tiền từ 3% đến 5% doanh thu

hoặc 1.000.000.000 đồng đến 3.000.000.000 đồng

Kết luận

Như vậy, việc xác định rõ vai trò, kết hợp với việc thiết lập chặt chẽ các điều khoản hợp đồng và tuân thủ nghiêm ngặt các biện pháp bảo mật kỹ thuật, chính là chiếc khiên bảo vệ tối ưu giúp các công ty công nghệ và đối tác phòng ngừa rủi ro tuân thủ theo Luật Bảo vệ dữ liệu cá nhân.

Trên đây là Trách nhiệm của doanh nghiệp cung cấp phần mềm khi xảy ra sự cố rò rỉ dữ liệu cá nhân. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm:

DATA PROTECTION:

⠿Mục lục
Mục lục
Quảng cáo
Quảng cáo