Trách nhiệm pháp lý của ban giám đốc và người đại diện theo pháp luật khi xảy ra rò rỉ dữ liệu cá nhân

Khi xảy ra sự cố rò rỉ dữ liệu cá nhân, trách nhiệm pháp lý không chỉ dừng lại ở doanh nghiệp mà còn có thể liên quan đến những cá nhân giữ vai trò quản lý, điều hành. Vậy Ban Giám đốc, Hội đồng quản trị và Người đại diện theo pháp luật phải chịu trách nhiệm như thế nào? Cùng CBI tìm hiểu các trách nhiệm hành chính, dân sự và rủi ro hình sự có thể phát sinh đối với những chủ thể này theo quy định pháp luật hiện hành.

Ảnh minh họa

1. Rò rỉ dữ liệu cá nhân: Từ sự cố kỹ thuật đến trách nhiệm quản trị doanh nghiệp

Trong hoạt động kinh doanh, dữ liệu cá nhân của khách hàng, người lao động và đối tác được xử lý thường xuyên thông qua nhiều hệ thống và quy trình nội bộ. Vì vậy, sự cố rò rỉ hoặc mất dữ liệu cá nhân không chỉ là vấn đề kỹ thuật mà còn có thể kéo theo những hệ quả pháp lý, tài chính và uy tín đối với doanh nghiệp.

Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (sau đây gọi là “Luật Bảo vệ dữ liệu cá nhân”), đặc biệt là Điều 37, bên kiểm soát dữ liệu cá nhân có trách nhiệm thực hiện các biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân, rà soát và cập nhật các biện pháp này khi cần thiết; đồng thời phải thông báo vi phạm theo quy định tại Điều 23 và phối hợp với cơ quan nhà nước có thẩm quyền trong quá trình xử lý vi phạm. Các nghĩa vụ này được hướng dẫn cụ thể tại Nghị định 356/2025/NĐ-CP.

Bên cạnh đó, Nghị định 330/2026/NĐ-CP quy định các hình thức xử phạt và biện pháp khắc phục hậu quả đối với những hành vi vi phạm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Trong bối cảnh đó, Ban Giám đốc, Hội đồng quản trị và Người đại diện theo pháp luật cần quan tâm không chỉ đến việc khắc phục sự cố mà còn đến trách nhiệm quản trị, giám sát và tổ chức thực hiện các nghĩa vụ tuân thủ. Việc phân công cho bộ phận công nghệ thông tin hoặc nhân sự chuyên trách không đồng nghĩa với việc doanh nghiệp có thể chuyển giao toàn bộ trách nhiệm pháp lý của mình cho các bộ phận này.

Đặc biệt, Điều 13 và Điều 165 Luật Doanh nghiệp 2020 đặt ra những nghĩa vụ nhất định đối với Người đại diện theo pháp luật và người quản lý doanh nghiệp trong quá trình thực hiện quyền, nghĩa vụ được giao. Đây cũng là cơ sở để xem xét trách nhiệm của từng cá nhân khi việc quản lý, điều hành hoặc giám sát hoạt động bảo vệ dữ liệu cá nhân không được thực hiện đúng quy định.

2. Trách nhiệm pháp lý của Ban Giám đốc và Người đại diện theo pháp luật

Cần phân biệt trách nhiệm pháp lý của doanh nghiệp với trách nhiệm cá nhân của người quản lý. Việc doanh nghiệp bị xử phạt hoặc phát sinh nghĩa vụ bồi thường không mặc nhiên đồng nghĩa với việc Người đại diện theo pháp luật, Giám đốc hoặc thành viên Hội đồng quản trị phải chịu trách nhiệm cá nhân thay cho doanh nghiệp.

Theo Điều 13 và Điều 165 Luật Doanh nghiệp 2020, trách nhiệm của người quản lý cần được xem xét trên cơ sở chức vụ, phạm vi thẩm quyền, nghĩa vụ được giao và hành vi thực tế. Tùy từng trường hợp, người quản lý có thể đối mặt với các trách nhiệm sau khi tổ chức mà mình đại diện, quản lý có hành vi vi phạm:

a) Trách nhiệm hành chính và rủi ro tài chính

Theo Nghị định 330/2026/NĐ-CP, tổ chức, cá nhân có hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử phạt tiền, áp dụng hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả tương ứng với từng hành vi.

Đáng chú ý, Nghị định quy định các chế tài đối với một số hành vi có liên quan trực tiếp đến nguy cơ rò rỉ, mất dữ liệu cá nhân, bao gồm:

– Vi phạm quy định về chuyển giao dữ liệu cá nhân: Theo khoản 2 Điều 52 Nghị định 330/2026/NĐ-CP, tổ chức có thể bị phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng nếu chuyển giao dữ liệu cá nhân có thu phí để cung cấp dịch vụ hoặc phục vụ lợi ích hợp pháp của chủ thể dữ liệu nhưng không xác định rõ vai trò của các bên tham gia; không giới hạn loại dữ liệu được chuyển giao trong phạm vi mục đích chuyển giao; hoặc không xác định thời hạn lưu trữ, không xóa, hủy dữ liệu khi hoàn thành mục đích chuyển giao.

– Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: Theo khoản 3 Điều 56 Nghị định 330/2026/NĐ-CP, tổ chức thực hiện chuyển dữ liệu cá nhân xuyên biên giới trái quy định, dẫn đến lộ, mất dữ liệu cá nhân, có thể bị phạt theo tỷ lệ từ 1% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam, tùy thuộc vào số lượng chủ thể dữ liệu bị ảnh hưởng. Cụ thể, mức phạt là 1%–2% đối với trường hợp ảnh hưởng từ 10.000 đến dưới 100.000 chủ thể; 2%–3% đối với từ 100.000 đến dưới 1.000.000 chủ thể; và 3%–5% đối với từ 1.000.000 chủ thể trở lên. Trường hợp không có doanh thu tại Việt Nam hoặc mức phạt tính theo doanh thu thấp hơn mức quy định, khoản 4 Điều 56 áp dụng mức phạt thay thế từ 200.000.000 đồng đến 3.000.000.000 đồng, tùy trường hợp.

– Vi phạm nghĩa vụ thông báo và xử lý sự cố rò rỉ dữ liệu cá nhân: Theo khoản 1, 2, 3 và 4 Điều 54 Nghị định 330/2026/NĐ-CP, tổ chức có thể bị xử phạt:

+ Từ 10.000.000 đồng đến 20.000.000 đồng: Đối với hành vi không thông báo kịp thời, không lập biên bản xác nhận hoặc che giấu, cung cấp thông tin sai lệch về sự cố.

+ Từ 20.000.000 đồng đến 40.000.000 đồng: Đối với hành vi không thông báo cho cơ quan chuyên trách về vi phạm quy định bảo vệ dữ liệu cá nhân.

+ Từ 40.000.000 đồng đến 60.000.000 đồng: Đối với hành vi thông báo quá thời hạn 72 giờ trong trường hợp luật định.

+ Từ 60.000.000 đồng đến 80.000.000 đồng: Đối với hành vi không ngăn chặn, khắc phục hậu quả hoặc không phối hợp với cơ quan chuyên trách.

Như vậy, tùy thuộc vào tính chất và quy mô vi phạm, doanh nghiệp không chỉ đối mặt với các khoản phạt hành chính lên đến hàng tỷ đồng hoặc tính theo tỷ lệ doanh thu, mà còn có thể phải thực hiện các biện pháp khắc phục hậu quả theo quy định. Theo đó, Người đại diện theo pháp luật là người trực tiếp thay mặt doanh nghiệp chịu trách nhiệm giải trình và thi hành các quyết định xử phạt này.

b) Trách nhiệm dân sự và nghĩa vụ bồi thường thiệt hại

Theo điểm g khoản 1 Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, Bên Kiểm soát dữ liệu cá nhân có trách nhiệm trước chủ thể dữ liệu về những thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra. Bên Xử lý dữ liệu cá nhân cũng phải thực hiện các trách nhiệm tương ứng theo vai trò và nghĩa vụ của mình được quy định tại Điều 37 Luật này.

Bên cạnh đó, Điều 584 và Điều 585 Bộ luật Dân sự 2015 quy định về căn cứ phát sinh và nguyên tắc bồi thường thiệt hại ngoài hợp đồng. Theo đó, tổ chức, cá nhân có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác, gây thiệt hại và đáp ứng các điều kiện phát sinh trách nhiệm bồi thường thì phải bồi thường theo quy định pháp luật.

Đối với trường hợp thiệt hại phát sinh do hành vi của người thuộc pháp nhân trong khi thực hiện nhiệm vụ được pháp nhân giao, Điều 597 Bộ luật Dân sự 2015 quy định trách nhiệm bồi thường của pháp nhân, đồng thời bảo lưu quyền yêu cầu người có lỗi hoàn trả một khoản tiền theo quy định pháp luật.

Riêng đối với người quản lý doanh nghiệp, Điều 165 Luật Doanh nghiệp 2020 quy định thành viên Hội đồng quản trị, Giám đốc, Tổng giám đốc và người quản lý khác phải thực hiện quyền, nghĩa vụ được giao một cách trung thực, cẩn trọng và tốt nhất nhằm bảo đảm lợi ích hợp pháp của công ty. Trường hợp vi phạm nghĩa vụ này và gây thiệt hại cho công ty, người quản lý có thể phải chịu trách nhiệm cá nhân theo quy định pháp luật.

Do đó, nếu người quản lý cố ý bỏ qua cảnh báo rủi ro, không thực hiện nghĩa vụ giám sát trong phạm vi trách nhiệm hoặc có hành vi vi phạm nghĩa vụ quản lý dẫn đến thiệt hại cho doanh nghiệp, trách nhiệm cá nhân có thể được xem xét trên cơ sở Điều 165 Luật Doanh nghiệp 2020 và các quy định pháp luật có liên quan.

c) Rủi ro bị đình chỉ hoạt động và ảnh hưởng đến hoạt động kinh doanh

Theo khoản 2 Điều 4 Nghị định 330/2026/NĐ-CP, tùy thuộc vào tính chất và mức độ vi phạm, tổ chức, cá nhân còn có thể bị áp dụng các hình thức xử phạt bổ sung như tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 tháng đến 24 tháng hoặc đình chỉ hoạt động có thời hạn từ 01 tháng đến 24 tháng. Tuy nhiên, các hình thức xử phạt bổ sung này chỉ được áp dụng đối với những hành vi vi phạm cụ thể được quy định tại Nghị định.

Đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới, Điều 56 Nghị định 330/2026/NĐ-CP còn quy định các biện pháp xử lý tương ứng, bao gồm đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới trong những trường hợp luật định.

Bên cạnh đó, đối với một số hoạt động xử lý dữ liệu cá nhân trái quy định, Nghị định 330/2026/NĐ-CP còn quy định biện pháp buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi vi phạm được khắc phục và đáp ứng điều kiện theo quy định.

Những biện pháp này có thể ảnh hưởng đáng kể đến các hoạt động kinh doanh phụ thuộc vào dữ liệu như vận hành nền tảng trực tuyến, tiếp thị, chăm sóc khách hàng và quản lý nhân sự. Vì vậy, rủi ro đình chỉ không chỉ là vấn đề xử phạt mà còn có thể làm gián đoạn hoạt động và gây thiệt hại kinh tế cho doanh nghiệp.

3. Nghĩa vụ khẩn cấp của Ban Điều hành khi xảy ra sự cố rò rỉ dữ liệu cá nhân

Khi phát hiện sự cố có dấu hiệu vi phạm quy định về bảo vệ dữ liệu cá nhân, Ban giám đốc, người điều hành doanh nghiệp cần nhanh chóng chỉ đạo các bộ phận liên quan triển khai biện pháp ứng phó, hạn chế thiệt hại và thực hiện nghĩa vụ thông báo theo quy định pháp luật.

Một số nghĩa vụ cần đặc biệt lưu ý gồm:

a) Thực hiện nghĩa vụ thông báo trong thời hạn luật định; đảm bảo quyền và lợi ích hợp pháp của chủ thể dữ liệu

Theo khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân 2025, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân hoặc bên thứ ba khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có khả năng gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện hành vi vi phạm.

Đặc biệt, đối với sự cố liên quan đến dữ liệu vị trí cá nhân hoặc dữ liệu sinh trắc học, khoản 1 Điều 29 Nghị định 356/2025/NĐ-CP quy định Bên Kiểm soát dữ liệu cá nhân hoặc Bên Kiểm soát và Xử lý dữ liệu cá nhân phải:

– Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm;

– Báo cáo cho cơ quan nhà nước có thẩm quyền theo quy định tại Điều 28 Nghị định này;

– Ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý. Hồ sơ vi phạm phải được lưu trữ tối thiểu 05 năm kể từ ngày khắc phục xong sự cố.

Do đó, doanh nghiệp cần đánh giá bản chất, phạm vi, loại dữ liệu và mức độ ảnh hưởng của từng sự cố để xác định chính xác chủ thể có nghĩa vụ thông báo, cơ quan tiếp nhận và thời hạn thực hiện. Không nên mặc định áp dụng cùng một thời hạn thông báo cho tất cả các trường hợp rò rỉ dữ liệu cá nhân.

b) Tổ chức ứng phó và khắc phục sự cố

Bên cạnh nghĩa vụ thông báo, Ban giám đốc, người điều hành doanh nghiệp phải tiến hành chỉ đạo các bộ phận công nghệ thông tin, pháp chế, an ninh mạng và bộ phận phụ trách bảo vệ dữ liệu cá nhân phối hợp thực hiện các công việc cần thiết nhằm ngăn chặn và hạn chế thiệt hại phát sinh như: khoanh vùng và ngăn chặn sự cố; xác định nguyên nhân, phạm vi, loại dữ liệu và số lượng chủ thể dữ liệu bị ảnh hưởng; lưu giữ nhật ký hệ thống, chứng cứ điện tử và tài liệu liên quan để phục vụ công tác xác minh; khắc phục và khôi phục hệ thống: Triển khai biện pháp kỹ thuật, tổ chức cần thiết nhằm khắc phục sự cố và hạn chế thiệt hại phát sinh; và lập biên bản, ghi nhận diễn biến sự cố và lưu trữ hồ sơ phục vụ việc giải trình với cơ quan có thẩm quyền,…

Các biện pháp trên là những khuyến nghị về quản trị và ứng phó sự cố nhằm hỗ trợ doanh nghiệp thực hiện nghĩa vụ bảo vệ dữ liệu cá nhân, trong đó việc ghi nhận, lập và lưu trữ thông tin vi phạm cần được thực hiện theo quy định tại Điều 23 Luật Bảo vệ dữ liệu cá nhân và Điều 28, Điều 29 Nghị định 356/2025/NĐ-CP.

4. Xây dựng cơ chế quản trị nhằm kiểm soát rủi ro pháp lý cho Ban Giám đốc

Để hạn chế rủi ro pháp lý và chứng minh việc thực hiện nghĩa vụ quản trị, giám sát một cách hợp lý, Ban Giám đốc cần chủ động thiết lập cơ chế tuân thủ bảo vệ dữ liệu cá nhân trong toàn doanh nghiệp.

Trên cơ sở trách nhiệm của Bên Kiểm soát dữ liệu cá nhân theo Điều 37 Luật Bảo vệ dữ liệu cá nhân, cùng nghĩa vụ của người quản lý theo Điều 13 và Điều 165 Luật Doanh nghiệp 2020, CBI Law Firm khuyến nghị doanh nghiệp cân nhắc triển khai các biện pháp sau:

– Ban hành quy chế nội bộ: Phê duyệt và ban hành chính sách, quy trình bảo vệ dữ liệu cá nhân, quy định rõ trách nhiệm của từng bộ phận và cá nhân có liên quan.

– Phân bổ nguồn lực phù hợp: Bố trí ngân sách, nhân sự và hạ tầng kỹ thuật cần thiết để bảo đảm an toàn trong quá trình thu thập, lưu trữ, sử dụng và chia sẻ dữ liệu cá nhân.

– Thiết lập cơ chế giám sát: Xây dựng quy trình kiểm tra, đánh giá định kỳ và cơ chế báo cáo rủi ro cho Ban Giám đốc hoặc Hội đồng quản trị.

– Chỉ định nhân sự phụ trách: Bố trí bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân đáp ứng yêu cầu pháp luật; xác định rõ phạm vi công việc, quyền hạn và trách nhiệm phối hợp. Việc chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân cần tuân thủ các yêu cầu tại Điều 13 Nghị định 356/2025/NĐ-CP.

– Đào tạo và nâng cao nhận thức: Tổ chức đào tạo định kỳ cho người lao động, đặc biệt là nhân sự trực tiếp tiếp cận và xử lý dữ liệu cá nhân.

– Xây dựng quy trình ứng phó sự cố: Thiết lập cơ chế tiếp nhận, phân loại, báo cáo và xử lý sự cố; xác định rõ đầu mối chịu trách nhiệm và quy trình phê duyệt thông báo cho cơ quan có thẩm quyền.

– Rà soát nhà cung cấp và đối tác: Kiểm tra hợp đồng, thỏa thuận xử lý dữ liệu cá nhân và biện pháp bảo vệ dữ liệu của các bên thứ ba có tham gia xử lý dữ liệu.

Việc triển khai và lưu trữ đầy đủ hồ sơ, tài liệu chứng minh quá trình quản trị và giám sát sẽ là cơ sở quan trọng để doanh nghiệp giải trình về các biện pháp tuân thủ đã thực hiện, đồng thời hỗ trợ xác định trách nhiệm của từng cá nhân khi phát sinh sự cố.

Tuy nhiên, cần lưu ý rằng việc xây dựng cơ chế quản trị nội bộ không đồng nghĩa với việc người quản lý được miễn trừ trách nhiệm pháp lý. Trách nhiệm của từng cá nhân vẫn cần được xem xét trên cơ sở nghĩa vụ được giao, phạm vi thẩm quyền, hành vi thực tế và các điều kiện phát sinh trách nhiệm theo quy định pháp luật.

5. Dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân của CBI

Việc tuân thủ pháp luật về bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của bộ phận công nghệ thông tin mà còn là một nội dung quan trọng trong hoạt động quản trị và kiểm soát rủi ro của doanh nghiệp.

Với đội ngũ Luật sư và chuyên gia pháp lý chuyên trách, CBI cung cấp dịch vụ tư vấn và hỗ trợ doanh nghiệp trong việc:

– Rà soát hiện trạng xử lý dữ liệu cá nhân và đánh giá rủi ro tuân thủ;

– Xây dựng, hoàn thiện chính sách, quy chế và quy trình nội bộ về bảo vệ dữ liệu cá nhân;

– Soạn thảo, rà soát thỏa thuận xử lý dữ liệu cá nhân và các hợp đồng có liên quan;

– Tư vấn xây dựng cơ chế phân công trách nhiệm, chỉ định nhân sự hoặc bộ phận phụ trách bảo vệ dữ liệu cá nhân;

– Hỗ trợ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới;

– Tư vấn quy trình ứng phó, xử lý và khắc phục sự cố rò rỉ dữ liệu cá nhân;

– Hỗ trợ doanh nghiệp làm việc, giải trình và thực hiện các thủ tục với cơ quan nhà nước có thẩm quyền.

CBI hướng đến việc hỗ trợ doanh nghiệp xây dựng hệ thống tuân thủ phù hợp với đặc thù hoạt động, qua đó chủ động kiểm soát rủi ro và nâng cao trách nhiệm quản trị trong bảo vệ dữ liệu cá nhân.

Bài viết này được thực hiện bởi Chuyên viên pháp lý Nguyễn Trúc Vy và được tham vấn ý kiến của Luật sư Vũ Phạm Thu Hương.

Bài viết này được thực hiện nhằm mục đích cung cấp thông tin pháp lý chung và không được xem là ý kiến tư vấn pháp lý cho bất kỳ trường hợp cụ thể nào. Các quy định pháp luật được dẫn chiếu trong bài viết có hiệu lực tại thời điểm đăng tải, nhưng có thể đã được sửa đổi, bổ sung, thay thế hoặc hết hiệu lực tại thời điểm Bạn đọc quan tâm. Do đó, Chúng tôi khuyến nghị Bạn đọc nên tham khảo ý kiến của luật sư trước khi áp dụng.