Nhân viên mang dữ liệu khách hàng sang công ty mới

Đây là vi phạm pháp luật về dữ liệu cá nhân, không chỉ là chuyện kỷ luật nội bộ. Luật cấm chiếm đoạt, cố ý làm lộ và mua bán dữ liệu cá nhân (Điều 7 khoản 6, 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15). Người vi phạm có thể bị phạt hành chính hoặc truy cứu hình sự, gây thiệt hại thì phải bồi thường (Điều 8 khoản 1). Công ty cũ nên làm ngay: 1) Lập biên bản xác nhận vi phạm, giữ chứng cứ như nhật ký truy cập, email gửi file (Điều 23 khoản 2). 2) Nếu việc lộ dữ liệu có thể gây hại cho tài sản, danh dự của khách, báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an chậm nhất 72 giờ kể từ khi phát hiện (Điều 23 khoản 1; nội dung theo Điều 28 Nghị định 356/2025/NĐ-CP). 3) Yêu cầu bằng văn bản người cũ và công ty mới ngừng sử dụng, xóa dữ liệu; khởi kiện đòi bồi thường nếu có thiệt hại. Mức phạt theo Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026): • Nhân viên thu thập, sử dụng, tiết lộ trái phép dữ liệu cá nhân của người khác gây thiệt hại: 20–30 triệu đồng, buộc xóa dữ liệu (Điều 42 khoản 2 điểm a). • Công ty mới dùng danh sách liên hệ khách khi khách chưa đồng ý: 30–50 triệu đồng (Điều 48 khoản 1). • Nếu danh sách được mua bán: phạt 2 đến 10 lần khoản thu; không có khoản thu thì 70 triệu đến 1 tỷ đồng tùy số người, tối đa 3 tỷ đồng (Điều 53).Nguồn: Điều 7 khoản 6, 7, Điều 8 khoản 1, Điều 23 khoản 1, 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 28 Nghị định 356/2025/NĐ-CP; Điều 42 khoản 2, Điều 48 khoản 1, Điều 53 Nghị định 330/2026/NĐ-CP