Ví dụ thực tế về Dữ liệu cá nhân — Trang 3

Trước hết: việc từng tự nguyện gửi ảnh cho người yêu lúc đó không có nghĩa là bạn mất quyền kiểm soát những bức ảnh đó mãi mãi, và cũng không phải lý do để tự trách mình — pháp luật bảo vệ bạn ở đây, không phải trừng phạt bạn vì đã tin tưởng ai đó trong một mối quan hệ. Về mặt pháp lý, đây là quyền cá nhân đối với hình ảnh, không phụ thuộc vào việc ảnh có được cho xem tự nguyện trước đây hay không. Khoản 1 Điều 32 Bộ luật Dân sự 91/2015/QH13 quy định rõ: cá nhân có quyền đối với hình ảnh của mình, và việc SỬ DỤNG hình ảnh của người khác phải được người đó đồng ý. "Sử dụng" ở đây bao gồm cả việc phát tán, chia sẻ — không chỉ việc chụp hay lưu giữ ban đầu. Đồng ý cho một người xem ảnh 4-5 năm trước không đồng nghĩa với đồng ý cho người đó gửi ảnh cho người khác bây giờ. Nếu người này thực sự phát tán ảnh mà không có sự đồng ý của bạn, khoản 3 Điều 32 cho bạn quyền yêu cầu Tòa án buộc thu hồi, tiêu hủy, chấm dứt việc sử dụng và bồi thường thiệt hại. Về trách nhiệm hình sự của người đe dọa — có hai hướng, tùy vào việc anh ta thực sự đòi gì: 1) Nếu anh ta phát tán ảnh thật (gửi cho bạn/bè của người yêu bạn hoặc đăng công khai) nhằm bôi nhọ, hạ thấp bạn: đây có thể cấu thành tội làm nhục người khác theo Điều 155 Bộ luật Hình sự 100/2015/QH13 — xúc phạm nghiêm trọng nhân phẩm, danh dự người khác, có thể bị phạt tiền đến 30 triệu đồng hoặc phạt tù. Nếu thực hiện qua mạng xã hội, tin nhắn, điện thoại thì đây là tình tiết tăng nặng — điểm e khoản 2 Điều 155 quy định khung phạt tù từ 3 tháng đến 2 năm khi "sử dụng mạng máy tính hoặc mạng viễn thông, phương tiện điện tử để phạm tội". 2) Nếu việc đe dọa phát tán ảnh được dùng để ép bạn phải đưa tiền, tài sản, hoặc bất kỳ lợi ích vật chất nào: đây là dấu hiệu của tội cưỡng đoạt tài sản theo Điều 170 Bộ luật Hình sự — "đe dọa sẽ dùng vũ lực hoặc có thủ đoạn khác uy hiếp tinh thần người khác nhằm chiếm đoạt tài sản", phạt tù từ 1 đến 5 năm ở khung cơ bản. Điểm quan trọng: tội này đã hoàn thành ngay khi có hành vi đe dọa nhằm chiếm đoạt tài sản — không cần đợi anh ta thực sự phát tán ảnh hay bạn thực sự mất tiền thì mới được coi là phạm tội. Dù anh ta đòi gì (tiền, gặp lại, hay bất cứ điều gì khiến bạn phải làm trái ý muốn để đổi lấy việc không phát tán ảnh), việc dùng ảnh nhạy cảm để đe dọa, ép buộc người khác đều là hành vi vi phạm pháp luật. Bạn nên làm gì ngay: - Không làm theo yêu cầu của anh ta, kể cả khi anh ta hối thúc hay dọa dẫm thêm — làm theo không đảm bảo anh ta sẽ dừng lại, và có thể khiến bạn bị lợi dụng tiếp. - Lưu lại toàn bộ bằng chứng: chụp màn hình tin nhắn đe dọa, ghi rõ thời gian, số điện thoại/tài khoản mạng xã hội của anh ta — đây là bằng chứng quan trọng nhất khi trình báo. - Trình báo công an: theo Điều 144 Bộ luật Tố tụng hình sự 101/2015/QH13, bạn có quyền tố giác hành vi có dấu hiệu tội phạm với cơ quan có thẩm quyền — có thể đến công an phường/xã nơi bạn cư trú. Theo Điều 145, cơ quan tiếp nhận không được từ chối tiếp nhận tố giác. Bạn không cần phải đợi ảnh thực sự bị phát tán mới được trình báo — hành vi đe dọa đã đủ căn cứ để công an vào cuộc xác minh. - Nếu lo lắng về việc lộ danh tính khi trình báo, có thể trình bày rõ với công an và đề nghị được bảo mật thông tin trong quá trình xử lý.Nguồn: Điều 32 Bộ luật Dân sự 91/2015/QH13; Điều 155, Điều 170 Bộ luật Hình sự 100/2015/QH13; Điều 144, Điều 145 Bộ luật Tố tụng hình sự 101/2015/QH13

Có ba nghĩa vụ pháp lý tách biệt phát sinh ngay khi phát hiện sự cố, không phải chỉ là vấn đề kỹ thuật nội bộ. 1. Nghĩa vụ ứng cứu, khắc phục ngay: khoản 2 Điều 19 Luật An toàn thông tin mạng 86/2015/QH13 quy định tổ chức, cá nhân xử lý thông tin cá nhân — không phân biệt quy mô doanh nghiệp — khi xảy ra hoặc có nguy cơ xảy ra sự cố an toàn thông tin mạng thì phải áp dụng biện pháp khắc phục, ngăn chặn trong thời gian sớm nhất (vá lỗ hổng, chặn truy cập trái phép, đánh giá phạm vi dữ liệu bị lộ). Điều 13 luật này cũng yêu cầu việc ứng cứu sự cố phải kịp thời, nhanh chóng, chính xác. 2. Nghĩa vụ thông báo cho cơ quan chuyên trách trong 72 giờ: đây là điểm nhiều doanh nghiệp bỏ sót. Khoản 1 Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định bên kiểm soát dữ liệu cá nhân phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân có thể xâm phạm đến tài sản, danh dự, nhân phẩm của chủ thể dữ liệu thì PHẢI thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện hành vi vi phạm — đây không phải lựa chọn, mà là nghĩa vụ bắt buộc, tính từ lúc công ty phát hiện ra (không phải từ lúc hacker xâm nhập). Tình huống của bạn — lộ họ tên, số điện thoại, email, mật khẩu của 8.000 người — rõ ràng có nguy cơ gây thiệt hại tài sản (lừa đảo, chiếm đoạt tài khoản) nên thuộc diện phải thông báo. Nội dung thông báo phải có (theo khoản 1 Điều 28 Nghị định 356/2025/NĐ-CP): mô tả tính chất vi phạm (thời gian, địa điểm, hành vi, loại dữ liệu và số lượng dữ liệu bị ảnh hưởng), thông tin liên lạc của bộ phận/nhân sự phụ trách bảo vệ dữ liệu, mô tả hậu quả có thể xảy ra, và biện pháp đã/đang thực hiện để khắc phục. Thông báo gửi qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 (khoản 2 Điều 28). 3. Về việc có phải báo trực tiếp cho 8.000 khách hàng không: luật quy định nghĩa vụ thông báo trực tiếp bắt buộc cho chính chủ thể dữ liệu (trong 72 giờ) chỉ áp dụng rõ ràng khi dữ liệu bị lộ là dữ liệu vị trí hoặc dữ liệu sinh trắc học (Điều 29 Nghị định 356/2025/NĐ-CP) — trường hợp của bạn (họ tên, SĐT, email, mật khẩu) không thuộc diện bắt buộc thông báo trực tiếp theo điều khoản này. Tuy nhiên đây là rủi ro thực tế cho khách hàng (đặc biệt nếu họ dùng lại mật khẩu ở nơi khác), nên dù không bị luật buộc, công ty vẫn nên chủ động thông báo và khuyến nghị đổi mật khẩu — vừa đúng tinh thần "biện pháp khắc phục, ngăn chặn" tại Điều 19 Luật An toàn thông tin mạng, vừa giảm rủi ro bị khách hàng khởi kiện đòi bồi thường sau này nếu họ bị thiệt hại và chứng minh được công ty biết mà không cảnh báo. Về chế tài nếu không thông báo: khoản 4 Điều 29 Nghị định 356/2025/NĐ-CP nói rõ tổ chức không thông báo đúng hạn hoặc cố tình trì hoãn, né tránh sẽ bị xem xét xử lý vi phạm. Theo khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa cho các hành vi vi phạm khác (bao gồm không thông báo) đối với tổ chức có thể lên đến 3 tỷ đồng, tùy tính chất và mức độ vi phạm; nếu để xảy ra thiệt hại thực tế cho khách hàng thì còn phải bồi thường theo quy định chung của pháp luật dân sự. Việc cần làm ngay: (1) khắc phục kỹ thuật, đánh giá chính xác phạm vi và loại dữ liệu bị lộ; (2) lập biên bản xác nhận sự việc (khoản 2 Điều 23 Luật BVDLCN); (3) gửi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện, dùng đúng Mẫu số 08; (4) cân nhắc chủ động thông báo khách hàng và khuyến nghị đổi mật khẩu dù không bắt buộc theo luật đối với loại dữ liệu này.Nguồn: Điều 8, Điều 23 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 13, Điều 19 Luật An toàn thông tin mạng 86/2015/QH13; Điều 28, Điều 29 Nghị định 356/2025/NĐ-CP

Bên kiểm soát dữ liệu cá nhân phải xây dựng quy trình, thủ tục, biểu mẫu rõ ràng để chủ thể dữ liệu biết cách thực hiện quyền của mình theo khoản 1 Điều 4 Luật BVDLCN. Khi nhận được yêu cầu, quy trình xử lý gồm: 1. Phản hồi ban đầu trong 2 ngày làm việc — xác nhận yêu cầu, cung cấp thông tin về thủ tục ngừng xử lý dữ liệu. 2. Thực hiện việc hạn chế trong 15 ngày, áp dụng với toàn bộ dữ liệu do chính bên kiểm soát xử lý. 3. Nếu cần yêu cầu bên xử lý dữ liệu hoặc bên thứ ba ngừng xử lý thay, thời hạn kéo dài thành 20 ngày. 4. Có thể gia hạn thêm tối đa 15 ngày (chỉ một lần) nếu yêu cầu phức tạp — nhưng phải thông báo lý do cho chủ thể dữ liệu và tự chịu trách nhiệm chứng minh việc gia hạn là cần thiết, hợp lý. Lưu ý: việc hạn chế không có hiệu lực hồi tố — không ảnh hưởng đến hoạt động xử lý dữ liệu đã diễn ra trước thời điểm chủ thể dữ liệu gửi yêu cầu (Điều 10 khoản 4 Luật BVDLCN).Nguồn: NĐ 356/2025/NĐ-CP, hướng dẫn Điều 10 Luật 91/2025/QH15

Theo Điều 38 khoản 2, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được quyền lựa chọn thực hiện hoặc không thực hiện quy định tại Điều 21 (đánh giá tác động xử lý dữ liệu cá nhân), Điều 22 (cập nhật hồ sơ đánh giá) và khoản 2 Điều 33 (bộ phận bảo vệ dữ liệu cá nhân) trong thời gian 5 năm kể từ ngày 01/01/2026. Ngoại lệ (khoản 2, phần loại trừ): doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu của số lượng lớn chủ thể dữ liệu thì vẫn phải thực hiện đầy đủ, không được miễn. Riêng hộ kinh doanh và doanh nghiệp siêu nhỏ (khoản 3): không phải thực hiện các quy định này — không chỉ 'được chọn' mà là miễn hẳn — với cùng nhóm ngoại lệ nêu trên.Nguồn: Điều 38 khoản 2, 3, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15