Lộ dữ liệu người dùng: chặn lỗ hổng trước, báo cơ quan chuyên trách trong 72 giờ, và báo cả người dùng khi dữ liệu là vị trí, sinh trắc học hay tài chính

Khi lộ dữ liệu người dùng, bạn cần chặn lỗ hổng và báo cơ quan chuyên trách của Bộ Công an trong 72 giờ. Bị tấn công thì báo sự cố an ninh mạng, 24 giờ nếu nghiêm trọng. Báo cho chính người dùng chỉ bắt buộc với dữ liệu vị trí, sinh trắc học và tài chính; các vụ khác vẫn nên báo.

Chi phí

Không mất tiền để báo. Cái mất là mấy ngày đầu, đúng lúc bạn cần người nhất: người chốt việc, người chặn lỗ hổng, người viết thông báo, người trực điện thoại cho khách đang hoang mang. Thuê ngoài điều tra sự cố thì có hoá đơn, nhưng luật không buộc phải thuê. Phần đắt nhất là thời gian chứ không phải tiền: sửa lỗ hổng, lập biên bản và gửi thông báo chạy song song trong cùng mấy ngày đó, không phải làm lần lượt rồi mới tính giờ.

Lợi ích

Có sự cố lộ dữ liệu, phải ưu tiên cô lập rủi ro, lưu chứng cứ và thông báo qua kênh phù hợp. Thời hạn thông báo được tính theo điều kiện luật định, không theo lúc đội kỹ thuật thấy đủ yên tâm.

Pháp luật Việt Nam

Có nhiều nghĩa vụ và nhiều mốc; mốc báo cơ quan và báo người dùng tính từ lúc phát hiện chứ không từ lúc bạn chắc chắn. Một, việc báo cơ quan: Điều 23 khoản 1 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 buộc bên kiểm soát dữ liệu, khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất là 72 giờ kể từ khi phát hiện; nếu bên xử lý dữ liệu phát hiện thì phải báo kịp thời cho bên kiểm soát, và khoản 2 cùng điều buộc lập biên bản xác nhận rồi phối hợp xử lý. Cơ quan đó là đơn vị trực thuộc Bộ Công an (Điều 33 khoản 1 điểm a Luật 91/2025 và Điều 39 khoản 1 Nghị định 356/2025/NĐ-CP), nhận thông báo qua Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân theo Mẫu số 08 (Điều 28 khoản 2 nghị định này). Hai, nội dung thông báo không phải tự nghĩ: Điều 28 khoản 1 kể bốn thứ — mô tả tính chất vi phạm kèm thời gian, địa điểm, hành vi, tổ chức cá nhân liên quan, loại và số lượng dữ liệu; chi tiết liên lạc của bộ phận bảo vệ dữ liệu; hậu quả, thiệt hại có thể xảy ra; biện pháp đã đưa ra để giải quyết và giảm thiểu. Ba, việc báo cho chính người dùng chỉ bắt buộc ở hai nhóm: dữ liệu vị trí và dữ liệu sinh trắc học (Điều 29 khoản 1 điểm a Nghị định 356/2025 — không quá 72 giờ kể từ khi phát hiện, sáu nội dung tối thiểu ở khoản 2, hồ sơ vi phạm lưu tối thiểu 05 năm), và dữ liệu nhạy cảm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng (Điều 8 khoản 3 cùng nghị định — không quá 72 giờ, báo cả cơ quan chuyên trách lẫn chủ thể dữ liệu). Khi bị tấn công mạng, bạn còn phải báo cáo sự cố theo quy định riêng: Điều 40 khoản 1 điểm c Luật An ninh mạng 116/2025/QH15 buộc chủ quản hệ thống thông tin báo cáo sự cố với cơ quan chuyên trách của Bộ Công an, và Điều 31 khoản 2 điểm d Nghị định 331/2026/NĐ-CP định ba mốc — thông báo ban đầu về sự cố nghiêm trọng trong 24 giờ, báo cáo nguyên nhân, phạm vi ảnh hưởng và biện pháp khắc phục trong 72 giờ, báo ngay khi phát hiện nếu sự cố có dấu hiệu xâm phạm an ninh quốc gia, trật tự, an toàn xã hội hoặc gây gián đoạn nghiêm trọng. Cuối cùng là tiền: Điều 8 Luật 91/2025 đặt trần xử phạt hành chính 03 tỷ đồng cho các vi phạm khác, 5% doanh thu năm trước liền kề với vi phạm chuyển dữ liệu xuyên biên giới, cá nhân bằng một phần hai mức của tổ chức, và khoản 1 cùng điều buộc bồi thường thiệt hại.

Ghi chú

Vì sao mức B: mọi mốc trong mục đọc được nguyên văn trong văn bản đang hiệu lực, kèm số điều và số khoản, nên đây không phải chuyện tin ai; nhưng không có số liệu Việt Nam nào đo được bao nhiêu vụ lộ dữ liệu được báo đúng hạn, cũng không có mức phạt cụ thể cho hành vi chậm báo đã mở được, nên mục dừng ở B và chỉ nêu trần xử phạt mà luật đặt. Bốn chỗ dễ sập. Một: gộp hai cửa làm một, gửi một email rồi tưởng đã xong — lộ dữ liệu cá nhân đi cửa cơ quan chuyên trách bảo vệ dữ liệu cá nhân, sự cố an ninh mạng đi cửa cơ quan chuyên trách của Bộ Công an theo Nghị định 331/2026, cùng một vụ có thể phải đi cả hai, và mỗi cửa có biểu mẫu riêng. Hai: chờ điều tra xong mới báo cho chắc — luật tính 72 giờ từ lúc phát hiện, và mốc 24 giờ cho sự cố nghiêm trọng còn sớm hơn, nên báo trước rồi cập nhật sau mới đúng thứ tự; báo muộn là vi phạm riêng, không phải chỉ là chi tiết trình bày. Ba: dọn log cho gọn trước khi báo, hoặc dựng lại máy chủ rồi mới xem lại — biên bản theo Điều 23 khoản 2 phải mô tả được thời gian, hành vi và số lượng dữ liệu liên quan, không có log thì không viết nổi con số đó và cũng không chứng minh được phạm vi. Bốn: thuê đơn vị vận hành hoặc hạ tầng đám mây rồi coi trách nhiệm là của họ — bên xử lý dữ liệu chỉ buộc báo kịp thời cho bên kiểm soát, còn thông báo cho cơ quan và cho người dùng vẫn là nghĩa vụ của bên đứng tên thu thập dữ liệu, nên hợp đồng với nhà cung cấp phải ghi rõ họ báo cho bạn trong bao lâu và giữ log bao lâu. Bạn đừng chờ xác định chắc chắn rồi mới báo, cũng đừng cho rằng sự cố nhỏ thì không cần báo, vì luật chỉ miễn việc báo cho người dùng ở những nhóm dữ liệu ngoài danh sách trên, còn nghĩa vụ báo cơ quan thì vẫn đứng nguyên, và báo cho người dùng dù không bắt buộc vẫn là cách rẻ nhất để cắt thiệt hại và để khách đổi mật khẩu trước khi bị chiếm tài khoản.

Bản dịch sát bản gốc (Trung Quốc) để đối chiếu

Chi phí

Không tốn tiền. Phải viết sẵn một phương án xử lý khi có sự cố: ai quyết, bịt lỗ hổng nào trước, lời báo cho người dùng viết thế nào. Khó ở chỗ lúc có chuyện, phản xạ tự nhiên là giấu đi, không muốn người dùng biết

Nói đơn giản

Thông tin người dùng bị lộ hoặc có thể bị lộ, bạn phải khắc phục ngay, báo cho cơ quan quản lý và người dùng bị ảnh hưởng. Giấu không báo thì trước hết bị buộc sửa, không sửa thì phạt tới 1 triệu nhân dân tệ, nghiêm trọng thì phạt tới 50 triệu nhân dân tệ. Người dùng vì thế mà bị thiệt hại, bạn không chứng minh được mình không có lỗi thì phải bồi thường. Đã làm biện pháp bảo vệ, xử lý theo phương án và báo cáo kịp thời thì có thể được xem xét giảm nhẹ hoặc không truy cứu.

Lợi ích

Nguyên văn 个人信息保护法 (Luật Bảo vệ thông tin cá nhân Trung Quốc) là "xảy ra hoặc có thể xảy ra việc thông tin cá nhân bị lộ, bị sửa đổi, bị mất, thì bên xử lý thông tin cá nhân phải lập tức áp dụng biện pháp khắc phục, và thông báo cho cơ quan thực hiện chức năng bảo vệ thông tin cá nhân và cá nhân đó". Thông báo phải ghi ba điều: loại thông tin bị lộ, nguyên nhân và tác hại có thể có; bạn đã khắc phục gì, người dùng tự làm được gì để giảm tác hại; cách liên lạc với bạn. Biện pháp khắc phục của bạn thật sự tránh được tác hại thì có thể không báo cho người dùng. Nhưng cơ quan quản lý cho rằng có thể gây tác hại thì có quyền yêu cầu bạn báo. Điều lệ quản lý an ninh dữ liệu mạng (Trung Quốc) nói việc báo có thể dùng "điện thoại, tin nhắn, công cụ nhắn tin tức thời, email hoặc thông cáo". Trong lúc xử lý phát hiện dấu hiệu tội phạm thì phải trình báo cơ quan công an, cơ quan an ninh quốc gia. Không làm các nghĩa vụ này thì bị buộc sửa, cảnh cáo, tịch thu khoản thu bất hợp pháp, app vi phạm có thể bị buộc tạm ngừng hoặc chấm dứt dịch vụ. Cố tình không sửa thì phạt tới 1 triệu nhân dân tệ, người trực tiếp chịu trách nhiệm bị phạt từ 10 nghìn đến 100 nghìn nhân dân tệ. Tình tiết nghiêm trọng thì phạt tới 50 triệu nhân dân tệ hoặc tới 5% doanh thu năm trước, người chịu trách nhiệm bị phạt từ 100 nghìn đến 1 triệu nhân dân tệ. Về dân sự, người dùng vì thế mà bị thiệt hại, bạn "không chứng minh được mình không có lỗi thì phải chịu trách nhiệm xâm phạm quyền như bồi thường thiệt hại". Lộ quy mô lớn còn phải báo cáo đúng hạn. Biện pháp của Văn phòng Thông tin Internet Quốc gia (Trung Quốc) quy định lộ thông tin cá nhân từ 1 triệu người trở lên là "sự cố an ninh mạng tương đối lớn". Với loại sự cố này, website và app thông thường phải báo cho cơ quan thông tin mạng cấp tỉnh nơi mình ở, "chậm nhất không quá 4 giờ", một trong các kênh là đường dây nóng 12387. Xử lý xong trong 30 ngày còn phải nộp một bản báo cáo tổng kết. Báo muộn, báo thiếu, báo sai, giấu không báo gây hậu quả nguy hại nghiêm trọng thì xử phạt nặng hơn. Ngược lại, đã áp dụng biện pháp bảo vệ hợp lý, cần thiết, xử lý theo phương án và báo cáo kịp thời thì "có thể tuỳ tình hình giảm nhẹ hoặc không truy cứu" (toàn quốc, biện pháp báo cáo áp dụng từ tháng 11/2025)

Mức bằng chứng

A

Ghi chú

Website nhỏ bị lộ vài trăm, vài nghìn người cũng phải khắc phục và thông báo theo Luật Bảo vệ thông tin cá nhân Trung Quốc, chỉ là chưa tới ngưỡng phải báo trong 4 giờ. Khi báo cho người dùng, viết cụ thể những việc họ làm được: đổi mật khẩu nào, đề phòng cuộc gọi giả danh chăm sóc khách hàng. Lưu nhật ký đủ 6 tháng thì lúc có chuyện mới tra được lộ từ đâu, xem chương 11 mục 16 (lưu nhật ký theo yêu cầu bảo vệ theo cấp độ). Người dùng bị lộ thông tin rồi thì tự phòng thế nào, xem chương 14

Phần này lấy từ bản luonglb/song-dang-tien.

Nguồn · 1

1. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025, Công báo số 971 + 972 ngày 24/7/2025 (Điều 8, Điều 23, Điều 33 khoản 1 điểm a): congbao.chinhphu.vn/van-ban/luat-so-91-2025-q… , bản PDF có lớp chữ: congbaocdn.chinhphu.vn/CongBaoCP/VanBan/2025/… . Nghị định 356/2025/NĐ-CP của Chính phủ quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, hiệu lực 01/01/2026 (Điều 8 khoản 3, Điều 28, Điều 29, Điều 39 khoản 1), bản ký là ảnh quét, đã render 180 dpi và đọc bằng tesseract: datafiles.chinhphu.vn/cpp/files/vbpq/2026/01/… . Luật An ninh mạng số 116/2025/QH15, hiệu lực 01/7/2026 (Điều 40 khoản 1 điểm c), bản ký ảnh quét đọc cùng cách: bocongan.gov.vn/media/bca-media/library-20260… . Nghị định 331/2026/NĐ-CP về bảo vệ an ninh mạng đối với hệ thống thông tin, hiệu lực 19/8/2026 (Điều 31 khoản 2 điểm d): datafiles.chinhphu.vn/cpp/files/vbpq/2026/8/3… . Tra ngày 3/11/2026.