Hậu quả pháp lý khi vi phạm nghĩa vụ bảo mật

Về nguyên tắc dân sự, khi việc vi phạm nghĩa vụ gây thiệt hại, bên vi phạm có thể phải bồi thường toàn bộ thiệt hại, trừ trường hợp các bên có thỏa thuận khác hoặc pháp luật có quy định khác. Thiệt hại vật chất có thể bao gồm tổn thất tài sản, chi phí hợp lý để ngăn chặn và khắc phục hậu quả, cùng thu nhập thực tế bị mất hoặc giảm sút.

Vi phạm nghĩa vụ bảo mật trước hết có thể làm phát sinh trách nhiệm hợp đồng

Nghĩa vụ bảo mật thường được thiết lập trong hợp đồng bảo mật riêng biệt, điều khoản bảo mật của hợp đồng thương mại, hợp đồng dịch vụ, hợp đồng lao động hoặc một thỏa thuận khác giữa các bên. Khi một bên tiết lộ, sử dụng, sao chép, chuyển giao hoặc cho người không có thẩm quyền tiếp cận thông tin trái với phạm vi đã cam kết, hành vi đó có thể được xác định là không thực hiện đúng nghĩa vụ hợp đồng.

Theo Bộ luật Dân sự 2015, nếu vi phạm nghĩa vụ gây thiệt hại thì bên vi phạm phải bồi thường theo nguyên tắc của Điều 360 và Điều 361. Đối với nghĩa vụ theo hợp đồng, Điều 419 còn cho phép bên có quyền yêu cầu bồi thường lợi ích mà lẽ ra họ được hưởng từ hợp đồng và các chi phí phát sinh do nghĩa vụ không được hoàn thành, với điều kiện không tính trùng thiệt hại.

Trong thực tế, thiệt hại do lộ thông tin có thể thể hiện ở chi phí điều tra sự cố, thu hồi tài liệu, khóa tài khoản, thay đổi hệ thống bảo mật, xử lý dữ liệu đã bị phát tán hoặc phần lợi ích kinh tế bị mất. Tuy nhiên, yêu cầu bồi thường không mặc nhiên được chấp nhận chỉ vì đã có hành vi vi phạm. Việc xác định trách nhiệm còn phụ thuộc vào căn cứ pháp luật áp dụng, nội dung cam kết, thiệt hại có thể chứng minh và mối liên hệ giữa hành vi vi phạm với thiệt hại đó.

Bên vi phạm có thể phải chịu phạt vi phạm ngoài khoản bồi thường

Nếu hợp đồng có điều khoản phạt đối với hành vi vi phạm bảo mật, bên bị vi phạm có thể có cơ sở yêu cầu khoản tiền phạt theo thỏa thuận. Phạt vi phạm khác với bồi thường thiệt hại ở chỗ khoản phạt xuất phát từ thỏa thuận hợp đồng và phải được xem xét theo chế độ pháp lý điều chỉnh chính hợp đồng đó.

Đối với hợp đồng thuộc phạm vi điều chỉnh của Luật Thương mại, Điều 300 quy định chế tài phạt vi phạm được áp dụng khi các bên có thỏa thuận. Điều 301 giới hạn mức phạt thông thường ở mức không quá 8% giá trị phần nghĩa vụ hợp đồng bị vi phạm, trừ trường hợp pháp luật quy định ngoại lệ. Luật Thương mại đồng thời quy định bồi thường dựa trên tổn thất thực tế, trực tiếp và khoản lợi trực tiếp mà bên bị vi phạm đáng lẽ được hưởng; trách nhiệm bồi thường thông thường đòi hỏi có hành vi vi phạm, thiệt hại thực tế và quan hệ nhân quả trực tiếp.

Vì vậy, không nên mặc định rằng bất kỳ con số nào ghi trong NDA hoặc điều khoản bảo mật đều chắc chắn được áp dụng nguyên trạng. Trước khi xác định số tiền phải trả cần làm rõ hợp đồng chịu sự điều chỉnh của pháp luật nào, điều khoản đó là phạt vi phạm hay cơ chế bồi thường và pháp luật áp dụng có đặt giới hạn đối với mức phạt hay không.

Tiết lộ bí mật kinh doanh có thể đồng thời trở thành hành vi xâm phạm quyền sở hữu trí tuệ

Hậu quả pháp lý có thể nghiêm trọng hơn nếu thông tin được bảo mật đồng thời đáp ứng điều kiện của bí mật kinh doanh. Luật Sở hữu trí tuệ coi việc bộc lộ hoặc sử dụng bí mật kinh doanh khi không được chủ sở hữu cho phép là hành vi xâm phạm; việc vi phạm hợp đồng bảo mật nhằm tiếp cận, thu thập hoặc làm bộc lộ bí mật kinh doanh cũng được liệt kê trong nhóm hành vi xâm phạm quyền đối với bí mật kinh doanh.

Khi đó, tranh chấp không còn chỉ được nhìn dưới góc độ “không làm đúng hợp đồng”. Chủ thể quyền sở hữu trí tuệ có thể yêu cầu áp dụng các biện pháp dân sự như buộc chấm dứt hành vi xâm phạm, buộc thực hiện nghĩa vụ dân sự và buộc bồi thường thiệt hại. Luật Sở hữu trí tuệ cũng quy định các cơ sở riêng để xác định thiệt hại do hành vi xâm phạm quyền.

Theo văn bản hợp nhất Luật Sở hữu trí tuệ năm 2026, nếu thiệt hại vật chất đã được chứng minh nhưng không thể xác định theo các phương pháp luật định khác, Tòa án có thể quyết định mức bồi thường tùy theo mức độ thiệt hại trong giới hạn luật quy định, hiện có thể lên đến 1 tỷ đồng đối với trường hợp thuộc cơ chế này. Chủ thể quyền còn có thể yêu cầu thanh toán chi phí hợp lý để thuê luật sư theo điều kiện của luật.

Điểm cần phân biệt là không phải mọi thông tin được một hợp đồng gắn nhãn “Confidential” đều tự động trở thành bí mật kinh doanh được bảo hộ theo Luật Sở hữu trí tuệ. Nếu thông tin không đáp ứng điều kiện bảo hộ, chế định về xâm phạm bí mật kinh doanh có thể không áp dụng, nhưng nghĩa vụ bảo mật theo hợp đồng vẫn có thể tồn tại nếu thỏa thuận đó có hiệu lực.

Người lao động tiết lộ bí mật có thể bị xử lý kỷ luật đến mức sa thải

Trong quan hệ lao động, nghĩa vụ bảo mật có cơ chế pháp lý riêng. Khoản 2 Điều 21 Bộ luật Lao động 2019 cho phép người sử dụng lao động và người lao động làm công việc liên quan trực tiếp đến bí mật kinh doanh hoặc bí mật công nghệ thỏa thuận bằng văn bản về nội dung, thời hạn bảo vệ bí mật, quyền lợi và việc bồi thường khi vi phạm.

Nếu người lao động tiết lộ bí mật kinh doanh hoặc bí mật công nghệ của người sử dụng lao động, hậu quả không chỉ là nghĩa vụ bồi thường theo thỏa thuận. Điều 125 Bộ luật Lao động 2019 quy định hành vi tiết lộ bí mật kinh doanh, bí mật công nghệ hoặc xâm phạm quyền sở hữu trí tuệ của người sử dụng lao động thuộc các trường hợp có thể áp dụng hình thức kỷ luật sa thải.

Tuy nhiên, quyền xử lý kỷ luật không đồng nghĩa với việc doanh nghiệp được tùy ý sa thải ngay khi phát hiện sự cố. Việc xác định hành vi, thẩm quyền và thủ tục xử lý vẫn phải tuân thủ pháp luật lao động. Đồng thời cần phân biệt giữa trách nhiệm kỷ luật trong thời gian tồn tại quan hệ lao động với trách nhiệm bồi thường hoặc trách nhiệm theo thỏa thuận bảo mật có thời hạn tiếp tục sau khi hợp đồng lao động chấm dứt.

Một số hành vi còn có thể bị xử phạt hành chính

Khi thông tin bị xâm phạm thuộc lĩnh vực được pháp luật chuyên ngành bảo vệ, vi phạm nghĩa vụ bảo mật có thể vượt khỏi phạm vi tranh chấp giữa hai bên và dẫn đến xử phạt của cơ quan nhà nước.

Chẳng hạn, pháp luật cạnh tranh xử lý hành vi tiếp cận, thu thập thông tin bí mật trong kinh doanh bằng cách chống lại biện pháp bảo mật hoặc tiết lộ, sử dụng thông tin đó mà không được chủ sở hữu cho phép. Nghị định 75/2019/NĐ-CP quy định mức phạt tiền từ 200 triệu đến 300 triệu đồng đối với nhóm hành vi xâm phạm thông tin bí mật trong kinh doanh được quy định tại Điều 16, đồng thời có thể áp dụng biện pháp bổ sung như tịch thu tang vật, phương tiện hoặc khoản lợi nhuận thu được từ hành vi vi phạm.

Nếu thông tin bị làm lộ là dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân 2025, có hiệu lực từ ngày 1/1/2026, tạo thêm một lớp trách nhiệm pháp lý. Luật nghiêm cấm hành vi chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân và quy định tổ chức, cá nhân vi phạm, tùy tính chất, mức độ và hậu quả, có thể bị xử phạt hành chính; nếu gây thiệt hại còn phải bồi thường.

Do đó, cùng một sự cố rò rỉ thông tin có thể kích hoạt nhiều cơ chế khác nhau. Ví dụ, việc nhân viên chuyển tệp khách hàng ra ngoài có thể đồng thời liên quan đến cam kết bảo mật, kỷ luật lao động, quyền đối với bí mật kinh doanh và pháp luật về dữ liệu cá nhân nếu tệp chứa dữ liệu thuộc phạm vi điều chỉnh tương ứng.

Trách nhiệm hình sự không phát sinh từ mọi vi phạm bảo mật

Vi phạm NDA, tiết lộ tài liệu nội bộ hoặc không tuân thủ một quy trình bảo mật không đương nhiên là tội phạm. Trách nhiệm hình sự chỉ đặt ra khi hành vi thực tế đồng thời đáp ứng các dấu hiệu cấu thành của một tội phạm được Bộ luật Hình sự hoặc pháp luật liên quan quy định.

Đây là ranh giới quan trọng khi đánh giá hậu quả vi phạm nghĩa vụ bảo mật. Một hành vi có thể chỉ làm phát sinh trách nhiệm dân sự hoặc lao động; nhưng nếu cách thức chiếm đoạt, sử dụng hay tiết lộ thông tin đồng thời xâm phạm một quan hệ được pháp luật hình sự bảo vệ thì người thực hiện mới có nguy cơ bị truy cứu theo tội danh tương ứng. Luật Bảo vệ dữ liệu cá nhân 2025 cũng xác định rằng vi phạm trong lĩnh vực dữ liệu cá nhân, tùy tính chất, mức độ và hậu quả, có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự.

Vì vậy, không thể kết luận trách nhiệm hình sự chỉ dựa trên việc hợp đồng có ghi “nghiêm cấm tiết lộ”. Cần xem chính xác thông tin nào bị xâm phạm, hành vi được thực hiện bằng cách nào, hậu quả ra sao và các yếu tố cấu thành tội phạm có được đáp ứng hay không.

Mức độ hậu quả phụ thuộc vào phạm vi nghĩa vụ và bằng chứng của từng vụ việc

Cùng được gọi là “vi phạm bảo mật”, nhưng hai vụ việc có thể dẫn đến kết quả pháp lý rất khác nhau. Việc đánh giá thường phụ thuộc vào các yếu tố chính sau:

·         Nguồn phát sinh nghĩa vụ: Hợp đồng dân sự, hợp đồng thương mại, hợp đồng lao động hay nghĩa vụ trực tiếp do pháp luật quy định

·         Phạm vi thông tin: Thông tin có thực sự thuộc đối tượng phải bảo mật hay không và có đồng thời là bí mật kinh doanh, dữ liệu cá nhân hoặc loại thông tin được pháp luật chuyên ngành bảo vệ hay không

·         Hành vi cụ thể: Chỉ tiếp cận trái phép, sao chép, tiết lộ, chuyển cho bên thứ ba hay đã khai thác thông tin để thu lợi

·         Điều khoản hợp đồng: Phạm vi bảo mật, thời hạn, người được phép tiếp cận, ngoại lệ, nghĩa vụ hoàn trả hoặc tiêu hủy dữ liệu và chế tài đã được thỏa thuận

·         Thiệt hại và quan hệ nhân quả: Có tổn thất thực tế nào xảy ra và có chứng minh được tổn thất đó bắt nguồn từ hành vi vi phạm hay không

·         Bằng chứng: Nhật ký truy cập, email, lịch sử tải xuống, tài liệu chuyển giao, biên bản sự cố và các chứng cứ khác có đủ để chứng minh hành vi cũng như phạm vi thông tin bị lộ hay không

·         Tư cách của người vi phạm: Người lao động, đối tác, nhà cung cấp dịch vụ hay một chủ thể khác có thể chịu những cơ chế trách nhiệm khác nhau

Đặc biệt, đối với bí mật kinh doanh, việc chủ sở hữu đã thực hiện các biện pháp cần thiết để giữ thông tin không bị bộc lộ và không dễ dàng tiếp cận là yếu tố có ý nghĩa đối với khả năng được bảo hộ theo pháp luật sở hữu trí tuệ.

Hậu quả pháp lý của việc không thực hiện đầy đủ nghĩa vụ bảo mật vì thế có thể trải từ yêu cầu chấm dứt hành vi, phạt vi phạm và bồi thường thiệt hại đến xử lý kỷ luật lao động, áp dụng biện pháp bảo vệ quyền sở hữu trí tuệ hoặc xử phạt theo pháp luật chuyên ngành. Trong những trường hợp đủ dấu hiệu pháp lý nghiêm trọng hơn, trách nhiệm hình sự cũng có thể được xem xét.

Muốn xác định chính xác trách nhiệm trong một vụ việc cụ thể cần đối chiếu đồng thời nội dung thỏa thuận bảo mật, loại thông tin bị xâm phạm, pháp luật điều chỉnh quan hệ giữa các bên, chứng cứ về hành vi và thiệt hại thực tế. Vì vậy, việc “đã làm lộ thông tin” mới là điểm khởi đầu; loại và mức trách nhiệm cuối cùng phụ thuộc vào toàn bộ các yếu tố pháp lý bao quanh hành vi đó.