Trách nhiệm của nhân sự vi phạm quy định bảo mật

Đối với người lao động, trách nhiệm thường được xem xét theo nhiều lớp: kỷ luật lao động, bồi thường thiệt hại theo quan hệ lao động hoặc thỏa thuận bảo mật, trách nhiệm dân sự và trách nhiệm theo pháp luật chuyên ngành. Trường hợp hành vi đồng thời thỏa mãn dấu hiệu của một vi phạm hành chính hoặc tội phạm thì trách nhiệm tương ứng còn có thể phát sinh độc lập.

Điểm quan trọng là doanh nghiệp không thể chỉ dựa vào việc một tài liệu được gắn nhãn “mật” để áp dụng bất kỳ chế tài nào. Phải xác định nghĩa vụ bảo mật của người lao động, hành vi vi phạm, lỗi, loại thông tin bị ảnh hưởng, hậu quả và căn cứ pháp lý cho hình thức xử lý.

Nhân sự có thể bị xử lý kỷ luật lao động

Đối với người đang làm việc theo quan hệ lao động, vi phạm nghĩa vụ bảo mật trước hết có thể là hành vi vi phạm kỷ luật lao động nếu nghĩa vụ đó được quy định trong nội quy lao động, hợp đồng lao động, thỏa thuận bảo mật hoặc pháp luật có liên quan.

Bộ luật Lao động 2019 quy định bốn hình thức xử lý kỷ luật gồm khiển trách, kéo dài thời hạn nâng lương không quá 06 tháng, cách chức và sa thải. Người sử dụng lao động đồng thời phải chứng minh được lỗi của người lao động và tuân thủ nguyên tắc, trình tự xử lý kỷ luật theo luật. Pháp luật cũng cấm phạt tiền hoặc cắt lương thay cho xử lý kỷ luật lao động.

Vì vậy, không phải cứ vi phạm quy định bảo mật là doanh nghiệp có thể lập tức sa thải. Hình thức xử lý phải có căn cứ tương ứng với hành vi và điều kiện áp dụng.

Ví dụ, một nhân viên vô ý gửi tài liệu nội bộ cho sai người nhận nhưng phát hiện ngay, chủ động báo cáo và chưa phát sinh hậu quả sẽ khác đáng kể với trường hợp cố ý tải dữ liệu mật về thiết bị cá nhân để chuyển cho bên thứ ba.

Khi nào vi phạm bảo mật có thể dẫn đến sa thải?

Khoản 2 Điều 125 Bộ luật Lao động 2019 cho phép áp dụng hình thức sa thải đối với người lao động có hành vi tiết lộ bí mật kinh doanh, bí mật công nghệ, xâm phạm quyền sở hữu trí tuệ của người sử dụng lao động hoặc có hành vi gây thiệt hại nghiêm trọng hay đe dọa gây thiệt hại đặc biệt nghiêm trọng đối với tài sản, lợi ích của người sử dụng lao động.

Quy định này tạo ra một ranh giới quan trọng: “thông tin nội bộ” không đương nhiên đồng nghĩa với “bí mật kinh doanh” hoặc “bí mật công nghệ”. Doanh nghiệp cần xác định chính xác thông tin bị tiết lộ thuộc nhóm nào và căn cứ nào cho phép áp dụng hình thức kỷ luật tương ứng.

Đối với hành vi liên quan trực tiếp đến tiết lộ bí mật công nghệ hoặc bí mật kinh doanh, thời hiệu xử lý kỷ luật lao động theo Điều 123 Bộ luật Lao động là 12 tháng kể từ ngày xảy ra hành vi, thay vì thời hiệu thông thường 06 tháng.

Nhân sự có thể phải bồi thường thiệt hại

Kỷ luật lao động và bồi thường thiệt hại là hai vấn đề khác nhau. Một người có thể bị xử lý kỷ luật vì vi phạm nghĩa vụ bảo mật và đồng thời phải bồi thường nếu hành vi đó gây ra thiệt hại và có đủ căn cứ xác định trách nhiệm.

Điều 129 Bộ luật Lao động 2019 quy định trách nhiệm vật chất của người lao động đối với hành vi gây thiệt hại tài sản của người sử dụng lao động. Việc xác định mức bồi thường phải căn cứ vào trường hợp cụ thể, tính chất thiệt hại và các quy định hoặc thỏa thuận có liên quan.

Riêng với người lao động làm việc trực tiếp liên quan đến bí mật kinh doanh hoặc bí mật công nghệ, pháp luật cho phép các bên lập thỏa thuận bảo vệ bí mật. Thỏa thuận có thể xác định danh mục thông tin cần bảo vệ, phạm vi sử dụng, thời hạn bảo mật, phương thức bảo vệ, quyền và nghĩa vụ của hai bên cũng như cách xử lý vi phạm. Khi người lao động vi phạm, người sử dụng lao động có quyền yêu cầu bồi thường theo thỏa thuận.

Điều này có ý nghĩa thực tế rất lớn. Muốn yêu cầu một nhân sự chịu trách nhiệm tài chính vì làm lộ thông tin, doanh nghiệp cần chứng minh được ít nhất các mắt xích cơ bản:

·         Nghĩa vụ bảo mật thực sự tồn tại

·         Người lao động thuộc phạm vi phải thực hiện nghĩa vụ đó

·         Hành vi cụ thể đã vi phạm nghĩa vụ

·         Có lỗi hoặc căn cứ trách nhiệm tương ứng

·         Có thiệt hại thuộc phạm vi được yêu cầu bồi thường nếu yêu cầu dựa trên thiệt hại

·         Có quan hệ giữa hành vi vi phạm và thiệt hại được yêu cầu bồi thường

Không thể mặc nhiên quy một khoản tiền cho người lao động chỉ vì doanh nghiệp đánh giá hành vi là “nghiêm trọng”. Mức trách nhiệm phải dựa trên căn cứ pháp luật, nội quy hoặc thỏa thuận có hiệu lực và hồ sơ chứng minh phù hợp.

Vi phạm thỏa thuận bảo mật có thể làm phát sinh trách nhiệm dân sự

Nghĩa vụ bảo mật có thể tiếp tục tồn tại sau khi hợp đồng lao động chấm dứt nếu các bên có thỏa thuận hợp pháp về thời hạn bảo vệ bí mật kinh doanh hoặc bí mật công nghệ.

Thông tư 10/2020/TT-BLĐTBXH quy định rằng nếu vi phạm thỏa thuận bảo vệ bí mật kinh doanh, bí mật công nghệ được phát hiện trong thời gian thực hiện hợp đồng lao động, việc bồi thường được xử lý theo trình tự của pháp luật lao động. Nếu phát hiện hành vi sau khi hợp đồng lao động đã chấm dứt, việc xử lý được thực hiện theo pháp luật dân sự và pháp luật khác có liên quan.

Theo Bộ luật Dân sự 2015, khi vi phạm nghĩa vụ gây thiệt hại, bên có nghĩa vụ về nguyên tắc phải bồi thường thiệt hại, trừ trường hợp có thỏa thuận khác hoặc pháp luật có quy định khác. Thiệt hại vật chất có thể bao gồm tổn thất tài sản thực tế, chi phí hợp lý nhằm ngăn chặn hoặc khắc phục thiệt hại và khoản thu nhập thực tế bị mất hoặc giảm sút.

Do đó, nghỉ việc không đồng nghĩa với việc nghĩa vụ bảo mật tự động chấm dứt. Nếu một cựu nhân viên lấy danh sách khách hàng, tài liệu kỹ thuật hoặc dữ liệu thuộc phạm vi bảo mật để sử dụng trái với một nghĩa vụ vẫn còn hiệu lực, doanh nghiệp vẫn có thể xem xét yêu cầu chấm dứt hành vi và bồi thường theo căn cứ thích hợp.

Xâm phạm bí mật kinh doanh có thể vượt ra ngoài quan hệ lao động

Một số thông tin của doanh nghiệp không chỉ được bảo vệ bằng nội quy hoặc hợp đồng mà còn có thể được bảo hộ với tư cách bí mật kinh doanh theo pháp luật sở hữu trí tuệ.

Luật Sở hữu trí tuệ hiện hành xác định các hành vi như tiếp cận hoặc thu thập bí mật kinh doanh bằng cách chống lại biện pháp bảo mật; bộc lộ hoặc sử dụng bí mật kinh doanh khi không được phép; hoặc vi phạm hợp đồng bảo mật để tiếp cận, thu thập hay làm lộ bí mật kinh doanh là các hành vi có thể xâm phạm quyền đối với bí mật kinh doanh.

Vì vậy, cùng một hành vi có thể đồng thời liên quan đến nhiều quan hệ pháp lý. Chẳng hạn, một nhân viên cố ý sao chép công thức, quy trình sản xuất hoặc dữ liệu thương mại được bảo vệ rồi cung cấp cho đối thủ có thể vừa vi phạm nghĩa vụ lao động, vừa vi phạm thỏa thuận bảo mật, đồng thời xâm phạm quyền đối với bí mật kinh doanh.

Tuy nhiên, doanh nghiệp vẫn phải chứng minh rằng thông tin thực sự đáp ứng điều kiện pháp lý để được bảo vệ theo chế độ tương ứng. Việc doanh nghiệp tự gọi một dữ liệu là “confidential” không tự động khiến mọi quy định đặc biệt về bí mật kinh doanh được áp dụng.

Làm lộ dữ liệu cá nhân có thể phát sinh trách nhiệm theo pháp luật về bảo vệ dữ liệu

Bảo mật nội bộ ngày nay không chỉ liên quan đến bí mật kinh doanh. Hồ sơ nhân viên, thông tin khách hàng, dữ liệu tài khoản, thông tin định danh và nhiều loại dữ liệu khác có thể đồng thời thuộc phạm vi pháp luật về bảo vệ dữ liệu cá nhân.

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực; Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật cũng có hiệu lực từ cùng ngày.

Do đó, nếu nhân sự tự ý truy cập, sao chép, chuyển tiếp, công khai hoặc sử dụng dữ liệu cá nhân trái với quyền hạn được giao, vấn đề không còn chỉ là vi phạm một quy trình nội bộ. Doanh nghiệp phải đánh giá thêm bản chất dữ liệu, vai trò của người thực hiện hành vi và các nghĩa vụ pháp lý về xử lý, bảo vệ dữ liệu.

Trách nhiệm cụ thể không thể xác định chỉ từ việc “có rò rỉ dữ liệu”. Cần phân biệt người thực hiện hành vi, chủ thể chịu nghĩa vụ pháp lý, phạm vi dữ liệu, mục đích sử dụng, hậu quả và quy định chuyên ngành áp dụng cho từng trường hợp.

Trường hợp nghiêm trọng có thể phát sinh trách nhiệm hành chính hoặc hình sự

Vi phạm bảo mật nội bộ không mặc nhiên là vi phạm hành chính hoặc tội phạm.

Trách nhiệm ở các mức này chỉ phát sinh khi hành vi thực tế đáp ứng đầy đủ điều kiện của quy định pháp luật tương ứng. Việc đánh giá thường phụ thuộc vào đối tượng thông tin, cách thức truy cập hoặc chiếm đoạt, mục đích sử dụng, hậu quả, giá trị thiệt hại, quyền hạn của người thực hiện và các tình tiết khác.

Ví dụ, một vụ việc có dấu hiệu truy cập trái phép hệ thống, chiếm đoạt dữ liệu, sử dụng thông tin nhằm trục lợi hoặc làm lộ loại thông tin được pháp luật bảo vệ đặc biệt cần được đánh giá theo quy định chuyên ngành và, nếu có căn cứ, theo pháp luật hình sự.

Doanh nghiệp vì vậy không nên đồng nhất ba khái niệm:

·         Vi phạm chính sách bảo mật của công ty

·         Vi phạm nghĩa vụ pháp lý

·         Hành vi cấu thành tội phạm

Một hành vi có thể chỉ thuộc nhóm thứ nhất, có thể đồng thời thuộc nhóm thứ nhất và thứ hai, hoặc trong trường hợp đủ yếu tố mới tiến tới trách nhiệm hình sự.

Mức trách nhiệm phụ thuộc vào những yếu tố nào?

Để xác định trách nhiệm nhân sự vi phạm bảo mật, cần đánh giá toàn bộ vụ việc thay vì chỉ nhìn vào kết quả “thông tin đã bị lộ”.

Loại thông tin bị vi phạm

Cần xác định đó là tài liệu dùng nội bộ, bí mật kinh doanh, bí mật công nghệ, dữ liệu cá nhân, tài sản sở hữu trí tuệ hay loại thông tin được pháp luật bảo vệ theo một chế độ riêng.

Phân loại sai thông tin có thể dẫn đến áp dụng sai căn cứ trách nhiệm.

Nghĩa vụ bảo mật đã được thiết lập như thế nào?

Căn cứ có thể nằm trong:

·         Nội quy lao động

·         Hợp đồng lao động

·         Thỏa thuận bảo mật

·         Quy chế được dẫn chiếu hợp lệ

·         Quy định pháp luật áp dụng trực tiếp

Nội dung nghĩa vụ càng rõ về loại dữ liệu, quyền truy cập, cách sử dụng và thời hạn bảo vệ thì càng dễ xác định một hành vi cụ thể có thực sự là vi phạm hay không.

Nhân sự có lỗi hay không?

Cần phân biệt hành vi cố ý với sơ suất và với sự cố xảy ra ngoài khả năng kiểm soát hợp lý.

Việc cố tình tải cơ sở dữ liệu trước khi chuyển sang công ty cạnh tranh không thể được đánh giá giống một thao tác gửi nhầm email được phát hiện và khắc phục ngay.

Thiệt hại và hậu quả thực tế

Nếu doanh nghiệp yêu cầu bồi thường, thiệt hại và mối liên hệ giữa hành vi với thiệt hại là vấn đề trọng tâm.

Chi phí điều tra sự cố, khôi phục hệ thống, ngăn chặn dữ liệu tiếp tục phát tán hoặc tổn thất kinh tế có thể cần được chứng minh bằng hồ sơ cụ thể, thay vì chỉ ước lượng dựa trên mức độ nhạy cảm của tài liệu.

Hành vi diễn ra trong hay sau quan hệ lao động

Thời điểm vi phạm ảnh hưởng trực tiếp đến cơ chế xử lý. Khi người lao động vẫn đang làm việc, kỷ luật lao động và trách nhiệm vật chất có thể được xem xét theo pháp luật lao động. Nếu hành vi vi phạm thỏa thuận bảo mật được phát hiện sau khi quan hệ lao động chấm dứt, cơ chế dân sự và pháp luật liên quan trở nên đặc biệt quan trọng.

Doanh nghiệp cần chứng minh vi phạm trước khi áp dụng trách nhiệm

Một quy trình xử lý hợp lý cần bắt đầu bằng việc bảo toàn chứng cứ và xác định chính xác hành vi, thay vì bắt đầu từ việc lựa chọn hình thức kỷ luật.

Đối với kỷ luật lao động, Bộ luật Lao động đặt nghĩa vụ chứng minh lỗi của người lao động lên người sử dụng lao động. Người lao động đồng thời có quyền tự bào chữa hoặc nhờ người khác bào chữa theo điều kiện luật định.

Trong vụ việc bảo mật, hồ sơ có thể cần làm rõ các dữ kiện như quyền truy cập của nhân sự, lịch sử tải hoặc gửi dữ liệu, thiết bị sử dụng, người nhận thông tin, thời điểm phát sinh sự kiện, phạm vi tài liệu bị tác động và hành động khắc phục sau đó.

Bằng chứng kỹ thuật chỉ cho thấy một phần của vụ việc. Ví dụ, log hệ thống chứng minh một tài khoản đã tải tệp nhưng chưa chắc tự nó chứng minh được mục đích sử dụng, người trực tiếp thao tác hoặc thiệt hại. Ngược lại, việc nhân sự thừa nhận đã gửi dữ liệu cũng chưa tự động xác định được mức bồi thường.

Do đó, trách nhiệm phải được xác lập từ chuỗi chứng cứ về nghĩa vụ – hành vi – lỗi – hậu quả – căn cứ xử lý, chứ không chỉ từ kết luận rằng “đã xảy ra sự cố bảo mật”.

Nhân sự vi phạm quy định bảo mật có thể phải chịu từ kỷ luật lao động đến bồi thường thiệt hại và, trong những trường hợp đáp ứng điều kiện pháp luật chuyên ngành, trách nhiệm hành chính hoặc hình sự. Tuy nhiên, các loại trách nhiệm này không tự động phát sinh cùng lúc.

Doanh nghiệp cần xác định đúng loại thông tin, nghĩa vụ bảo mật, hành vi và lỗi của người lao động, thiệt hại thực tế cũng như căn cứ pháp lý tương ứng. Đặc biệt, sa thải hoặc yêu cầu bồi thường không nên được suy ra đơn thuần từ việc thông tin mang nhãn “mật”; mỗi biện pháp đều phải đáp ứng điều kiện và trình tự riêng.

Nhân sự làm lộ thông tin nội bộ có chắc chắn bị sa thải không?

Không. Bộ luật Lao động chỉ cho phép áp dụng sa thải trong những trường hợp đáp ứng điều kiện luật định, trong đó có tiết lộ bí mật kinh doanh, bí mật công nghệ và một số hành vi gây hoặc đe dọa gây thiệt hại ở mức độ được luật quy định. Các vi phạm bảo mật khác phải được đánh giá theo căn cứ và mức độ cụ thể.

Công ty có được phạt tiền nhân viên vì vi phạm bảo mật không?

Không được dùng phạt tiền hoặc cắt lương thay cho xử lý kỷ luật lao động. Bồi thường thiệt hại là một cơ chế khác và chỉ được áp dụng khi có căn cứ tương ứng.

Nhân viên nghỉ việc rồi có còn phải giữ bí mật không?

Có thể có. Nếu nghĩa vụ bảo mật vẫn còn hiệu lực theo thỏa thuận hợp pháp, việc chấm dứt hợp đồng lao động không tự động loại bỏ nghĩa vụ đó. Vi phạm được phát hiện sau khi chấm dứt hợp đồng có thể được xử lý theo pháp luật dân sự và pháp luật khác có liên quan.

Chỉ cần ký NDA là công ty chắc chắn đòi được bồi thường không?

Không. Thỏa thuận bảo mật là một căn cứ quan trọng nhưng doanh nghiệp vẫn phải xem xét phạm vi nghĩa vụ, hành vi vi phạm, điều kiện của thỏa thuận và căn cứ xác định khoản bồi thường. Đối với bí mật kinh doanh, bí mật công nghệ, Thông tư 10/2020/TT-BLĐTBXH cho phép thỏa thuận về phạm vi bảo vệ, thời hạn, trách nhiệm và xử lý vi phạm.