Trách nhiệm do xử lý dữ liệu trái pháp luật

Căn cứ pháp lý nào được dùng để xác định trách nhiệm?

Trách nhiệm không được xác định chỉ vì có một hoạt động xử lý dữ liệu xảy ra. Trước hết phải đối chiếu hoạt động đó với các nguyên tắc, quyền và nghĩa vụ về bảo vệ dữ liệu cá nhân được pháp luật quy định.

Luật Bảo vệ dữ liệu cá nhân yêu cầu dữ liệu chỉ được thu thập, xử lý đúng phạm vi, mục đích cụ thể, rõ ràng và phù hợp pháp luật; đồng thời phải áp dụng các biện pháp quản lý, kỹ thuật và con người phù hợp để bảo vệ dữ liệu. Vì vậy, việc xác định có vi phạm hay không phải bắt đầu từ việc xác định hành vi xử lý cụ thể đã vi phạm nghĩa vụ hoặc nguyên tắc nào.

Các căn cứ quan trọng gồm:

·         Quy định của Luật Bảo vệ dữ liệu cá nhân

·         Quy định pháp luật khác có liên quan đến hoạt động xử lý dữ liệu

·         Mục đích và phạm vi xử lý dữ liệu đã được xác lập

·         Quyền và nghĩa vụ của chủ thể dữ liệu

·         Thỏa thuận hoặc hợp đồng giữa các bên tham gia xử lý dữ liệu

·         Vai trò pháp lý của từng chủ thể trong chuỗi xử lý

·         Thiệt hại thực tế và hậu quả của hành vi vi phạm

Do đó, cùng là một hành vi xử lý dữ liệu nhưng trách nhiệm của các bên có thể khác nhau tùy vào vai trò, nghĩa vụ đã nhận và hậu quả thực tế.

Những yếu tố nào quyết định mức độ trách nhiệm?

Điểm cốt lõi là pháp luật không áp dụng một mức trách nhiệm cố định cho mọi trường hợp. Khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân xác định việc xử lý vi phạm dựa trên tính chất, mức độ và hậu quả của hành vi vi phạm; trường hợp gây thiệt hại còn phát sinh nghĩa vụ bồi thường.

Hành vi vi phạm

Trước tiên phải xác định hành vi nào đã xảy ra, chẳng hạn xử lý dữ liệu ngoài phạm vi hoặc mục đích được phép, sử dụng dữ liệu trái quy định, mua bán dữ liệu trái pháp luật hoặc chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

Luật 91/2025/QH15 quy định rõ “xử lý dữ liệu cá nhân trái quy định của pháp luật” là một hành vi bị nghiêm cấm.

Tính chất và mức độ vi phạm

Cơ quan có thẩm quyền phải xem xét mức độ nghiêm trọng của hành vi thay vì chỉ xác định có hay không có vi phạm. Những yếu tố liên quan đến cách thức thực hiện, phạm vi xử lý, loại dữ liệu, mức độ xâm phạm và các tình tiết của hành vi có thể ảnh hưởng đến cách xử lý.

Hậu quả phát sinh

Hậu quả là một căn cứ trực tiếp để phân biệt mức độ trách nhiệm. Luật quy định tổ chức, cá nhân vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự tùy tính chất, mức độ và hậu quả; nếu gây thiệt hại thì phải bồi thường.

Thiệt hại thực tế

Thiệt hại có ý nghĩa đặc biệt khi xem xét trách nhiệm bồi thường. Vì vậy, việc chứng minh dữ liệu bị xử lý trái pháp luật cần được tách khỏi việc xác định thiệt hại thực tế và mối liên hệ giữa hành vi xử lý với thiệt hại đó.

Trách nhiệm được phân bổ thế nào giữa các bên xử lý dữ liệu?

Luật Bảo vệ dữ liệu cá nhân không coi mọi chủ thể trong chuỗi xử lý là có cùng trách nhiệm. Điều 37 phân định riêng trách nhiệm của bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân và bên kiểm soát và xử lý dữ liệu cá nhân.

Bên kiểm soát dữ liệu cá nhân

Bên kiểm soát là chủ thể quyết định mục đích và phương tiện xử lý. Chủ thể này phải xác định trách nhiệm của các bên trong hợp đồng hoặc thỏa thuận, quyết định mục đích và phương tiện xử lý phù hợp pháp luật, áp dụng biện pháp bảo vệ dữ liệu, lựa chọn bên xử lý phù hợp và bảo đảm quyền của chủ thể dữ liệu.

Đáng chú ý, bên kiểm soát chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra. Đây là căn cứ quan trọng khi xác định trách nhiệm trong trường hợp dữ liệu được giao cho một đơn vị khác xử lý.

Bên xử lý dữ liệu cá nhân

Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận hoặc hợp đồng phù hợp và phải xử lý dữ liệu đúng nội dung đã thỏa thuận.

Bên xử lý còn phải thực hiện các biện pháp bảo vệ dữ liệu, ngăn chặn hoạt động thu thập trái phép từ hệ thống, thiết bị hoặc dịch vụ của mình và chịu trách nhiệm trước bên kiểm soát về thiệt hại do quá trình xử lý dữ liệu gây ra.

Bên kiểm soát và xử lý dữ liệu cá nhân

Đây là chủ thể vừa quyết định mục đích, phương tiện vừa trực tiếp xử lý dữ liệu. Theo Điều 37, chủ thể này phải thực hiện đầy đủ trách nhiệm của cả bên kiểm soát và bên xử lý. Vì vậy, trách nhiệm không được xác định chỉ theo một vai trò đơn lẻ.

Xử lý dữ liệu trái pháp luật có thể dẫn đến những loại trách nhiệm nào?

Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân, tùy tính chất, mức độ và hậu quả, tổ chức, cá nhân vi phạm có thể phải đối mặt với ba nhóm hệ quả chính:

Xử phạt vi phạm hành chính: Luật quy định mức phạt tối đa đối với hành vi mua, bán dữ liệu cá nhân có thể lên tới 10 lần khoản thu từ hành vi vi phạm; đối với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa có thể bằng 5% doanh thu của năm trước liền kề. Các hành vi vi phạm khác có mức phạt tiền tối đa 3 tỷ đồng; mức tối đa áp dụng cho cá nhân bằng một phần hai mức áp dụng cho tổ chức.

Truy cứu trách nhiệm hình sự: Khi hành vi đạt mức độ và hậu quả thuộc trường hợp pháp luật hình sự quy định, người vi phạm có thể bị truy cứu trách nhiệm hình sự. Điều 8 Luật Bảo vệ dữ liệu cá nhân chỉ xác định nguyên tắc chung này; việc có cấu thành tội phạm hay không phải tiếp tục đối chiếu với quy định hình sự tương ứng.

Bồi thường thiệt hại: Nếu hành vi vi phạm gây thiệt hại, trách nhiệm bồi thường được xác định theo pháp luật. Đây là trách nhiệm có tính chất khác với xử phạt hành chính hoặc hình sự, vì trọng tâm là khắc phục tổn thất phát sinh từ hành vi vi phạm.

Nghị định 356/2025/NĐ-CP là văn bản quy định chi tiết và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực cùng ngày 01/01/2026; đồng thời Nghị định 13/2023/NĐ-CP hết hiệu lực từ thời điểm này.

Trách nhiệm được xác định trong thực tế theo trình tự nào?

Có thể hình dung việc xác định trách nhiệm theo chuỗi sau:

Xác định dữ liệu và hoạt động xử lý → xác định quy định áp dụng → xác định hành vi vi phạm → xác định vai trò của chủ thể → đánh giá tính chất, mức độ và hậu quả → xác định thiệt hại → áp dụng hình thức trách nhiệm tương ứng

Trước hết cần xác định hoạt động đang được xem xét có phải là xử lý dữ liệu cá nhân hay không. Sau đó phải xác định mục đích, phạm vi, phương thức và căn cứ xử lý để đối chiếu với nghĩa vụ pháp lý.

Tiếp theo, cần xác định chủ thể nào là bên kiểm soát, bên xử lý hoặc bên đồng thời kiểm soát và xử lý. Bước này có ý nghĩa trực tiếp vì Điều 37 phân bổ nghĩa vụ khác nhau cho từng vai trò.

Cuối cùng, cần đánh giá tính chất, mức độ, hậu quả và thiệt hại. Đây là cơ sở để phân biệt trường hợp chỉ phát sinh xử phạt hành chính với trường hợp có thể dẫn tới trách nhiệm hình sự hoặc bồi thường thiệt hại.

Điểm cần lưu ý là không phải cứ có vi phạm quy định về xử lý dữ liệu là đương nhiên áp dụng cùng một loại trách nhiệm hoặc cùng một mức chế tài. Mức độ trách nhiệm phải gắn với hành vi cụ thể, vai trò của chủ thể và hậu quả của hành vi đó.

Việc xác định trách nhiệm do xử lý dữ liệu trái pháp luật vì vậy phải dựa đồng thời vào quy định pháp luật bị vi phạm, hành vi thực tế, vai trò của chủ thể xử lý, tính chất và mức độ vi phạm, hậu quả và thiệt hại phát sinh. Trong khung pháp lý hiện hành từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 là nền tảng chính, còn Nghị định 356/2025/NĐ-CP quy định chi tiết các nội dung thi hành.