Trách nhiệm giám đốc khi vi phạm dữ liệu cá nhân là gì?

Trách nhiệm giám đốc khi vi phạm dữ liệu cá nhân là gì?

Giám đốc không mặc nhiên chịu mọi hậu quả thay cho doanh nghiệp, nhưng là người tổ chức và kiểm soát hệ thống quản trị rủi ro nên có thể bị xem xét trách nhiệm nếu thiếu chỉ đạo, thiếu giám sát hoặc bỏ qua nghĩa vụ tuân thủ theo quy định. Với PDPL, trách nhiệm này thường đi theo 3 lớp: hành chính, hình sự và quản trị nội bộ.

Trong thực tế SME, rủi ro hay nằm ở các việc rất cụ thể: dùng file Excel chứa thông tin khách hàng mà không phân quyền, để marketing tự ý lấy data từ form đăng ký chạy remarketing, hoặc không có quy trình xử lý yêu cầu rút lại consent. Nếu xảy ra sự cố, câu hỏi đầu tiên không chỉ là “hệ thống nào lỗi”, mà còn là “ai đã quyết định cách vận hành”.

Giám đốc có thể bị xử lý hành chính như thế nào?

Theo Luật Bảo vệ Dữ liệu Cá nhân 91/2025/QH15, các hành vi vi phạm sẽ được xử lý theo nghị định hướng dẫn của Chính phủ; hiện chưa có con số phạt cố định để áp vào mọi tình huống. Tuy nhiên, về mặt quản trị, giám đốc có thể bị xem xét trách nhiệm nếu là người phê duyệt chính sách, cho phép triển khai quy trình trái quy định, hoặc không khắc phục sau khi đã được cảnh báo.

Với doanh nghiệp, phần hành chính thường gắn với các nhóm việc như: thu thập dữ liệu không đúng mục đích, không có căn cứ phù hợp, không thông báo minh bạch, không bảo đảm quyền của chủ thể dữ liệu, hoặc để xảy ra lộ lọt do thiếu biện pháp bảo mật. A05 là cơ quan thực thi thuộc Bộ Công an, nên khi sự cố có dấu hiệu nghiêm trọng, việc làm việc với cơ quan chức năng cần được chuẩn bị hồ sơ, log và phương án ứng phó.

Trách nhiệm giám đốc thường phát sinh khi nào?

• Phê duyệt một chiến dịch thu thập dữ liệu nhưng không có thông báo xử lý dữ liệu rõ ràng.
• Giao phòng marketing mua danh sách khách hàng mà không kiểm tra nguồn gốc.
• Không có phân quyền truy cập, khiến nhân sự nghỉ việc vẫn xem được dữ liệu.
• Bỏ qua cảnh báo từ IT hoặc pháp chế về rò rỉ dữ liệu.
• Không tổ chức ghi nhận và xử lý yêu cầu của khách hàng theo đúng quy trình.

Giám đốc có thể bị truy cứu hình sự không?

Có thể, nhưng chỉ trong trường hợp vi phạm nghiêm trọng và có đủ dấu hiệu cấu thành tội phạm theo quy định của pháp luật hình sự. Luật 91/2025/QH15 không tự động biến mọi sai sót tuân thủ thành tội phạm; tuy nhiên, nếu có hành vi cố ý mua bán dữ liệu, xâm nhập trái phép, che giấu vi phạm, hoặc gây hậu quả lớn, rủi ro hình sự sẽ tăng đáng kể.

Điểm quan trọng là: trách nhiệm hình sự thường gắn với yếu tố chủ ý, mức độ hậu quả và vai trò cá nhân. Nếu giám đốc trực tiếp chỉ đạo thu thập, chia sẻ hoặc khai thác dữ liệu trái quy định, hồ sơ pháp lý sẽ khác hoàn toàn so với trường hợp chỉ là lỗi vận hành cấp dưới nhưng không có cơ chế kiểm soát.

Trách nhiệm quản trị của giám đốc nên thiết lập ra sao?

Ở góc độ quản trị, giám đốc cần coi PDPL là một phần của hệ thống kiểm soát doanh nghiệp, không phải việc riêng của IT hay pháp chế. Nếu không có mô hình quản trị dữ liệu tối thiểu, khi xảy ra sự cố rất khó chứng minh rằng doanh nghiệp đã “làm đúng phần của mình”.

Một bộ khung thực tế cho SME nên có:

• Chính sách dữ liệu cá nhân nội bộ, rõ vai trò từng phòng ban.
• Quy trình tiếp nhận yêu cầu của chủ thể dữ liệu.
• Cơ chế lưu chứng cứ consent và nhật ký thay đổi.
• Danh mục hệ thống chứa dữ liệu cá nhân.
• Hợp đồng với nhà cung cấp có điều khoản xử lý dữ liệu.
• Kịch bản ứng phó sự cố và thông báo trong 72 giờ.

Nếu doanh nghiệp dùng banner cookie, form đăng ký, CRM hoặc hệ thống remarketing, hãy bảo đảm có bằng chứng về đồng ý và logic quản lý quyền rút lại đồng ý. consent.vn có thể hữu ích nếu bạn cần lớp hạ tầng để lưu bằng chứng consent và xử lý yêu cầu DSAR theo cách có thể kiểm tra được.

Làm sao để giám đốc giảm rủi ro cá nhân?

Giám đốc nên chuyển từ “tin rằng phòng ban nào đó tự lo được” sang “có thể chứng minh đã quản trị dữ liệu”. Thực tế, việc có policy, log, phân quyền, và quy trình phản ứng sự cố thường là khác biệt lớn nhất khi cơ quan chức năng xem xét mức độ tuân thủ.

Nếu doanh nghiệp là SME, hãy bắt đầu từ 4 việc: xác định dữ liệu đang giữ ở đâu, ai truy cập được, mục đích nào được phép xử lý, và ai chịu trách nhiệm khi có sự cố. Phần còn lại có thể triển khai dần, nhưng không nên chờ đến khi bị lộ dữ liệu mới đi làm.

Nguồn: Luật 91/2025/QH15 và Nghị định 13/2023/NĐ-CP trên thuvienphapluat.vn; cơ quan thực thi A05/Bộ Công an trên bocongan.gov.vn