Công ty không thực hiện sao lưu dữ liệu đúng cách: Trách nhiệm và biện pháp xử lý

Trong thời đại số, dữ liệu trở thành tài sản quan trọng nhất của doanh nghiệp, quyết định đến hiệu quả hoạt động, uy tín và khả năng cạnh tranh trên thị trường. Tuy nhiên, nhiều công ty vẫn còn chủ quan trong việc sao lưu dữ liệu, dẫn đến tình trạng công ty không thực hiện sao lưu dữ liệu đúng cách, tiềm ẩn nhiều rủi ro pháp lý và tổn thất nghiêm trọng nếu dữ liệu bị mất, hỏng hoặc rò rỉ. Bài viết này sẽ phân tích thực trạng, khái niệm, quy định pháp luật, các rủi ro và giải đáp thắc mắc liên quan đến việc sao lưu dữ liệu, giúp doanh nghiệp hiểu rõ trách nhiệm và biện pháp phòng ngừa hiệu quả.

I. Thực trạng liên quan đến công ty không thực hiện sao lưu dữ liệu đúng cách

Nhiều doanh nghiệp hiện nay vẫn chưa chú trọng việc sao lưu dữ liệu đúng cách, dẫn đến những hệ quả nghiêm trọng. Việc mất dữ liệu quan trọng do lỗi kỹ thuật, virus hoặc sự cố phần cứng có thể làm gián đoạn hoạt động kinh doanh và ảnh hưởng uy tín doanh nghiệp. Bên cạnh đó, công ty còn có thể gặp rủi ro pháp lý, bị xử phạt hành chính hoặc yêu cầu bồi thường thiệt hại nếu vi phạm quy định lưu trữ dữ liệu. Nguyên nhân phổ biến xuất phát từ thiếu nhận thức, thiếu quy trình quản lý dữ liệu chuẩn và hệ thống sao lưu chưa bảo mật, chưa dự phòng nhiều địa điểm. Thực trạng này cho thấy việc công ty không thực hiện sao lưu dữ liệu đúng cách là vấn đề phổ biến, cần được khắc phục kịp thời để giảm thiểu rủi ro.

II. Khái niệm về công ty không thực hiện sao lưu dữ liệu đúng cách

Công ty không thực hiện sao lưu dữ liệu đúng cách là doanh nghiệp không lưu trữ, sao lưu dữ liệu định kỳ, đầy đủ và an toàn. Hành vi phổ biến bao gồm: không sao lưu dữ liệu quan trọng, lưu trữ tập trung, hoặc dùng hệ thống không bảo mật. Nguyên nhân thường do thiếu nhận thức, thiếu quy trình quản lý và đầu tư công nghệ.

1. Công ty không thực hiện sao lưu dữ liệu đúng cách là gì?

Sao lưu dữ liệu là quá trình tạo ra một bản sao của hệ thống dữ liệu, cấu hình, ứng dụng,... sau đó lưu trữ tách biệt với bản gốc. Điều này giúp doanh nghiệp bảo vệ và khôi phục dữ liệu kịp thời khi gặp sự cố thông tin, hư hỏng phần cứng, thảm họa tự nhiên hoặc lỗi từ phía con người.

Từ đó có thể nhận thấy, Công ty không thực hiện sao lưu dữ liệu đúng cách là tình trạng mà doanh nghiệp không tạo, lưu trữ hoặc bảo vệ các bản sao dữ liệu một cách đầy đủ, thường xuyên và an toàn, dẫn đến nguy cơ mất mát, hư hỏng hoặc rò rỉ thông tin quan trọng.

Điều này có thể bao gồm:

• Không có bản sao dữ liệu dự phòng (backup).
• Sao lưu không đều đặn hoặc không đúng định kỳ.
• Lưu trữ bản sao dữ liệu ở cùng một vị trí vật lý với dữ liệu gốc (không tách rời).
• Không mã hóa hoặc bảo vệ bản sao dữ liệu khỏi truy cập trái phép.
• Không kiểm tra, phục hồi thử dữ liệu định kỳ để đảm bảo khả năng khôi phục.

Công ty không thực hiện sao lưu dữ liệu đúng cách là thiếu hoặc sai sót trong việc bảo vệ, lưu trữ và quản lý bản sao dữ liệu, dẫn đến nguy cơ mất mát thông tin và chịu trách nhiệm pháp lý.

2. Những hành vi nào được coi là không sao lưu dữ liệu đúng cách trong doanh nghiệp?

Doanh nghiệp được coi là không sao lưu dữ liệu đúng cách khi thực hiện các hành vi sau:

• Không tạo bản sao dự phòng (backup)
  • Dữ liệu quan trọng chỉ tồn tại trên hệ thống chính, không có bản sao lưu tách biệt.
  • Khi xảy ra sự cố kỹ thuật, tấn công mạng hoặc thiên tai, dữ liệu có nguy cơ bị mất hoàn toàn.
• Sao lưu dữ liệu không đều đặn hoặc không đúng định kỳ
  • Bản sao lưu cũ hoặc không cập nhật thường xuyên sẽ khiến việc khôi phục dữ liệu bị thiếu hoặc lỗi thời.
• Lưu trữ bản sao dữ liệu cùng vị trí với dữ liệu gốc
  • Khi dữ liệu gốc bị hư hỏng hoặc tấn công, bản sao lưu cũng sẽ bị ảnh hưởng.
  • Không tuân thủ nguyên tắc “3-2-1” trong sao lưu (3 bản, 2 phương tiện khác nhau, 1 lưu trữ ngoài site).
• Không bảo vệ hoặc mã hóa bản sao dữ liệu
  • Dữ liệu sao lưu không được mã hóa hoặc hạn chế truy cập, dễ bị xâm nhập, rò rỉ.
• Không kiểm tra hoặc phục hồi thử dữ liệu định kỳ
  • Doanh nghiệp không xác nhận khả năng khôi phục dữ liệu từ bản sao lưu.
  • Khi gặp sự cố thực tế, việc phục hồi dữ liệu có thể thất bại, gây gián đoạn nghiêm trọng.

Những hành vi trên làm tăng nguy cơ mất mát, hư hỏng hoặc rò rỉ dữ liệu, ảnh hưởng trực tiếp đến hoạt động kinh doanh và uy tín doanh nghiệp. Vì vậy, việc thực hiện sao lưu dữ liệu đầy đủ, thường xuyên và an toàn là bắt buộc để bảo vệ thông tin và hạn chế rủi ro pháp lý.

3. Những nguyên nhân phổ biến khiến công ty không thực hiện sao lưu dữ liệu đúng cách là gì?

Việc doanh nghiệp không sao lưu dữ liệu đúng cách thường không chỉ xuất phát từ yếu tố kỹ thuật mà còn do hạn chế trong quản trị và nhận thức. Các nguyên nhân phổ biến gồm:

• Thiếu nhận thức về tầm quan trọng của sao lưu dữ liệu
  • Ban lãnh đạo hoặc bộ phận quản lý chưa đánh giá đúng vai trò của dữ liệu đối với hoạt động kinh doanh.
  • Cho rằng sao lưu dữ liệu không cấp thiết hoặc chỉ cần thực hiện khi có sự cố xảy ra.
• Không xây dựng quy trình, chính sách sao lưu dữ liệu rõ ràng
  • Doanh nghiệp không ban hành quy định nội bộ về tần suất, phương thức và trách nhiệm sao lưu dữ liệu.
  • Việc sao lưu phụ thuộc vào cá nhân, thiếu tính hệ thống và kiểm soát.
• Hạn chế về chi phí và nguồn lực kỹ thuật
  • Doanh nghiệp, đặc biệt là doanh nghiệp nhỏ và vừa, không đầu tư hạ tầng lưu trữ, phần mềm sao lưu hoặc nhân sự chuyên môn.
  • Cắt giảm chi phí an toàn thông tin để ưu tiên cho hoạt động kinh doanh trước mắt.
• Phụ thuộc hoàn toàn vào bên thứ ba cung cấp dịch vụ công nghệ
  • Tin tưởng rằng nhà cung cấp dịch vụ công nghệ thông tin hoặc điện toán đám mây sẽ tự động chịu trách nhiệm sao lưu dữ liệu.
  • Không kiểm tra, giám sát việc sao lưu hoặc không có thỏa thuận rõ ràng về trách nhiệm khi xảy ra mất dữ liệu.
• Thiếu kiểm tra, đánh giá và cập nhật định kỳ
  • Doanh nghiệp không kiểm tra chất lượng bản sao lưu, không thử phục hồi dữ liệu.
  • Hệ thống sao lưu lạc hậu, không còn phù hợp với quy mô và mức độ dữ liệu phát sinh.
• Chủ quan trước các rủi ro an toàn thông tin
  • Đánh giá thấp nguy cơ tấn công mạng, lỗi hệ thống hoặc sự cố do con người gây ra.
  • Chỉ nhận thức được rủi ro khi đã xảy ra mất mát hoặc rò rỉ dữ liệu.

Những nguyên nhân trên cho thấy việc không sao lưu dữ liệu đúng cách thường bắt nguồn từ thiếu nhận thức, thiếu quy trình và thiếu đầu tư phù hợp, chứ không chỉ do lỗi kỹ thuật đơn thuần. Do đó, doanh nghiệp cần chủ động xây dựng chính sách sao lưu dữ liệu bài bản để phòng ngừa rủi ro và tránh các hậu quả pháp lý phát sinh.

III. Quy định của pháp luật liên quan đến công ty không thực hiện sao lưu dữ liệu đúng cách

Pháp luật Việt Nam có các quy định cụ thể về việc lưu trữ, bảo vệ và sao lưu dữ liệu nhằm bảo đảm an toàn thông tin và quyền lợi của các bên liên quan. Việc không thực hiện hoặc thực hiện sao lưu dữ liệu không đúng cách có thể làm phát sinh trách nhiệm pháp lý đối với doanh nghiệp. Vì vậy, cần làm rõ các quy định liên quan đến hình thức sao lưu, thời hạn lưu trữ, nghĩa vụ sao lưu và chế tài xử lý vi phạm.

1. Hình thức sao lưu dữ liệu phổ biến hiện nay

Hiện nay, việc sao lưu dữ liệu trong doanh nghiệp thường được thực hiện theo các hình thức sau:

• Sao lưu toàn bộ (Full backup): Là việc tạo bản sao đầy đủ của toàn bộ dữ liệu tại một thời điểm nhất định, giúp khôi phục nhanh nhưng tốn nhiều dung lượng lưu trữ.
• Sao lưu gia tăng (Incremental backup): Chỉ sao lưu phần dữ liệu thay đổi kể từ lần sao lưu gần nhất, giúp tiết kiệm chi phí lưu trữ và thời gian sao lưu.
• Sao lưu vi sai (Differential backup): Sao lưu dữ liệu thay đổi kể từ lần sao lưu toàn bộ gần nhất, bảo đảm cân đối giữa khả năng khôi phục và dung lượng lưu trữ.
• Sao lưu trên thiết bị lưu trữ nội bộ: Dữ liệu được sao lưu trên máy chủ hoặc thiết bị lưu trữ vật lý do doanh nghiệp trực tiếp quản lý.
• Sao lưu trên nền tảng điện toán đám mây: Dữ liệu được sao lưu trên hệ thống của bên thứ ba, thuận tiện và linh hoạt nhưng cần kiểm soát chặt chẽ vấn đề bảo mật và trách nhiệm pháp lý.

Việc lựa chọn hình thức sao lưu dữ liệu phù hợp cần căn cứ vào quy mô, loại dữ liệu và mức độ rủi ro nhằm bảo đảm an toàn thông tin và khả năng khôi phục khi xảy ra sự cố.

2. Thời hạn lưu trữ dữ liệu theo pháp luật là bao lâu?

Căn cứ khoản 1 Điều 27 Nghị định 53/2022/NĐ-CP, thời hạn lưu trữ dữ liệu được quy định như sau:

Thời gian lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam

1. Thời gian lưu trữ dữ liệu theo quy định tại Điều 26 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu lưu trữ dữ liệu đến khi kết thúc yêu cầu. Thời gian lưu trữ tối thiểu là 24 tháng.

2. Thời gian đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam theo quy định tại Điều 26 Nghị định này bắt đầu từ khi doanh nghiệp nhận được yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam đến khi doanh nghiệp không còn hoạt động tại Việt Nam hoặc dịch vụ được quy định không còn cung cấp tại Việt Nam.

3. Nhật ký hệ thống để phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng được quy định tại điểm b khoản 2 Điều 26 của Luật An ninh mạng được lưu trữ tối thiểu là 12 tháng.

Như vậy, theo quy định hiện hành, doanh nghiệp trong nước có trách nhiệm lưu trữ dữ liệu tại Việt Nam với thời hạn tối thiểu là 24 tháng, trừ trường hợp pháp luật có quy định khác đối với từng loại dữ liệu cụ thể.

3. Có bắt buộc phải thực hiện sao lưu dữ liệu không?

Pháp luật Việt Nam không quy định trực tiếp bằng một điều luật cụ thể bắt buộc mọi doanh nghiệp phải thực hiện sao lưu dữ liệu. Tuy nhiên, thông qua các quy định về bảo đảm an toàn thông tin, bảo vệ dữ liệu và lưu trữ dữ liệu, doanh nghiệp có nghĩa vụ gián tiếp phải thực hiện sao lưu dữ liệu nhằm phòng ngừa mất mát, hư hỏng hoặc rò rỉ thông tin.

Cụ thể, một số quy định pháp luật có liên quan gồm:

Khoản 6 điều 16 Nghị định 13/2023/NĐ-CP, quy định này đặt ra nghĩa vụ chung về lưu trữ và bảo vệ dữ liệu, trong đó sao lưu dữ liệu là một trong những biện pháp kỹ thuật cần thiết để bảo đảm an toàn và khả năng phục hồi dữ liệu khi xảy ra sự cố.

Điều 16. Lưu trữ, xóa, hủy dữ liệu cá nhân

6. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba lưu trữ dữ liệu cá nhân theo hình thức phù hợp với hoạt động của mình và có biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật.

Khoản 2 Điều 11 Nghị định 53/2020/NĐ-CP, quy định này thể hiện rõ yêu cầu bắt buộc thực hiện sao lưu dữ liệu đối với các hệ thống thông tin quan trọng, đồng thời đặt ra tiêu chuẩn về tần suất sao lưu và kiểm tra khả năng khôi phục.

Điều 11. Điều kiện về biện pháp kỹ thuật để giám sát, bảo vệ an ninh mạng

2. Dữ liệu của hệ thống thông tin quan trọng về an ninh quốc gia phải có phương án tự động sao lưu dự phòng phù hợp ra phương tiện lưu trữ ngoài với tần suất thay đổi của dữ liệu và bảo đảm nguyên tắc dữ liệu phát sinh phải được sao lưu trong vòng 24 giờ. Dữ liệu sao lưu dự phòng phải được kiểm tra, bảo đảm khả năng khôi phục định kỳ 6 tháng một lần.

Mặc dù pháp luật không dùng thuật ngữ “bắt buộc sao lưu dữ liệu”, nhưng nếu không thực hiện sao lưu hoặc sao lưu không đúng cách dẫn đến mất dữ liệu, doanh nghiệp vẫn có thể bị xem là vi phạm nghĩa vụ bảo đảm an toàn và bảo vệ dữ liệu, từ đó phát sinh trách nhiệm pháp lý.

4. Công ty không thực hiện sao lưu dữ liệu đúng cách bị xử lý như thế nào?

Việc không thực hiện hoặc thực hiện không đầy đủ nghĩa vụ sao lưu, bảo mật dữ liệu có thể dẫn đến mất mát, rò rỉ thông tin khách hàng, xâm phạm quyền lợi người tiêu dùng và gây mất an toàn thông tin trên môi trường số. Tùy theo tính chất, mức độ vi phạm, doanh nghiệp có thể phải chịu trách nhiệm hành chính, hình sự và dân sự theo quy định của pháp luật.

• Xử phạt vi phạm hành chính

Căn cứ điểm c khoản 2 Điều 46 Nghị định 98/2020/NĐ-CP, được sửa đổi, bổ sung bởi khoản 5 Điều 1 Nghị định 24/2025/NĐ-CP, hành vi vi phạm nghĩa vụ bảo vệ thông tin của người tiêu dùng có thể bị xử phạt như sau:

2. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

c) Không có biện pháp bảo đảm an toàn, an ninh thông tin của người tiêu dùng khi thu thập, lưu trữ, sử dụng hoặc không có biện pháp ngăn ngừa các hành vi vi phạm an toàn, an ninh thông tin của người tiêu dùng theo quy định, trừ trường hợp quy định tại điểm a khoản 3 Điều 64 Nghị định này;

Trường hợp dữ liệu bị rò rỉ là dữ liệu cá nhân nhạy cảm, mức phạt có thể gấp đôi; nếu vi phạm do nền tảng số lớn thực hiện, mức phạt có thể gấp bốn lần.

• Trách nhiệm hình sự

Theo Điều 361 về tội cố ý làm lộ bí mật công tác; tội chiếm đoạt, mua bán hoặc tiêu hủy tài liệu bí mật công tác và Điều 362 về tội vô ý làm lộ bí mật công tác; tội làm mất tài liệu bí mật công tác Bộ luật Hình sự 2015 (sửa đổi bổ sung 2017), trường hợp công ty không thực hiện sao lưu dữ liệu đúng cách dẫn đến làm lộ, làm mất hoặc tiêu hủy dữ liệu thuộc bí mật công tác, cá nhân có trách nhiệm trong doanh nghiệp có thể bị truy cứu trách nhiệm hình sự như sau:

• Trường hợp cố ý làm lộ bí mật công tác; tội chiếm đoạt, mua bán hoặc tiêu hủy tài liệu bí mật công tác theo Điều 361 Bộ luật Hình sự 2015 (sửa đổi bổ sung 2017)
  • Phạt cải tạo không giam giữ đến 03 năm;
  • Hoặc phạt tù từ 06 tháng đến 03 năm.
  • Nếu gây thiệt hại nghiêm trọng (có tổ chức, gây thiệt hại từ 100 triệu đồng trở lên, gây ảnh hưởng xấu đến hoạt động của cơ quan, tổ chức…) thì phạt tù từ 02 năm đến 07 năm.
• Trường hợp vô ý làm lộ bí mật công tác; tội chiếm đoạt, mua bán hoặc tiêu hủy tài liệu bí mật công tác theo  Điều 362 Bộ luật Hình sự 2015 (sửa đổi bổ sung 2017)
  • Phạt cảnh cáo hoặc cải tạo không giam giữ đến 03 năm nếu gây ảnh hưởng xấu hoặc thiệt hại từ 100 triệu đồng;
  • Phạt tù từ 03 tháng đến 02 năm nếu gây thiệt hại từ 500 triệu đồng trở lên hoặc để người khác lợi dụng thực hiện tội phạm nghiêm trọng.

Ngoài hình phạt chính, người vi phạm còn có thể bị: Cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 đến 05 năm.

•  Trách nhiệm dân sự

Theo Điều 584 Bộ luật Dân sự 2015, doanh nghiệp phải bồi thường toàn bộ thiệt hại phát sinh do hành vi làm mất hoặc rò rỉ dữ liệu gây ra, bao gồm:

• Thiệt hại vật chất;
• Chi phí khắc phục, khôi phục dữ liệu;
• Thiệt hại về uy tín, danh dự;
• Ảnh hưởng đến quyền, lợi ích hợp pháp của khách hàng, đối tác và người lao động.

Như vậy, việc không sao lưu dữ liệu đúng cách không chỉ tiềm ẩn rủi ro kỹ thuật mà còn kéo theo hậu quả pháp lý nghiêm trọng. Doanh nghiệp cần chủ động xây dựng quy trình sao lưu, bảo mật dữ liệu phù hợp và tuân thủ đầy đủ quy định pháp luật để hạn chế rủi ro và bảo vệ quyền lợi của mình cũng như của người tiêu dùng.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến công ty không thực hiện sao lưu dữ liệu đúng cách

Trong thực tiễn áp dụng pháp luật, việc xác định doanh nghiệp đã sao lưu dữ liệu đúng cách hay chưa và trách nhiệm pháp lý phát sinh khi dữ liệu bị mất vẫn còn nhiều vướng mắc. Để giúp doanh nghiệp và người có liên quan hiểu rõ hơn các rủi ro và cách xử lý phù hợp, phần này sẽ giải đáp một số câu hỏi thường gặp liên quan đến việc sao lưu dữ liệu và trách nhiệm pháp lý khi không thực hiện đúng quy định.

1. Làm thế nào để xác định công ty đã sao lưu dữ liệu “đúng cách” hay chưa?

Công ty được coi là đã sao lưu dữ liệu đúng cách khi đáp ứng các tiêu chí cơ bản sau: dữ liệu được sao lưu đầy đủ, định kỳ và có quy trình rõ ràng; bản sao lưu được lưu trữ tách biệt với dữ liệu gốc, có biện pháp bảo mật, kiểm soát truy cập; có khả năng khôi phục dữ liệu thực tế khi xảy ra sự cố; và việc sao lưu phù hợp với mục đích xử lý, thời hạn lưu trữ và quy định pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân. Trường hợp thiếu hoặc không bảo đảm các yếu tố này, doanh nghiệp có thể bị xem là chưa sao lưu dữ liệu đúng cách.

2. Nếu một công ty chỉ sao lưu dữ liệu quan trọng, còn dữ liệu phụ bị mất, công ty có trách nhiệm pháp lý không?

Có. Doanh nghiệp vẫn có thể phát sinh trách nhiệm pháp lý nếu việc không sao lưu đầy đủ dẫn đến mất dữ liệu thuộc phạm vi phải bảo vệ hoặc lưu trữ theo quy định pháp luật. Trường hợp “dữ liệu phụ” bị mất nhưng có chứa dữ liệu cá nhân, dữ liệu khách hàng, dữ liệu phục vụ quản lý, kế toán, thuế hoặc dữ liệu mà doanh nghiệp có nghĩa vụ lưu trữ, thì việc không sao lưu đúng cách có thể bị xem là vi phạm nghĩa vụ bảo mật và an toàn thông tin.

Ngược lại, nếu dữ liệu bị mất không thuộc diện bắt buộc phải lưu trữ, không ảnh hưởng đến quyền, lợi ích hợp pháp của khách hàng, đối tác và không gây thiệt hại thực tế, thì trách nhiệm pháp lý của doanh nghiệp có thể được xem xét giảm nhẹ hoặc không phát sinh. Tuy nhiên, để hạn chế rủi ro, doanh nghiệp vẫn nên xây dựng chính sách sao lưu toàn diện, thay vì chỉ tập trung vào dữ liệu được coi là “quan trọng”.

3. Doanh nghiệp có nên lưu trữ dữ liệu sao lưu ở nhiều địa điểm để giảm rủi ro không?

Có, doanh nghiệp nên lưu trữ dữ liệu sao lưu ở nhiều địa điểm để giảm thiểu rủi ro mất dữ liệu do sự cố kỹ thuật, tấn công mạng hoặc thảm họa. Tuy nhiên, việc lưu trữ này phải tuân thủ quy định bắt buộc về lưu trữ dữ liệu tại Việt Nam.

Theo Điều 26 Nghị định 53/2022/NĐ-CP, các loại dữ liệu như dữ liệu cá nhân của người sử dụng tại Việt Nam, dữ liệu do người dùng tạo ra và dữ liệu về mối quan hệ của người sử dụng phải được lưu trữ tại Việt Nam. Doanh nghiệp trong nước có nghĩa vụ lưu trữ các dữ liệu này tại Việt Nam; đối với doanh nghiệp nước ngoài kinh doanh trong các lĩnh vực như thương mại điện tử, mạng xã hội, lưu trữ – chia sẻ dữ liệu, thanh toán trực tuyến…, pháp luật cũng yêu cầu lưu trữ dữ liệu tại Việt Nam và có thể phải đặt chi nhánh hoặc văn phòng đại diện khi có yêu cầu từ cơ quan có thẩm quyền về an ninh mạng.

Như vậy, doanh nghiệp được phép và nên sao lưu dữ liệu ở nhiều địa điểm để bảo đảm an toàn, nhưng vẫn phải đảm bảo ít nhất một bản dữ liệu thuộc diện bắt buộc được lưu trữ tại Việt Nam, với hình thức lưu trữ do doanh nghiệp tự quyết định theo đúng quy định pháp luật.

4. Nếu dữ liệu khách hàng bị mất do không sao lưu đúng cách, công ty nên xử lý như thế nào?

Khi dữ liệu khách hàng bị mất do không sao lưu đúng cách, trước hết doanh nghiệp cần xác định nguyên nhân, phạm vi và mức độ ảnh hưởng của sự cố, đồng thời áp dụng ngay các biện pháp kỹ thuật để khắc phục, hạn chế thiệt hại và ngăn ngừa tái diễn. Việc lưu trữ và xử lý dữ liệu cá nhân phải phù hợp, có giới hạn và đúng với mục đích đã công bố, kèm theo các biện pháp bảo vệ, bảo mật nhằm tránh rò rỉ, mất mát, phá hủy hoặc truy cập trái phép.

Theo Điều 4 Nghị định 13/2023/NĐ-CP, tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự tùy mức độ. Các hành vi như tiếp tục lưu trữ dữ liệu khi không còn mục đích, thu thập, chia sẻ, sử dụng hoặc tiết lộ dữ liệu cá nhân trái phép còn có thể bị xử phạt theo Nghị định 15/2020/NĐ-CP, và trong trường hợp nghiêm trọng có thể bị xử lý hình sự theo Điều 159 về tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác hoặc Điều 288 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông Bộ luật Hình sự 2015 (sửa đổi bổ sung 2017)

Tóm lại, mất dữ liệu khách hàng do không sao lưu đúng cách không chỉ là rủi ro kỹ thuật mà còn kéo theo hậu quả pháp lý đáng kể, buộc doanh nghiệp phải chủ động tuân thủ nghiêm ngặt các quy định về sao lưu, lưu trữ và bảo vệ dữ liệu để tránh thiệt hại và trách nhiệm phát sinh.

5. Nếu dữ liệu khách hàng bị mất do không sao lưu đúng cách, khách hàng có quyền yêu cầu bồi thường không?

Có. Trường hợp dữ liệu khách hàng bị mất hoặc rò rỉ do doanh nghiệp không thực hiện đúng nghĩa vụ sao lưu và bảo mật dữ liệu, khách hàng có quyền yêu cầu bồi thường thiệt hại theo quy định của pháp luật.

Căn cứ khoản 10 Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu có quyền yêu cầu bồi thường khi quyền bảo vệ dữ liệu cá nhân bị xâm phạm, trừ trường hợp các bên có thỏa thuận khác hoặc pháp luật có quy định riêng.

Đồng thời, theo Điều 584 Bộ luật Dân sự 2015, người có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác gây thiệt hại thì phải bồi thường. Trong trường hợp này, doanh nghiệp có thể phải chịu trách nhiệm bồi thường thiệt hại ngoài hợp đồng.

Thiệt hại được yêu cầu bồi thường có thể bao gồm thiệt hại vật chất, chi phí khắc phục và khôi phục dữ liệu, thiệt hại về uy tín, danh dự, đời sống riêng tư và các thiệt hại hợp pháp khác theo chứng cứ thực tế. Nếu không thỏa thuận được mức bồi thường, khách hàng có quyền khởi kiện tại Tòa án có thẩm quyền.

V. Tại sao nên tìm luật sư tư vấn ở NP Law khi có vấn đề về công ty không thực hiện sao lưu dữ liệu đúng cách

Trong bối cảnh pháp luật ngày càng siết chặt các quy định về bảo vệ dữ liệu, an toàn thông tin và quyền riêng tư, việc không thực hiện sao lưu dữ liệu đúng cách có thể khiến doanh nghiệp đối mặt với rủi ro pháp lý nghiêm trọng, từ xử phạt hành chính, bồi thường dân sự đến trách nhiệm hình sự trong một số trường hợp. Do đó, việc được tư vấn kịp thời bởi luật sư am hiểu chuyên sâu là yếu tố then chốt giúp doanh nghiệp phòng ngừa và xử lý hiệu quả rủi ro.

Trên đây là các thông tin mang tính tham khảo. Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.