Nhân viên it sao chép dữ liệu khách hàng ra usb có vi phạm pháp luật không?

Trong môi trường làm việc số hóa, việc sử dụng USB để lưu trữ thông tin là thói quen của nhiều người. Tuy nhiên, hành vi nhân viên IT sao chép dữ liệu khách hàng ra USB có vi phạm pháp luật hay không lại là vấn đề phức tạp, phụ thuộc vào mục đích và quy định bảo mật của từng tổ chức. Để tránh những rắc rối pháp lý không đáng có cho cả người lao động và doanh nghiệp, bài viết này sẽ phân tích chi tiết các quy định hiện hành và chế tài xử lý đối với hành vi sao chép dữ liệu trái phép.

I. Thực trạng liên quan đến nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB

Trong bối cảnh công nghệ thông tin phát triển vượt bậc, cơ sở dữ liệu khách hàng trở thành tài sản vô giá của mọi doanh nghiệp. Tuy nhiên, đi kèm với đó là nguy cơ rò rỉ dữ liệu ngày càng gia tăng, đặc biệt từ những người có quyền truy cập cao nhất: đội ngũ nhân viên IT.

Thực tế, không ít doanh nghiệp đã phải đối mặt với thiệt hại nặng nề khi phát hiện nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB cá nhân. Những hành vi này thường diễn ra trong im lặng, khó phát hiện kịp thời và có thể gây ra hậu quả khôn lường như mất khách hàng, giảm uy tín, tổn thất tài chính, thậm chí là kiện tụng. Các trường hợp như nhân viên cũ mang theo danh sách khách hàng để cạnh tranh, hoặc bán thông tin cho đối thủ, không còn là chuyện hiếm. 

Điều này đặt ra một thách thức lớn về quản lý, giám sát và xây dựng hành lang pháp lý vững chắc để bảo vệ tài sản số của doanh nghiệp.

II. Khái niệm về nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB

Để có cơ sở xử lý, trước hết cần hiểu rõ bản chất của hành vi. NPLaw sẽ làm rõ các khái niệm cốt lõi liên quan đến việc nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB.

1. Nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB là gì?

Nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB được hiểu là hành vi một cá nhân đang làm việc ở vị trí công nghệ thông tin tại một tổ chức, sử dụng thiết bị lưu trữ di động (USB, ổ cứng di động, thẻ nhớ...) để trích xuất, sao lưu thông tin khách hàng từ hệ thống máy tính, máy chủ của công ty mà không có sự cho phép hoặc không đúng với quy định bảo mật của doanh nghiệp. Hành vi này có thể bao gồm việc sao chép danh sách liên hệ, lịch sử giao dịch, thông tin cá nhân (tên, địa chỉ, số điện thoại, email) hoặc bất kỳ dữ liệu nào khác liên quan đến khách hàng mà doanh nghiệp sở hữu và quản lý.

Hành vi này, nếu không được sự cho phép của người có thẩm quyền, sẽ bị xem là hành vi trái phép, xâm phạm trực tiếp đến tài sản và bí mật kinh doanh của doanh nghiệp.

2. Việc nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB có thể xuất phát từ những mục đích nào?

Trên thực tế, hành vi này có thể xuất phát từ nhiều động cơ khác nhau, từ vô ý đến cố ý với mục đích xấu:

• Mục đích vụ lợi: Đây là trường hợp phổ biến và nguy hiểm nhất. Nhân viên có thể bán dữ liệu cho đối thủ cạnh tranh, sử dụng để thành lập công ty riêng kinh doanh cùng ngành hàng, hoặc bán cho các bên chuyên spam quảng cáo.
• Mục đích trả thù: Khi nhân viên có mâu thuẫn với công ty, bị kỷ luật hoặc cho nghỉ việc, họ có thể sao chép dữ liệu để phá hoại, gây tổn hại đến uy tín và hoạt động kinh doanh của công ty.
• Do sự tiện lợi và thiếu ý thức: Một số nhân viên có thể sao chép dữ liệu ra USB để mang về nhà làm việc cho tiện mà không nhận thức được rủi ro bảo mật nghiêm trọng mà hành vi này gây ra.
• Do sơ suất: Trong quá trình sao lưu, bảo trì hệ thống, nhân viên có thể vô tình sao chép dữ liệu ra thiết bị cá nhân mà không tuân thủ quy trình bảo mật.

Dù với mục đích nào, hành vi này đều đặt doanh nghiệp trước những rủi ro pháp lý và kinh doanh to lớn.

3. Những yếu tố nào cấu thành hành vi “sao chép dữ liệu khách hàng ra USB trái phép”?

Để sao chép dữ liệu khách hàng ra USB bị xem là "trái phép", cần có sự kết hợp của các yếu tố sau:

• Hành vi: Có hành động sao chép, di chuyển, trích xuất dữ liệu khách hàng từ hệ thống máy chủ của công ty sang USB.
• Đối tượng: Dữ liệu bị sao chép là cơ sở dữ liệu khách hàng - một loại tài sản thông tin, bí mật kinh doanh của doanh nghiệp được pháp luật bảo hộ.
• Chủ thể: Người thực hiện là nhân viên IT, người có quyền truy cập vào hệ thống dữ liệu đó.
• Yếu tố "trái phép": Hành vi này không được sự đồng ý, cho phép của cấp quản lý có thẩm quyền, vi phạm hợp đồng lao động, thỏa thuận bảo mật (NDA), nội quy lao động hoặc các quy định pháp luật liên quan.

Khi hội tụ đủ các yếu tố trên, hành vi của nhân viên IT sẽ bị xem là vi phạm và phải chịu các chế tài tương ứng.

III. Quy định của pháp luật liên quan đến nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB

Trong phần này, NPLaw sẽ phân tích các quy định trực tiếp liên quan đến hành vi nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB.

1. Hành vi sao chép dữ liệu khách hàng ra USB có bị cấm không?

Hành vi nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB trái phép có thể bị cấm và xử lý theo nhiều quy định pháp luật khác nhau, tùy thuộc vào tính chất và mục đích của hành vi, cụ thể:

• Khoản 5 Điều 7 Luật An toàn thông tin mạng 2015, nghiêm cấm hành vi thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác. Cơ sở dữ liệu khách hàng thường chứa thông tin cá nhân, do đó việc sao chép trái phép để sử dụng hoặc phát tán có thể vi phạm điều này.
• Điều 38 Bộ luật Dân sự 2015 quy định về quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình. Việc sao chép và sử dụng thông tin cá nhân khách hàng trái phép có thể xâm phạm các quyền này.
• Các điều tại Bộ luật Hình sự 2015 sửa đổi, bổ sung 2017 như Điều 289 về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác, Điều 290 về tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản hoặc Điều 286 về tội phát tán chương trình tin học gây hại cho hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử có thể được áp dụng tùy vào mức độ và hậu quả. 

Như vậy, hành vi sao chép dữ liệu khách hàng ra USB trái phép là hành vi bị cấm và có thể bị xử lý theo quy định của pháp luật Việt Nam.

2. Pháp luật quy định như thế nào về trách nhiệm bảo mật cơ sở dữ liệu khách hàng của nhân viên IT trong quá trình làm việc?

Pháp luật Việt Nam không có điều khoản riêng quy định trực tiếp về trách nhiệm bảo mật của nhân viên IT, nhưng có các quy định chung và cơ sở để xác định trách nhiệm này.

Theo Điều 5 Bộ luật Lao động 2019, người lao động phải thực hiện hợp đồng lao động, thỏa ước lao động tập thể và thỏa thuận hợp pháp khác, chấp hành kỷ luật lao động, nội quy lao động; tuân theo sự quản lý, điều hành, giám sát của người sử dụng lao động và Điều 125 quy định về các hình thức xử lý kỷ luật lao động. Trong hợp đồng lao động và các quy định nội bộ của doanh nghiệp (nội quy lao động, quy chế bảo mật), nhân viên IT thường có trách nhiệm đặc biệt trong việc bảo mật thông tin và dữ liệu.

Bên cạnh đó, hợp đồng lao động và Thỏa thuận bảo mật thông tin (NDA) là cơ sở pháp lý quan trọng nhất. Hầu hết các doanh nghiệp đều yêu cầu nhân viên IT ký cam kết bảo mật thông tin, trong đó nêu rõ các nghĩa vụ, trách nhiệm và hậu quả pháp lý nếu vi phạm. Theo Điều 385 Bộ luật Dân sự 2015, hợp đồng là sự thỏa thuận làm phát sinh, thay đổi hoặc chấm dứt quyền, nghĩa vụ dân sự và phải được các bên tự nguyện thỏa thuận.

Như vậy, trách nhiệm bảo mật của nhân viên IT chủ yếu được xác định thông qua hợp đồng lao động, thỏa thuận bảo mật và các quy định nội bộ của doanh nghiệp, dựa trên các nguyên tắc chung của pháp luật.

3. Trong trường hợp nào việc sao chép dữ liệu khách hàng ra USB được xem là hợp pháp?

Việc nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB chỉ được xem là hợp pháp khi đáp ứng đầy đủ các điều kiện sau:

• Có sự cho phép rõ ràng và bằng văn bản từ doanh nghiệp:  Đây là yếu tố tiên quyết. Doanh nghiệp (đơn vị chịu trách nhiệm pháp lý với khách hàng) phải cấp quyền cụ thể về loại dữ liệu, mục đích sử dụng và thời gian lưu trữ.
• Phục vụ mục đích công việc hợp pháp: Ví dụ, sao lưu dữ liệu khẩn cấp, di chuyển dữ liệu giữa các máy chủ (nếu không có phương án an toàn hơn), hoặc xử lý sự cố kỹ thuật.
• Tuân thủ đầy đủ các chính sách và quy trình bảo mật của doanh nghiệp: Nhân viên phải thực hiện mã hóa dữ liệu trên USB, bảo vệ mật khẩu và xóa sạch dữ liệu ngay sau khi hoàn thành nhiệm vụ.
• Không vi phạm pháp luật và thỏa thuận với khách hàng: Dữ liệu sao chép phải được sử dụng đúng mục đích mà khách hàng đã đồng ý trong Hợp đồng/Chính sách bảo mật, không được xâm phạm quyền riêng tư của khách hàng.

Tóm lại, tính hợp pháp của hành vi sao chép dữ liệu phụ thuộc vào sự cho phép bằng văn bản của doanh nghiệp (dựa trên cơ sở thỏa thuận với khách hàng) và việc tuân thủ nghiêm ngặt các biện pháp bảo mật.

4. Hành vi sao chép dữ liệu khách hàng ra USB trái phép có thể bị xử phạt như thế nào?

Tùy vào tính chất, mức độ nghiêm trọng của hành vi và hậu quả gây ra, nhân viên IT có thể phải đối mặt với các hình thức xử lý sau:

• Xử lý kỷ luật lao động: Theo Điều 125 Bộ luật Lao động 2019, hành vi tiết lộ bí mật kinh doanh, bí mật công nghệ là một trong những căn cứ để người sử dụng lao động áp dụng hình thức kỷ luật sa thải.
• Bồi thường thiệt hại: Theo Điều 129 Bộ luật Lao động 2019, người lao động làm hư hỏng dụng cụ, thiết bị hoặc có hành vi khác gây thiệt hại tài sản của người sử dụng lao động thì phải bồi thường. Nếu gây thiệt hại không nghiêm trọng do sơ suất, mức bồi thường tối đa là 03 tháng lương. Nếu làm mất mát tài sản, mức bồi thường sẽ theo giá trị thị trường.
• Xử phạt vi phạm hành chính: Nếu hành vi thu thập, sử dụng, phát tán thông tin cá nhân trái phép chưa đến mức truy cứu trách nhiệm hình sự, có thể bị phạt tiền theo Nghị định 15/2020/NĐ-CP (sửa đổi bởi Nghị định 14/2022/NĐ-CP), cụ thể tại khoản 1 Điều 80 với mức phạt từ 10.000.000 đồng đến 20.000.000 đồng đối với cá nhân.
• Truy cứu trách nhiệm hình sự: Trong trường hợp nghiêm trọng, hành vi này có thể cấu thành tội phạm. Ví dụ như tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288 Bộ luật Hình sự 2015), nếu hành vi sao chép, mua bán, trao đổi dữ liệu riêng của cá nhân, tổ chức trên môi trường mạng gây hậu quả nghiêm trọng.

Như vậy, hậu quả pháp lý cho hành vi này là rất nặng nề, từ mất việc, bồi thường dân sự cho đến ngồi tù.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB

Phần này, NPLaw sẽ giải đáp cho một số câu hỏi thường gặp nhất về vụ việc nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB.

1. Nếu nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB trái phép, doanh nghiệp còn quyền xử lý không?

Doanh nghiệp có quyền xử lý nhân viên IT đã sao chép cơ sở dữ liệu khách hàng ra USB trái phép, bất kể nhân viên đó còn đang làm việc hay đã nghỉ việc. Các quyền xử lý bao gồm:

• Xử lý kỷ luật lao động: Nếu nhân viên còn đang làm việc, doanh nghiệp có thể áp dụng các hình thức kỷ luật theo Bộ luật Lao động 2019 và nội quy lao động (Điều 125).
• Yêu cầu bồi thường thiệt hại: Yêu cầu bồi thường thiệt hại do hành vi vi phạm hợp đồng lao động, thỏa thuận bảo mật hoặc gây thiệt hại tài sản, uy tín của doanh nghiệp (Điều 129 Bộ luật lao động 2019).
• Tố giác tội phạm: Nếu hành vi có dấu hiệu cấu thành tội phạm (ví dụ: xâm phạm bí mật kinh doanh, sử dụng trái phép thông tin mạng), doanh nghiệp có thể gửi đơn tố giác đến cơ quan công an để yêu cầu điều tra, xử lý theo Bộ luật Tố tụng hình sự 2015.
• Yêu cầu chấm dứt hành vi vi phạm: Buộc nhân viên xóa bỏ dữ liệu, cam kết không sử dụng, phát tán.

Tóm lại, doanh nghiệp luôn có quyền và cơ sở pháp lý để xử lý các hành vi vi phạm, bao gồm cả sau khi nhân viên đã nghỉ việc.

2. Doanh nghiệp có quyền kiểm tra, thu hồi hoặc tịch thu USB chứa dữ liệu khách hàng bị sao chép trái phép không?

Doanh nghiệp không có quyền tịch thu tài sản cá nhân của người lao động vì đây là thẩm quyền của cơ quan nhà nước. Tuy nhiên, để bảo vệ tài sản của mình là dữ liệu, doanh nghiệp có quyền:

• Yêu cầu khắc phục hậu quả đối với dữ liệu: Thay vì yêu cầu giao nộp USB (tài sản cá nhân), doanh nghiệp có quyền yêu cầu nhân viên thực hiện ngay việc xóa bỏ dữ liệu của công ty trên USB đó hoặc sao chép hoàn trả dữ liệu dưới sự giám sát trực tiếp của đại diện doanh nghiệp/bộ phận IT..
• Lập vi bằng: Mời Thừa phát lại đến lập vi bằng ghi nhận hành vi từ chối hợp tác của nhân viên, đây sẽ là bằng chứng quan trọng trước tòa án hoặc cơ quan điều tra.
• Kiểm tra trong phạm vi cho phép: Nếu nội quy lao động có quy định rõ về việc kiểm tra các thiết bị lưu trữ khi ra vào công ty, doanh nghiệp có thể thực hiện kiểm tra trong phạm vi đó.

Vì vậy, doanh nghiệp nên hành xử đúng pháp luật, ưu tiên việc thu thập chứng cứ (lập vi bằng, email yêu cầu...) thay vì tự ý thu giữ tài sản cá nhân của nhân viên.

3. Việc sử dụng USB cá nhân để lưu dữ liệu nội bộ có bị xem là vi phạm quy định bảo mật của doanh nghiệp không?

Việc sử dụng USB cá nhân để lưu dữ liệu nội bộ (bao gồm cả dữ liệu khách hàng) được xem là hành vi vi phạm quy định bảo mật của doanh nghiệp, trừ khi có chính sách rõ ràng cho phép và hướng dẫn cụ thể. Lý do vi phạm, đó là:

• Rủi ro bảo mật: USB cá nhân thường không được mã hóa, dễ bị mất, hư hỏng hoặc nhiễm virus, gây rò rỉ dữ liệu.
• Khó kiểm soát: Doanh nghiệp không thể kiểm soát nội dung, vị trí lưu trữ hoặc ai có thể truy cập vào USB đó.
• Vi phạm chính sách: Hầu hết các chính sách bảo mật đều cấm mang dữ liệu ra khỏi môi trường kiểm soát của doanh nghiệp hoặc yêu cầu sử dụng các phương tiện lưu trữ được công ty phê duyệt.

Như vậy, sử dụng USB cá nhân để lưu dữ liệu nội bộ là hành vi có rủi ro cao và thường bị cấm bởi chính sách bảo mật của doanh nghiệp.

4. Trường hợp nhân viên IT chia sẻ dữ liệu khách hàng cho bên thứ ba, doanh nghiệp có thể yêu xử lý như thế nào?

Khi nhân viên IT chia sẻ dữ liệu khách hàng cho bên thứ ba, đây là hành vi đặc biệt nghiêm trọng và doanh nghiệp có thể áp dụng các biện pháp xử lý mạnh mẽ:

• Xử lý kỷ luật lao động: Doanh nghiệp có thể áp dụng hình thức sa thải nếu hành vi này thuộc trường hợp tiết lộ bí mật kinh doanh hoặc gây thiệt hại nghiêm trọng về tài sản, lợi ích của người sử dụng lao động đã được quy định cụ thể trong nội quy lao động (Điều 125 Bộ luật Lao động 2019).
• Khởi kiện dân sự: Yêu cầu bồi thường thiệt hại (Điều 584 Bộ luật Dân sự 2015) do doanh nghiệp phải gánh chịu từ việc rò rỉ dữ liệu (mất khách hàng, chi phí khắc phục, ảnh hưởng uy tín...).
• Truy cứu trách nhiệm hình sự: Hành vi này có thể cấu thành các tội phạm như:
  • Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288 Bộ luật Hình sự 2015).
  • Các tội liên quan đến việc sử dụng thông tin cá nhân trái phép (nếu bên thứ ba sử dụng thông tin vào mục đích bất hợp pháp).
• Yêu cầu bên thứ ba chấm dứt sử dụng: Doanh nghiệp có quyền yêu cầu bên thứ ba (người nhận dữ liệu) ngừng sử dụng, xóa bỏ dữ liệu và có thể kiện bên thứ ba nếu họ biết rõ dữ liệu là trái phép mà vẫn sử dụng.

Tóm lại, hành vi chia sẻ dữ liệu cho bên thứ ba là vi phạm nghiêm trọng, dẫn đến nhiều hình thức xử lý từ kỷ luật lao động, bồi thường dân sự đến truy cứu trách nhiệm hình sự.

5. Doanh nghiệp có thể áp dụng hình thức kỷ luật sa thải đối với hành vi sao chép dữ liệu khách hàng ra USB không?

Doanh nghiệp hoàn toàn có thể áp dụng hình thức kỷ luật sa thải đối với hành vi nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB trái phép, đặc biệt khi hành vi này gây ra thiệt hại nghiêm trọng hoặc vi phạm nghiêm trọng nội quy lao động và các cam kết bảo mật. Và theo Điều 125 Bộ luật Lao động 2019 quy định các trường hợp áp dụng hình thức sa thải, bao gồm:

• Người lao động có hành vi trộm cắp, tham ô, đánh bạc, cố ý gây thương tích, sử dụng ma túy tại nơi làm việc. Mặc dù không trực tiếp là "trộm cắp", nhưng sao chép dữ liệu có giá trị kinh tế có thể được xem là hành vi tương tự gây thiệt hại tài sản cho doanh nghiệp.
• Người lao động có hành vi tiết lộ bí mật kinh doanh, bí mật công nghệ, xâm phạm quyền sở hữu trí tuệ của người sử dụng lao động, có hành vi gây thiệt hại nghiêm trọng hoặc đe dọa gây thiệt hại đặc biệt nghiêm trọng về tài sản, lợi ích của người sử dụng lao động. Dữ liệu khách hàng thường được coi là bí mật kinh doanh, và việc sao chép ra USB trái phép chắc chắn thuộc trường hợp này.
• Quy trình: Doanh nghiệp cần thực hiện đúng quy trình xử lý kỷ luật lao động theo Điều 122 Bộ luật Lao động 2019 để đảm bảo tính hợp pháp của quyết định sa thải, bao gồm: thông báo, họp xử lý kỷ luật, có sự tham gia của tổ chức đại diện người lao động (nếu có).

Vì vậy, sa thải là hình thức kỷ luật hoàn toàn có thể áp dụng nếu hành vi sao chép dữ liệu trái phép vi phạm nghiêm trọng các quy định của doanh nghiệp và pháp luật.

V. Tại sao nên tìm luật sư tư vấn ở NP Law khi có vấn đề về nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB

Việc quản lý và bảo vệ cơ sở dữ liệu khách hàng là một thách thức lớn, đặc biệt khi đối mặt với hành vi nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB. Việc tuân thủ đúng các quy định pháp luật và có biện pháp xử lý kịp thời không chỉ giúp doanh nghiệp tránh được các khoản thiệt hại không đáng có mà còn thể hiện sự chuyên nghiệp và trách nhiệm pháp lý. Tuy nhiên, với những quy định phức tạp và thường xuyên thay đổi, việc tự mình tìm hiểu và thực hiện có thể gặp nhiều khó khăn.

Nếu doanh nghiệp đang gặp vướng mắc trong việc phòng ngừa, phát hiện hoặc xử lý các trường hợp nhân viên IT sao chép cơ sở dữ liệu khách hàng ra USB trái phép, hoặc muốn tìm hiểu sâu hơn về cách xây dựng chính sách bảo mật chặt chẽ, hãy liên hệ với NPLaw ngay hôm nay.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.