Nguyên nhân và biện pháp phòng tránh sự cố mất dữ liệu do lỗi kỹ thuật

Trong kỷ nguyên số, dữ liệu doanh nghiệp và thông tin khách hàng trở thành tài sản quan trọng. Tuy nhiên, sự cố mất dữ liệu do lỗi kỹ thuật có thể xảy ra bất cứ lúc nào, gây gián đoạn hoạt động, thiệt hại về tài chính và ảnh hưởng uy tín doanh nghiệp. Việc hiểu rõ nguyên nhân, biện pháp phòng ngừa, cũng như nắm vững các quy định pháp luật về bảo vệ và khôi phục dữ liệu là điều cần thiết để doanh nghiệp chủ động ứng phó và giảm thiểu rủi ro. Bài viết này sẽ cung cấp cái nhìn tổng quan về sự cố mất dữ liệu do lỗi kỹ thuật, trách nhiệm pháp lý của doanh nghiệp, cùng các giải pháp bảo vệ dữ liệu hiệu quả.

I. Thực trạng liên quan đến sự cố mất dữ liệu do lỗi kỹ thuật

Ngày càng nhiều doanh nghiệp phụ thuộc vào công nghệ, nhưng sự cố mất dữ liệu do lỗi kỹ thuật như lỗi phần mềm, chập điện, hỏng thiết bị hay virus vẫn thường xảy ra. Những sự cố này gây gián đoạn hoạt động, thiệt hại tài chính và ảnh hưởng uy tín. Thực tế cho thấy, phần lớn mất dữ liệu xuất phát từ lỗi kỹ thuật hoặc vận hành chưa đúng, nhấn mạnh nhu cầu sao lưu, bảo mật và lập kế hoạch khôi phục dữ liệu.

II. Khái niệm về sự cố mất dữ liệu do lỗi kỹ thuật

Để quản lý và phòng ngừa rủi ro hiệu quả, doanh nghiệp cần nắm rõ khái niệm và đặc điểm của sự cố mất dữ liệu do lỗi kỹ thuật. Phần này sẽ làm rõ:

1. Sự cố mất dữ liệu do lỗi kỹ thuật là gì?

Sự cố mất dữ liệu do lỗi kỹ thuật là tình trạng dữ liệu bị mất, hư hỏng hoặc không thể truy cập do các trục trặc phát sinh từ phần cứng, phần mềm, hệ thống lưu trữ hoặc quy trình vận hành, không phải do tấn công mạng hay hành vi cố ý của con người.

Các lỗi này thường xuất phát từ những yếu tố thuần kỹ thuật như thiết bị hỏng, lỗi hệ thống, lỗi cập nhật, chập điện, xung đột phần mềm hoặc sự cố kỹ thuật trong môi trường lưu trữ. Đây là dạng rủi ro có thể xảy ra với mọi doanh nghiệp nếu hệ thống không được bảo trì, sao lưu hoặc kiểm soát chặt chẽ.

2. Những nguyên nhân phổ biến dẫn đến mất dữ liệu do lỗi kỹ thuật là gì?

Mất dữ liệu do yếu tố kỹ thuật thường xuất phát từ nhiều sự cố khác nhau trong hệ thống. Một số nguyên nhân thường gặp gồm:

• Hỏng hóc phần cứng: Ổ cứng, máy chủ hoặc thiết bị lưu trữ bị lỗi, quá nhiệt, xuống cấp khiến dữ liệu không thể truy xuất.
• Lỗi phần mềm hoặc cập nhật: Xung đột ứng dụng, lỗi khi nâng cấp phiên bản hoặc phần mềm hoạt động không ổn định dẫn đến ghi đè và mất dữ liệu.
• Sự cố điện – chập điện – mất nguồn: Việc tắt nguồn đột ngột khi dữ liệu đang xử lý khiến dữ liệu bị hỏng hoặc lưu không đầy đủ.
• Cấu hình sai hoặc thao tác kỹ thuật không đúng quy trình: Lỗi thiết lập hệ thống, phân quyền không chuẩn hoặc vận hành thiếu kiểm soát gây thất thoát dữ liệu ngoài ý muốn.
• Hỏng hệ thống lưu trữ hoặc sao lưu: NAS, server, giải pháp cloud nội bộ gặp lỗi; bản sao lưu bị hỏng hoặc không được kiểm tra định kỳ.
• Lỗi mạng hoặc thiết bị kết nối: Router, switch hoặc đường truyền gặp sự cố khiến dữ liệu truyền tải gián đoạn hoặc bị mất.
• Điều kiện môi trường không phù hợp: Nhiệt độ, độ ẩm cao hoặc môi trường vận hành không ổn định khiến thiết bị xuống cấp nhanh, dễ phát sinh lỗi dữ liệu.

Những rủi ro này đều phổ biến nhưng hoàn toàn có thể hạn chế nếu doanh nghiệp duy trì quy trình bảo trì, sao lưu và giám sát hệ thống một cách chuyên nghiệp và định kỳ.

3. Sự khác nhau giữa mất dữ liệu do lỗi kỹ thuật và mất dữ liệu do tấn công mạng là gì?

Mất dữ liệu do lỗi kỹ thuật và mất dữ liệu do tấn công mạng đều gây thiệt hại nghiêm trọng, nhưng bản chất và nguyên nhân của hai nhóm hoàn toàn khác nhau. Bảng dưới đây giúp phân biệt rõ sự khác nhau giữa mất dữ liệu do lỗi kỹ thuật và mất dữ liệu do tấn công mạng, hỗ trợ doanh nghiệp nhận diện đúng loại rủi ro để có biện pháp xử lý phù hợp.

Mất dữ liệu do lỗi kỹ thuật là rủi ro phổ biến và có thể gây ảnh hưởng lớn đến hoạt động doanh nghiệp. Việc nhận diện đúng nguyên nhân và áp dụng biện pháp phòng ngừa, sao lưu và khôi phục phù hợp là yếu tố quan trọng để giảm thiểu thiệt hại. Nếu cần hỗ trợ pháp lý khi xảy ra sự cố, doanh nghiệp nên liên hệ NPLaw để được tư vấn kịp thời và chính xác.

III. Quy định của pháp luật liên quan đến sự cố mất dữ liệu do lỗi kỹ thuật

Sự cố mất dữ liệu do lỗi kỹ thuật không chỉ gây ảnh hưởng đến hoạt động vận hành của doanh nghiệp mà còn kéo theo nhiều nghĩa vụ pháp lý quan trọng. Pháp luật Việt Nam, đặc biệt là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, quy định rõ trách nhiệm của tổ chức trong việc bảo mật, sao lưu, giám sát và khôi phục dữ liệu khi xảy ra sự cố kỹ thuật. Việc nắm vững các quy định này giúp doanh nghiệp hạn chế rủi ro, bảo vệ quyền lợi của khách hàng và đảm bảo tuân thủ pháp luật trong mọi hoạt động xử lý dữ liệu.

1. Pháp luật Việt Nam quy định thế nào về bảo vệ dữ liệu doanh nghiệp và khách hàng trước sự cố kỹ thuật?

Bảo vệ dữ liệu trong môi trường số không chỉ là yêu cầu kỹ thuật mà còn là nghĩa vụ pháp lý bắt buộc đối với mọi doanh nghiệp. Khi xảy ra sự cố công nghệ như rò rỉ, mất dữ liệu hoặc tấn công mạng, doanh nghiệp phải đảm bảo việc xử lý dữ liệu luôn được bảo vệ theo đúng tiêu chuẩn của pháp luật. Theo quy định tại khoản 6 điều 3 Nghị định 13/2023 NĐ-CP quy định về nguyên tắc bảo vệ dữ liệu cá nhân trước sự cố kỹ thuật:

Điều 3. Nguyên tắc bảo vệ dữ liệu cá nhân

…

 6. Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật.

…

Về bảo vệ dữ liệu cá nhân, doanh nghiệp có nghĩa vụ:

• Áp dụng các biện pháp bảo vệ và bảo mật kỹ thuật trong toàn bộ quá trình xử lý dữ liệu cá nhân.
• Phòng ngừa tình trạng mất mát, phá hủy hoặc thiệt hại do sự cố kỹ thuật gây ra như lỗi hệ thống, tấn công mạng, rò rỉ dữ liệu….
• Ngăn chặn các hành vi vi phạm quy định bảo vệ dữ liệu, đảm bảo dữ liệu khách hàng luôn trong trạng thái an toàn.

Nói cách khác, doanh nghiệp phải chủ động triển khai các biện pháp kỹ thuật và quản lý để bảo đảm dữ liệu không bị mất, rò rỉ, hoặc bị phá hủy khi xảy ra sự cố.

2. Doanh nghiệp có trách nhiệm gì trong việc sao lưu và bảo mật dữ liệu để phòng tránh mất dữ liệu do lỗi kỹ thuật?

Theo Điều 14 Luật Dữ liệu 2024 (được hướng dẫn bởi Điều 5 Nghị định 165/2025/NĐ-CP), tổ chức, cá nhân là chủ sở hữu dữ liệu được quyền tự quyết phương thức lưu trữ, trừ trường hợp dữ liệu cốt lõi, dữ liệu quan trọng phải tuân thủ yêu cầu lưu trữ theo quy định của luật.

Điều 14. Hoạt động lưu trữ dữ liệu

2. Tổ chức, cá nhân không thuộc quy định tại khoản 1 Điều này là chủ sở hữu dữ liệu được quyền quyết định việc lưu trữ dữ liệu do mình thu thập, tạo lập, sở hữu; trường hợp lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng phải bảo đảm tuân thủ theo quy định tại khoản 3 Điều 27 của Luật này.

Bên cạnh đó, Điều 26 Nghị định 53/2022/NĐ-CP yêu cầu một số loại dữ liệu như dữ liệu cá nhân, dữ liệu người dùng tạo ra và dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam phải được lưu trữ tại Việt Nam, kể cả tổ chức trong nước và một số doanh nghiệp nước ngoài cung cấp dịch vụ trên môi trường mạng.

Điều 26. Lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam

1. Dữ liệu phải lưu trữ tại Việt Nam:

a) Dữ liệu về thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam;

b) Dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra: Tên tài khoản sử dụng dịch vụ, thời gian sử dụng dịch vụ, thông tin thẻ tín dụng, địa chỉ thư điện tử, địa chỉ mạng (IP) đăng nhập, đăng xuất gần nhất, số điện thoại đăng ký được gắn với tài khoản hoặc dữ liệu;

c) Dữ liệu về mối quan hệ của người sử dụng dịch vụ tại Việt Nam: bạn bè, nhóm mà người sử dụng kết nối hoặc tương tác.

2. Doanh nghiệp trong nước lưu trữ dữ liệu quy định tại khoản 1 Điều này tại Việt Nam.

3. Việc lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam của doanh nghiệp nước ngoài:

a) Doanh nghiệp nước ngoài có hoạt động kinh doanh tại Việt Nam thuộc một trong những lĩnh vực sau: Dịch vụ viễn thông; lưu trữ, chia sẻ dữ liệu trên không gian mạng; cung cấp tên miền quốc gia hoặc quốc tế cho người sử dụng dịch vụ tại Việt Nam; thương mại điện tử; thanh toán trực tuyến; trung gian thanh toán; dịch vụ kết nối vận chuyển qua không gian mạng; mạng xã hội và truyền thông xã hội; trò chơi điện tử trên mạng; dịch vụ cung cấp, quản lý hoặc vận hành thông tin khác trên không gian mạng dưới dạng tin nhắn, cuộc gọi thoại, cuộc gọi video, thư điện tử, trò chuyện trực tuyến phải lưu trữ dữ liệu quy định tại khoản 1 Điều này và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam trong trường hợp dịch vụ do doanh nghiệp cung cấp bị sử dụng thực hiện hành vi vi phạm pháp luật về an ninh mạng đã được Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an thông báo và có yêu cầu phối hợp, ngăn chặn, điều tra, xử lý bằng văn bản nhưng không chấp hành, chấp hành không đầy đủ hoặc ngăn chặn, cản trở, vô hiệu hóa, làm mất tác dụng của biện pháp bảo vệ an ninh mạng do lực lượng chuyên trách bảo vệ an ninh mạng thực hiện;

b) Trường hợp bất khả kháng mà việc chấp hành yêu cầu của pháp luật về an ninh mạng của doanh nghiệp nước ngoài không thể thực hiện, doanh nghiệp nước ngoài thông báo cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an trong vòng 03 ngày làm việc để kiểm tra tính xác thực của việc bất khả kháng. Trong trường hợp này, doanh nghiệp có thời gian 30 ngày làm việc để tìm phương án khắc phục.

4. Trường hợp dữ liệu do doanh nghiệp thu thập, khai thác, phân tích, xử lý không đầy đủ theo quy định tại khoản 1 Điều này, doanh nghiệp phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để xác nhận và tiến hành lưu trữ các loại dữ liệu hiện đang thu thập, khai thác, phân tích, xử lý.

Trường hợp doanh nghiệp tiến hành thu thập, khai thác, phân tích, xử lý bổ sung các loại dữ liệu theo quy định tại khoản 1 Điều này, doanh nghiệp có trách nhiệm phối hợp với Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để bổ sung vào danh sách dữ liệu phải lưu trữ tại Việt Nam.

5. Hình thức lưu trữ dữ liệu tại Việt Nam do doanh nghiệp quyết định.

..."

Doanh nghiệp được quyền tự quyết phương thức lưu trữ, nhưng vẫn phải bảo đảm việc sao lưu – bảo mật dữ liệu đúng quy định pháp luật và đáp ứng các yêu cầu bắt buộc đối với dữ liệu quan trọng hoặc dữ liệu liên quan đến an ninh mạng.

3. Quy định pháp luật có bắt buộc doanh nghiệp lập kế hoạch khôi phục dữ liệu sau sự cố không?

Pháp luật Việt Nam chưa có quy định riêng, cụ thể bắt buộc mọi doanh nghiệp phải lập “kế hoạch khôi phục dữ liệu sau sự cố” (Disaster Recovery Plan) dưới tên gọi này. Tuy nhiên, nghĩa vụ lập và triển khai các biện pháp khôi phục dữ liệu trên thực tế được đặt ra gián tiếp thông qua nhiều quy định pháp luật hiện hành. Cụ thể:

• Khoản 6 Điều 3 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân yêu cầu áp dụng biện pháp kỹ thuật để phòng, chống mất mát, phá hủy dữ liệu do sự cố, đồng nghĩa doanh nghiệp phải có phương án sao lưu và khôi phục khi dữ liệu bị ảnh hưởng.

Điều 3. Nguyên tắc bảo vệ dữ liệu cá nhân

6. Dữ liệu cá nhân được áp dụng các biện pháp bảo vệ, bảo mật trong quá trình xử lý, bao gồm cả việc bảo vệ trước các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân và phòng, chống sự mất mát, phá hủy hoặc thiệt hại do sự cố, sử dụng các biện pháp kỹ thuật.

• Khoản 1 Điều 27 ( được hướng dẫn bởi Điều 16, 17, 18, 19 Nghị định 165/2025/NĐ-CP) Luật Dữ liệu 2024 yêu cầu dữ liệu phải được bảo vệ an toàn, bảo đảm tính toàn vẹn và khả năng sử dụng, đặc biệt với dữ liệu cốt lõi và dữ liệu quan trọng, do đó doanh nghiệp có trách nhiệm chuẩn bị phương án sao lưu, phục hồi dữ liệu để kịp thời xử lý khi xảy ra sự cố.

Điều  27. Bảo vệ dữ liệu

1. Biện pháp bảo vệ dữ liệu được áp dụng trong toàn bộ quá trình xử lý dữ liệu, bao gồm:

a) Xây dựng và tổ chức thực hiện chính sách, quy định bảo vệ dữ liệu;

b) Quản lý hoạt động xử lý dữ liệu;

c) Xây dựng và triển khai các giải pháp kỹ thuật;

d) Đào tạo, bồi dưỡng, phát triển, quản lý nguồn nhân lực;

đ) Các biện pháp bảo vệ dữ liệu khác theo quy định của pháp luật.

• Khoản 2 Điều 19 Luật An toàn thông tin mạng 2015, khi xảy ra hoặc có nguy cơ xảy ra sự cố an toàn thông tin mạng, tổ chức, cá nhân xử lý thông tin cá nhân phải kịp thời áp dụng các biện pháp khắc phục và ngăn chặn để hạn chế rủi ro phát sinh.

Điều 19. Bảo đảm an toàn thông tin cá nhân trên mạng

…

2. Khi xảy ra hoặc có nguy cơ xảy ra sự cố an toàn thông tin mạng, tổ chức, cá nhân xử lý thông tin cá nhân cần áp dụng biện pháp khắc phục, ngăn chặn trong thời gian sớm nhất.

Mặc dù pháp luật không bắt buộc doanh nghiệp phải lập một văn bản mang tên “kế hoạch khôi phục dữ liệu”, nhưng doanh nghiệp có nghĩa vụ thực tế phải xây dựng và triển khai các biện pháp sao lưu, phục hồi dữ liệu và ứng phó sự cố để đáp ứng yêu cầu bảo vệ dữ liệu, an ninh mạng và tránh trách nhiệm pháp lý khi xảy ra mất mát dữ liệu.

4. Pháp luật quy định thế nào về thời hạn khôi phục dữ liệu sau sự cố kỹ thuật?

Pháp luật Việt Nam hiện chưa quy định thời hạn cụ thể mà doanh nghiệp bắt buộc phải hoàn thành việc khôi phục dữ liệu sau sự cố kỹ thuật. Thay vào đó, các quy định chỉ đặt ra nguyên tắc khắc phục kịp thời, trong thời gian hợp lý, phù hợp với tính chất dữ liệu và mức độ nghiêm trọng của sự cố.

Doanh nghiệp có nghĩa vụ áp dụng biện pháp kỹ thuật để bảo đảm an toàn, tính toàn vẹn và khả năng sử dụng của dữ liệu, đồng nghĩa với việc phải khôi phục dữ liệu sớm nhất có thể nhằm hạn chế gián đoạn hoạt động và thiệt hại phát sinh; việc chậm trễ có thể dẫn đến trách nhiệm pháp lý.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến sự cố mất dữ liệu do lỗi kỹ thuật

Sự cố mất dữ liệu do lỗi kỹ thuật là rủi ro phổ biến trong quá trình vận hành hệ thống công nghệ thông tin của doanh nghiệp. Khi xảy ra sự cố, doanh nghiệp không chỉ đối mặt với gián đoạn hoạt động mà còn phải thực hiện các nghĩa vụ pháp lý nhất định theo quy định về bảo vệ và lưu trữ dữ liệu. Dưới đây là một số câu hỏi thường gặp và giải đáp liên quan đến trách nhiệm của doanh nghiệp trong trường hợp này.

1. Doanh nghiệp có nghĩa vụ thông báo khi xảy ra sự cố mất dữ liệu do lỗi kỹ thuật không?

Có. Doanh nghiệp có nghĩa vụ thông báo khi xảy ra sự cố mất dữ liệu do lỗi kỹ thuật theo quy định tại Điều 23 Nghị định về bảo vệ dữ liệu cá nhân Nghị định 13/2023/NĐ-CP: 

Điều 23. Thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

1. Trường hợp phát hiện xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm theo Mẫu số 03 tại Phụ lục của Nghị định này. Trường hợp thông báo sau 72 giờ thì phải kèm theo lý do thông báo chậm, muộn.

2. Bên Xử lý dữ liệu cá nhân phải thông báo cho Bên Kiểm soát dữ liệu cá nhân một cách nhanh nhất có thể sau khi nhận thấy có sự vi phạm quy định về bảo vệ dữ liệu cá nhân.

3. Nội dung thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân:

a) Mô tả tính chất của việc vi phạm quy định bảo vệ dữ liệu cá nhân, bao gồm: thời gian, địa điểm, hành vi, tổ chức, cá nhân, các loại dữ liệu cá nhân và số lượng dữ liệu liên quan;

b) Chi tiết liên lạc của nhân viên được giao nhiệm vụ bảo vệ dữ liệu hoặc tổ chức, cá nhân chịu trách nhiệm bảo vệ dữ liệu cá nhân;

c) Mô tả các hậu quả, thiệt hại có thể xảy ra của việc vi phạm quy định bảo vệ dữ liệu cá nhân;

d) Mô tả các biện pháp được đưa ra để giải quyết, giảm thiểu tác hại của hành vi vi phạm quy định bảo vệ dữ liệu cá nhân.

4. Trường hợp không thể thông báo đầy đủ các nội dung quy định tại khoản 3 Điều này, việc thông báo có thể được thực hiện theo từng đợt, từng giai đoạn.

5. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân phải lập Biên bản xác nhận về việc xảy ra hành vi vi phạm quy định bảo vệ dữ liệu cá nhân, phối hợp với Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) xử lý hành vi vi phạm.

6. Tổ chức, cá nhân thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) khi phát hiện các trường hợp sau:

a) Phát hiện hành vi vi phạm pháp luật đối với dữ liệu cá nhân;

b) Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận ban đầu giữa chủ thể dữ liệu và Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân hoặc vi phạm quy định của pháp luật;

c) Không bảo đảm quyền của chủ thể dữ liệu hoặc không được thực hiện đúng;

d) Trường hợp khác theo quy định của pháp luật.

Nếu mất dữ liệu do lỗi kỹ thuật mà ảnh hưởng đến dữ liệu cá nhân hoặc quyền của chủ thể dữ liệu, doanh nghiệp bắt buộc phải thực hiện nghĩa vụ thông báo. Việc không thông báo hoặc thông báo không đúng thời hạn có thể dẫn đến trách nhiệm pháp lý và xử phạt hành chính theo quy định hiện hành.

2. Mất dữ liệu do chập điện hoặc virus máy tính có bị xem là lỗi kỹ thuật theo quy định pháp luật không?

Có. Theo khoản 7 Điều 3 Luật An toàn thông tin mạng 2015, mất dữ liệu do chập điện hoặc virus máy tính được xem là sự cố, lỗi kỹ thuật.

Sự cố an toàn thông tin mạng là việc thông tin hoặc hệ thống thông tin bị gây nguy hại, ảnh hưởng đến tính toàn vẹn, tính bảo mật hoặc tính khả dụng.

Chập điện gây hỏng thiết bị, mất dữ liệu và virus máy tính làm gián đoạn, phá hủy hoặc thay đổi dữ liệu đều ảnh hưởng trực tiếp đến tính toàn vẹn và tính khả dụng của dữ liệu.Vì vậy, các trường hợp này được pháp luật xác định là lỗi kỹ thuật/sự cố an toàn thông tin mạng, làm phát sinh trách nhiệm của doanh nghiệp trong việc khắc phục, thông báo và bảo vệ dữ liệu theo quy định.

3. Doanh nghiệp có thể áp dụng các biện pháp kỹ thuật nào để giảm thiểu rủi ro mất dữ liệu?

Theo quy định tại Điều 27 và Điều 28 Nghị định 13/2023/NĐ-CP, khi xử lý dữ liệu cá nhân, doanh nghiệp có trách nhiệm áp dụng các biện pháp bảo vệ tương ứng với từng loại dữ liệu, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, cụ thể:

Điều 27. Bảo vệ dữ liệu cá nhân cơ bản

1. Áp dụng các biện pháp được quy định tại khoản 2 Điều 26 Nghị định này.

2. Xây dựng, ban hành các quy định về bảo vệ dữ liệu cá nhân, nêu rõ những việc cần thực hiện theo quy định của Nghị định này.

3. Khuyến khích áp dụng các tiêu chuẩn bảo vệ dữ liệu cá nhân phù hợp với lĩnh vực, ngành nghề, hoạt động có liên quan tới xử lý dữ liệu cá nhân.

4. Kiểm tra an ninh mạng đối với hệ thống và phương tiện, thiết bị phục vụ xử lý dữ liệu cá nhân trước khi xử lý, xóa không thể khôi phục được hoặc hủy các thiết bị chứa dữ liệu cá nhân.

Điều 28. Bảo vệ dữ liệu cá nhân nhạy cảm

1. Áp dụng các biện pháp được quy định tại khoản 2 Điều 26 và Điều 27 Nghị định này.

2. Chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân, chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân và trao đổi thông tin về bộ phận và cá nhân phụ trách bảo vệ dữ liệu cá nhân với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân. Trường hợp Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu, Bên thứ ba là cá nhân thì trao đổi thông tin của cá nhân thực hiện.

3. Thông báo cho chủ thể dữ liệu biết việc dữ liệu cá nhân nhạy cảm của chủ thể dữ liệu được xử lý, trừ trường hợp quy định tại khoản 4 Điều 13, Điều 17 và Điều 18 Nghị định này.

Các biện pháp này giúp doanh nghiệp bảo đảm an toàn, toàn vẹn và khả năng sử dụng của dữ liệu, đồng thời hạn chế rủi ro mất dữ liệu do lỗi kỹ thuật hoặc tấn công mạng.

4. Quy trình xử lý sự cố mất dữ liệu có bắt buộc lưu trữ hồ sơ và báo cáo cơ quan quản lý không?

Có. Pháp luật yêu cầu doanh nghiệp phải thực hiện việc báo cáo và lưu trữ thông tin liên quan đến sự cố mất dữ liệu, đặc biệt khi sự cố có liên quan đến dữ liệu cá nhân.

Cụ thể, theo Khoản 6 Điều 23 Nghị định 13/2023/NĐ-CP quy định về thông báo vi phạm bảo vệ dữ liệu cá nhân, tổ chức, cá nhân có trách nhiệm thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) khi phát hiện các trường hợp như:

• Có hành vi vi phạm pháp luật đối với dữ liệu cá nhân;
• Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận hoặc trái quy định pháp luật;
• Không bảo đảm hoặc không thực hiện đúng quyền của chủ thể dữ liệu;
• Các trường hợp khác theo quy định của pháp luật.

Để thực hiện nghĩa vụ thông báo này, doanh nghiệp bắt buộc phải lưu trữ hồ sơ, tài liệu về sự cố (nguyên nhân, phạm vi ảnh hưởng, biện pháp khắc phục, kết quả xử lý). Việc lưu trữ hồ sơ là cơ sở pháp lý và kỹ thuật để báo cáo cho cơ quan quản lý nhà nước và chứng minh việc tuân thủ pháp luật khi có kiểm tra, thanh tra.

Quy trình xử lý sự cố mất dữ liệu phải gắn liền với việc lập, lưu trữ hồ sơ và báo cáo cơ quan quản lý có thẩm quyền, đặc biệt là Bộ Công an, trong các trường hợp sự cố liên quan đến vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định pháp luật.

5. Doanh nghiệp có thể áp dụng giải pháp mã hóa hoặc lưu trữ đám mây để bảo vệ dữ liệu không?

Có. Pháp luật cho phép và khuyến khích doanh nghiệp áp dụng mã hóa dữ liệu và lưu trữ đám mây như các biện pháp kỹ thuật bảo vệ dữ liệu. Tuy nhiên, theo Điều 26 Nghị định 13/2023/NĐ-CP, tổ chức, cá nhân xử lý dữ liệu cá nhân phải áp dụng các biện pháp bảo vệ dữ liệu trong suốt quá trình xử lý, bao gồm cả sao chép, lưu trữ và chuyển giao dữ liệu, trong đó có biện pháp kỹ thuật và biện pháp quản lý.

Điều 26. Biện pháp bảo vệ dữ liệu cá nhân

1. Biện pháp bảo vệ dữ liệu cá nhân được áp dụng ngay từ khi bắt đầu và trong suốt quá trình xử lý dữ liệu cá nhân.

2. Các biện pháp bảo vệ dữ liệu cá nhân, bao gồm:

a) Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện;

b) Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện;

c) Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan;

d) Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện;

đ) Các biện pháp khác theo quy định của pháp luật.

Vì vậy, việc doanh nghiệp áp dụng các giải pháp như mã hóa dữ liệu, lưu trữ đám mây an toàn, phân quyền truy cập, giám sát hoạt động xử lý dữ liệu, lưu nhật ký truy xuất được xem là phù hợp với nghĩa vụ bảo vệ dữ liệu theo pháp luật, đồng thời góp phần giảm thiểu nguy cơ rò rỉ, mất hoặc bị xâm phạm dữ liệu.

V. Tại sao nên tìm luật sư tư vấn ở NPLaw khi có vấn đề về sự cố mất dữ liệu do lỗi kỹ thuật

Việc xử lý sự cố mất dữ liệu do lỗi kỹ thuật không chỉ là vấn đề công nghệ mà còn là vấn đề pháp lý quan trọng, đòi hỏi doanh nghiệp và cá nhân phải hiểu rõ nghĩa vụ bảo vệ dữ liệu, trách nhiệm thông báo, khắc phục sự cố và hạn chế rủi ro pháp lý phát sinh. Nếu không được tư vấn kịp thời, sự cố mất dữ liệu có thể dẫn đến xử phạt vi phạm hành chính, tranh chấp, bồi thường thiệt hại và ảnh hưởng nghiêm trọng đến uy tín.

Trên đây là các thông tin mang tính tham khảo. Trường hợp Quý khách hàng cần tư vấn cụ thể theo từng tình huống thực tế, vui lòng liên hệ Hãng luật NPLaw để được hỗ trợ và tư vấn kịp thời.