Quy định về bảo vệ dữ liệu khách hàng trước khi công ty giải thể

Theo quy định tại Nghị định 13/2023/NĐ-CP, doanh nghiệp phải đảm bảo việc lưu trữ, chuyển giao hoặc hủy bỏ dữ liệu cá nhân được thực hiện đúng quy trình, có sự đồng ý của khách hàng và không gây rò rỉ thông tin. Việc tuân thủ các quy định này không chỉ giúp doanh nghiệp tránh bị xử phạt mà còn thể hiện sự chuyên nghiệp và đạo đức trong hoạt động kinh doanh.

I. Thực trạng hiện nay của bảo vệ dữ liệu khách hàng trước khi công ty giải thể

Thực tiễn tại các doanh nghiệp Việt Nam cho thấy việc bảo vệ dữ liệu khách hàng vẫn còn nhiều hạn chế, đặc biệt khi doanh nghiệp chuẩn bị giải thể. Nhiều doanh nghiệp đã nhận thức được tầm quan trọng của bảo mật dữ liệu như một phần trong trách nhiệm xã hội. Tuy nhiên, không ít công ty, đặc biệt là doanh nghiệp vừa và nhỏ, vẫn chưa xây dựng quy trình rõ ràng để xử lý dữ liệu cá nhân khi ngừng hoạt động.

Một số doanh nghiệp lớn như ngân hàng, ví điện tử, nền tảng thương mại điện tử đã áp dụng các biện pháp kỹ thuật như mã hóa, kiểm soát truy cập, và giám sát hệ thống. Thực tế cũng ghi nhận tình trạng dữ liệu cá nhân bị mua bán công khai trên thị trường, gây hậu quả nghiêm trọng cho người tiêu dùng. Điều này cho thấy việc tuân thủ pháp luật chưa đồng đều và thiếu cơ chế giám sát hiệu quả. Khi doanh nghiệp giải thể, nếu không có quy trình xử lý dữ liệu rõ ràng, nguy cơ rò rỉ và lạm dụng thông tin cá nhân là rất cao.

II. Bảo vệ dữ liệu khách hàng trước khi công ty giải thể là gì?

1. Tầm quan trọng của bảo vệ dữ liệu khách hàng trước khi công ty giải thể

Việc bảo vệ dữ liệu khách hàng trước khi công ty giải thể đóng vai trò cực kỳ quan trọng, không chỉ về mặt pháp lý mà còn liên quan đến uy tín và trách nhiệm xã hội của doanh nghiệp. Trong thời đại số, dữ liệu khách hàng là tài sản quý giá, bao gồm thông tin cá nhân, lịch sử giao dịch, hành vi tiêu dùng… 

Nếu không được xử lý đúng cách khi doanh nghiệp ngừng hoạt động, dữ liệu này có thể bị rò rỉ, gây thiệt hại nghiêm trọng cho khách hàng và dẫn đến hậu quả pháp lý cho người đại diện công ty. Doanh nghiệp có thể bị xử phạt hành chính nếu thu thập, lưu trữ hoặc chuyển giao dữ liệu cá nhân trái phép, với mức phạt lên đến hàng trăm triệu đồng. Người đại diện pháp luật hoặc người phụ trách xử lý dữ liệu cũng có thể bị truy cứu trách nhiệm cá nhân nếu để xảy ra rò rỉ hoặc lạm dụng thông tin sau khi công ty ngừng hoạt động. 

Ngoài ra, khách hàng có quyền khởi kiện yêu cầu bồi thường thiệt hại nếu dữ liệu bị sử dụng sai mục đích. Những vi phạm này không chỉ gây tổn thất tài chính mà còn ảnh hưởng nghiêm trọng đến uy tín cá nhân và thương hiệu của doanh nghiệp, ngay cả khi đã giải thể.

2. Những điều cần lưu ý về bảo vệ dữ liệu khách hàng trước khi công ty giải thể

Dưới đây là những điều doanh nghiệp cần đặc biệt lưu ý về bảo vệ dữ liệu khách hàng trước khi giải thể:

• Tuân thủ pháp luật hiện hành: Doanh nghiệp phải tuân thủ quy định về giải thể như Luật Doanh nghiệp 2020, Nghị định 168/2025/NĐ-CP về bảo vệ dữ liệu cá nhân, bao gồm việc thông báo cho khách hàng, xử lý dữ liệu đúng mục đích và thời hạn lưu trữ hợp lý.
• Xây dựng quy trình xử lý dữ liệu khi giải thể: Trước khi ngừng hoạt động, doanh nghiệp cần có kế hoạch rõ ràng về việc xóa, mã hóa hoặc chuyển giao dữ liệu cho bên thứ ba có trách nhiệm. Việc này giúp tránh rò rỉ và sử dụng trái phép thông tin khách hàng.
• Thông báo cho chủ thể dữ liệu: Khách hàng cần được thông tin về việc công ty giải thể và quyền yêu cầu xóa hoặc chuyển dữ liệu của họ. Đây là nghĩa vụ minh bạch và tôn trọng quyền riêng tư.
• Đảm bảo an toàn kỹ thuật: Áp dụng các biện pháp như mã hóa dữ liệu, giới hạn quyền truy cập, sao lưu định kỳ và kiểm tra bảo mật hệ thống để ngăn chặn truy cập trái phép.
• Tránh các hành vi bị cấm: Không được xử lý dữ liệu trái phép, không tạo ra thông tin sai lệch, không cản trở hoạt động bảo vệ dữ liệu của cơ quan chức năng.

III. Quy định pháp luật liên quan đến bảo vệ dữ liệu khách hàng trước khi công ty giải thể

1. Quy định cần lưu ý liên quan đến bảo vệ dữ liệu khách hàng trước khi công ty giải thể

Căn cứ khoản 2 Điều 207 Luật Doanh nghiệp 2020 quy định, Doanh nghiệp chỉ được giải thể khi bảo đảm thanh toán hết các khoản nợ, nghĩa vụ tài sản khác và không trong quá trình giải quyết tranh chấp tại Tòa án hoặc Trọng tài. Người quản lý có liên quan và doanh nghiệp quy định tại điểm d khoản 1 Điều này cùng liên đới chịu trách nhiệm về các khoản nợ của doanh nghiệp.

Căn cứ Điều 8 Nghị định 13/2023/NĐ-CP quy định các hành vi bị nghiêm cấm như sau:

• Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân.
• Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam.
• Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của tổ chức, cá nhân khác.
• Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền.
• Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.

Căn cứ khoản 3, 4, 6, 7 Điều 16 Nghị định 13/2023/NĐ-CP quy định nghĩa vụ bảo vệ dữ liệu khách hàng trước khi công ty giải thể như sau:

• Trường hợp doanh nghiệp chia, tách, sáp nhập, hợp nhất, giải thể thì dữ liệu cá nhân được chuyển giao theo quy định của pháp luật.
• Trường hợp chia, tách, sáp nhập cơ quan, tổ chức, đơn vị hành chính và tổ chức lại, chuyển đổi hình thức sở hữu doanh nghiệp nhà nước thì dữ liệu cá nhân được chuyển giao theo quy định của pháp luật.
• Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba lưu trữ dữ liệu cá nhân theo hình thức phù hợp với hoạt động của mình và có biện pháp bảo vệ dữ liệu cá nhân theo quy định của pháp luật.
• Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba xóa không thể khôi phục trong trường hợp:
• Xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý dữ liệu cá nhân được chủ thể dữ liệu đồng ý;
• Việc lưu trữ dữ liệu cá nhân không còn cần thiết với hoạt động của Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba;
• Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân, Bên Xử lý dữ liệu cá nhân, Bên thứ ba bị giải thể hoặc không còn hoạt động hoặc tuyên bố phá sản hoặc bị chấm dứt hoạt động kinh doanh theo quy định của pháp luật.

2. Những vi phạm liên quan đến bảo vệ dữ liệu khách hàng trước khi công ty giải thể

Dưới đây là những vi phạm phổ biến liên quan đến bảo vệ dữ liệu khách hàng trước khi công ty giải thể, theo quy định pháp luật hiện hành tại Việt Nam:

• Thu thập dữ liệu không có sự đồng ý: Doanh nghiệp thu thập thông tin cá nhân của khách hàng mà không có sự chấp thuận rõ ràng, minh bạch từ họ.
• Sử dụng dữ liệu sai mục đích: Dữ liệu được thu thập cho một mục đích cụ thể nhưng lại bị sử dụng cho mục đích khác như quảng cáo, bán cho bên thứ ba… mà không có sự cho phép của khách hàng.
• Không bảo mật thông tin cá nhân: Không áp dụng biện pháp kỹ thuật để bảo vệ dữ liệu, dẫn đến rò rỉ, bị tấn công hoặc truy cập trái phép.
• Không thông báo khi xảy ra sự cố bảo mật
• Không xóa hoặc khử nhận dạng dữ liệu khi giải thể. 

Người thực hiện một trong số các hành vi nêu trên có thể bị xử phạt hành chính theo quy định tại Nghị định 15/2020/NĐ-CP (sửa đổi bởi Nghị định 14/2022/NĐ-CP). Ngoài ra, nếu hành vi gây hậu quả nghiêm trọng, công ty có thể bị truy cứu trách nhiệm hình sự theo ĐIều 288 Bộ luật Hình sự 2015.

IV. Giải đáp các thắc mắc về bảo vệ dữ liệu khách hàng trước khi công ty giải thể

1. Các biện pháp nào cần thực hiện để bảo vệ dữ liệu khách hàng trong quá trình giải thể công ty?

Căn cứ khoản 2 Điều 26 Nghị định 13/2023/NĐ-CP quy định, một số biện pháp có thể thực hiện để bảo vệ dữ liệu khách hàng trong quá trình giải thể công ty bao gồm:

• Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện;
• Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện;
• Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định pháp luật;
• Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện;
• Các biện pháp khác theo quy định của pháp luật. 

2. Nếu dữ liệu khách hàng bị rò rỉ, công ty sẽ phải chịu các trách nhiệm nào trước khi giải thể?

Căn cứ điểm c khoản 2 Điều 84 Nghị định 15/2020/NĐ-CP (sửa đổi bởi khoản 30 Điều 1 Nghị định 14/2022/NĐ-CP) quy định, Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong các hành vi sau: Thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác. Ngoài ra, tại khoản 3 Điều này quy định về biện pháp khắc phục hậu quả như sau, Buộc hủy bỏ thông tin cá nhân do thực hiện hành vi vi phạm quy định tại điểm b khoản 1, các điểm b và c khoản 2 Điều này.

Bên cạnh đó, căn cứ khoản 3 Điều 85 Nghị định này quy định, Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi không áp dụng biện pháp quản lý hoặc biện pháp kỹ thuật theo quy định để bảo vệ thông tin cá nhân; 

Đồng thời, Điều 86 Nghị định này quy định như sau:

• Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với hành vi tuân thủ không đầy đủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm an toàn thông tin mạng.
• Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi không tuân thủ các tiêu chuẩn, quy chuẩn kỹ thuật về bảo đảm an toàn thông tin mạng.
• Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi không áp dụng ngay biện pháp khắc phục, ngăn chặn khi có nguy cơ xảy ra sự cố an toàn thông tin mạng.
• Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi không áp dụng ngay biện pháp khắc phục, ngăn chặn trong khi xảy ra sự cố an toàn thông tin mạng.

Như vậy, nếu dữ liệu khách hàng bị rò rỉ, trước khi giải thể, công ty có thể sẽ phải đối mặt với xử phạt hành chính theo quy định trên. Ngoài ra, nếu hành vi gây hậu quả nghiêm trọng, công ty có thể bị truy cứu trách nhiệm hình sự theo ĐIều 288 Bộ luật Hình sự 2015.

3. Các tổ chức nào có thể hỗ trợ doanh nghiệp trong việc bảo vệ dữ liệu khách hàng trước khi giải thể?

Căn cứ quy định tại Điều 29 Nghị định 13/2023/NĐ-CP, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao - Bộ Công an là cơ quan chuyên trách bảo vệ dữ liệu cá nhân, có trách nhiệm giúp Bộ Công an thực hiện quản lý nhà nước về bảo vệ dữ liệu cá nhân.

Ngoài ra, trên thị trường còn 1 số doanh nghiệp cung cấp dịch vụ bảo vệ dữ liệu khách hàng trước khi giải thể như SAVIS Group, R-Digital Tech…

4. Có những khó khăn đặc biệt gì trong việc bảo vệ dữ liệu khách hàng trước khi công ty giải thể không?

Việc bảo vệ dữ liệu khách hàng trước khi công ty giải thể là một nhiệm vụ phức tạp, đòi hỏi sự phối hợp giữa kỹ thuật, pháp lý và quản trị. Dưới đây là những khó khăn đặc biệt mà doanh nghiệp thường gặp phải:

• Thiếu ngân sách và nhân lực chuyên môn
  • Doanh nghiệp sắp giải thể thường không còn đủ nguồn lực để đầu tư vào hệ thống bảo mật hoặc thuê chuyên gia an ninh mạng.
  • Việc duy trì hệ thống bảo vệ dữ liệu trong giai đoạn cuối hoạt động dễ bị xem nhẹ.
• Khó khăn trong việc xóa hoặc chuyển giao dữ liệu
  • Dữ liệu khách hàng thường nằm rải rác trong nhiều hệ thống, từ phần mềm CRM đến email, file lưu trữ nội bộ.
  • Việc xóa triệt để hoặc chuyển giao cho bên thứ ba (ví dụ: cơ quan quản lý hoặc đối tác tiếp nhận) cần quy trình rõ ràng và minh bạch.
• Rủi ro bị tấn công mạng
  • Các doanh nghiệp nhỏ và vừa (SMEs) là mục tiêu dễ bị tin tặc tấn công do hệ thống bảo mật yếu.
  • Trong giai đoạn giải thể, việc lơ là bảo mật có thể dẫn đến rò rỉ dữ liệu nghiêm trọng.

5. Có thể chuyển giao dữ liệu khách hàng cho bên thứ ba mà không vi phạm quy định bảo vệ dữ liệu không?

Căn cứ khoản 1 Điều 9, khoản 1, khoản 2 Điều 11, Điều 13, khoản 3, khoản 4 Điều 16 Nghị định 13/2023/NĐ-CP quy định, công ty có thể chuyển giao dữ liệu khách hàng cho bên thứ ba mà không vi phạm quy định bảo vệ dữ liệu — nhưng phải tuân thủ nghiêm ngặt các điều kiện pháp lý về sự đồng ý của khách hàng và thông báo minh bạch về xử lý dữ liệu cá nhân của khách hàng.

V. Vấn đề liên quan đến bảo vệ dữ liệu khách hàng trước khi công ty giải thể có nên liên hệ luật sư không? Liên hệ như thế nào?

Việc liên hệ luật sư để xử lý vấn đề bảo vệ dữ liệu khách hàng trước khi công ty giải thể là rất cần thiết. Luật sư sẽ giúp doanh nghiệp hiểu rõ các quy định pháp lý liên quan, từ đó xây dựng quy trình xử lý, chuyển giao hoặc hủy dữ liệu một cách hợp pháp và an toàn. Ngoài ra, luật sư còn hỗ trợ soạn thảo các văn bản cần thiết như thông báo cho khách hàng, hợp đồng bảo mật với bên thứ ba, và tư vấn thủ tục giải thể theo đúng quy định.

Trên đây là thông tin giải đáp vướng mắc về bảo vệ dữ liệu khách hàng trước khi công ty giải thể mà công ty NPLAW gửi đến Quý độc giả. Nếu Quý độc giả có bất kỳ vướng mắc nào liên quan cần giải đáp thêm, xin vui lòng liên hệ với NPLAW để được hỗ trợ tốt nhất!