Chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy là vấn đề thường gặp đối với cá nhân, tổ chức trong việc chuyển giao, chia sẻ dữ liệu. Bài viết dưới đây, sẽ nêu các quy định pháp luật về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy và giải đáp một số thắc mắc liên quan nhằm giúp cá nhân, tổ chức bảo vệ quyền lợi hợp pháp của mình.
Chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy là vấn đề thường gặp đối với cá nhân, tổ chức trong việc chuyển giao, chia sẻ dữ liệu. Bài viết dưới đây, sẽ nêu các quy định pháp luật về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy và giải đáp một số thắc mắc liên quan nhằm giúp cá nhân, tổ chức bảo vệ quyền lợi hợp pháp của mình.
I. Rủi ro pháp lý phổ biến liên quan đến chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy
Khi cá nhân, tổ chức chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy sẽ gây ra các rủi ro pháp lý phổ biến như sau:
- Vi phạm pháp luật: Vi phạm quy định pháp luật về bảo vệ dữ liệu dẫn đến bị xử phạt hành chính hoặc có thể truy cứu trách nhiệm hình sự trong trường hợp nghiêm trọng.
- Bồi thường thiệt hại: Cá nhân, tổ chức có thể bị yêu cầu bồi thường thiệt hại nếu gây tổn hại đến quyền lợi của chủ thể dữ liệu khi thực hiện chuyển giao dữ liệu cho bên thứ ba.
- Rủi ro tuân thủ và pháp lý: Nếu bên thứ ba không tuân thủ các luật bảo vệ dữ liệu, cá nhân, tổ chức vẫn phải chịu trách nhiệm pháp lý. Dẫn đến hậu quả pháp lý và tài chính như phạt tiền, tranh chấp phát sinh và các chi phí khắc phục sự cố.
Như vậy, cá nhân, tổ chức có thể gặp các rủi ro pháp lý liên quan đến chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy nêu trên.
II. Tìm hiểu về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy
Để hiểu rõ hơn về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy, dấu hiệu và biện pháp phòng ngừa. Hãy cùng NPLaw tìm hiểu qua nội dung bên dưới.
1. Chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy có nghĩa là gì?
Theo khoản 6 Điều 3 Luật Giao dịch điện tử 2023 có quy định dữ liệu là ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự khác.
Chuyển giao dữ liệu cho bên thứ ba là việc một tổ chức, cá nhân (Bên kiểm soát dữ liệu) chia sẻ, trao đổi dữ liệu cá nhân (thông tin nhận dạng) của chủ thể dữ liệu cho một bên thứ ba (tổ chức, cá nhân khác) để xử lý dữ liệu.
Theo đó, có thể hiểu chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy là việc chia sẻ thông tin, dữ liệu cá nhân, nhạy cảm hoặc bí mật kinh doanh của doanh nghiệp cho một tổ chức, dịch vụ hay cá nhân khác mà không chắc chắn về năng lực bảo mật, chính sách quyền riêng tư hoặc ý định sử dụng của họ. Việc này có thể dẫn đến rủi ro rò rỉ, mất cắp dữ liệu hoặc vi phạm quy định bảo vệ dữ liệu nghiêm trọng.
2. Có những loại dữ liệu nào thường bị ảnh hưởng khi chuyển giao cho bên thứ ba không đáng tin cậy?
Khi chuyển dữ liệu cho bên thứ ba không đáng tin cậy, mọi loại dữ liệu đều có thể bị ảnh hưởng, tuy nhiên những loại dữ liệu nào thường bị ảnh hưởng nhất gồm:
- Dữ liệu cá nhân cơ bản (theo khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP):
- Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
- Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
- Giới tính;
- Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
- Quốc tịch;
- Hình ảnh của cá nhân;
- Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế;
- Tình trạng hôn nhân;
- Thông tin về mối quan hệ gia đình (cha mẹ, con cái);
- Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng;
- Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể
- Dữ liệu cá nhân nhạy cảm (theo khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP) là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân gồm:
- Quan điểm chính trị, quan điểm tôn giáo;
- Tình trạng sức khỏe và đời tư được ghi trong hồ sơ bệnh án, không bao gồm thông tin về nhóm máu;
- Thông tin liên quan đến nguồn gốc chủng tộc, nguồn gốc dân tộc;
- Thông tin về đặc điểm di truyền được thừa hưởng hoặc có được của cá nhân;
- Thông tin về thuộc tính vật lý, đặc điểm sinh học riêng của cá nhân;
- Thông tin về đời sống tình dục, xu hướng tình dục của cá nhân;
- Dữ liệu về tội phạm, hành vi phạm tội được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
- Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, các tổ chức được phép khác, gồm: thông tin định danh khách hàng theo quy định của pháp luật, thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng, tổ chức cung ứng dịch vụ trung gian thanh toán;
- Dữ liệu về vị trí của cá nhân được xác định qua dịch vụ định vị;
- Dữ liệu cá nhân khác được pháp luật quy định là đặc thù và cần có biện pháp bảo mật cần thiết.
Như vậy, những loại dữ liệu trên thường bị ảnh hưởng khi chuyển giao cho bên thứ ba không đáng tin cậy.
3. Các dấu hiệu nào cho thấy một bên thứ ba có thể không đáng tin cậy trong việc nhận dữ liệu?
Các dấu hiệu thể hiện bên thứ ba có thể không đáng tin cậy trong việc nhận dữ liệu như sau:
- Thiếu minh bạch: Không rõ ràng về nơi lưu trữ dữ liệu, quyền truy cập và quy trình xóa dữ liệu.
- Chính sách bảo mật sơ sài: Điều khoản mập mờ, khó hiểu, hoặc không đề cập chi tiết đến các biện pháp bảo mật.
- Không có chứng nhận bảo mật: Thiếu các chứng chỉ uy tín về bảo mật dữ liệu.
- Yêu cầu dữ liệu không cần thiết: Yêu cầu quyền truy cập vào nhiều dữ liệu hơn mức cần thiết cho dịch vụ của họ.
- Không có cơ chế báo cáo sự cố: Không có quy trình rõ ràng để thông báo khi có vi phạm xảy ra.
- Quy trình xác thực lỏng lẻo và không cung cấp chính sách bảo mật rõ ràng, hoặc có các báo cáo, dấu hiệu lạm dụng dữ liệu, thiếu phản hồi khi có sự cố.
Như vậy, cá nhân, tổ chức có thể căn cứ các dấu hiệu trên để xác định bên thứ ba có thể không đáng tin cậy trong việc nhận dữ liệu.
4. Có những biện pháp nào để giảm thiểu rủi ro khi chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy?
Theo Điều 26 Nghị định 13/2023/NĐ-CP, biện pháp bảo vệ dữ liệu cá nhân được áp dụng ngay từ khi bắt đầu và trong suốt quá trình xử lý dữ liệu cá nhân. Các biện pháp để giảm thiểu rủi ro khi chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy gồm:
- Biện pháp quản lý do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện;
- Biện pháp kỹ thuật do tổ chức, cá nhân có liên quan tới xử lý dữ liệu cá nhân thực hiện;
- Biện pháp do cơ quan quản lý nhà nước có thẩm quyền thực hiện theo quy định của Nghị định này và pháp luật có liên quan;
- Biện pháp điều tra, tố tụng do cơ quan nhà nước có thẩm quyền thực hiện;
- Các biện pháp khác theo quy định của pháp luật.
Theo đó, cá nhân, doanh nghiệp có thể áp dụng các biện pháp trên để giảm thiểu rủi ro khi chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy.
III. Các quy định pháp luật có liên quan đến chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy
Tìm hiểu các quy định pháp luật về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy là nhu cầu và mong muốn của nhiều chủ thể. Hiểu được điều này, NPLaw đưa ra các quy định về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy theo quy định mới nhất hiện nay.
1. Có quy định pháp lý nào cấm chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy không?
Pháp luật hiện hành không có điều khoản về cấm chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy mà luật quy định việc chuyển giao dữ liệu cho bên thứ ba phải có sự đồng ý của chủ thể dữ liệu, thông báo rõ ràng mục đích và chịu trách nhiệm tuân thủ các quy định bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP.
Theo khoản 2 Điều 9 và khoản 1 Điều 11 Nghị định 13/2023/NĐ-CP quy định về quyền đồng ý của chủ thể dữ liệu, theo đó, chủ thể dữ liệu được đồng ý hoặc không đồng ý cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp không cần sự đồng ý của chủ thể dữ liệu theo Điều 17 Nghị định này. Sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
Theo Điều 38 Nghị định 13/2023/NĐ-CP trách nhiệm của bên Kiểm soát dữ liệu cá nhân như sau:
- Thực hiện các biện pháp tổ chức và kỹ thuật cùng các biện pháp an toàn, bảo mật phù hợp để chứng minh các hoạt động xử lý dữ liệu đã được thực hiện theo quy định của pháp luật về bảo vệ dữ liệu cá nhân, rà soát và cập nhật các biện pháp này khi cần thiết.
- Ghi lại và lưu trữ nhật ký hệ thống quá trình xử lý dữ liệu cá nhân.
- Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định tại Điều 23 Nghị định này.
- Lựa chọn Bên Xử lý dữ liệu cá nhân phù hợp với nhiệm vụ rõ ràng và chỉ làm việc với Bên Xử lý dữ liệu cá nhân có các biện pháp bảo vệ phù hợp.
- Bảo đảm các quyền của chủ thể dữ liệu theo quy định tại Điều 9 Nghị định này.
- Bên Kiểm soát dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
- Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân.
Đồng thời khoản 2 Điều 22 Nghị định 13/2023/NĐ-CP có quy định việc thiết lập các hệ thống phần mềm, biện pháp kỹ thuật hoặc tổ chức các hoạt động thu thập, chuyển giao, mua, bán dữ liệu cá nhân không có sự đồng ý của chủ thể dữ liệu là vi phạm pháp luật.
Như vậy, pháp luật hiện hành không cấm chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy mà kiểm soát chặt chẽ việc chuyển giao dữ liệu, đặt nặng yếu tố minh bạch và sự đồng thuận của chủ thể dữ liệu.
2. Trong trường hợp xảy ra sự cố dữ liệu do chuyển giao cho bên thứ ba không đáng tin cậy, tổ chức có trách nhiệm pháp lý như thế nào?
Theo Điều 23, Điều 38 và Điều 39 Nghị định 13/2023/NĐ-CP, trách nhiệm của tổ chức trong trường hợp xảy ra sự cố dữ liệu do chuyển giao cho bên thứ ba không đáng tin cậy như sau:
- Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định tại Điều 23 Nghị định này.
Theo khoản 1, 2 Điều 23 Nghị định này quy định, trường hợp phát hiện xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm theo Mẫu số 03 tại Phụ lục của Nghị định này. Trường hợp thông báo sau 72 giờ thì phải kèm theo lý do thông báo chậm, muộn.
Bên Xử lý dữ liệu cá nhân phải thông báo cho Bên Kiểm soát dữ liệu cá nhân một cách nhanh nhất có thể sau khi nhận thấy có sự vi phạm quy định về bảo vệ dữ liệu cá nhân.
- Bảo đảm các quyền của chủ thể dữ liệu theo quy định tại Điều 9 Nghị định này.
- Bên Kiểm soát dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
- Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân.
- Bên Xử lý dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
- Xóa, trả lại toàn bộ dữ liệu cá nhân cho Bên Kiểm soát dữ liệu cá nhân sau khi kết thúc xử lý dữ liệu.
- Bồi thường thiệt hại: Chủ thể dữ liệu có quyền yêu cầu tổ chức hoặc bên sử dụng dữ liệu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác theo khoản 10 Điều 9 Nghị định này.
Như vậy, trong trường hợp xảy ra sự cố dữ liệu do chuyển giao cho bên thứ ba không đáng tin cậy, tổ chức có trách nhiệm pháp lý như trên.
3. Có cần phải ký hợp đồng cụ thể với bên thứ ba trước khi chuyển giao dữ liệu không?
Theo khoản 1, 2 Điều 39 Nghị định 13/2023/NĐ-CP, trách nhiệm của Bên Xử lý dữ liệu cá nhân như sau:
- Chỉ tiếp nhận dữ liệu cá nhân sau khi có hợp đồng hoặc thỏa thuận về xử lý dữ liệu với Bên Kiểm soát dữ liệu cá nhân.
- Xử lý dữ liệu cá nhân theo đúng hợp đồng hoặc thỏa thuận ký kết với Bên Kiểm soát dữ liệu cá nhân.
Đồng thời tại khoản 1, 3, 5 Điều 11 Nghị định này cũng quy định về sự đồng ý của chủ thể dữ liệu trước khi chuyển giao dữ liệu cho bên thứ ba như sau:
- Sự đồng ý của chủ thể dữ liệu được áp dụng đối với tất cả các hoạt động trong quy trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
- Sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này.
- Sự đồng ý của chủ thể dữ liệu phải được thể hiện ở một định dạng có thể được in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.
Như vậy, cá nhân, tổ chức sử dụng hoặc xử lý dữ liệu cần phải ký hợp đồng cụ thể với bên thứ ba trước khi chuyển giao dữ liệu để bảo đảm tính pháp lý.
IV. Các thắc mắc thường gặp liên quan đến chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy
Để hiểu rõ hơn về các quy định liên quan đến chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy, sau đây là một số câu hỏi và giải đáp thắc mắc về vấn đề này.
1. Chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy có vi phạm quy định bảo mật nào không?
Theo khoản 2 Điều 22 Nghị định 13/2023/NĐ-CP, việc thiết lập các hệ thống phần mềm, biện pháp kỹ thuật hoặc tổ chức các hoạt động thu thập, chuyển giao, mua, bán dữ liệu cá nhân không có sự đồng ý của chủ thể dữ liệu là vi phạm pháp luật.
Đồng thời chủ thể dữ liệu có quyền yêu cầu tổ chức hoặc bên sử dụng dữ liệu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác theo khoản 10 Điều 9 Nghị định này.
Theo đó, việc chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy có thể vi phạm quy định bảo mật nếu không có sự đồng ý của chủ thể dữ liệu.
2. Cách nào để kiểm tra độ tin cậy của bên thứ ba trước khi chuyển giao dữ liệu?
Theo Điều 41 Nghị định 13/2023/NĐ-CP, bên thứ ba có đầy đủ trách nhiệm của một bên xử lý dữ liệu. Căn cứ tại Điều 39 Nghị định 13/2023/NĐ-CP về trách nhiệm của bên xử lý dữ liệu cá nhân như sau:
- Chỉ tiếp nhận dữ liệu cá nhân sau khi có hợp đồng hoặc thỏa thuận về xử lý dữ liệu với Bên Kiểm soát dữ liệu cá nhân.
- Xử lý dữ liệu cá nhân theo đúng hợp đồng hoặc thỏa thuận ký kết với Bên Kiểm soát dữ liệu cá nhân.
- Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân quy định tại Nghị định này và các văn bản pháp luật khác có liên quan.
- Bên Xử lý dữ liệu cá nhân chịu trách nhiệm trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra.
- Xóa, trả lại toàn bộ dữ liệu cá nhân cho Bên Kiểm soát dữ liệu cá nhân sau khi kết thúc xử lý dữ liệu.
- Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm quy định của pháp luật về bảo vệ dữ liệu cá nhân.
Căn cứ tại khoản 2 Điều 24 Nghị định 13/2023/NĐ-CP, trong trường hợp thực hiện hợp đồng với bên kiểm soát dữ liệu cá nhân thì bên xử lý dữ liệu cá nhân tiến hành lập và lưu giữ hồ sơ đánh giá tác động xử lý dữ liệu cá nhân. Hay nói cách khác, để biết được bên thứ ba xử lý dữ liệu cá nhân theo đúng hợp đồng với bên kiểm soát dữ liệu cá nhân thì sẽ dựa vào hồ sơ đánh giá tác động xử lý dữ liệu cá nhân do bên thứ ba tiến hành lập và lưu giữ theo quy định của pháp luật.
Như vậy, để kiểm tra độ tin cậy của bên thứ ba trước khi chuyển giao dữ liệu có thể dựa trên các quy định trên.
3. Nếu phát hiện bên thứ ba không đáng tin cậy, công ty cần phải làm gì ngay lập tức?
- Nếu phát hiện bên thứ ba không đáng tin cậy, công ty cần phải ngừng cung cấp dữ liệu và thông báo cho chủ thể dữ liệu kịp thời. Theo khoản 1, 2 Điều 23 Nghị định 13/2023/NĐ-CP, Trường hợp phát hiện xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân, Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thông báo cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) chậm nhất 72 giờ sau khi xảy ra hành vi vi phạm theo Mẫu số 03 tại Phụ lục của Nghị định này. Trường hợp thông báo sau 72 giờ thì phải kèm theo lý do thông báo chậm, muộn.
- Bên Xử lý dữ liệu cá nhân phải thông báo cho Bên Kiểm soát dữ liệu cá nhân một cách nhanh nhất có thể sau khi nhận thấy có sự vi phạm quy định về bảo vệ dữ liệu cá nhân.
- Căn cứ theo khoản 4 Điều 12 Nghị định 13/2023/NĐ-CP có quy định về rút lại sự đồng ý của chủ thể dữ liệu, theo đó, khi chủ thể dữ liệu rút lại sự đồng ý thì Bên thứ ba phải ngừng và yêu cầu các tổ chức, cá nhân có liên quan ngừng xử lý dữ liệu.
Như vậy, công ty cần phải ngừng chuyển giao dữ liệu, yêu cầu bên thứ ba ngừng sử dụng dữ liệu và thông báo cho chủ thể dữ liệu kịp thời nếu phát hiện bên thứ ba sử dụng dữ liệu không đáng tin cậy.
4. Chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy có thể dẫn đến những hậu quả pháp lý nào?
Việc chuyển giao dữ liệu cho bên thứ ba mà không tuân thủ pháp luật có thể dẫn đến các hậu quả pháp lý nghiêm trọng như bị xử lý hành chính, truy cứu trách nhiệm hình sự (nếu có dấu hiệu tội phạm) hoặc bồi thường thiệt hại cho chủ thể dữ liệu nếu gây tổn hại.
- Xử phạt hành chính: Bên vi phạm có thể bị xử lý hành chính theo quy định tại điểm b khoản 1 và điểm đ khoản 2 Điều 46 Nghị định 98/2020/NĐ-CP được sửa đổi bởi Khoản 5 Điều 1 Nghị định 24/2025/NĐ-CP. Theo đó, đối với hành vi sử dụng thông tin của người tiêu dùng không chính xác, không phù hợp với mục đích, phạm vi đã thông báo, người vi phạm có thể bị phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng. Hoặc phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với hành vi chuyển giao thông tin của người tiêu dùng cho bên thứ ba khi chưa có sự đồng ý của người tiêu dùng theo quy định, trừ trường hợp quy định tại điểm b khoản 5 Điều 63 Nghị định này.
- Truy cứu hình sự: Nếu vi phạm nghiêm trọng gây hậu quả lớn, có thể bị truy cứu trách nhiệm hình sự theo Bộ luật Hình sự 2015 (sửa đổi 2017, 2025). Chẳng hạn, đối với hành vi mua bán, trao đổi thông tin, dữ liệu cá nhân lên mạng xã hội có thể bị truy cứu trách nhiệm hình sự về Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo điểm b khoản 1 Điều 288 Bộ luật Hình sự 2015 (sửa đổi 2017, 2025).
- Bồi thường thiệt hại: Chủ thể dữ liệu có quyền yêu cầu tổ chức hoặc bên sử dụng dữ liệu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác theo khoản 10 Điều 9 Nghị định 13/2023/NĐ-CP.
Như vậy, việc chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy có thể dẫn đến những hậu quả pháp lý như trên.
5. Công ty có thể yêu cầu bồi thường thiệt hại nếu bên thứ ba không đáng tin cậy vi phạm cam kết không?
Căn cứ Điều 13 Bộ luật Dân sự 2015 quy định cá nhân, pháp nhân có quyền dân sự bị xâm phạm được bồi thường toàn bộ thiệt hại, trừ trường hợp các bên có thỏa thuận khác hoặc luật có quy định khác.
Đồng thời, tại Điều 360, 361 Bộ luật Dân sự 2015 quy định trường hợp có thiệt hại do vi phạm nghĩa vụ gây ra thì bên có nghĩa vụ phải bồi thường toàn bộ thiệt hại, trừ trường hợp có thỏa thuận khác hoặc luật có quy định khác. Thiệt hại do vi phạm nghĩa vụ gồm:
- Thiệt hại do vi phạm nghĩa vụ bao gồm thiệt hại về vật chất và thiệt hại về tinh thần.
- Thiệt hại về vật chất là tổn thất vật chất thực tế xác định được, bao gồm tổn thất về tài sản, chi phí hợp lý để ngăn chặn, hạn chế, khắc phục thiệt hại, thu nhập thực tế bị mất hoặc bị giảm sút.
- Thiệt hại về tinh thần là tổn thất về tinh thần do bị xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, uy tín và các lợi ích nhân thân khác của một chủ thể.
Như vậy, theo quy định trên, công ty có thể yêu cầu bồi thường thiệt hại nếu bên thứ ba không đáng tin cậy vi phạm cam kết trong hợp đồng hoặc văn bản thỏa thuận.
V. Bạn đang tìm luật sư giỏi, uy tín để hỗ trợ vấn đề liên quan đến chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy?
Trên đây là thông tin giải đáp vướng mắc về chuyển giao dữ liệu cho bên thứ ba không đáng tin cậy mà NPLaw gửi đến Quý độc giả. Với đội ngũ luật sư, chuyên viên pháp lý giàu kinh nghiệm, NPLaw cung cấp dịch vụ pháp lý uy tín, chuyên nghiệp, đảm bảo tốt nhất quyền lợi hợp pháp cho Quý Khách hàng. Nếu cần hỗ trợ về vấn đề pháp lý, bạn có thể liên hệ NPLaw để được tư vấn về hỗ trợ.
Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.
