Tạo tài khoản giả truy cập và tải xuống dữ liệu khách hàng: Thực trạng, thiệt hại và quy định pháp luật Việt Nam

Trong thời đại số hóa mạnh mẽ, dữ liệu khách hàng trở thành tài sản cốt lõi mà mọi doanh nghiệp đều tìm cách bảo vệ. Tuy nhiên, cùng với sự phát triển của công nghệ, các hành vi xâm nhập trái phép vào hệ thống thông tin ngày càng tinh vi, đặc biệt là hành vi tạo tài khoản giả nhằm truy cập và tải xuống dữ liệu khách hàng.

I. Thực trạng liên quan đến tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng

Trong bối cảnh kinh tế số, dữ liệu khách hàng là tài sản quan trọng và nhạy cảm, được doanh nghiệp quản lý để phục vụ kinh doanh, chăm sóc khách hàng và phát triển thị trường. Tuy nhiên, hiện nay việc tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng diễn ra khá phổ biến, đặt ra rủi ro nghiêm trọng về an ninh thông tin, uy tín doanh nghiệp và quyền lợi khách hàng.

Thực tế cho thấy, nhiều cá nhân hoặc tổ chức lợi dụng hệ thống quản lý chưa chặt chẽ, thiếu kiểm soát phân quyền truy cập, hoặc khai thác lỗ hổng bảo mật, để tạo các tài khoản giả, mạo danh nhân viên hoặc đối tác nhằm trích xuất dữ liệu khách hàng, danh sách liên hệ, thông tin giao dịch hoặc các dữ liệu nhạy cảm khác. Hành vi này không chỉ gây thiệt hại về mặt vật chất, mà còn làm giảm uy tín, niềm tin của khách hàng, đồng thời tạo điều kiện cho các hoạt động cạnh tranh không lành mạnh hoặc lừa đảo.

Tóm lại, tình trạng tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng đang là vấn đề nổi bật, đặt ra yêu cầu cấp thiết về kiểm soát truy cập, bảo mật hệ thống và nâng cao nhận thức về pháp luật. Việc nhận diện và phòng ngừa hành vi này là cơ sở để bảo vệ quyền lợi khách hàng, uy tín doanh nghiệp và tuân thủ các quy định pháp lý hiện hành.

II. Khái niệm về tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng là một trong những hình thức xâm nhập hệ thống thông tin trái phép, nhằm thu thập, sao chép hoặc sử dụng dữ liệu mà không có quyền hợp pháp. Hành vi này có thể được thực hiện bởi nhân viên nội bộ hoặc bên ngoài, với mục đích kinh doanh riêng, cạnh tranh không lành mạnh, hoặc chiếm đoạt tài sản vô hình của doanh nghiệp. 

1. Tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng là gì?

Tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng là hành vi mạo danh hoặc sử dụng thông tin đăng nhập giả để xâm nhập vào hệ thống quản lý dữ liệu của doanh nghiệp, nhằm thu thập, sao chép hoặc sử dụng thông tin khách hàng trái phép. Hành vi này không chỉ vi phạm quyền sở hữu dữ liệu của doanh nghiệp mà còn xâm phạm quyền riêng tư và bảo mật thông tin của khách hàng, có thể dẫn đến hậu quả về uy tín, tài chính và pháp lý.

Theo Điều 9 và Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân phải được thu thập, lưu trữ và sử dụng đúng mục đích, có sự đồng ý của chủ thể dữ liệu, và phải được bảo vệ bằng các biện pháp kỹ thuật, quản lý thích hợp. Hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng là xâm phạm dữ liệu cá nhân, vi phạm nguyên tắc bảo vệ dữ liệu và gây trách nhiệm pháp lý đối với người vi phạm.

Như vậy, hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng là một hành vi trái pháp luật, vi phạm quyền sở hữu và bảo mật dữ liệu, có thể bị xử lý theo các quy định dân sự, hành chính hoặc hình sự tùy mức độ vi phạm và hậu quả gây ra.

2. Có thể coi hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng là một dạng tấn công mạng không?

Hành vi tạo tài khoản giả nhằm truy cập dữ liệu khách hàng về bản chất là xâm nhập trái phép vào hệ thống thông tin của doanh nghiệp, sử dụng các kỹ thuật giả mạo, khai thác lỗ hổng hoặc mạo danh người dùng hợp pháp để thu thập dữ liệu mà không được phép. Vì vậy, hành vi này hoàn toàn có thể được coi là một dạng tấn công mạng, thuộc nhóm hành vi vi phạm an toàn, an ninh thông tin mạng.

Hành vi tấn công mạng có thể được hiểu là hành vi xâm phạm an toàn thông tin mạng và hành vi này được giải thích theo quy định tại khoản 6 Điều 3 Luật An toàn thông tin mạng 2015. Có thể bao gồm các các hành vi như sau: truy cập trái phép, sử dụng, tiết lộ, làm gián đoạn, sửa đổi, phá hoại trái phép thông tin, hệ thống thông tin. Và hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng đáp ứng các yếu tố được xem là hành vi xâm phạm đến an toàn thông tin mạng, bởi nó nhằm xâm nhập hệ thống, lấy thông tin trái phép và tiềm ẩn nguy cơ gây thiệt hại về dữ liệu, uy tín và tài chính.

Ngoài ra, theo Điều 9 Luật Bảo vệ dữ liệu cá nhân 2023, việc khai thác dữ liệu cá nhân trái phép được coi là hành vi vi phạm nguyên tắc bảo vệ dữ liệu và có thể dẫn đến trách nhiệm pháp lý dân sự, hành chính hoặc hình sự. Khi hành vi tạo tài khoản giả kết hợp với các hành vi xâm nhập trái phép khác, như sao chép, trích xuất hoặc chia sẻ dữ liệu, nó còn có thể bị xem xét theo Bộ luật Hình sự 2015, cụ thể tại Điều 289 BLHS 2015 về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác hay Điều 290 BLHS 2015 về tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản.

Tóm lại, hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng đúng là một dạng tấn công mạng, không chỉ vi phạm quyền sở hữu dữ liệu và quyền riêng tư của khách hàng mà còn đặt ra trách nhiệm pháp lý nghiêm trọng cho cá nhân và tổ chức liên quan, đồng thời yêu cầu doanh nghiệp phải có biện pháp bảo mật và giám sát chặt chẽ.

3. Việc tạo tài khoản giả để tải dữ liệu khách hàng có thể gây thiệt hại như thế nào cho doanh nghiệp?

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng có thể gây ra nhiều thiệt hại nghiêm trọng cho doanh nghiệp, không chỉ về tài chính mà còn về uy tín, trách nhiệm pháp lý và hoạt động kinh doanh. Trước hết, dữ liệu khách hàng là tài sản vô hình có giá trị, được pháp luật bảo vệ do đó khi dữ liệu này bị chiếm đoạt, doanh nghiệp đối mặt với nguy cơ bị đối thủ cạnh tranh sử dụng trái phép, dẫn đến mất thị phần, giảm doanh thu, và đánh mất lợi thế kinh doanh quan trọng.

Bên cạnh đó, hành vi trích xuất trái phép dữ liệu khách hàng có thể dẫn đến lộ thông tin cá nhân, làm phát sinh trách nhiệm của doanh nghiệp theo quy định tại Điều 22 và Điều 24 Luật An toàn thông tin mạng 2015 về việc đảm bảo an toàn hệ thống thông tin và bảo vệ dữ liệu. Nếu doanh nghiệp không có biện pháp bảo mật phù hợp, họ có thể bị cơ quan nhà nước xử phạt hoặc buộc khắc phục hậu quả, đồng thời phải bồi thường cho khách hàng bị thiệt hại.

Ngoài thiệt hại về tài chính và pháp lý, doanh nghiệp còn phải đối mặt với thiệt hại về uy tín và niềm tin khách hàng. Khách hàng ngày càng quan tâm đến vấn đề bảo mật thông tin, nên khi dữ liệu bị xâm nhập, doanh nghiệp có thể mất niềm tin của khách hàng, ảnh hưởng lâu dài đến hoạt động kinh doanh. Điều này đặc biệt nghiêm trọng đối với các doanh nghiệp thuộc lĩnh vực tài chính, thương mại điện tử, bảo hiểm hoặc các ngành sử dụng dữ liệu khách hàng làm nền tảng dịch vụ.

Cuối cùng, hành vi truy cập trái phép có thể gây gián đoạn hệ thống, làm tăng chi phí khắc phục, nâng cấp bảo mật, đào tạo nhân sự và xử lý sự cố. Đây là các chi phí ngoài kế hoạch có thể ảnh hưởng đến hoạt động vận hành của doanh nghiệp.

Như vậy, việc tạo tài khoản giả để tải dữ liệu khách hàng gây ra thiệt hại toàn diện cho doanh nghiệp, từ tài sản, uy tín đến trách nhiệm pháp lý, và được pháp luật bảo vệ. 

III. Quy định của pháp luật liên quan đến tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng không chỉ là vi phạm đạo đức kinh doanh mà còn bị pháp luật Việt Nam nghiêm cấm và xử lý nghiêm minh. Luật pháp quy định rõ trách nhiệm của các cá nhân, tổ chức trong việc bảo vệ dữ liệu cá nhân, tài sản vô hình và an toàn thông tin mạng, đồng thời đặt ra các hình thức xử lý đối với hành vi truy cập trái phép. 

1. Pháp luật Việt Nam có quy định cụ thể nào cấm hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng không?

Hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng là một hình thức xâm nhập trái phép vào hệ thống thông tin, vi phạm quyền sở hữu dữ liệu của doanh nghiệp và quyền riêng tư của khách hàng. Pháp luật Việt Nam hiện hành đã có những quy định cụ thể để cấm và xử lý nghiêm minh hành vi này, đồng thời bảo vệ dữ liệu khách hàng như một tài sản quan trọng.

• Theo quy định tại khoản 6 Điều 3 Luật An toàn thông tin mạng 2015, hành vi truy cập trái phép vào hệ thống thông tin của tổ chức, doanh nghiệp hoặc cá nhân bị coi là vi phạm an toàn thông tin mạng. Việc tạo tài khoản giả nhằm mục đích tải xuống dữ liệu khách hàng thuộc nhóm hành vi này, do đó có thể bị xử lý hành chính, dân sự hoặc hình sự tùy mức độ vi phạm và hậu quả gây ra.
• Tại Điều 9 và Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ dữ liệu cá nhân phải được sử dụng đúng mục đích, có sự đồng ý của chủ thể dữ liệu, và phải được bảo vệ bằng các biện pháp kỹ thuật, quản lý thích hợp. Hành vi tạo tài khoản giả để trích xuất dữ liệu khách hàng vi phạm nguyên tắc bảo vệ dữ liệu và dẫn đến trách nhiệm pháp lý đối với người vi phạm.
• Bên cạnh đó dữ liệu khách hàng được xem là tài sản vô hình thuộc quyền sở hữu của doanh nghiệp, hành vi truy cập trái phép để chiếm đoạt, sao chép hoặc sử dụng dữ liệu này là xâm phạm tài sản vô hình, doanh nghiệp có quyền yêu cầu bồi thường thiệt hại. Trong trường hợp gây hậu quả nghiêm trọng, người vi phạm có thể bị truy cứu trách nhiệm hình sự theo Điều 289 BLHS 2015 về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác hay Điều 290 BLHS 2015 về tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản

Tóm lại, pháp luật Việt Nam đã có các quy định cấm và xử lý nghiêm hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng, bảo vệ quyền sở hữu dữ liệu, quyền riêng tư của khách hàng và an toàn hệ thống thông tin của doanh nghiệp. Việc nhận diện rõ bản chất pháp lý của hành vi này giúp doanh nghiệp áp dụng các biện pháp bảo mật hiệu quả, đồng thời làm cơ sở pháp lý vững chắc khi xử lý vi phạm.

2. Có quy định nào buộc doanh nghiệp phải báo cáo cơ quan chức năng khi phát hiện hành vi tạo tài khoản giả không?

Trong môi trường kinh doanh số hiện nay, dữ liệu khách hàng là tài sản quan trọng, đồng thời là thông tin nhạy cảm được pháp luật bảo vệ. Khi phát hiện hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng, doanh nghiệp không chỉ phải xử lý nội bộ mà còn cần xem xét trách nhiệm báo cáo cơ quan chức năng nhằm ngăn ngừa rủi ro pháp lý và bảo vệ quyền lợi khách hàng.

• Theo Điều 4 và Điều 25 Luật An toàn thông tin mạng 2015, tổ chức, doanh nghiệp quản lý hệ thống thông tin quan trọng và dữ liệu cá nhân phải bảo đảm an toàn thông tin và thực hiện các biện pháp phát hiện, ngăn chặn hành vi truy cập trái phép. Khi phát hiện hành vi xâm nhập hệ thống, doanh nghiệp có quyền và trách nhiệm báo cáo cơ quan chức năng để phối hợp xử lý, đặc biệt trong các vụ việc gây thiệt hại hoặc có nguy cơ lộ lọt thông tin lớn.
• Ngoài ra, tại Điều 22 Nghị định 85/2016/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an toàn thông tin mạng, cũng nhấn mạnh việc tổ chức, doanh nghiệp phải thông báo, phối hợp với cơ quan quản lý nhà nước khi phát hiện các sự cố an toàn thông tin nghiêm trọng. Hành vi tạo tài khoản giả thuộc loại truy cập trái phép và xâm nhập hệ thống, do đó khi có hậu quả tiềm ẩn hoặc thực tế, doanh nghiệp cần báo cáo để tránh liên đới trách nhiệm về việc không ngăn chặn kịp thời.
• Bên cạnh đó, theo Điều 42 Nghị định 13/2023/NĐ-CP doanh nghiệp phải thực hiện quy trình phản ứng sự cố dữ liệu, bao gồm phát hiện, khắc phục và báo cáo cơ quan có thẩm quyền khi dữ liệu cá nhân bị truy cập trái phép. Việc không thực hiện đúng quy định này có thể dẫn đến xử phạt hành chính hoặc trách nhiệm bồi thường thiệt hại.

Như vậy, mặc dù pháp luật không bắt buộc trong mọi trường hợp doanh nghiệp phải báo cáo hành vi tạo tài khoản giả, nhưng trong trường hợp dữ liệu bị truy cập trái phép hoặc nguy cơ rò rỉ cao, doanh nghiệp có trách nhiệm phối hợp với cơ quan chức năng theo quy định. 

3. Doanh nghiệp bị mất dữ liệu do tài khoản giả có thể khởi kiện để đòi bồi thường thiệt hại không? Trình tự, thủ tục khởi kiện được thực hiện ra sao?

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng có thể gây ra thiệt hại về tài sản vô hình, uy tín và quyền lợi kinh doanh của doanh nghiệp. Trong trường hợp doanh nghiệp bị mất dữ liệu hoặc chịu thiệt hại thực tế, pháp luật Việt Nam cho phép doanh nghiệp khởi kiện cá nhân hoặc tổ chức vi phạm để yêu cầu bồi thường thiệt hại.

Theo quy định tại Điều 9 Nghị định 13/2023/NĐ-CP doanh nghiệp phải áp dụng các biện pháp bảo vệ dữ liệu và có quyền yêu cầu bồi thường nếu dữ liệu bị truy cập, sử dụng trái phép. Hành vi tạo tài khoản giả để truy cập dữ liệu khách hàng rõ ràng vi phạm các quy định này, từ đó phát sinh cơ sở pháp lý cho việc khởi kiện.

Về trình tự, thủ tục khởi kiện, doanh nghiệp thực hiện theo Bộ luật Tố tụng Dân sự 2015 như sau:

• Chuẩn bị hồ sơ khởi kiện: Bao gồm đơn khởi kiện, chứng cứ về thiệt hại, hợp đồng lao động hoặc hợp đồng dịch vụ liên quan, nhật ký truy cập hệ thống, biên bản phát hiện vi phạm.
• Nộp đơn tại Tòa án có thẩm quyền: Thông thường là Tòa án nhân dân nơi bị đơn cư trú hoặc trụ sở doanh nghiệp bị vi phạm đặt tại đó.
• Tòa án thụ lý và giải quyết: Sau khi thụ lý, tòa sẽ tiến hành xét xử, yêu cầu các bên cung cấp chứng cứ và xác định thiệt hại thực tế.
• Phán quyết bồi thường thiệt hại: Nếu người vi phạm bị xác định chịu trách nhiệm, tòa án sẽ ra quyết định buộc bồi thường thiệt hại về dữ liệu và lợi ích liên quan.

Trong trường hợp hành vi gây hậu quả nghiêm trọng hoặc có dấu hiệu tội xâm phạm bí mật kinh doanh, doanh nghiệp có thể phối hợp với cơ quan công an để khởi tố vụ án hình sự theo quy định tại Điều 289 BLHS 2015 về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác hoặc Điều 290 BLHS 2015 về tội sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản, nhằm truy cứu trách nhiệm hình sự đối với cá nhân vi phạm.

Vì vậy, doanh nghiệp hoàn toàn có quyền khởi kiện để đòi bồi thường khi bị mất dữ liệu do tài khoản giả, đồng thời tuân thủ trình tự tố tụng dân sự hoặc phối hợp với cơ quan công an trong trường hợp có dấu hiệu hình sự, dựa trên các cơ sở pháp lý vững chắc. 

4. Người tạo tài khoản giả để lấy dữ liệu khách hàng có thể bị xử phạt hành chính theo quy định nào?

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng không chỉ vi phạm quyền sở hữu dữ liệu của doanh nghiệp mà còn vi phạm các quy định về an toàn thông tin mạng và bảo vệ dữ liệu cá nhân, do đó có thể bị xử phạt hành chính theo pháp luật Việt Nam.

Theo Điều 80 Nghị định 15/2020/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực công nghệ thông tin và an toàn thông tin mạng, hành vi truy cập trái phép vào hệ thống thông tin, khai thác dữ liệu mà không được phép có thể bị phạt tiền từ 10 triệu đến 50 triệu đồng đối với cá nhân, đồng thời buộc khắc phục hậu quả và trả lại dữ liệu bị truy cập trái phép. Nếu hành vi gây hậu quả nghiêm trọng hoặc lặp lại, mức phạt có thể cao hơn.

Hành vi tạo tài khoản giả cũng là hành vi vi phạm theo quy định tại Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025, bởi vì dữ liệu khách hàng là thông tin cá nhân được bảo vệ. Do đó, cá nhân vi phạm có thể bị xử phạt hành chính hoặc hình sự tùy mức độ và hậu quả gây ra, đồng thời doanh nghiệp bị ảnh hưởng có quyền yêu cầu khắc phục và bồi thường thiệt hại theo luật.

Vì thế, người tạo tài khoản giả để lấy dữ liệu khách hàng có thể bị xử phạt hành chính đồng thời phải chịu trách nhiệm khắc phục hậu quả và bồi thường thiệt hại cho doanh nghiệp. Việc xử lý hành chính kết hợp với các biện pháp kỹ thuật và quản lý giúp bảo vệ dữ liệu khách hàng, ngăn ngừa các hành vi truy cập trái phép trong môi trường số.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng

Trong thực tiễn quản lý và bảo vệ dữ liệu khách hàng, doanh nghiệp thường gặp nhiều băn khoăn liên quan đến hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu. Các thắc mắc này thường tập trung vào mức độ vi phạm pháp luật, trách nhiệm pháp lý của người vi phạm, quyền và nghĩa vụ của doanh nghiệp, cũng như các biện pháp phòng ngừa và xử lý hậu quả. 

1. Doanh nghiệp có thể áp dụng biện pháp nào để ngăn chặn việc tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng?

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng là một trong những mối nguy hiểm lớn đối với doanh nghiệp, đặc biệt trong môi trường kinh doanh số. Để ngăn chặn hành vi này, doanh nghiệp cần kết hợp các biện pháp kỹ thuật, quản lý và pháp lý, đồng thời dựa trên các quy định pháp luật hiện hành.

• Trước hết, về biện pháp kỹ thuật, doanh nghiệp cần thiết lập hệ thống kiểm soát truy cập nghiêm ngặt, bao gồm xác thực đa yếu tố, quản lý quyền truy cập theo vai trò và giám sát nhật ký truy cập. 
• Về biện pháp quản lý, doanh nghiệp cần xây dựng chính sách bảo mật dữ liệu, quy trình xử lý và phản ứng sự cố, đồng thời đào tạo nhân viên về nhận diện các nguy cơ từ tài khoản giả và hậu quả pháp lý khi truy cập trái phép dữ liệu. 
• Ngoài ra, doanh nghiệp cũng có thể áp dụng biện pháp pháp lý phòng ngừa, như ký kết các cam kết bảo mật, hợp đồng lao động hoặc hợp đồng dịch vụ, quy định rõ trách nhiệm bảo vệ dữ liệu và xử lý khi vi phạm. 

Do đó, để ngăn chặn việc tạo tài khoản giả, doanh nghiệp cần tích hợp biện pháp kỹ thuật, quản lý và pháp lý, dựa trên các quy định của Luật An toàn thông tin mạng 2015 và Luật Bảo vệ dữ liệu cá nhân 2025, nhằm bảo vệ dữ liệu khách hàng, uy tín doanh nghiệp và giảm thiểu rủi ro pháp lý.

2. Có thể yêu cầu nhà cung cấp dịch vụ mạng hỗ trợ truy tìm người tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng không?

Trong bối cảnh doanh nghiệp quản lý dữ liệu khách hàng trên các hệ thống trực tuyến, việc phát hiện hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu đòi hỏi phải phối hợp với nhà cung cấp dịch vụ mạng để xác định danh tính và nguồn gốc truy cập. Theo quy định pháp luật Việt Nam, doanh nghiệp có quyền yêu cầu nhà cung cấp dịch vụ mạng hỗ trợ điều tra và truy tìm người vi phạm, đồng thời hợp tác với cơ quan nhà nước có thẩm quyền khi cần thiết.

• Cụ thể, theo Điều 25 Luật An toàn thông tin mạng 2015, nhà cung cấp dịch vụ mạng có nghĩa vụ hỗ trợ các cơ quan chức năng và tổ chức, doanh nghiệp trong việc bảo đảm an toàn, an ninh thông tin, giám sát và truy tìm các hành vi xâm nhập trái phép vào hệ thống thông tin. Điều này bao gồm việc cung cấp địa chỉ IP, nhật ký truy cập, dữ liệu định danh và các thông tin kỹ thuật khác liên quan đến tài khoản giả mạo, giúp doanh nghiệp xác định đối tượng vi phạm.
• Ngoài ra, tại Điều 22 Nghị định 85/2016/NĐ-CP, cũng nhấn mạnh trách nhiệm của các nhà cung cấp dịch vụ mạng trong việc hỗ trợ doanh nghiệp và cơ quan chức năng phát hiện và xử lý các hành vi truy cập trái phép hoặc khai thác dữ liệu trái phép. Việc hợp tác này không chỉ giúp doanh nghiệp bảo vệ dữ liệu khách hàng mà còn tạo cơ sở pháp lý để yêu cầu bồi thường hoặc xử lý hành vi vi phạm theo quy định tại Bộ luật Dân sự 2015.
• Bên cạnh đó, trong trường hợp dữ liệu cá nhân bị truy cập trái phép, theo Điều 42 Nghị định 13/2023/NĐ-CP, doanh nghiệp cần thực hiện quy trình phản ứng sự cố, trong đó bao gồm phối hợp với nhà cung cấp dịch vụ mạng để xác định nguồn gốc truy cập, hạn chế hậu quả và báo cáo cơ quan có thẩm quyền khi cần thiết.

Tóm lại, doanh nghiệp hoàn toàn có quyền yêu cầu nhà cung cấp dịch vụ mạng hỗ trợ truy tìm người tạo tài khoản giả để truy cập dữ liệu khách hàng, dựa trên các cơ sở pháp lý từ Luật An toàn thông tin mạng 2015, Nghị định 85/2016/NĐ-CP và Luật Bảo vệ dữ liệu cá nhân 2025. Việc phối hợp này không chỉ giúp xác định đối tượng vi phạm mà còn tạo nền tảng pháp lý để bảo vệ quyền lợi doanh nghiệp và khách hàng.

3. Khi chưa xác định được người tạo tài khoản giả, doanh nghiệp có thể tạm thời khóa hệ thống hoặc xóa dữ liệu bị xâm nhập không?

Trong trường hợp doanh nghiệp phát hiện dữ liệu khách hàng bị truy cập trái phép thông qua tài khoản giả nhưng chưa xác định được đối tượng vi phạm, việc áp dụng các biện pháp kỹ thuật để bảo vệ hệ thống và dữ liệu là cần thiết, đồng thời phải tuân thủ quy định pháp luật để tránh phát sinh trách nhiệm pháp lý.

• Theo Điều 22 và Điều 24 Luật An toàn thông tin mạng 2015 doanh nghiệp có quyền thực hiện các biện pháp kỹ thuật nhằm bảo vệ an toàn hệ thống thông tin và dữ liệu, bao gồm tạm thời khóa tài khoản, ngăn chặn truy cập trái phép hoặc giám sát hành vi bất thường. Hành động này nhằm bảo vệ dữ liệu và ngăn ngừa thiệt hại tiếp theo là hợp pháp và được khuyến nghị trong quản lý an toàn thông tin.
• Tuy nhiên, việc xóa dữ liệu bị xâm nhập cần được cân nhắc kỹ lưỡng. Theo Điều 42 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân phải được bảo vệ và xử lý theo nguyên tắc minh bạch, hạn chế mất mát thông tin và đảm bảo quyền lợi của chủ thể dữ liệu. Do đó, xóa dữ liệu một cách vội vàng có thể gây mất chứng cứ quan trọng để xác định người vi phạm, đồng thời ảnh hưởng đến quyền lợi của khách hàng. Thay vào đó, doanh nghiệp nên sao lưu dữ liệu, giám sát và hạn chế truy cập, kết hợp với phối hợp cơ quan chức năng để xác định đối tượng trước khi thực hiện các biện pháp xử lý triệt để.
• Ngoài ra, theo Điều 22 Nghị định 85/2016/NĐ-CP, tổ chức, doanh nghiệp khi phát hiện sự cố an toàn thông tin nghiêm trọng cần thông báo và phối hợp với cơ quan quản lý nhà nước, đồng thời áp dụng các biện pháp bảo vệ hệ thống để ngăn chặn truy cập trái phép. Hành động này vừa đảm bảo bảo vệ dữ liệu khách hàng, vừa giảm thiểu rủi ro pháp lý cho doanh nghiệp.

Do đó, khi chưa xác định được người tạo tài khoản giả, doanh nghiệp có quyền tạm thời khóa hệ thống hoặc hạn chế truy cập dữ liệu để bảo vệ an toàn thông tin, nhưng không nên tự ý xóa dữ liệu bị xâm nhập mà nên sao lưu, giám sát và phối hợp với cơ quan chức năng. 

4. Có trường hợp nào tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng nhưng không bị coi là vi phạm pháp luật không?

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng nhìn chung được pháp luật Việt Nam coi là vi phạm quyền sở hữu dữ liệu và an toàn thông tin, nhưng vẫn tồn tại một số tình huống ngoại lệ, nơi hành vi này không bị coi là vi phạm pháp luật.

• Trường hợp đầu tiên là khi việc tạo tài khoản giả được thực hiện theo ủy quyền hoặc được phép hợp pháp của doanh nghiệp quản lý dữ liệu. Ví dụ, một nhân viên hoặc đối tác được doanh nghiệp ủy quyền kiểm tra hệ thống có thể sử dụng tài khoản giả để kiểm thử bảo mật nhằm phát hiện lỗ hổng và nâng cao an toàn dữ liệu. Trong trường hợp này, hành vi được thực hiện có mục đích hợp pháp, được sự đồng ý của chủ sở hữu dữ liệu, do đó không cấu thành vi phạm theo Điều 3 và Điều 7 Luật An toàn thông tin mạng 2015.
• Việc truy cập dữ liệu không chứa thông tin cá nhân hoặc dữ liệu bảo vệ đặc biệt, và hành vi này không gây thiệt hại, không xâm phạm quyền sở hữu hoặc bí mật kinh doanh. 
• Ngoài ra, trong bối cảnh nghiên cứu bảo mật hoặc kiểm thử phần mềm, các nhà nghiên cứu có thể được doanh nghiệp cho phép thử nghiệm các biện pháp bảo vệ bằng tài khoản giả mà không chịu trách nhiệm pháp lý, miễn là tuân thủ nguyên tắc không gây thiệt hại, không sao chép hoặc tiết lộ dữ liệu trái phép và được sự đồng ý của chủ thể dữ liệu cá nhân theo quy định tại Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025. 

Tóm lại, việc tạo tài khoản giả để truy cập và tải dữ liệu khách hàng chỉ không bị coi là vi phạm pháp luật khi có sự cho phép hợp pháp, phục vụ mục đích kiểm thử hoặc truy cập dữ liệu công khai, tuân thủ các quy định về an toàn thông tin và bảo vệ dữ liệu. Ngoài các trường hợp này, hành vi tạo tài khoản giả vẫn được pháp luật Việt Nam quy định là truy cập trái phép, vi phạm quyền sở hữu và quyền riêng tư của doanh nghiệp và khách hàng.

5. Có thể áp dụng “Tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác” cho hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng không?

Hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng về bản chất là xâm nhập trái phép vào hệ thống thông tin của người khác, do đó có thể bị xem xét áp dụng các quy định về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử theo pháp luật Việt Nam.

Cụ thể, tại Điều 289 Bộ luật Hình sự 2015, quy định: “Người nào xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác” mà gây thiệt hại hoặc thu lợi bất chính có thể bị truy cứu trách nhiệm hình sự. Hành vi tạo tài khoản giả nhằm truy cập dữ liệu khách hàng không được phép thỏa mãn các yếu tố cấu thành tội này, bởi:

• Hành vi xâm nhập trái phép: Tài khoản giả là phương tiện để vượt qua cơ chế bảo mật và truy cập hệ thống mà không có quyền.
• Đối tượng xâm nhập: Hệ thống dữ liệu khách hàng của doanh nghiệp là mạng máy tính hoặc phương tiện điện tử của người khác.
• Mục đích trái pháp luật hoặc hậu quả thiệt hại: Nếu dữ liệu bị tải xuống, sao chép hoặc sử dụng để kinh doanh trái phép, hành vi này gây thiệt hại về tài sản, uy tín và quyền lợi kinh doanh, hoặc thu lợi bất chính.

Ngoài ra, theo khoản 6 Điều 3 Luật An toàn thông tin mạng 2015, việc truy cập trái phép vào hệ thống thông tin được coi là hành vi vi phạm nghiêm trọng, và doanh nghiệp có quyền phối hợp với cơ quan chức năng để xử lý hình sự. Đồng thời, tại Điều 42 Nghị định 13/2023/NĐ-CP cũng bổ sung cơ sở pháp lý, nhấn mạnh quyền của doanh nghiệp trong việc bảo vệ dữ liệu cá nhân và truy cứu trách nhiệm đối với hành vi xâm nhập trái phép.

Tuy nhiên, để truy cứu trách nhiệm hình sự, cơ quan điều tra cần xác định rõ mức độ thiệt hại hoặc thu lợi bất chính, cũng như mục đích của người vi phạm, dựa trên hồ sơ, nhật ký truy cập và các chứng cứ kỹ thuật. Nếu hành vi chưa gây hậu quả nghiêm trọng, người vi phạm có thể chỉ bị xử lý hành chính theo Nghị định 15/2020/NĐ-CP. 

Như vậy, hành vi tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng có thể bị áp dụng quy định về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử theo Điều 289 Bộ luật Hình sự 2015, đặc biệt khi hành vi gây thiệt hại hoặc thu lợi bất chính, đồng thời kết hợp với các quy định về an toàn thông tin và bảo vệ dữ liệu cá nhân để xử lý triệt để.

V. Tại sao nên tìm luật sư tư vấn ở NP Law khi có vấn đề về tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng

Nếu Quý khách có nhu cầu tư vấn các vấn đề có liên quan đến tranh chấp tạo tài khoản giả để truy cập và tải xuống dữ liệu khách hàng…. Hãy liên hệ ngay đến Công ty Luật TNHH Ngọc Phú để được tư vấn tận tình và nhanh chóng. Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.