Trong hoạt động kinh doanh quốc tế, dữ liệu khách hàng không chỉ là tài sản thương mại mà còn là đối tượng được pháp luật bảo vệ nghiêm ngặt. Một doanh nghiệp có thể đầu tư hệ thống công nghệ hiện đại nhưng chỉ cần một nhân viên có quyền truy cập cơ sở dữ liệu bị mua chuộc, cố ý lấy hoặc cung cấp thông tin cho bên thứ ba, hàng triệu dữ liệu cá nhân vẫn có thể bị đưa ra ngoài hệ thống.

Giả sử một doanh nghiệp đang lưu trữ dữ liệu của khoảng 1 triệu khách hàng, trong đó có khách hàng tại Liên minh châu Âu (EU). Một nhân viên IT được thuê để quản trị hệ thống đã nhận tiền từ bên ngoài và cố ý trích xuất dữ liệu khách hàng rồi chuyển cho bên thứ ba. Doanh nghiệp phát hiện sự việc sau khi một lượng lớn dữ liệu đã bị sao chép.

Vấn đề đặt ra là: Doanh nghiệp có bị xử phạt theo GDPR hay có thể viện lý do đây là hành vi cá nhân của nhân viên để loại trừ trách nhiệm? Nếu có nguy cơ bị phạt thì mức phạt có thể lên tới đâu và doanh nghiệp phải xử lý như thế nào?

I. TÓM TẮT TÌNH HUỐNG THỰC TẾ

Doanh nghiệp X hoạt động trên thị trường quốc tế và xử lý dữ liệu cá nhân của khoảng 1 triệu khách hàng.

Một nhân viên IT của doanh nghiệp được cấp quyền truy cập vào cơ sở dữ liệu khách hàng để thực hiện nhiệm vụ quản trị hệ thống.

Nhân viên này bị một bên thứ ba mua chuộc và cố ý sử dụng quyền truy cập để sao chép, trích xuất hoặc chuyển dữ liệu cá nhân của khách hàng cho người không có thẩm quyền.

Sau khi phát hiện sự việc, doanh nghiệp xác định dữ liệu của khoảng 1 triệu khách hàng có khả năng đã bị truy cập hoặc tiết lộ trái phép.

Trong số đó có dữ liệu của khách hàng đang ở EU.

Tình huống này có thể tạo ra một personal data breach – vi phạm dữ liệu cá nhân theo GDPR và đặt doanh nghiệp trước nguy cơ phải thực hiện nghĩa vụ thông báo, khắc phục cũng như chịu các biện pháp xử lý từ cơ quan giám sát.

II. GÓC NHÌN PHÁP LÝ – “LÁ CHẮN VỮNG CHẮC”

1. Quy định của pháp luật

1.1. GDPR có thể áp dụng đối với doanh nghiệp ngoài EU

Theo Điều 3 khoản 2 GDPR – Quy định (EU) 2016/679, GDPR có thể áp dụng đối với việc xử lý dữ liệu cá nhân của các chủ thể dữ liệu đang ở EU bởi doanh nghiệp không thành lập tại EU nếu hoạt động xử lý có liên quan đến việc cung cấp hàng hóa, dịch vụ cho các chủ thể này hoặc theo dõi hành vi của họ trong phạm vi EU.

Vì vậy, việc doanh nghiệp đặt trụ sở ngoài EU không tự động loại trừ khả năng áp dụng GDPR.

1.2. Doanh nghiệp phải bảo đảm an toàn cho dữ liệu cá nhân

Theo Điều 32 khoản 1 GDPR, căn cứ vào trình độ kỹ thuật, chi phí thực hiện, bản chất, phạm vi, bối cảnh và mục đích xử lý cũng như rủi ro đối với quyền và tự do của cá nhân, controller và processor phải áp dụng các biện pháp kỹ thuật và tổ chức phù hợp để bảo đảm mức độ an toàn tương xứng với rủi ro.

Các biện pháp có thể bao gồm khả năng bảo đảm tính bảo mật, toàn vẹn, khả dụng và khả năng phục hồi của hệ thống; khả năng khôi phục dữ liệu; đồng thời phải thường xuyên kiểm tra, đánh giá hiệu quả của các biện pháp bảo vệ.

Đáng chú ý, Điều 32 khoản 4 GDPR yêu cầu controller và processor thực hiện các biện pháp để bảo đảm người được quyền truy cập dữ liệu cá nhân không xử lý dữ liệu ngoài chỉ dẫn của controller hoặc processor, trừ trường hợp pháp luật EU hoặc pháp luật quốc gia yêu cầu.

1.3. Khi xảy ra vi phạm dữ liệu, doanh nghiệp có nghĩa vụ thông báo

Theo Điều 33 khoản 1 GDPR, khi xảy ra personal data breach, controller phải thông báo cho cơ quan giám sát có thẩm quyền không chậm trễ và, nếu có thể, không muộn hơn 72 giờ kể từ khi biết về vụ việc, trừ trường hợp doanh nghiệp chứng minh được rằng vụ vi phạm khó có khả năng dẫn đến rủi ro đối với quyền và tự do của cá nhân.

Nếu thông báo sau thời hạn 72 giờ thì phải giải thích lý do chậm trễ.

Theo Điều 33 khoản 3 GDPR, thông báo phải bao gồm những nội dung chủ yếu như bản chất của vụ vi phạm, số lượng và loại dữ liệu hoặc chủ thể dữ liệu bị ảnh hưởng nếu có thể xác định, hậu quả có khả năng xảy ra và biện pháp doanh nghiệp đã hoặc dự kiến thực hiện để xử lý, giảm thiểu tác động.

1.4. Có trường hợp phải thông báo trực tiếp cho khách hàng

Theo Điều 34 khoản 1 GDPR, nếu vi phạm dữ liệu có khả năng dẫn đến rủi ro cao đối với quyền và tự do của cá nhân, controller phải thông báo cho chủ thể dữ liệu bị ảnh hưởng mà không chậm trễ.

Thông báo phải được thực hiện bằng ngôn ngữ rõ ràng, dễ hiểu và phải cung cấp những thông tin cần thiết về bản chất vụ việc, hậu quả có khả năng xảy ra và biện pháp doanh nghiệp đã hoặc dự kiến thực hiện.

1.5. Doanh nghiệp có thể bị phạt rất lớn

Theo Điều 83 khoản 2 GDPR, khi quyết định có áp dụng tiền phạt và xác định mức phạt, cơ quan giám sát phải xem xét nhiều yếu tố, trong đó có tính chất, mức độ và thời gian vi phạm; bản chất, phạm vi và mục đích xử lý; số lượng chủ thể dữ liệu bị ảnh hưởng; mức độ thiệt hại; mức độ hợp tác của doanh nghiệp; các biện pháp đã áp dụng để giảm thiểu thiệt hại và các yếu tố tăng nặng, giảm nhẹ khác.

Đối với các vi phạm thuộc nhóm quy định tại Điều 83 khoản 4 GDPR, mức phạt có thể lên tới 10 triệu EUR hoặc 2% tổng doanh thu toàn cầu hằng năm của năm tài chính liền trước của doanh nghiệp, tùy mức nào cao hơn.

Đối với các nhóm vi phạm nghiêm trọng hơn thuộc Điều 83 khoản 5 GDPR, mức phạt có thể lên tới 20 triệu EUR hoặc 4% tổng doanh thu toàn cầu hằng năm của năm tài chính liền trước, tùy mức nào cao hơn.

Điều này không có nghĩa cứ làm lộ 1 triệu dữ liệu là doanh nghiệp chắc chắn bị phạt 20 triệu EUR hoặc 4% doanh thu. Đây là mức trần, còn mức phạt thực tế phụ thuộc vào tính chất và hoàn cảnh cụ thể của vụ việc.

III. ÁP DỤNG VÀO TÌNH HUỐNG

1. Nhân viên bị mua chuộc không đồng nghĩa doanh nghiệp đương nhiên được miễn trách nhiệm

Điểm quan trọng nhất là phải phân biệt hành vi cố ý của nhân viên với nghĩa vụ bảo đảm an toàn dữ liệu của doanh nghiệp.

Nhân viên IT có thể phải chịu trách nhiệm riêng về hành vi chiếm đoạt, tiết lộ hoặc chuyển giao dữ liệu trái phép theo pháp luật áp dụng.

Tuy nhiên, đối với GDPR, cơ quan giám sát không chỉ đặt câu hỏi “nhân viên có cố ý làm lộ dữ liệu hay không?” mà còn phải xem xét doanh nghiệp đã xây dựng và duy trì các biện pháp kỹ thuật, tổ chức phù hợp để ngăn ngừa và hạn chế hành vi đó hay chưa.

Ví dụ, cần xem xét:

Doanh nghiệp có áp dụng nguyên tắc phân quyền truy cập hay không?

Nhân viên IT có thực sự cần quyền truy cập toàn bộ dữ liệu của 1 triệu khách hàng hay không?

Có cơ chế xác thực đa yếu tố, ghi nhận nhật ký truy cập và cảnh báo hành vi bất thường hay không?

Quyền truy cập của nhân viên có được giới hạn theo chức năng công việc hay không?

Doanh nghiệp có thường xuyên rà soát quyền truy cập của nhân viên hay không?

Có cơ chế phát hiện việc tải xuống hoặc sao chép bất thường một lượng dữ liệu lớn hay không?

Doanh nghiệp có mã hóa dữ liệu và có quy trình ứng phó sự cố hay không?

Như vậy, việc nhân viên bị mua chuộc không tự động loại bỏ trách nhiệm tuân thủ GDPR của doanh nghiệp.

2. Quy mô 1 triệu khách hàng là yếu tố đặc biệt quan trọng

Một vụ việc ảnh hưởng đến khoảng 1 triệu khách hàng có quy mô rất lớn.

Theo Điều 83 khoản 2 GDPR, số lượng chủ thể dữ liệu bị ảnh hưởng là một trong những yếu tố được xem xét khi xác định mức phạt.

Tuy nhiên, cơ quan giám sát không chỉ nhìn vào con số 1 triệu.

Ví dụ, nếu dữ liệu chỉ bao gồm thông tin liên hệ thông thường thì mức độ rủi ro có thể khác với trường hợp dữ liệu bao gồm thông tin tài chính, dữ liệu sức khỏe, thông tin định danh hoặc các dữ liệu nhạy cảm khác.

Do đó, cần đánh giá đồng thời:

Loại dữ liệu bị lộ;

Số lượng khách hàng bị ảnh hưởng;

Khả năng dữ liệu đã bị bên thứ ba sử dụng;

Mục đích của bên nhận dữ liệu;

Khả năng gây thiệt hại cho khách hàng;

Biện pháp bảo mật mà doanh nghiệp đã áp dụng trước khi xảy ra sự cố;

Thời gian doanh nghiệp phát hiện và xử lý sự cố.

3. Doanh nghiệp phải đặc biệt chú ý thời hạn 72 giờ

Nếu doanh nghiệp xác định đây là một personal data breach thuộc diện phải thông báo thì Điều 33 khoản 1 GDPR đặt ra mốc 72 giờ kể từ khi doanh nghiệp biết về vụ việc.

Do đó, chiến lược “điều tra nội bộ xong hoàn toàn rồi mới thông báo” có thể tạo ra rủi ro nếu việc chậm thông báo dẫn đến quá thời hạn.

GDPR cho phép thông tin được cung cấp theo từng giai đoạn nếu doanh nghiệp chưa thể cung cấp toàn bộ thông tin ngay lập tức. Vì vậy, doanh nghiệp cần nhanh chóng xác định phạm vi sự cố, đánh giá rủi ro và thực hiện nghĩa vụ thông báo theo quy định thay vì chờ đến khi toàn bộ cuộc điều tra kết thúc.

IV. KẾT LUẬN PHÁP LÝ

Trong tình huống nhân viên IT bị mua chuộc và làm lộ dữ liệu của khoảng 1 triệu khách hàng, doanh nghiệp có nguy cơ phải chịu trách nhiệm theo GDPR nếu GDPR áp dụng đối với hoạt động xử lý dữ liệu đó và doanh nghiệp không đáp ứng các nghĩa vụ bảo vệ dữ liệu tương ứng.

Việc nhân viên thực hiện hành vi cố ý không đương nhiên giúp doanh nghiệp miễn trách nhiệm.

Điểm quyết định nằm ở việc doanh nghiệp có chứng minh được mình đã thiết lập và thực hiện các biện pháp kỹ thuật, tổ chức phù hợp với mức độ rủi ro hay không; đồng thời doanh nghiệp đã phát hiện, thông báo và khắc phục sự cố đúng nghĩa vụ hay chưa.

Nếu vụ việc thuộc phạm vi GDPR, doanh nghiệp có thể phải đối mặt với nghĩa vụ thông báo theo Điều 33, Điều 34 GDPR và nguy cơ bị xử phạt theo Điều 83 GDPR. Mức phạt tối đa trong một số nhóm vi phạm có thể lên tới 20 triệu EUR hoặc 4% tổng doanh thu toàn cầu hằng năm của năm tài chính liền trước, tùy mức nào cao hơn.

V. GIẢI PHÁP TOÀN DIỆN CỦA CHUYÊN GIA NGUYỄN HỮU LONG

Bước 1: Khống chế và điều tra sự cố

Doanh nghiệp cần ngay lập tức khóa hoặc thu hồi quyền truy cập của tài khoản liên quan, bảo toàn log hệ thống, xác định dữ liệu nào đã bị truy cập hoặc sao chép và xác định thời điểm xảy ra sự cố.

Không nên tự ý xóa log hoặc thay đổi dữ liệu hệ thống vì những dữ liệu này có thể trở thành chứng cứ quan trọng trong quá trình điều tra và giải trình với cơ quan có thẩm quyền.

Bước 2: Đánh giá nghĩa vụ theo GDPR

Doanh nghiệp cần xác định:

GDPR có áp dụng đối với hoạt động xử lý dữ liệu hay không;

Ai là controller và ai là processor;

Có bao nhiêu chủ thể dữ liệu bị ảnh hưởng;

Những loại dữ liệu nào đã bị lộ;

Mức độ rủi ro đối với quyền và tự do của khách hàng;

Có phải thông báo cho cơ quan giám sát hay không;

Có phải thông báo trực tiếp cho khách hàng hay không.

Đặc biệt, doanh nghiệp phải kiểm soát chặt chẽ mốc 72 giờ theo Điều 33 GDPR khi thuộc trường hợp phải thông báo.

Bước 3: Thiết lập lại hệ thống quản trị dữ liệu

Sau sự cố, doanh nghiệp không nên chỉ xử lý nhân viên vi phạm mà phải đánh giá lại toàn bộ hệ thống kiểm soát nội bộ.

Cần áp dụng nguyên tắc quyền truy cập tối thiểu, phân quyền theo chức năng, xác thực nhiều lớp, mã hóa, giám sát nhật ký truy cập, cảnh báo việc trích xuất dữ liệu bất thường và định kỳ rà soát quyền truy cập của nhân viên.

Đồng thời, cần xây dựng quy trình ứng phó personal data breach để khi xảy ra sự cố, doanh nghiệp có thể nhanh chóng xác định phạm vi ảnh hưởng, đánh giá rủi ro và thực hiện nghĩa vụ thông báo theo GDPR.

GÓC NHÌN CHUYÊN GIA

Rủi ro GDPR không chỉ xuất hiện khi doanh nghiệp “cố tình bán dữ liệu”.

Một hệ thống bảo vệ dữ liệu được đánh giá không chỉ bằng việc doanh nghiệp có nhân viên trung thực hay không, mà còn bằng khả năng hệ thống hạn chế quyền truy cập, phát hiện hành vi bất thường và giảm thiểu hậu quả khi một cá nhân cố tình phá vỡ quy trình.

Vì vậy, bài học quan trọng từ sự cố 1 triệu khách hàng không phải đơn thuần là “nhân viên IT đã phản bội doanh nghiệp”, mà là doanh nghiệp cần chứng minh rằng mình đã xây dựng một hệ thống quản trị dữ liệu đủ khả năng kiểm soát rủi ro từ chính những người có quyền truy cập dữ liệu.

THÔNG ĐIỆP CỦA CHUYÊN GIA

Một nhân viên có thể phản bội doanh nghiệp, nhưng một hệ thống bảo vệ dữ liệu tốt phải được thiết kế để không cho phép một cá nhân đơn lẻ dễ dàng biến quyền truy cập hợp pháp thành một vụ rò rỉ dữ liệu quy mô hàng triệu khách hàng.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc tương tự về đất đai hoặc học đường, hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi tại hệ thống website tuvanphapluattamlygiaoduc.vn hoặc qua số hotline: 0898.627.762 để được hỗ trợ kịp thời.