Trong hoạt động kinh doanh, thỏa thuận bảo mật thông tin (NDA – Non-Disclosure Agreement) thường được sử dụng khi các bên trao đổi dữ liệu khách hàng, bí mật kinh doanh, công nghệ, chiến lược đầu tư hoặc thông tin phục vụ đàm phán hợp đồng. Tuy nhiên, nếu một bên cho rằng thông tin mật đã bị tiết lộ hoặc sử dụng trái phép, tranh chấp có thể phát sinh, thậm chí dẫn đến khởi kiện và yêu cầu bồi thường thiệt hại.

Vậy khi đối tác khởi kiện vì cho rằng doanh nghiệp vi phạm NDA, doanh nghiệp cần xử lý như thế nào? Không phải mọi thông tin được ghi trong NDA đều đương nhiên được pháp luật bảo hộ như bí mật kinh doanh. Làm thế nào để xác định hành vi vi phạm, trách nhiệm bồi thường và phương án giải quyết tranh chấp phù hợp?

I. TÓM TẮT TÌNH HUỐNG THỰC TẾ

Công ty X hoạt động trong lĩnh vực công nghệ, ký NDA với Công ty Y trước khi hai bên tiến hành đàm phán hợp tác phát triển phần mềm. Theo thỏa thuận, các bên có nghĩa vụ bảo mật thông tin về khách hàng, dữ liệu kinh doanh, tài liệu kỹ thuật và phương án triển khai dự án.

Sau khi đàm phán không thành công, Công ty Y phát hiện một số thông tin về mô hình kinh doanh và dữ liệu khách hàng có điểm tương đồng với nội dung từng cung cấp cho Công ty X. Y cho rằng X đã sử dụng thông tin mật để tiếp cận khách hàng của mình và gửi văn bản yêu cầu chấm dứt hành vi, bồi thường thiệt hại.

Công ty X phủ nhận việc tiết lộ thông tin, cho rằng dữ liệu được sử dụng có nguồn gốc độc lập và một phần thông tin đã xuất hiện công khai trên thị trường. Hai bên không đạt được thỏa thuận, Công ty Y quyết định khởi kiện.

Trong tình huống này, Công ty X có phải chịu trách nhiệm chỉ vì đã ký NDA? Công ty Y cần chứng minh những vấn đề gì? Doanh nghiệp nên làm gì để hạn chế rủi ro pháp lý?

II. GÓC NHÌN PHÁP LÝ – LÁ CHẮN VỮNG CHẮC

2.1. Quy định pháp luật

Thứ nhất, hiệu lực và nghĩa vụ phát sinh từ thỏa thuận bảo mật

Theo Điều 3 và Điều 385 Bộ luật Dân sự năm 2015, các bên được tự do, tự nguyện cam kết, thỏa thuận trong khuôn khổ pháp luật; hợp đồng là sự thỏa thuận giữa các bên về việc xác lập, thay đổi hoặc chấm dứt quyền, nghĩa vụ dân sự.

Vì vậy, NDA có thể làm phát sinh nghĩa vụ bảo mật đối với các bên nếu được xác lập hợp pháp. Phạm vi nghĩa vụ cần được xác định dựa trên nội dung thỏa thuận, bao gồm loại thông tin được bảo vệ, mục đích sử dụng, đối tượng được phép tiếp cận, thời hạn bảo mật và các trường hợp ngoại lệ.

Việc xác định một bên có vi phạm NDA hay không phải dựa trên điều khoản cụ thể và chứng cứ về hành vi thực tế, không thể chỉ dựa vào việc hai bên từng trao đổi thông tin hoặc có quan hệ hợp tác.

Thứ hai, trách nhiệm do vi phạm nghĩa vụ hợp đồng

Theo Điều 351 Bộ luật Dân sự năm 2015, bên có nghĩa vụ mà vi phạm nghĩa vụ thì phải chịu trách nhiệm dân sự theo quy định, trừ các trường hợp được pháp luật quy định.

Điều 360 Bộ luật Dân sự năm 2015 quy định về trách nhiệm bồi thường thiệt hại do vi phạm nghĩa vụ. Điều 419 quy định về thiệt hại được bồi thường do vi phạm hợp đồng.

Trong trường hợp NDA được xác lập trong hoạt động thương mại, cần xem xét thêm các quy định tương ứng của Luật Thương mại năm 2005, trong đó có Điều 302 về bồi thường thiệt hại, Điều 303 về căn cứ phát sinh trách nhiệm bồi thường và Điều 304 về nghĩa vụ chứng minh tổn thất.

Theo đó, việc đối tác yêu cầu bồi thường không đồng nghĩa yêu cầu đó đương nhiên được chấp nhận. Cần xem xét nghĩa vụ bị vi phạm, căn cứ phát sinh trách nhiệm, thiệt hại thực tế và mối quan hệ nhân quả giữa hành vi vi phạm với thiệt hại được yêu cầu bồi thường theo chế độ pháp luật áp dụng.

Thứ ba, bảo vệ bí mật kinh doanh

Luật Sở hữu trí tuệ năm 2005, được sửa đổi, bổ sung năm 2025, quy định về bảo hộ quyền sở hữu công nghiệp đối với bí mật kinh doanh. Điều 84 quy định các điều kiện để thông tin được bảo hộ với danh nghĩa bí mật kinh doanh; Điều 127 quy định về các hành vi xâm phạm quyền đối với bí mật kinh doanh.

Không phải mọi thông tin được các bên gọi là “thông tin mật” trong NDA đều tự động đáp ứng điều kiện bảo hộ bí mật kinh doanh theo pháp luật sở hữu trí tuệ.

Để được bảo hộ với danh nghĩa bí mật kinh doanh, thông tin phải đáp ứng các điều kiện luật định, trong đó có việc không phải hiểu biết thông thường và không dễ dàng có được, tạo lợi thế kinh doanh khi được sử dụng, đồng thời chủ sở hữu phải áp dụng các biện pháp cần thiết để giữ bí mật.

Tuy nhiên, ngay cả khi một thông tin không đáp ứng điều kiện bảo hộ độc lập với danh nghĩa bí mật kinh doanh, việc sử dụng hoặc tiết lộ thông tin đó vẫn có thể vi phạm nghĩa vụ hợp đồng nếu NDA hợp pháp và thông tin thuộc phạm vi bảo mật đã thỏa thuận.

Thứ tư, thỏa thuận phạt vi phạm và bồi thường thiệt hại

Nếu NDA có điều khoản phạt vi phạm, cần xác định chế độ pháp luật điều chỉnh thỏa thuận.

Đối với hợp đồng thuộc phạm vi điều chỉnh của Luật Thương mại năm 2005, Điều 300 quy định về phạt vi phạm và Điều 301 quy định mức phạt vi phạm, về nguyên tắc không quá 8% giá trị phần nghĩa vụ hợp đồng bị vi phạm, trừ trường hợp luật có quy định khác.

Do đó, không thể mặc nhiên kết luận rằng mọi điều khoản phạt vi phạm NDA đều có hiệu lực theo đúng số tiền mà các bên đã ghi nhận. Cần xem xét bản chất giao dịch, luật áp dụng và quy định bắt buộc có liên quan.

Phạt vi phạm và bồi thường thiệt hại cũng là hai chế tài khác nhau. Việc có thể áp dụng đồng thời hay không phải được xác định theo pháp luật điều chỉnh và thỏa thuận hợp pháp của các bên.

Thứ năm, giải quyết tranh chấp và thời hiệu khởi kiện

Các bên cần kiểm tra điều khoản giải quyết tranh chấp trong NDA, bao gồm cơ quan giải quyết, luật áp dụng, địa điểm giải quyết và các bước thông báo hoặc thương lượng bắt buộc theo thỏa thuận.

Nếu tranh chấp thuộc phạm vi giải quyết của Tòa án, việc khởi kiện và giải quyết được thực hiện theo Bộ luật Tố tụng dân sự năm 2015 và các quy định sửa đổi, bổ sung có hiệu lực tại thời điểm giải quyết.

Đối với tranh chấp thương mại thuộc phạm vi áp dụng của Luật Thương mại năm 2005, cần xem xét Điều 319 về thời hiệu khởi kiện. Tuy nhiên, không nên áp dụng máy móc thời hiệu này cho mọi NDA, bởi thời hiệu phụ thuộc vào bản chất quan hệ pháp luật và yêu cầu khởi kiện cụ thể.

2.2. Áp dụng pháp luật vào tình huống

Đối với yêu cầu của Công ty Y

Công ty Y cần xác định rõ thông tin nào được cho là thông tin mật, thông tin đó được chuyển giao cho Công ty X trong hoàn cảnh nào, điều khoản NDA nào bị vi phạm và hành vi vi phạm cụ thể là gì.

Nếu Y yêu cầu bồi thường, doanh nghiệp cần đưa ra căn cứ chứng minh thiệt hại và mối quan hệ giữa thiệt hại với hành vi bị cho là vi phạm theo quy định pháp luật áp dụng.

Việc dữ liệu có điểm tương đồng với thông tin từng được trao đổi chưa đủ để tự động kết luận X đã tiết lộ hoặc sử dụng trái phép thông tin mật. Cần xem xét nguồn gốc dữ liệu, khả năng tiếp cận thông tin từ nguồn độc lập, thời điểm hình thành dữ liệu và các chứng cứ liên quan.

Đối với trách nhiệm của Công ty X

Công ty X cần rà soát NDA để xác định chính xác phạm vi thông tin được bảo mật, mục đích sử dụng được phép, thời hạn bảo mật và những trường hợp được loại trừ.

Nếu thông tin được sử dụng từ nguồn độc lập hoặc đã công khai hợp pháp trước thời điểm tiếp nhận, đây có thể là căn cứ quan trọng để phản bác cáo buộc, nhưng doanh nghiệp cần có tài liệu chứng minh. Việc thông tin đã công khai sau khi bị tiết lộ không đương nhiên loại trừ trách nhiệm đối với hành vi vi phạm xảy ra trước đó.

X cũng cần kiểm tra quyền truy cập dữ liệu, nhật ký hệ thống, thư điện tử công việc, biên bản bàn giao tài liệu, hồ sơ phát triển sản phẩm và các tài liệu khác có liên quan. Không nên xóa dữ liệu, chỉnh sửa hồ sơ hoặc yêu cầu nhân viên thống nhất lời khai nhằm đối phó với vụ kiện.

Đối với yêu cầu bồi thường

Nếu Y yêu cầu bồi thường một khoản tiền lớn nhưng không làm rõ cách tính, nguồn gốc thiệt hại hoặc mối quan hệ nhân quả, X có quyền yêu cầu làm rõ căn cứ của yêu cầu đó trong quá trình giải quyết tranh chấp.

Ngược lại, nếu chứng cứ cho thấy X đã sử dụng hoặc tiết lộ thông tin trái với NDA và hành vi này gây thiệt hại thuộc phạm vi phải bồi thường, X cần đánh giá trách nhiệm thực tế và cân nhắc phương án khắc phục.

Doanh nghiệp không nên chỉ tập trung phủ nhận toàn bộ cáo buộc mà bỏ qua khả năng có sai sót trong quy trình quản lý thông tin.

2.3. Kết luận pháp lý

Việc ký NDA làm phát sinh nghĩa vụ theo thỏa thuận hợp pháp, nhưng không đồng nghĩa doanh nghiệp phải chịu trách nhiệm chỉ vì đối tác cáo buộc vi phạm.

Kết quả giải quyết tranh chấp phụ thuộc vào nội dung NDA, hành vi thực tế, chứng cứ, căn cứ phát sinh trách nhiệm và thiệt hại được yêu cầu bồi thường.

Để bảo vệ quyền lợi, doanh nghiệp cần bảo toàn chứng cứ, rà soát phạm vi nghĩa vụ bảo mật, xác minh nguồn gốc thông tin và phản hồi yêu cầu của đối tác trên cơ sở pháp lý rõ ràng. Nếu có vi phạm, cần chủ động đánh giá biện pháp khắc phục và trách nhiệm tương ứng.

III. GÓC NHÌN TÂM LÝ – GIÁO DỤC – QUẢN TRỊ: CHÌA KHÓA NHÂN VĂN

3.1. Góc nhìn tâm lý

Tranh chấp NDA thường đi kèm với sự mất niềm tin giữa các đối tác. Bên cung cấp thông tin có thể lo ngại mất lợi thế cạnh tranh, trong khi bên tiếp nhận thông tin có thể cảm thấy bị cáo buộc thiếu căn cứ hoặc bị gây sức ép trong quá trình kinh doanh.

Nếu hai bên phản ứng bằng cách công khai cáo buộc, đe dọa hoặc gây áp lực lên nhân viên, tranh chấp có thể lan rộng và làm tăng thiệt hại cho cả hai bên.

Doanh nghiệp cần giữ thái độ bình tĩnh, giao tiếp thông qua đầu mối có thẩm quyền và tránh đưa ra kết luận khi chưa kiểm tra đầy đủ chứng cứ.

3.2. Góc nhìn giáo dục

Nhân viên cần được đào tạo về bảo mật dữ liệu, quyền sở hữu trí tuệ, sử dụng tài liệu của đối tác và trách nhiệm khi chia sẻ thông tin qua thư điện tử, nền tảng lưu trữ hoặc thiết bị cá nhân.

Nội dung đào tạo cần làm rõ rằng việc ký NDA không chỉ là thủ tục trước khi hợp tác mà còn đặt ra nghĩa vụ trong quá trình tiếp nhận, sử dụng, lưu trữ và hoàn trả hoặc tiêu hủy thông tin theo thỏa thuận.

Doanh nghiệp cũng cần phân biệt thông tin công khai, thông tin nội bộ, dữ liệu cá nhân và bí mật kinh doanh để áp dụng biện pháp bảo vệ tương ứng.

3.3. Góc nhìn quản trị

NDA chỉ phát huy hiệu quả khi được kết hợp với hệ thống quản trị thông tin phù hợp.

Doanh nghiệp nên áp dụng nguyên tắc cấp quyền truy cập theo nhu cầu công việc, ghi nhận lịch sử truy cập và tải xuống, mã hóa tài liệu nhạy cảm, kiểm soát việc chuyển dữ liệu ra bên ngoài và quy định trách nhiệm của từng bộ phận.

Khi chấm dứt đàm phán hoặc hợp tác, cần có quy trình thu hồi quyền truy cập, hoàn trả hoặc xử lý thông tin theo NDA và lưu lại bằng chứng thực hiện.

Các mẫu NDA cũng cần được rà soát định kỳ để bảo đảm xác định rõ thông tin mật, mục đích sử dụng, ngoại lệ bảo mật, thời hạn, biện pháp xử lý vi phạm và cơ chế giải quyết tranh chấp.

IV. GIẢI PHÁP TOÀN DIỆN CỦA CHUYÊN GIA NGUYỄN HỮU LONG

Bước 1. Bảo toàn chứng cứ và đánh giá rủi ro pháp lý

Ngay khi nhận được yêu cầu của đối tác hoặc thông báo khởi kiện, doanh nghiệp cần bảo toàn thư điện tử, nhật ký truy cập, tài liệu trao đổi, hợp đồng, biên bản bàn giao và các dữ liệu liên quan.

Đồng thời, cần lập danh mục thông tin bị tranh chấp, xác định người có quyền truy cập, mục đích sử dụng và nguồn hình thành dữ liệu.

Việc rà soát phải bảo đảm tính khách quan, không xóa hoặc chỉnh sửa dữ liệu nhằm che giấu sự việc. Nếu cần thiết, doanh nghiệp nên sử dụng chuyên gia công nghệ để xác minh lịch sử truy cập và nguồn gốc thông tin.

Bước 2. Xây dựng phương án phản hồi và giải quyết tranh chấp

Doanh nghiệp cần phản hồi bằng văn bản, xác định rõ những nội dung thừa nhận, những nội dung chưa đủ căn cứ và những tài liệu cần đối tác cung cấp thêm.

Nếu có cơ sở cho thấy thông tin đã bị sử dụng hoặc tiết lộ trái phép, doanh nghiệp cần xem xét biện pháp ngăn chặn việc tiếp tục sử dụng, thu hồi quyền truy cập, khắc phục hậu quả và giải quyết nghĩa vụ bồi thường theo pháp luật.

Nếu không đồng ý với yêu cầu của đối tác, doanh nghiệp cần chuẩn bị chứng cứ và lập luận pháp lý để thương lượng hoặc tham gia tố tụng. Mọi thỏa thuận giải quyết cần được lập thành văn bản và xác định rõ phạm vi nghĩa vụ của các bên.

Bước 3. Thiết lập hệ thống bảo mật và phòng ngừa tranh chấp

Sau khi xử lý vụ việc, doanh nghiệp cần đánh giá lại toàn bộ quy trình quản lý thông tin mật, từ khâu tiếp nhận, phân loại, lưu trữ đến sử dụng và xử lý khi kết thúc hợp tác.

Cần chuẩn hóa NDA theo từng loại giao dịch, xác định rõ trách nhiệm của nhân viên và đối tác, đồng thời triển khai cơ chế kiểm tra định kỳ để phát hiện nguy cơ rò rỉ thông tin.

Đối với các giao dịch có giá trị lớn hoặc liên quan đến công nghệ cốt lõi, dữ liệu khách hàng và bí mật kinh doanh, doanh nghiệp nên tiến hành rà soát pháp lý trước khi chia sẻ thông tin và thiết lập quy trình xử lý sự cố bảo mật.

GÓC NHÌN CHUYÊN GIA

NDA không đơn thuần là một văn bản cam kết bảo mật mà còn là công cụ phân định quyền, nghĩa vụ và rủi ro giữa các bên trong quá trình hợp tác.

Khi phát sinh tranh chấp, doanh nghiệp cần tránh hai thái cực: thừa nhận trách nhiệm khi chưa xác minh đầy đủ hoặc phủ nhận mọi cáo buộc mà không kiểm tra chứng cứ. Cách tiếp cận phù hợp là xác định đúng phạm vi nghĩa vụ, bảo toàn chứng cứ, đánh giá thiệt hại và lựa chọn phương án giải quyết tương xứng.

Một hệ thống quản trị thông tin tốt không chỉ giúp doanh nghiệp giảm nguy cơ bị kiện mà còn góp phần bảo vệ lợi thế cạnh tranh và duy trì niềm tin trong quan hệ kinh doanh.

THÔNG ĐIỆP CỦA CHUYÊN GIA

Bảo mật thông tin là bảo vệ tài sản vô hình của doanh nghiệp; tuân thủ NDA là bảo vệ uy tín, lợi thế cạnh tranh và sự bền vững của quan hệ hợp tác.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc tương tự về thỏa thuận bảo mật thông tin, tranh chấp NDA, tiết lộ bí mật kinh doanh hoặc yêu cầu bồi thường do vi phạm nghĩa vụ bảo mật, hãy liên hệ với chúng tôi qua website tuvanphapluattamlygiaoduc.vn hoặc hotline 0898.627.762 để được hỗ trợ kịp thời.