Tội xâm phạm dữ liệu cá nhân: Phạt tù đến 7 năm, doanh nghiệp bị đình chỉ hoạt động

Chúng tôi nhận được thông tin từ Dự thảo Bộ luật Hình sự sửa đổi, theo đó cơ quan soạn thảo đề xuất bổ sung một tội danh mới: “Tội xâm phạm dữ liệu cá nhân” (Điều 159a). Nếu được thông qua, quy định này sẽ tác động trực tiếp đến mọi cá nhân và doanh nghiệp đang vận hành, khai thác dữ liệu tại Việt Nam.

Ai là người bị ảnh hưởng và mức phạt cụ thể ra sao?

Đối với cá nhân: Hành vi thu thập, xử lý, trao đổi, tặng cho, công khai hóa, chiếm đoạt, sử dụng trái phép hoặc cố ý làm lộ, mất dữ liệu cá nhân của người khác có thể bị truy cứu trách nhiệm hình sự. Khung hình phạt cơ bản là phạt tiền từ 200 – 500 triệu đồng, cải tạo không giam giữ đến 03 năm hoặc phạt tù từ 06 tháng đến 03 năm, nếu thuộc một trong các trường hợp:

• Thu lợi bất chính từ 100 triệu đồng đến dưới 400 triệu đồng;
• Gây thiệt hại từ 200 triệu đồng đến dưới 01 tỷ đồng;
• Xâm phạm dữ liệu cá nhân cơ bản từ 10.000 người trở lên hoặc dữ liệu nhạy cảm từ 2.000 người trở lên.

Khung hình phạt tăng nặng (từ 03 – 07 năm tù và phạt tiền từ 400 triệu đến 02 tỷ đồng) áp dụng khi phạm tội có tổ chức, lợi dụng chức vụ, phạm tội từ 02 lần trở lên, hoặc sử dụng trái phép dữ liệu để thành lập doanh nghiệp, mở tài khoản thanh toán, chứng khoán, ví điện tử, tài sản số. Ngoài ra, người phạm tội còn có thể bị phạt bổ sung từ 40 – 400 triệu đồng và cấm đảm nhiệm chức vụ từ 01 – 05 năm.

Đối với pháp nhân thương mại: Doanh nghiệp vi phạm cũng chịu trách nhiệm hình sự. Mức phạt tiền từ 01 – 03 tỷ đồng hoặc đình chỉ hoạt động có thời hạn từ 06 tháng đến 03 năm ở khung cơ bản. Nếu thuộc khung tăng nặng, mức phạt tiền từ 03 – 10 tỷ đồng hoặc đình chỉ hoạt động từ 03 – 05 năm.

Theo đánh giá của chúng tôi, quy định này nhằm siết chặt kỷ luật trong quản lý và khai thác dữ liệu cá nhân, đặc biệt trong bối cảnh các vụ việc lộ lọt dữ liệu gây thiệt hại lớn cho người dân. Bạn nên rà soát ngay quy trình thu thập, lưu trữ và xử lý dữ liệu của cá nhân/doanh nghiệp mình, đồng thời cập nhật các chính sách bảo vệ dữ liệu theo quy định tại Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.