# Lộ dữ liệu khách hàng: phải làm gì trong 72 giờ

## Trả lời nhanh

Khi phát hiện vi phạm dữ liệu cá nhân có thể gây tổn hại tới an ninh quốc gia, trật tự an toàn xã hội, hoặc quyền nhân thân và tài sản của khách, doanh nghiệp phải thông báo cho cơ quan chuyên trách **chậm nhất 72 giờ kể từ khi phát hiện** (Điều 23 Luật 91/2025/QH15). Đồng thời phải lập biên bản xác nhận sự việc. Thời gian tính từ lúc phát hiện, nên việc đầu tiên là ghi lại giờ phát hiện.

## Những tình huống "lộ dữ liệu" rất đời thường

Lộ dữ liệu không chỉ là hacker tấn công. Với doanh nghiệp nhỏ, thường là những chuyện sau:

- **Website bị hack.** Website của shop gốm Hà Linh (shop tưởng tượng) chạy trên WordPress, plugin không cập nhật. Kẻ xấu vào được trang quản trị và tải về bảng đơn hàng có tên, số điện thoại, địa chỉ khách.
- **Gửi nhầm file Excel vào nhóm Zalo.** Nhân viên một trung tâm tiếng Anh gửi file danh sách học viên, có cả số điện thoại phụ huynh, vào nhóm Zalo có người ngoài trung tâm.
- **Google Sheet để công khai.** Phòng khám nha khoa dùng Google Sheet đặt lịch hẹn, để chế độ "ai có đường dẫn đều xem được". Đường dẫn bị chia sẻ hoặc bị công cụ tìm kiếm thu thập.
- **Laptop, điện thoại, USB bị mất** khi trong máy có danh sách khách.
- **Nhân viên nghỉ việc mang theo danh sách khách** hoặc bán lại. Xem thêm bài [nhân viên nghỉ việc mang theo dữ liệu khách hàng](https://dulieucanhan.online/bai-viet/nhan-vien-nghi-viec-mang-du-lieu-khach-hang) và [mua bán dữ liệu cá nhân bị phạt thế nào](https://dulieucanhan.online/bai-viet/mua-ban-du-lieu-ca-nhan-bi-phat).

Điều 7 Luật 91/2025/QH15 cấm chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân. Lộ do sơ suất hay do bị tấn công đều làm phát sinh chuyện phải xử lý, nhất là khi có thể gây hại cho khách.

## Các bước theo thứ tự

Luật chỉ quy định cụ thể mốc 72 giờ và việc lập biên bản. Các bước dưới đây là cách làm thực tế để kịp mốc đó, không phải thủ tục luật bắt buộc từng bước.

### Bước 1: Ghi lại thời điểm phát hiện

Ghi ngày giờ, ai phát hiện, phát hiện bằng cách nào. Mốc 72 giờ tính từ đây. Chụp màn hình, lưu bằng chứng.

### Bước 2: Chặn lan rộng

- Đổi mật khẩu quản trị, khoá tài khoản nghi bị chiếm.
- Chuyển Google Sheet sang riêng tư, thu hồi đường dẫn chia sẻ.
- Xoá tin nhắn nhầm trong nhóm Zalo, nhắc người nhận không lưu và không chuyển tiếp (việc này không thay cho phần báo cáo).
- Tạm đóng trang hoặc chức năng bị lỗi nếu cần.

Trước khi xoá thứ gì, chụp lại làm bằng chứng.

### Bước 3: Xác định ai và cái gì bị lộ

Lộ bao nhiêu người, loại dữ liệu gì: chỉ tên và số điện thoại, hay có CCCD, sức khoẻ, tài chính? Dữ liệu càng nhạy cảm, tổn hại càng lớn. Xem bài [dữ liệu cá nhân là gì](https://dulieucanhan.online/bai-viet/du-lieu-ca-nhan-la-gi).

### Bước 4: Đánh giá xem có thuộc diện phải báo không

Điều 23 yêu cầu báo khi vi phạm có thể gây tổn hại tới an ninh quốc gia, trật tự an toàn xã hội, hoặc quyền nhân thân, tài sản của chủ thể dữ liệu. Danh sách số điện thoại và địa chỉ của khách bị tải về công khai thường gây nguy cơ bị lừa đảo, nên nhiều khả năng cần báo. Nếu phân vân, hãy ghi lý do đánh giá và hỏi luật sư. Không nên tự kết luận "không sao" rồi bỏ qua.

### Bước 5: Thông báo cơ quan chuyên trách trong 72 giờ

Gửi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Điều 33). Mẫu và kênh gửi cụ thể: chưa đối chiếu trong bài này, hãy xem hướng dẫn mới nhất của cơ quan hoặc dùng công cụ bên dưới. Nội dung nên nêu: chuyện gì xảy ra, khi nào phát hiện, dữ liệu gì và bao nhiêu người, hậu quả có thể có, đã làm gì để xử lý.

### Bước 6: Lập biên bản xác nhận sự việc

Điều 23 giao bên kiểm soát lập biên bản. Nếu dùng dịch vụ bên ngoài (công ty làm web, phần mềm đặt lịch…), bên xử lý phải báo kịp thời cho bên kiểm soát. Nên ghi sẵn trong hợp đồng với bên đó. Xem vai trò [bên kiểm soát](https://dulieucanhan.online/thuat-ngu/ben-kiem-soat) và [bên xử lý](https://dulieucanhan.online/thuat-ngu/ben-xu-ly).

### Bước 7: Báo khách và rút kinh nghiệm

Phần đã đối chiếu của Điều 23 nói về thông báo cơ quan chuyên trách; bài này chưa khẳng định nghĩa vụ báo riêng cho khách. Dù vậy, nên báo khách bị ảnh hưởng để họ tự bảo vệ (đổi mật khẩu, đề phòng cuộc gọi lừa đảo). Sau đó sửa nguyên nhân gốc: phân quyền, cập nhật phần mềm, quy định nội bộ.

## Tóm tắt các mốc

| Việc | Hạn |
|---|---|
| Thông báo cơ quan chuyên trách | Chậm nhất 72 giờ kể từ khi phát hiện |
| Bên xử lý báo bên kiểm soát | Kịp thời |
| Lập biên bản xác nhận sự việc | Bên kiểm soát lập (bài này chưa đối chiếu hạn cụ thể) |

## Bạn cần làm gì

- Chỉ định một người chịu trách nhiệm xử lý sự cố, kèm số điện thoại của người thay thế.
- Soạn sẵn kịch bản 1 trang với 7 bước trên, để khi xảy ra không phải nghĩ lại.
- Rà Google Sheet, thư mục chia sẻ: chuyển về chế độ riêng tư.
- Hạn chế lưu file khách hàng trong máy cá nhân và nhóm chat.
- Ghi vào hợp đồng với bên làm web, phần mềm: phải báo ngay khi có sự cố.

Đang có sự cố? Dùng [công cụ xử lý lộ dữ liệu trong 72 giờ](https://dulieucanhan.online/lo-du-lieu) của DuLieuCaNhan.vn để đi lần lượt các bước và soạn thông báo.

## Căn cứ pháp lý

- Luật 91/2025/QH15, Điều 7 (hành vi bị nghiêm cấm), Điều 23 (thông báo vi phạm), Điều 33 (lực lượng bảo vệ dữ liệu).

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*