Trong bối cảnh kỷ nguyên số bùng nổ, dữ liệu cá nhân đã trở thành một loại tài sản vô giá nhưng cũng là mục tiêu tấn công hàng đầu của các loại tội phạm công nghệ cao. Liên tiếp các vụ mua bán, rò rỉ thông tin cá nhân quy mô lớn bị triệt phá trong thời gian qua đã gióng lên hồi chuông cảnh báo về lỗ hổng trong chế tài xử lý. Để giải quyết triệt để vấn nạn này, dự thảo Bộ luật Hình sự sửa đổi do Bộ Công an chủ trì soạn thảo đã đề xuất một bước đi mang tính đột phá: bổ sung "Tội xâm phạm dữ liệu cá nhân" quy định tại Điều 159a với mức hình phạt nghiêm khắc nhất lên đến 7 năm tù.

Khép kín hành lang pháp lý sau Luật Bảo vệ dữ liệu cá nhân 2025

Việc đề xuất bổ sung tội danh mới này được đánh giá là bước đi tiếp theo cực kỳ quan trọng và tất yếu sau khi Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực từ ngày 01/01/2026. Nếu như Luật Bảo vệ dữ liệu cá nhân 2025 đóng vai trò định hình các nguyên tắc, quyền và nghĩa vụ của các bên trong việc kiểm soát và xử lý dữ liệu, thì việc hình sự hóa các hành vi vi phạm nghiêm trọng trong Bộ luật Hình sự chính là "thanh gươm" sắc bén để răn đe và trừng trị.

Sự kết hợp đồng bộ giữa Luật Bảo vệ dữ liệu cá nhân 2025, Luật An ninh mạng 2018 và Luật Dữ liệu 2024 sẽ tạo nên một lá chắn pháp lý vững chắc, bảo vệ quyền nhân thân và quyền riêng tư của công dân trên không gian mạng một cách toàn diện.

Chi tiết các khung hình phạt đề xuất đối với cá nhân phạm tội

Theo dự thảo, người nào thực hiện hành vi thu thập, xử lý, trao đổi, tặng cho, công khai hóa, chiếm đoạt, sử dụng trái phép hoặc cố ý làm lộ, mất dữ liệu cá nhân của người khác sẽ bị truy cứu trách nhiệm hình sự theo các khung hình phạt cụ thể sau:

1. Khung hình phạt cơ bản (Khoản 1 Điều 159a)

Áp dụng đối với các hành vi vi phạm thuộc một trong các trường hợp:

• Thu lợi bất chính từ 100 triệu đồng đến dưới 400 triệu đồng;
• Gây thiệt hại từ 200 triệu đồng đến dưới 01 tỷ đồng;
• Xâm phạm dữ liệu cá nhân cơ bản từ 10.000 người trở lên, hoặc dữ liệu cá nhân nhạy cảm từ 2.000 người trở lên.

Hình phạt: Phạt tiền từ 200 triệu đồng đến 500 triệu đồng, phạt cải tạo không giam giữ đến 03 năm hoặc phạt tù từ 06 tháng đến 03 năm.

2. Khung hình phạt tăng nặng (Khoản 2 Điều 159a)

Áp dụng đối với các trường hợp phạm tội nghiêm trọng hơn, bao gồm:

• Phạm tội có tổ chức, có tính chất chuyên nghiệp hoặc phạm tội từ 02 lần trở lên;
• Lợi dụng chức vụ, quyền hạn để thực hiện hành vi phạm tội;
• Làm nạn nhân tự sát;
• Gây ảnh hưởng xấu đến an ninh, trật tự, an toàn xã hội hoặc quan hệ đối ngoại của Việt Nam;
• Thu lợi bất chính từ 400 triệu đồng trở lên hoặc gây thiệt hại từ 01 tỷ đồng trở lên;
• Xâm phạm dữ liệu cá nhân cơ bản từ 15.000 người trở lên, hoặc dữ liệu cá nhân nhạy cảm từ 3.000 chủ thể dữ liệu trở lên;
• Sử dụng trái phép dữ liệu cá nhân của người khác để thành lập doanh nghiệp, mở tài khoản thanh toán, tài khoản chứng khoán, ví điện tử, tài khoản tài sản số hoặc các loại tài khoản số có chức năng giao dịch tài chính, tiền tệ.

Hình phạt: Phạt tù từ 03 năm đến 07 năm và phạt tiền từ 400 triệu đồng đến 02 tỷ đồng.

3. Hình phạt bổ sung

Người phạm tội còn có thể bị phạt tiền từ 40 triệu đồng đến 400 triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm.

Xử lý nghiêm khắc pháp nhân thương mại vi phạm

Một điểm cực kỳ tiến bộ và thực tiễn của dự thảo lần này là việc mở rộng phạm vi chịu trách nhiệm hình sự đối với cả pháp nhân thương mại phạm tội về xâm phạm dữ liệu cá nhân quy định tại Khoản 4 Điều 159a. Trên thực tế, rất nhiều hành vi thu thập, khai thác và mua bán trái phép dữ liệu quy mô công nghiệp được thực hiện núp bóng dưới danh nghĩa các doanh nghiệp công nghệ, tài chính hoặc dịch vụ nhằm trục lợi.

"Việc đưa pháp nhân thương mại vào diện đối tượng bị xử lý hình sự là vô cùng cần thiết. Điều này buộc các doanh nghiệp phải nâng cao ý thức tự giác, đầu tư nghiêm túc vào hệ thống bảo mật và tuân thủ nghiêm ngặt các quy trình kiểm soát dữ liệu nội bộ theo đúng tinh thần của Luật Bảo vệ dữ liệu cá nhân."

Mức phạt đề xuất đối với pháp nhân thương mại phạm tội cụ thể như sau:

• Khung cơ bản: Phạt tiền từ 01 tỷ đồng đến 03 tỷ đồng hoặc đình chỉ hoạt động có thời hạn từ 06 tháng đến 03 năm.
• Khung tăng nặng: Phạt tiền từ 03 tỷ đồng đến 10 tỷ đồng hoặc đình chỉ hoạt động có thời hạn từ 03 năm đến 05 năm.

Lời khuyên thiết thực cho người dân và doanh nghiệp

Trước những chuyển dịch mạnh mẽ của hành lang pháp lý, các chuyên gia an ninh mạng khuyến cáo người dân cần nâng cao cảnh giác, chủ động bảo vệ thông tin cá nhân của mình, không chia sẻ bừa bãi các thông tin nhạy cảm trên mạng xã hội. Đối với các doanh nghiệp, việc rà soát lại toàn bộ quy trình thu thập, lưu trữ và xử lý dữ liệu khách hàng, đồng thời xây dựng các phương án bảo mật thông tin theo tiêu chuẩn pháp luật hiện hành là nhiệm vụ cấp bách để tránh những rủi ro pháp lý nghiêm trọng trong tương lai.