Lộ thông tin khách hàng trên mạng xã hội: Cách yêu cầu xử lý theo luật hiện hành

1. Lộ thông tin khách hàng trên mạng xã hội: bản chất pháp lý của hành vi vi phạm

Thông tin khách hàng bị đưa lên mạng xã hội mà không có căn cứ hợp pháp là hành vi xâm phạm dữ liệu cá nhân, đồng thời có thể xâm phạm quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình theo Bộ luật Dân sự 2015. Nếu thông tin bị lộ gồm số điện thoại, địa chỉ, lịch sử giao dịch, hình ảnh, hóa đơn, định danh tài khoản, nội dung trao đổi hoặc dữ liệu sức khỏe, tài chính, hành vi đó càng nghiêm trọng vì chạm tới dữ liệu cá nhân nhạy cảm theo Luật Bảo vệ dữ liệu cá nhân 2025. Từ 01/01/2026, khuôn khổ pháp lý trung tâm điều chỉnh vấn đề này là Luật Bảo vệ dữ liệu cá nhân 2025 và văn bản hướng dẫn thi hành đang có hiệu lực. Khi dữ liệu đã xuất hiện công khai trên mạng xã hội, thiệt hại không chỉ nằm ở việc mất kiểm soát thông tin mà còn phát sinh nguy cơ quấy rối, lừa đảo, mạo danh, phân biệt đối xử hoặc tổn thất tài sản.

Về mặt trách nhiệm, cần phân biệt rõ chủ thể đăng tải, chủ thể cung cấp dữ liệu, chủ thể quản lý fanpage/tài khoản và nền tảng mạng xã hội. Người trực tiếp đăng tải trái phép là chủ thể dễ xác định trách nhiệm nhất; tổ chức kinh doanh, nhân sự nội bộ hoặc đơn vị dịch vụ nếu thu thập, lưu giữ, chia sẻ dữ liệu vượt phạm vi cho phép cũng có thể bị xử lý. Trường hợp doanh nghiệp để rò rỉ dữ liệu do thiếu biện pháp kỹ thuật, quản trị hoặc kiểm soát truy cập, trách nhiệm có thể phát sinh từ nghĩa vụ bảo mật và nghĩa vụ bảo đảm an toàn dữ liệu. Cách tiếp cận đúng là xác định chuỗi xử lý dữ liệu, từ đó gắn từng hành vi với căn cứ pháp luật tương ứng.

2. Người bị lộ dữ liệu có quyền yêu cầu những gì

Người có dữ liệu bị lộ có quyền yêu cầu chấm dứt hành vi xâm phạm, gỡ bỏ hoặc thu hồi nội dung đã đăng, hạn chế tiếp tục lan truyền và buộc khắc phục hậu quả. Theo điểm c khoản 1 Điều 11 Bộ luật Dân sự 2015, cá nhân có quyền tự bảo vệ quyền dân sự bằng việc yêu cầu chấm dứt hành vi vi phạm, xin lỗi, cải chính công khai, bồi thường thiệt hại và áp dụng biện pháp khác theo luật. Theo Điều 38 Bộ luật Dân sự 2015, đời sống riêng tư, bí mật cá nhân, bí mật gia đình được tôn trọng và được pháp luật bảo vệ; việc thu thập, lưu giữ, sử dụng, công khai thông tin liên quan phải có sự đồng ý của người có dữ liệu, trừ trường hợp luật quy định khác. Theo Điều 32 và Điều 34 Bộ luật Dân sự 2015, nếu bị xuyên tạc, sử dụng hình ảnh, thông tin hoặc danh dự, nhân phẩm, uy tín bị xâm phạm, người bị hại có thể yêu cầu cải chính, gỡ bỏ, xin lỗi và bồi thường.

Trong lĩnh vực dữ liệu cá nhân, người bị lộ dữ liệu có thể yêu cầu bên vi phạm chứng minh căn cứ xử lý dữ liệu, dừng xử lý trái phép, xóa dữ liệu, thu hồi dữ liệu đã công khai và thông báo cho các bên liên quan đã nhận dữ liệu. Luật Bảo vệ dữ liệu cá nhân 2025 ghi nhận nguyên tắc xử lý dữ liệu phải có mục đích cụ thể, phạm vi phù hợp và biện pháp bảo vệ tương xứng; vì vậy, việc đăng tải lên mạng xã hội mà không có căn cứ hợp pháp là hành vi không được phép. Nếu dữ liệu thuộc nhóm nhạy cảm, yêu cầu xử lý phải nhấn mạnh nghĩa vụ bảo mật, hạn chế tiếp cận và loại bỏ hoàn toàn khỏi môi trường công khai. Khi thiệt hại đã phát sinh, người bị xâm phạm có quyền đòi bồi thường theo Điều 584, Điều 585 và Điều 592 Bộ luật Dân sự 2015, bao gồm thiệt hại vật chất và tổn thất tinh thần nếu đủ căn cứ.

3. Trình tự yêu cầu xử lý khi phát hiện thông tin bị đăng tải trái phép

Bước đầu tiên là lưu giữ chứng cứ. Nên chụp màn hình bài đăng, bình luận, tin nhắn, đường dẫn, thời điểm đăng, tên tài khoản, số lượng chia sẻ và mọi dấu hiệu nhận diện khác; đồng thời nên ghi nhận việc nội dung còn hiển thị hay đã bị xóa. Nếu bài viết nằm trong nhóm kín hoặc story có thời hạn, cần sao lưu ngay vì dữ liệu có thể biến mất nhanh chóng. Chứng cứ đầy đủ giúp xác định chính xác chủ thể vi phạm và mức độ lan truyền.

Bước thứ hai là gửi yêu cầu trực tiếp đến người đăng, quản trị viên tài khoản hoặc doanh nghiệp liên quan, nêu rõ nội dung nào phải gỡ, lý do gỡ và thời hạn thực hiện. Yêu cầu nên thể hiện bằng văn bản, email hoặc tin nhắn có thể trích xuất, kèm cảnh báo về trách nhiệm dân sự, hành chính và hình sự nếu tiếp tục lan truyền. Trong nhiều trường hợp, gửi yêu cầu trực tiếp là cách nhanh nhất để hạn chế hậu quả vì nội dung trên mạng xã hội có tốc độ sao chép rất lớn. Nếu người đăng không hợp tác, cần chuyển sang cơ chế khiếu nại tới nền tảng và cơ quan có thẩm quyền.

Bước thứ ba là phản ánh tới nền tảng mạng xã hội để yêu cầu gỡ nội dung vi phạm theo quy tắc cộng đồng và cơ chế báo cáo xâm phạm quyền riêng tư. Song song với đó, nếu dữ liệu bị lộ từ doanh nghiệp, cửa hàng, ngân hàng, đơn vị giao hàng, phòng khám hoặc tổ chức cung ứng dịch vụ, có thể gửi khiếu nại tới bộ phận bảo vệ dữ liệu, pháp chế hoặc người phụ trách an toàn thông tin của họ. Trường hợp có dấu hiệu vi phạm hành chính, có thể đề nghị cơ quan quản lý nhà nước có thẩm quyền xử phạt và buộc khắc phục hậu quả theo pháp luật về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng, an toàn thông tin và bảo vệ dữ liệu cá nhân. Khi hành vi có dấu hiệu tội phạm, hồ sơ nên được chuyển sang cơ quan điều tra để xem xét trách nhiệm hình sự.

4. Căn cứ pháp lý để buộc gỡ bài, xin lỗi, bồi thường và xử phạt

Về dân sự, điểm xuất phát là quyền nhân thân được bảo vệ theo Bộ luật Dân sự 2015. Theo khoản 1 Điều 38 Bộ luật Dân sự 2015, việc thu thập, lưu giữ, sử dụng và công khai thông tin liên quan đến đời sống riêng tư, bí mật cá nhân phải được người đó đồng ý, trừ trường hợp luật có quy định khác. Theo khoản 1 Điều 584 Bộ luật Dân sự 2015, người nào có hành vi xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, uy tín, tài sản, quyền và lợi ích hợp pháp của người khác mà gây thiệt hại thì phải bồi thường. Theo khoản 1 và khoản 2 Điều 592 Bộ luật Dân sự 2015, thiệt hại do danh dự, nhân phẩm, uy tín bị xâm phạm gồm chi phí hợp lý để hạn chế, khắc phục thiệt hại và khoản bù đắp tổn thất tinh thần.

Về xử phạt vi phạm hành chính, từ năm 2026 Việt Nam có quy định riêng về xử phạt vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân. Theo quy định hiện hành được áp dụng từ năm 2026, hành vi công khai trái phép dữ liệu cá nhân trên môi trường mạng có thể bị phạt tiền và buộc gỡ bỏ, thu hồi hoặc xóa dữ liệu đã công khai, tùy tính chất và chủ thể vi phạm. Nếu hành vi thuộc nhóm tiết lộ, mua bán, chuyển giao, xử lý dữ liệu sai mục đích hoặc vượt phạm vi được phép, chế tài có thể tăng nặng đáng kể đối với tổ chức. Ngoài ra, các hành vi xâm phạm thông tin trên không gian mạng còn có thể bị xem xét theo quy định về an ninh mạng, an toàn thông tin và bảo vệ bí mật cá nhân.

Về trách nhiệm hình sự, nếu việc lộ thông tin gắn với hành vi xâm phạm bí mật thư tín, điện thoại, điện tín, hoặc sử dụng trái phép dữ liệu để chiếm đoạt tài sản, cưỡng đoạt, làm nhục, vu khống hay đe dọa, cơ quan tố tụng sẽ xem xét theo từng tội danh tương ứng của Bộ luật Hình sự 2015, sửa đổi, bổ sung 2017. Khi dữ liệu bị dùng để bôi nhọ hoặc tống tiền trên mạng xã hội, hướng xử lý hình sự thường được cân nhắc nghiêm túc vì hậu quả lan truyền rộng và khó khắc phục. Người bị hại nên tố giác ngay khi có dấu hiệu đe dọa, ép buộc hoặc tiếp tục đăng tải nhằm gia tăng sức ép. Việc xử lý hình sự không thay thế quyền yêu cầu bồi thường dân sự, mà hai cơ chế này có thể song song áp dụng.

5. Cách chuẩn bị hồ sơ yêu cầu xử lý hiệu quả

Hồ sơ nên có tường trình ngắn về sự việc, bộ chứng cứ điện tử, thông tin nhận diện tài khoản vi phạm, yêu cầu cụ thể và mức thiệt hại sơ bộ. Nếu thiệt hại tài chính phát sinh, cần lưu hóa đơn, chi phí khắc phục, chi phí tư vấn, chi phí bảo vệ quyền lợi hợp pháp và tài liệu chứng minh thu nhập bị ảnh hưởng. Nếu tổn thất danh dự, uy tín hoặc tinh thần là trọng tâm, cần ghi nhận tác động thực tế như bị quấy rối, bị từ chối giao dịch, bị mạo danh hoặc bị lan truyền lại trên nhiều tài khoản. Càng cụ thể, khả năng xử lý càng cao và thời gian giải quyết càng ngắn.

Trong thực tiễn, văn bản yêu cầu nên nêu rõ ba đích đến: gỡ nội dung, chấm dứt lan truyền và bồi thường hoặc xin lỗi công khai nếu đủ căn cứ. Nếu bên vi phạm là doanh nghiệp, nên gửi đồng thời cho người đại diện theo pháp luật, bộ phận pháp chế và bộ phận phụ trách dữ liệu để tránh chậm trễ do chuyển tiếp nội bộ. Khi nội dung đã phát tán rộng, việc yêu cầu không chỉ dừng ở bài đăng gốc mà còn cần đề nghị rà soát các bản sao, bài chia sẻ lại và nhóm trung gian đang lưu giữ. Đây là cách tiếp cận phù hợp với đặc thù của mạng xã hội, nơi một dữ liệu có thể tồn tại trên nhiều chủ thể cùng lúc.

6. Kết luận

Khi thông tin khách hàng bị lộ trên mạng xã hội, người bị xâm phạm không chỉ có quyền yêu cầu gỡ bài mà còn có quyền đòi chấm dứt xử lý trái phép, xin lỗi, cải chính, bồi thường và đề nghị xử lý vi phạm hành chính hoặc hình sự tùy mức độ. Cơ sở pháp lý hiện hành cho phép kết hợp đồng thời nhiều cơ chế bảo vệ, trong đó Bộ luật Dân sự 2015 bảo vệ quyền nhân thân, còn Luật Bảo vệ dữ liệu cá nhân 2025 tạo nền tảng chuyên biệt cho dữ liệu cá nhân trong môi trường số. Để bảo vệ quyền lợi hiệu quả, cần hành động nhanh, lưu chứng cứ đầy đủ và xác định đúng chủ thể chịu trách nhiệm. Trong các vụ việc lan truyền trên mạng xã hội, tốc độ phản ứng thường quyết định trực tiếp đến phạm vi thiệt hại và khả năng khôi phục quyền lợi.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025.
• Nghị định 356/2025/NĐ-CP quy định chi tiết và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• Bộ luật Dân sự 2015.
• Bộ luật Hình sự 2015, sửa đổi, bổ sung 2017.
• Luật An ninh mạng 2018.
• Nghị định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân năm 2026.