Trách nhiệm hình sự và dân sự khi nhân viên bán dữ liệu khách hàng, bí mật kinh doanh

Khung pháp lý điều chỉnh hành vi lấy dữ liệu khách hàng và bí mật kinh doanh để bán cho đối thủ

Hành vi nhân viên lấy dữ liệu khách hàng, bí mật kinh doanh rồi chuyển cho đối thủ không chỉ là vi phạm kỷ luật lao động mà còn có thể làm phát sinh trách nhiệm hình sự và trách nhiệm dân sự. Về sở hữu trí tuệ, bí mật kinh doanh được bảo hộ nếu đáp ứng điều kiện theo Điều 84 và Điều 85 Luật Sở hữu trí tuệ 2005, được sửa đổi, bổ sung năm 2022. Về lao động, người lao động có nghĩa vụ bảo vệ bí mật kinh doanh, bí mật công nghệ, tài sản và thông tin của người sử dụng lao động theo Điều 19 Bộ luật Lao động 2019, đồng thời các nội dung bảo mật thường được cụ thể hóa trong hợp đồng lao động, thỏa thuận bảo mật hoặc nội quy lao động.

Về bảo vệ dữ liệu và thông tin cá nhân, việc thu thập, sử dụng, chuyển giao trái phép dữ liệu khách hàng còn có thể xâm phạm quyền nhân thân, quyền riêng tư và bí mật đời tư được Bộ luật Dân sự 2015 bảo vệ tại Điều 38 và Điều 387. Nếu dữ liệu gồm thông tin tài khoản ngân hàng, lịch sử giao dịch hoặc dữ liệu điện tử có tính chất bí mật, việc mua bán, công khai hóa trái phép có thể bị xử lý theo các điều luật hình sự chuyên biệt tương ứng trong Bộ luật Hình sự 2015, sửa đổi, bổ sung năm 2017.

Trách nhiệm hình sự: khi nào người lao động bị truy cứu

Không phải mọi hành vi tiết lộ thông tin đều tự động cấu thành tội phạm; việc truy cứu hình sự phụ thuộc vào tính chất dữ liệu, phương thức chiếm đoạt, mục đích sử dụng và hậu quả. Trường hợp người vi phạm dùng thủ đoạn xâm nhập trái phép vào hệ thống, lấy dữ liệu từ máy tính, mạng viễn thông hoặc phương tiện điện tử của doanh nghiệp, hành vi có thể bị xem xét theo Điều 289 Bộ luật Hình sự 2015 về tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác. Nếu hành vi là chiếm đoạt, sửa đổi, hủy hoại, làm giả dữ liệu hoặc sử dụng trái phép dịch vụ trên môi trường mạng, có thể xem xét thêm Điều 288 Bộ luật Hình sự 2015 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông.

Đối với bí mật kinh doanh, hành vi tiếp cận, thu thập bằng cách chống lại biện pháp bảo mật, hoặc bộc lộ, sử dụng trái phép bí mật kinh doanh, có thể bị xử lý hình sự nếu thỏa mãn dấu hiệu cấu thành tội phạm được quy định trong Bộ luật Hình sự 2015 và văn bản hướng dẫn, giải thích liên quan đến Điều 289 và các quy định về xâm phạm quyền sở hữu trí tuệ. Trong thực tiễn, khi nhân viên sao chép dữ liệu khách hàng, danh sách khách hàng, công thức kinh doanh, quy trình nội bộ, chiến lược giá, chính sách bán hàng rồi bán cho đối thủ để thu lợi, cơ quan tiến hành tố tụng thường xem xét đồng thời yếu tố chiếm đoạt dữ liệu, xâm nhập trái phép và hậu quả thiệt hại cho doanh nghiệp.

Với thông tin tài khoản ngân hàng của khách hàng, Bộ luật Hình sự 2015 quy định tội danh riêng tại Điều 291 về thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng của người khác. Nếu dữ liệu bị chiếm đoạt thuộc nhóm thông tin mật nhà nước, bí mật công tác hoặc thông tin đặc biệt được pháp luật hình sự bảo vệ, việc xử lý còn chuyển sang các điều khoản tương ứng của Bộ luật Hình sự 2015. Trong tất cả các trường hợp, người thực hiện hành vi có thể bị áp dụng hình phạt chính, hình phạt bổ sung như phạt tiền, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định.

Dấu hiệu cấu thành hành vi phạm tội trong tình huống doanh nghiệp bị bán dữ liệu

Thứ nhất, phải xác định dữ liệu bị lấy có phải là bí mật kinh doanh hoặc thông tin được bảo mật hay không. Theo Điều 4, Điều 84 và Điều 85 Luật Sở hữu trí tuệ 2005, sửa đổi, bổ sung năm 2022, bí mật kinh doanh phải là thông tin không phổ biến, có giá trị thương mại và được chủ sở hữu bảo mật bằng các biện pháp cần thiết. Danh sách khách hàng, điều kiện giao dịch, công thức định giá, dữ liệu hành vi tiêu dùng, tệp khách hàng mục tiêu, chiến lược marketing nội bộ thường đáp ứng tiêu chí này nếu doanh nghiệp đã áp dụng biện pháp bảo mật hợp lý.

Thứ hai, cần chứng minh hành vi trái phép của người lao động. Các biểu hiện điển hình gồm sao chép dữ liệu ra thiết bị cá nhân, gửi dữ liệu sang email riêng, tải xuống hàng loạt từ hệ thống, vượt qua phân quyền truy cập, dùng tài khoản của người khác, hoặc bán cho đối thủ để nhận tiền. Nếu hành vi được thực hiện trong khi còn làm việc, quan hệ lao động không loại trừ trách nhiệm hình sự; nếu thực hiện sau khi nghỉ việc, nghĩa vụ bảo mật vẫn tiếp tục ràng buộc theo thỏa thuận và theo bản chất của thông tin được bảo vệ.

Thứ ba, cần làm rõ mục đích và hậu quả. Việc chuyển giao dữ liệu cho đối thủ nhằm tạo lợi thế cạnh tranh, giành khách hàng, phá giá, chào bán sản phẩm cạnh tranh hoặc trục lợi từ việc bán dữ liệu đều là các yếu tố làm tăng tính nguy hiểm của hành vi. Hậu quả thiệt hại có thể thể hiện ở mất khách hàng, giảm doanh thu, mất lợi thế cạnh tranh, chi phí khắc phục hệ thống, chi phí điều tra nội bộ và chi phí pháp lý để bảo vệ quyền lợi của doanh nghiệp.

Trách nhiệm dân sự: bồi thường thiệt hại và hoàn trả lợi ích bất chính

Song song với xử lý hình sự, doanh nghiệp có quyền yêu cầu bồi thường thiệt hại theo nguyên tắc trách nhiệm dân sự ngoài hợp đồng tại Điều 584, Điều 585, Điều 589 và Điều 592 Bộ luật Dân sự 2015, tùy tính chất thiệt hại về tài sản, lợi ích bị mất, chi phí ngăn chặn và khắc phục. Nếu quan hệ giữa doanh nghiệp và người lao động có thỏa thuận bảo mật, hành vi tiết lộ hoặc chuyển giao trái phép còn là vi phạm nghĩa vụ hợp đồng; khi đó, căn cứ bồi thường phát sinh từ chính thỏa thuận và quy định của Bộ luật Dân sự 2015 về thực hiện nghĩa vụ, trách nhiệm do vi phạm nghĩa vụ và hậu quả pháp lý của việc không thực hiện đúng cam kết.

Thiệt hại dân sự trong nhóm vụ việc này không chỉ là khoản tiền đã mất ngay lập tức mà còn gồm lợi nhuận bị mất do khách hàng chuyển sang đối thủ, chi phí khôi phục hệ thống, chi phí rà soát an ninh dữ liệu, chi phí thuê tư vấn, chi phí thông báo cho khách hàng nếu cần thiết, và tổn thất khác có thể lượng hóa được. Nếu người vi phạm đã thu lợi từ việc bán dữ liệu, doanh nghiệp có cơ sở yêu cầu hoàn trả khoản lợi bất chính, đồng thời yêu cầu bồi thường phần thiệt hại vượt quá khoản lợi đó.

Trong trường hợp thông tin bị lộ là bí mật kinh doanh, quyền yêu cầu bồi thường còn được củng cố bởi quy định của Luật Sở hữu trí tuệ 2005, sửa đổi, bổ sung năm 2022 về hành vi xâm phạm quyền đối với bí mật kinh doanh và biện pháp xử lý xâm phạm quyền sở hữu công nghiệp. Việc chứng minh thiệt hại cần dựa trên chứng cứ số, log hệ thống, lịch sử truy cập, email, tài liệu nội bộ, giao dịch ngân hàng, tin nhắn và kết quả giám định dữ liệu điện tử nếu có.

Trách nhiệm của doanh nghiệp và người quản lý trong phòng ngừa rủi ro

Doanh nghiệp không chỉ là chủ thể bị xâm hại mà còn phải thiết lập cơ chế bảo vệ bí mật kinh doanh và dữ liệu khách hàng ngay từ đầu. Các biện pháp cần thiết gồm phân quyền truy cập theo vị trí công việc, xác thực đa yếu tố, mã hóa dữ liệu, nhật ký truy cập, quy chế sử dụng thiết bị cá nhân, quy trình thu hồi quyền truy cập khi nghỉ việc và điều khoản bảo mật trong hợp đồng lao động. Nếu không có biện pháp bảo mật hợp lý, doanh nghiệp sẽ gặp khó khăn khi chứng minh dữ liệu là bí mật kinh doanh theo Luật Sở hữu trí tuệ.

Người quản lý cần xử lý ngay khi phát hiện dấu hiệu rò rỉ: niêm phong thiết bị, bảo toàn log, lập biên bản, tạm khóa tài khoản, rà soát phạm vi dữ liệu bị chuyển ra ngoài và thông báo cho bộ phận pháp chế hoặc luật sư. Việc xử lý nội bộ phải thận trọng để tránh làm mất chứng cứ điện tử, đồng thời bảo đảm quyền giải trình của người lao động và tuân thủ quy trình kỷ luật lao động. Nếu có dấu hiệu tội phạm, hồ sơ nên được chuyển cơ quan có thẩm quyền để xem xét theo trình tự tố tụng hình sự.

Hướng xử lý thực tiễn khi phát hiện nhân viên bán dữ liệu cho đối thủ

Doanh nghiệp nên tiến hành ba nhóm việc đồng thời. Một là khóa quyền truy cập, sao lưu chứng cứ và xác định phạm vi dữ liệu bị lộ. Hai là đánh giá căn cứ khởi kiện dân sự hoặc yêu cầu bồi thường trong quan hệ lao động, gồm thiệt hại thực tế, lợi nhuận bị mất và khoản lợi bất chính. Ba là xem xét tố giác hành vi có dấu hiệu tội phạm theo Bộ luật Hình sự 2015 để bảo vệ quyền lợi ở mức đầy đủ hơn.

Về mặt chứng cứ, dữ liệu số phải được bảo toàn nguyên trạng, tránh chỉnh sửa hoặc xóa log. Email, tin nhắn, lịch sử chuyển file, lịch sử đăng nhập, thông tin thanh toán từ đối thủ, hợp đồng môi giới dữ liệu và lời khai nhân chứng là những nguồn chứng cứ quan trọng. Khi chứng cứ thể hiện việc người lao động cố ý lấy dữ liệu có giá trị thương mại, vượt qua biện pháp bảo mật và chuyển cho đối thủ để nhận tiền, khả năng xử lý đồng thời cả hình sự lẫn dân sự là rất rõ ràng.

Kết luận

Nhân viên lấy dữ liệu khách hàng, bí mật kinh doanh rồi bán cho đối thủ là hành vi xâm phạm nghiêm trọng quyền lợi hợp pháp của doanh nghiệp và trật tự an toàn trong kinh doanh. Pháp luật Việt Nam hiện hành cho phép xử lý bằng cả cơ chế hình sự, dân sự và kỷ luật lao động, tùy tính chất dữ liệu, phương thức thực hiện và hậu quả phát sinh. Doanh nghiệp chỉ bảo vệ được quyền lợi của mình khi xây dựng tốt cơ chế bảo mật, ghi nhận chứng cứ đầy đủ và lựa chọn đúng công cụ pháp lý ngay từ thời điểm phát hiện vi phạm.

Tài liệu tham khảo

• Bộ luật Hình sự 2015, sửa đổi, bổ sung 2017.
• Bộ luật Dân sự 2015.
• Bộ luật Lao động 2019.
• Luật Sở hữu trí tuệ 2005, sửa đổi, bổ sung 2022.
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Văn bản hợp nhất Luật Sở hữu trí tuệ và các văn bản hướng dẫn thi hành hiện hành.