Từ 11/9, ở Hàn chỉ cần có khả năng lộ dữ liệu, doanh nghiệp đã phải báo khách hàng

Một thay đổi đáng lưu cho bất kỳ ai đang dùng ngân hàng, mua sắm, viễn thông hay nền tảng số tại Hàn Quốc: từ 11/9/2026, doanh nghiệp không còn được chờ tới lúc khẳng định chắc chắn dữ liệu đã bị lộ mới thông báo cho khách hàng.

Luật Bảo vệ thông tin cá nhân sửa đổi mở rộng nghĩa của “rò rỉ” sang cả mất, bị đánh cắp, làm giả, sửa đổi hoặc phá hủy dữ liệu. Khi xuất hiện khả năng xảy ra sự cố thuộc trường hợp do nghị định quy định, bên xử lý dữ liệu phải thông báo cho người có dữ liệu không chậm trễ.

Vì sao thay đổi này quan trọng?

Khoảng thời gian giữa lúc phát hiện dấu hiệu bất thường và lúc xác nhận đầy đủ thường là lúc kẻ gian tận dụng dữ liệu để lừa đảo, chiếm tài khoản hoặc giả danh tổng đài. Cảnh báo sớm giúp người dùng đổi mật khẩu, khóa phiên đăng nhập và theo dõi giao dịch trước khi thiệt hại lan rộng.

Thông báo còn phải nêu phương án khắc phục thiệt hại, gồm cách yêu cầu bồi thường hoặc đề nghị hòa giải tranh chấp. Điều này biến một email “xin lỗi vì bất tiện” thành tài liệu người dùng cần giữ lại nếu phải chứng minh quyền lợi.

Luật cũng xác định người đứng đầu tổ chức là người chịu trách nhiệm cuối cùng về bảo vệ dữ liệu, đồng thời củng cố quyền hạn, nhân lực và ngân sách cho cán bộ phụ trách bảo vệ thông tin cá nhân.

Mức phạt 10% doanh thu không áp dụng cho mọi lỗi

Trường hợp vi phạm đặc biệt nghiêm trọng có thể chịu tiền phạt tới 10% tổng doanh thu, nhưng không nên hiểu là mọi vụ lộ dữ liệu đều tự động bị áp mức này. Ngưỡng cao nhất nhắm tới các tình huống như tái phạm cố ý hoặc do sơ suất nghiêm trọng trong ba năm, ảnh hưởng từ 10 triệu người, hoặc xảy ra sau khi tổ chức không thực hiện lệnh khắc phục.

Một mốc khác cần tách riêng: yêu cầu chứng nhận ISMS-P bắt buộc với một số đơn vị mới bắt đầu từ 1/7/2027, không phải ngày 11/9/2026.

Checklist 10 phút sau khi nhận cảnh báo rò rỉ

1. Mở ứng dụng hoặc website chính thức bằng cách tự gõ địa chỉ; không bấm link lạ trong tin nhắn.

2. Đổi mật khẩu tài khoản bị ảnh hưởng và mọi nơi đang dùng lại mật khẩu đó.

3. Đăng xuất các thiết bị hoặc phiên truy cập không nhận ra; bật xác thực hai lớp nếu có.

4. Kiểm tra lịch sử thanh toán, thay đổi số điện thoại, địa chỉ giao hàng và yêu cầu cấp lại mật khẩu.

5. Chụp và lưu nguyên thông báo, thời điểm nhận, phạm vi dữ liệu, số tiếp nhận khiếu nại.

6. Nếu có thiệt hại, yêu cầu doanh nghiệp giải thích bằng văn bản và xem kênh hòa giải của PIPC.

Không gửi ARC, hộ chiếu, mã OTP hoặc ảnh thẻ ngân hàng cho người gọi tự xưng là nhân viên “hỗ trợ sự cố”. Thông báo sớm có ích, nhưng cũng có thể bị kẻ gian sao chép để tạo chiến dịch phishing mới.

Nguồn xác minh ngày 1/9/2026: Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc (PIPC), toàn văn luật trên Cổng pháp luật Hàn Quốc.