Dữ liệu đăng nhập hệ thống nội bộ như tên tài khoản, mật khẩu, mã xác thực hoặc thông tin phân quyền có thể giúp người khác truy cập vào hệ thống quản lý, cơ sở dữ liệu và tài liệu kinh doanh của doanh nghiệp. Vì vậy, hành vi cố ý bán những dữ liệu này cho đối thủ cạnh tranh để nhận tiền hoặc tạo lợi thế kinh doanh có thể gây ra hậu quả nghiêm trọng, đặc biệt khi dữ liệu bị sử dụng để lấy cắp thông tin hoặc làm gián đoạn hoạt động của doanh nghiệp.
Vậy bán dữ liệu đăng nhập hệ thống nội bộ cho đối thủ cạnh tranh có thể bị truy cứu trách nhiệm hình sự về tội gì? Người bán có thể bị xử lý theo tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông, tội xâm nhập trái phép vào hệ thống hoặc tội danh khác hay không? Bài viết dưới đây phân tích các trường hợp cần lưu ý theo quy định pháp luật.
Bán dữ liệu đăng nhập hệ thống nội bộ cho đối thủ có vi phạm pháp luật không?
Có thể. Việc tự ý cung cấp, trao đổi hoặc bán dữ liệu đăng nhập của doanh nghiệp cho đối thủ cạnh tranh có thể xâm phạm quyền quản lý thông tin, quyền và lợi ích hợp pháp của doanh nghiệp, đồng thời vi phạm nghĩa vụ bảo mật của người có quyền tiếp cận dữ liệu.
Tuy nhiên, cần phân biệt giữa vi phạm nghĩa vụ bảo mật, xâm phạm bí mật kinh doanh và hành vi đủ dấu hiệu cấu thành tội phạm. Không phải mọi trường hợp tiết lộ thông tin nội bộ đều tự động dẫn đến trách nhiệm hình sự.
Khi đánh giá vụ việc, cơ quan có thẩm quyền có thể xem xét những vấn đề sau:
- Dữ liệu được bán là thông tin đăng nhập thông thường, dữ liệu cá nhân, bí mật kinh doanh hay thông tin thuộc hệ thống quan trọng.
- Người bán có quyền truy cập hợp pháp vào hệ thống hay đã sử dụng thủ đoạn để lấy dữ liệu trái phép.
- Dữ liệu được chuyển giao bằng phương thức nào và có thuộc thông tin riêng hợp pháp của doanh nghiệp hay không.
- Người bán có thu lợi bất chính, gây thiệt hại hoặc làm ảnh hưởng đến hoạt động của doanh nghiệp hay không.
- Đối thủ cạnh tranh đã sử dụng dữ liệu để thực hiện hành vi gì.
Những yếu tố này có ý nghĩa quan trọng trong việc xác định trách nhiệm pháp lý và tội danh có thể áp dụng.
Bán dữ liệu đăng nhập nội bộ có thể phạm tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông không?
Có thể. Đây là một trong những tội danh cần xem xét nếu dữ liệu được bán thuộc phạm vi thông tin được quy định tại Điều 288 Bộ luật Hình sự và hành vi đáp ứng đầy đủ các dấu hiệu cấu thành tội phạm.
Điều 288 Bộ luật Hình sự quy định về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông. Trong đó, hành vi mua bán, trao đổi hoặc công khai hóa thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân trên mạng máy tính, mạng viễn thông mà không được phép của chủ sở hữu thông tin có thể bị xử lý theo điều luật này khi đáp ứng các điều kiện luật định.
Ví dụ, một nhân viên được cấp tài khoản để làm việc trong hệ thống quản lý khách hàng của công ty. Người này tự ý sao chép dữ liệu đăng nhập, sau đó bán cho đối thủ cạnh tranh để nhận tiền. Nếu dữ liệu và hành vi thuộc phạm vi điều chỉnh của Điều 288, đồng thời đáp ứng các điều kiện về thu lợi bất chính, thiệt hại hoặc hậu quả luật định, người thực hiện có thể bị truy cứu trách nhiệm hình sự.
Mức hình phạt theo Điều 288 Bộ luật Hình sự
Theo quy định tại Điều 288, khung hình phạt cơ bản áp dụng khi hành vi đáp ứng các điều kiện cấu thành tội phạm là phạt tiền từ 30 triệu đồng đến 200 triệu đồng, cải tạo không giam giữ đến 03 năm hoặc phạt tù từ 06 tháng đến 03 năm.
Nếu thuộc trường hợp tăng nặng như có tổ chức, lợi dụng quyền quản trị mạng, thu lợi bất chính từ 200 triệu đồng trở lên, gây thiệt hại từ 500 triệu đồng trở lên hoặc có những tình tiết luật định khác, người phạm tội có thể bị phạt tiền từ 200 triệu đồng đến 1 tỷ đồng hoặc phạt tù từ 02 năm đến 07 năm.
Ngoài ra, người phạm tội còn có thể bị phạt tiền bổ sung từ 20 triệu đồng đến 200 triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm.
Lưu ý: Việc nhận tiền từ đối thủ không tự nó đủ để kết luận người bán phạm tội theo Điều 288. Cần xác định loại thông tin, cách thức mua bán, hậu quả và các điều kiện cấu thành tội phạm theo quy định.
Chiếm quyền truy cập hệ thống để lấy dữ liệu bán cho đối thủ có thể phạm tội gì?
Nếu người bán không có quyền truy cập hợp pháp nhưng cố ý vượt qua biện pháp bảo mật, sử dụng quyền quản trị của người khác hoặc bằng phương thức khác xâm nhập trái phép vào hệ thống để lấy dữ liệu, cần xem xét thêm dấu hiệu của tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác theo Điều 289 Bộ luật Hình sự.
Điều luật này điều chỉnh hành vi xâm nhập trái phép nhằm chiếm quyền điều khiển, can thiệp vào chức năng hoạt động của phương tiện điện tử, lấy cắp, thay đổi, hủy hoại, làm giả dữ liệu hoặc sử dụng trái phép dịch vụ theo các dấu hiệu được quy định.
Ví dụ, A không được công ty cấp quyền truy cập vào cơ sở dữ liệu nhân sự. A sử dụng tài khoản của người khác hoặc tìm cách vượt qua cơ chế xác thực để lấy thông tin đăng nhập, sau đó bán dữ liệu cho đối thủ. Trong trường hợp hành vi đáp ứng đầy đủ dấu hiệu pháp lý, A có thể bị xem xét trách nhiệm hình sự theo Điều 289.
Mức hình phạt theo Điều 289 Bộ luật Hình sự
Ở khung cơ bản, người phạm tội có thể bị phạt tiền từ 50 triệu đồng đến 300 triệu đồng hoặc phạt tù từ 01 năm đến 05 năm.
Nếu phạm tội có tổ chức, lợi dụng chức vụ, quyền hạn, thu lợi bất chính từ 200 triệu đồng đến dưới 500 triệu đồng, gây thiệt hại từ 300 triệu đồng đến dưới 1 tỷ đồng hoặc thuộc trường hợp tăng nặng khác theo luật, mức hình phạt có thể là phạt tiền từ 300 triệu đồng đến 1 tỷ đồng hoặc phạt tù từ 03 năm đến 07 năm.
Đối với các trường hợp đặc biệt nghiêm trọng được quy định tại khoản 3 Điều 289, người phạm tội có thể bị phạt tù từ 07 năm đến 12 năm. Các trường hợp này bao gồm xâm nhập một số hệ thống dữ liệu, hệ thống thông tin đặc biệt quan trọng hoặc đạt ngưỡng thu lợi bất chính, thiệt hại theo điều luật.
Người phạm tội còn có thể bị phạt tiền bổ sung từ 5 triệu đồng đến 50 triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm.
Điểm cần lưu ý là việc truy cập hệ thống trái phép và việc bán dữ liệu sau đó là những hành vi cần được đánh giá riêng. Tùy diễn biến và mối quan hệ giữa các hành vi, người thực hiện có thể bị xem xét về một hoặc nhiều tội danh nếu đủ căn cứ pháp luật.
>> Đặt lịch tư vấn với luật sư của chúng tôi và trải nghiệm dịch vụ pháp lý uy tín, nơi mọi vấn đề của bạn sẽ được giải quyết hiệu quả và nhanh chóng!
Bán dữ liệu đăng nhập có liên quan đến bí mật kinh doanh không?
Có thể, nếu dữ liệu hoặc thông tin được tiếp cận, lấy cắp hay tiết lộ đáp ứng các điều kiện pháp luật về bí mật kinh doanh.
Bí mật kinh doanh có thể bao gồm thông tin được thu thập từ hoạt động đầu tư tài chính, trí tuệ, chưa được bộc lộ và có khả năng tạo lợi thế trong kinh doanh, với điều kiện đáp ứng các tiêu chí bảo hộ theo pháp luật sở hữu trí tuệ.
Ví dụ, dữ liệu đăng nhập có thể cho phép đối thủ tiếp cận:
- Cơ sở dữ liệu khách hàng và thông tin giao dịch.
- Chiến lược giá, chính sách chiết khấu hoặc kế hoạch kinh doanh chưa công bố.
- Tài liệu kỹ thuật, quy trình sản xuất hoặc thông tin thương mại được bảo mật.
- Tài liệu nội bộ có giá trị cạnh tranh mà doanh nghiệp đã áp dụng biện pháp bảo vệ.
Trong những trường hợp này, hành vi tiết lộ hoặc tạo điều kiện cho đối thủ tiếp cận thông tin có thể xâm phạm quyền đối với bí mật kinh doanh.
Tuy nhiên, xâm phạm bí mật kinh doanh không đồng nghĩa đương nhiên với việc cấu thành một tội danh hình sự độc lập. Trách nhiệm hình sự cần được xác định theo những quy định cụ thể của Bộ luật Hình sự dựa trên bản chất hành vi. Ngoài ra, người vi phạm vẫn có thể phải chịu trách nhiệm dân sự, trách nhiệm lao động hoặc các hình thức xử lý khác theo quy định.
Nếu đối thủ dùng dữ liệu đăng nhập để chiếm đoạt tài sản thì xử lý thế nào?
Nếu dữ liệu bị bán được sử dụng để truy cập trái phép vào tài khoản, chiếm đoạt tiền hoặc thực hiện hành vi lừa đảo, trách nhiệm pháp lý có thể nghiêm trọng hơn.
Chẳng hạn, người bán cung cấp thông tin đăng nhập của hệ thống thanh toán nội bộ cho đối thủ. Sau đó, đối thủ dùng thông tin này để truy cập trái phép, chuyển tiền hoặc thực hiện giao dịch nhằm chiếm đoạt tài sản.
Trong trường hợp đó, cơ quan có thẩm quyền phải làm rõ vai trò của từng người, mục đích khi cung cấp dữ liệu, sự thống nhất ý chí giữa các bên và hành vi chiếm đoạt thực tế. Người bán dữ liệu có thể bị xem xét trách nhiệm với vai trò đồng phạm nếu có đủ căn cứ chứng minh họ cố ý cùng thực hiện tội phạm hoặc giúp sức cho việc thực hiện tội phạm theo quy định pháp luật.
Ngược lại, nếu người bán không biết và không có căn cứ để xác định dữ liệu sẽ bị sử dụng nhằm chiếm đoạt tài sản, không thể chỉ dựa vào việc đã bán dữ liệu để mặc nhiên kết luận người đó đồng phạm trong tội chiếm đoạt. Trách nhiệm phải được xác định từ chứng cứ và các yếu tố cấu thành tội phạm cụ thể.
Bán dữ liệu đăng nhập nhưng chưa gây thiệt hại có bị truy cứu trách nhiệm hình sự không?
Không thể khẳng định mọi trường hợp đều bị truy cứu trách nhiệm hình sự, nhưng cũng không thể mặc nhiên cho rằng chưa phát sinh thiệt hại thì không bị xử lý.
Đối với Điều 288 Bộ luật Hình sự, cần xem xét các điều kiện liên quan đến thu lợi bất chính, thiệt hại hoặc hậu quả được điều luật quy định. Đối với Điều 289, phải xác định hành vi xâm nhập trái phép và các dấu hiệu pháp lý tương ứng, không chỉ căn cứ vào việc doanh nghiệp đã bị mất tiền hay chưa.
Ví dụ, người bán đã nhận tiền để cung cấp dữ liệu đăng nhập nhưng đối thủ chưa kịp sử dụng. Việc xác định có cấu thành tội phạm hay không còn phụ thuộc vào dữ liệu được chuyển giao, phương thức thực hiện, hậu quả và các điều kiện pháp luật liên quan.
Ngay cả khi chưa đủ căn cứ truy cứu trách nhiệm hình sự, người thực hiện vẫn có thể phải chịu trách nhiệm kỷ luật, bồi thường thiệt hại hoặc bị xử lý theo quy định pháp luật khác nếu có hành vi vi phạm.
Doanh nghiệp cần làm gì khi phát hiện nhân viên bán dữ liệu nội bộ?
Khi phát hiện dấu hiệu dữ liệu đăng nhập bị bán hoặc tiết lộ cho đối thủ, doanh nghiệp nên nhanh chóng thực hiện các biện pháp sau:
Thứ nhất, bảo toàn chứng cứ. Lưu giữ nhật ký truy cập, lịch sử đăng nhập, dữ liệu trao đổi, email, tin nhắn, chứng từ thanh toán và các tài liệu liên quan. Việc thu thập cần bảo đảm tính xác thực và tuân thủ quy định pháp luật.
Thứ hai, hạn chế nguy cơ truy cập trái phép. Đổi mật khẩu, thu hồi quyền truy cập không còn cần thiết, vô hiệu hóa tài khoản có dấu hiệu bị lộ và kiểm tra các hoạt động bất thường trong hệ thống.
Thứ ba, xác định phạm vi dữ liệu bị tiết lộ. Doanh nghiệp cần làm rõ loại dữ liệu, số lượng tài khoản bị ảnh hưởng, khả năng đối thủ đã sử dụng dữ liệu và mức thiệt hại thực tế.
Thứ tư, rà soát nghĩa vụ bảo mật. Kiểm tra hợp đồng lao động, thỏa thuận bảo mật, quy chế quản lý dữ liệu và các tài liệu thể hiện quyền quản lý hợp pháp đối với thông tin.
Thứ năm, cân nhắc trình báo cơ quan có thẩm quyền. Nếu có dấu hiệu xâm nhập trái phép, mua bán thông tin trái pháp luật hoặc hành vi phạm tội khác, doanh nghiệp có thể cung cấp tài liệu để cơ quan chức năng xác minh, xử lý.
Luật sư Đặng Quý Tiên lưu ý: Doanh nghiệp nên tránh tự ý xóa dữ liệu, truy cập trái phép thiết bị cá nhân hoặc công khai thông tin chưa được xác minh của người bị nghi ngờ. Việc bảo toàn chứng cứ và xử lý đúng trình tự giúp bảo vệ quyền lợi của doanh nghiệp, đồng thời hạn chế phát sinh tranh chấp mới.
Ví dụ về trách nhiệm hình sự khi bán dữ liệu đăng nhập cho đối thủ
C là nhân viên bộ phận công nghệ thông tin của doanh nghiệp X, được cấp quyền quản lý một phần hệ thống nội bộ. C tự ý sao chép thông tin đăng nhập và bán cho doanh nghiệp Y đang cạnh tranh trực tiếp với X. Sau đó, Y sử dụng dữ liệu để truy cập cơ sở dữ liệu khách hàng của X.
Trong tình huống này, cơ quan có thẩm quyền cần làm rõ C được phép truy cập đến đâu, dữ liệu nào đã bị sao chép, hành vi bán dữ liệu có thuộc phạm vi Điều 288 hay không, và C có thực hiện hành vi xâm nhập trái phép theo Điều 289 hay không. Đồng thời, cần xác định Y đã sử dụng dữ liệu như thế nào và có sự bàn bạc, thống nhất giữa C với Y hay không.
Nếu có căn cứ chứng minh C thực hiện hành vi phạm tội và đáp ứng đầy đủ các điều kiện luật định, C có thể bị truy cứu trách nhiệm hình sự. Ngoài ra, C còn có thể phải bồi thường thiệt hại, chịu xử lý kỷ luật lao động và thực hiện các nghĩa vụ khác theo quy định pháp luật.
Kết luận
Bán dữ liệu đăng nhập hệ thống nội bộ cho đối thủ cạnh tranh có thể bị truy cứu trách nhiệm hình sự, đặc biệt khi hành vi thuộc trường hợp đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo Điều 288 Bộ luật Hình sự hoặc có hành vi xâm nhập trái phép theo Điều 289. Nếu dữ liệu bị sử dụng để chiếm đoạt tài sản hoặc thực hiện tội phạm khác, trách nhiệm pháp lý của những người liên quan cần được đánh giá dựa trên vai trò và hành vi cụ thể.
Tuy nhiên, không phải mọi trường hợp tiết lộ dữ liệu nội bộ đều mặc nhiên cấu thành tội phạm. Việc xác định tội danh phải căn cứ vào loại dữ liệu, cách thức thu thập và chuyển giao, quyền truy cập, mục đích, hậu quả cùng các dấu hiệu cấu thành tội phạm. Doanh nghiệp bị ảnh hưởng nên bảo toàn chứng cứ, hạn chế nguy cơ truy cập trái phép và tham khảo luật sư để lựa chọn phương án xử lý phù hợp.
