Sàn làm lộ dữ liệu cá nhân, khi nào bạn được báo, làm gì tiếp?

Bạn nhận email hay tin nhắn báo “dữ liệu của bạn có thể đã bị lộ”, hoặc đọc tin một sàn bị tấn công. Trang này đi theo đúng thứ tự bạn cần: tin đó thật hay giả, sàn phải báo những gì, bạn làm gì trước, rồi gửi yêu cầu, khiếu nại ở đâu.

Câu chữ dưới đây là nghĩa vụ luật đặt cho tổ chức cung cấp dịch vụ tài sản mã hóa (doanh nghiệp được Bộ Tài chính cấp phép mở sàn, xem thuật ngữ). Tính đến 07/11/2026, chưa sàn nào được cấp phép.

Nhận tin báo lộ dữ liệu, làm gì trước?

Đừng bấm đường link trong tin báo; tự mở app hoặc gõ địa chỉ sàn để kiểm tra rồi mới khóa chặn. Kẻ lừa đảo hay giả thông báo sự cố để dẫn người dùng tới trang đăng nhập giả.

Thứ tự nên làm trong ngày đầu:

1. Kiểm tra tin có thật không. Mở app sàn đã cài hoặc gõ tay địa chỉ trang chính thức, xem mục thông báo. Khi nào sàn buộc đăng công khai, xem câu hỏi thường gặp cuối trang.
2. Đổi mật khẩu sàn và email đăng ký, không dùng lại mật khẩu cũ ở nơi khác.
3. Bật hoặc đổi sang xác thực hai lớp bằng ứng dụng, xem xác thực hai lớp 2FA (lớp mã thứ hai ngoài mật khẩu). Nếu sàn có danh sách địa chỉ rút được phép, xem lại danh sách đó.
4. Cảnh giác cuộc gọi “nhân viên sàn” biết họ tên, số điện thoại của bạn. Dữ liệu bị lộ thường được dùng để mạo danh, cách nhận ra ở trang giả mạo nhân viên hỗ trợ sàn.
5. Lưu chứng cứ: ảnh chụp tin báo, email, thời điểm nhận, mọi giao dịch lạ. Đây là căn cứ khi khiếu nại hay đòi bồi thường về sau.

Email và số điện thoại bị lộ là đầu mối của nhiều kiểu tấn công chiếm tài khoản. Cách tách email, số điện thoại dùng cho sàn ở trang bảo mật email, số điện thoại tài khoản sàn.

Nếu tài khoản bị mở bằng căn cước của bạn mà bạn không biết, xem bị dùng căn cước mở tài khoản sàn tiền ảo thì làm gì.

Sàn phải báo cho ai, trong bao lâu?

Sàn phải báo cơ quan chuyên trách thuộc Bộ Công an khi vi phạm có thể gây hại cho bạn; báo riêng cho bạn chỉ có hạn rõ với vài loại dữ liệu. Bảng dưới gom các nghĩa vụ báo đã đọc trong văn bản gốc.

Báo cho ai	Khi nào	Hạn	Căn cứ
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân	Vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của người có dữ liệu (và các trường hợp an ninh, trật tự)	Chậm nhất 72 giờ từ khi phát hiện	Luật 91/2025/QH15 Điều 23 khoản 1
Người bị ảnh hưởng	Sự cố liên quan dữ liệu vị trí hoặc dữ liệu sinh trắc học	Không quá 72 giờ từ khi phát hiện	Nghị định 356 Điều 29 khoản 1 điểm a
Người bị ảnh hưởng	Lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng, ở tổ chức hoạt động trong lĩnh vực tài chính, ngân hàng	Luật 91 không ghi số giờ; mốc 72 giờ của Nghị định 356 cho lĩnh vực này ở mục dưới	Luật 91 Điều 27 khoản 1 điểm d

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân là đơn vị trực thuộc Bộ Công an, giúp Bộ trưởng quản lý nhà nước về dữ liệu cá nhân (Nghị định 356 Điều 39 khoản 1).

Luật dùng chữ “bên kiểm soát và xử lý dữ liệu cá nhân” cho tổ chức quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu (Luật 91 Điều 2 khoản 9). Theo cách đọc của chúng tôi, sàn thuộc loại này với dữ liệu khách của mình.

Dòng cuối của bảng đặt cho tổ chức “hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng”. Luật 91 không nhắc tài sản mã hóa, nên chưa rõ sàn có thuộc nhóm này hay không.

Ngoài các trường hợp trong bảng, chúng tôi chưa thấy điều nào trong các điều đã đọc của Luật 91 và Nghị định 356 buộc báo riêng cho từng người khi chỉ lộ dữ liệu cơ bản như email, số điện thoại. Điều này không cấm sàn tự báo, và nhiều sự cố vẫn phải báo cơ quan chuyên trách.

Mốc 72 giờ áp dụng khi nào?

Theo cách đọc của chúng tôi, với sàn, hạn 72 giờ báo thẳng cho bạn chỉ chắc chắn áp dụng khi sự cố liên quan dữ liệu sinh trắc học hoặc vị trí. Không nên hiểu đây là hạn chung cho mọi vụ lộ dữ liệu.

Nguyên văn Nghị định 356 Điều 29 khoản 1 điểm a: bên kiểm soát hoặc “bên kiểm soát và xử lý dữ liệu cá nhân” có trách nhiệm “Thông báo cho chủ thể dữ liệu bị ảnh hưởng trong thời hạn không quá 72 giờ kể từ thời điểm phát hiện vi phạm”. Chủ thể dữ liệu là người mà dữ liệu nói về, ở đây là bạn.

Dữ liệu sinh trắc học là dữ liệu về thuộc tính vật lý, đặc điểm sinh học cá biệt và ổn định của một người để xác định người đó (Luật 91 Điều 31 khoản 2).

Nghị định 356 xếp “hình ảnh của cá nhân” vào nhóm cơ bản (Điều 3 khoản 6) và dữ liệu sinh trắc học vào nhóm nhạy cảm (Điều 4 khoản 1 điểm đ), nhưng không vạch ranh giới giữa hai nhóm. Theo cách đọc của VietnamBit, ảnh khuôn mặt mà sàn dùng để đối chiếu danh tính là dữ liệu sinh trắc học (nhạy cảm); ảnh chỉ lưu như ảnh thường thuộc nhóm nào thì chưa rõ.

Nghị định 356 còn một mốc 72 giờ khác, nguyên văn: “Trong thời hạn không quá 72 giờ sau khi phát hiện lộ, mất dữ liệu nhạy cảm của chủ thể dữ liệu cá nhân trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng, tổ chức, cá nhân trực tiếp thu thập dữ liệu cá nhân của chủ thể dữ liệu có trách nhiệm thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân” (Điều 8 khoản 3).

Nghị định 356 không nhắc chữ “tài sản mã hóa”. Theo cách đọc của chúng tôi, Nghị định 356 chưa nói rõ sàn có thuộc nhóm này hay không, nên không nên coi mốc này là hạn chung cho mọi vụ lộ dữ liệu ở sàn.

Mốc 72 giờ của Luật 91 Điều 23 là hạn báo cơ quan chuyên trách, không phải hạn báo bạn. Hai mốc dễ bị gộp làm một trên mạng.

Dữ liệu nào của bạn ở sàn là dữ liệu nhạy cảm?

Hình ảnh thẻ căn cước, dữ liệu sinh trắc học và vị trí định vị là dữ liệu nhạy cảm; họ tên, số điện thoại là dữ liệu cơ bản. Phân loại này quyết định mức bảo vệ và nghĩa vụ khi xảy ra sự cố.

Dữ liệu sàn thường giữ	Loại theo Nghị định 356	Căn cứ
Họ tên, ngày sinh, số điện thoại, số định danh cá nhân	Cơ bản	Điều 3 khoản 1, 2, 7
Ảnh chân dung, ảnh khuôn mặt	“Hình ảnh của cá nhân” là cơ bản; ảnh khuôn mặt dùng đối chiếu danh tính là sinh trắc học theo cách đọc của VietnamBit (xem mục 72 giờ)	Điều 3 khoản 6; Điều 4 khoản 1 điểm đ
Hình ảnh thẻ căn cước, căn cước công dân	Nhạy cảm	Điều 4 khoản 1 điểm i
Dữ liệu sinh trắc học	Nhạy cảm	Điều 4 khoản 1 điểm đ
Vị trí xác định qua dịch vụ định vị	Nhạy cảm	Điều 4 khoản 1 điểm h
Thông tin tài khoản ngân hàng liên kết	Tùy nội dung: tên đăng nhập, mật khẩu, lịch sử giao dịch ngân hàng là nhạy cảm	Điều 4 khoản 1 điểm k

Danh sách dữ liệu sàn phải lưu, lưu bao lâu và gửi cho cơ quan nào nằm ở trang sàn được cấp phép lưu và gửi dữ liệu gì của bạn.

Thông báo của sàn phải có những gì?

Với sự cố dữ liệu sinh trắc học hoặc vị trí, thông báo gửi bạn phải có tối thiểu sáu nội dung. Danh sách dưới chép nguyên văn Nghị định 356 Điều 29 khoản 2.

• Thời điểm và hình thức phát hiện vi phạm.
• Loại dữ liệu bị ảnh hưởng (vị trí, sinh trắc học hoặc cả hai).
• Mức độ nghiêm trọng và các rủi ro có thể xảy ra đối với quyền và lợi ích hợp pháp của chủ thể dữ liệu.
• Biện pháp đã, đang và sẽ được thực hiện để khắc phục sự cố và giảm thiểu thiệt hại.
• Hướng dẫn chủ thể dữ liệu thực hiện các biện pháp phòng ngừa, ngăn chặn tiếp theo.
• Thông tin liên hệ của bộ phận, nhân sự bảo vệ dữ liệu cá nhân hoặc tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; bộ phận tiếp nhận, xử lý sự cố dữ liệu cá nhân tại tổ chức.

Một thông báo thiếu đầu mối liên hệ, hoặc chỉ có một đường link “xác minh tài khoản”, là dấu hiệu nên kiểm tra lại qua kênh chính thức. Cách nhận ra trang đăng nhập giả ở bài phishing là gì.

Bạn có quyền yêu cầu sàn những gì?

Bạn có quyền được biết, yêu cầu cung cấp dữ liệu, khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường thiệt hại theo quy định của pháp luật. Các quyền này nằm ở Luật Bảo vệ dữ liệu cá nhân Điều 4 khoản 1.

Bên kiểm soát dữ liệu phải “Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra” (Luật 91 Điều 37 khoản 1 điểm g). Bên kiểm soát và xử lý dữ liệu, như sàn, gánh trách nhiệm này theo khoản 3 cùng điều.

Nếu lộ dữ liệu dẫn tới mất tiền, tài sản mã hóa, tổ chức được cấp phép có nghĩa vụ giải quyết và bồi thường theo quy định pháp luật khi thiệt hại do hệ thống bảo mật mất an toàn, bị xâm nhập (Nghị quyết 05 Điều 15 khoản 2 điểm m). Mức bồi thường và phần lỗi của mỗi bên ở trang sàn bị hack có bồi thường không.

Gửi yêu cầu bằng văn bản hoặc kênh hỗ trợ chính thức, ghi rõ: dữ liệu nào của bạn bị ảnh hưởng, sàn đã làm gì, bạn muốn sàn làm gì. Thời hạn sàn phản hồi yêu cầu về dữ liệu ở trang Nghị định 356/2025/NĐ-CP.

Khiếu nại, phản ánh ở đâu?

Bắt đầu bằng khiếu nại với chính sàn; sau đó là cơ quan chuyên trách thuộc Bộ Công an, và công an nếu bị lừa, mất tài sản. Mỗi kênh dưới đây có căn cứ trong văn bản.

Kênh	Dùng khi	Căn cứ
Bộ phận khiếu nại của sàn	Mọi trường hợp, nên làm trước	Có quy trình giải quyết khiếu nại, bồi thường khách hàng là điều kiện cấp phép (Nghị quyết 05 Điều 8 khoản 6 điểm k)
Thương lượng, hòa giải, Trọng tài hoặc Tòa án Việt Nam	Đòi bồi thường khi không thỏa thuận được với sàn	Nghị quyết 05 Điều 4 khoản 10
Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an	Sàn xử lý dữ liệu sai mục đích, không bảo đảm quyền của bạn, có vi phạm	Luật 91 Điều 23 khoản 3, khoản 4
Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân	Gửi phản ánh, kiến nghị	Nghị định 356 Điều 39 khoản 2
Cơ quan công an	Bị lừa, bị chiếm tài khoản, mất tài sản	Bộ luật Tố tụng hình sự Điều 146 khoản 3 (Công an cấp xã, Đồn Công an tiếp nhận tố giác)

Cơ quan chuyên trách tiếp nhận thông báo và xử lý vi phạm (Luật 91 Điều 23 khoản 4). Theo cách đọc của chúng tôi, cơ quan này không quyết định khoản bồi thường cho bạn; đòi bồi thường là tranh chấp dân sự với sàn.

Nghị quyết 05 dẫn tranh chấp trên thị trường tài sản mã hóa tới “thương lượng, hòa giải hoặc yêu cầu Trọng tài hoặc Tòa án Việt Nam giải quyết theo quy định của pháp luật” (Điều 4 khoản 10).

Luật cho phép cả cá nhân thông báo cho cơ quan chuyên trách khi phát hiện vi phạm, khi dữ liệu bị xử lý sai mục đích hoặc khi quyền của mình không được bảo đảm (Luật 91 Điều 23 khoản 3). Chúng tôi không đăng số điện thoại hay địa chỉ trang của cơ quan này vì chưa kiểm được từ nguồn chính thức; hãy tra qua cổng thông tin của Bộ Công an.

Các bước khiếu nại sàn và đơn cần có gì ở trang khiếu nại sàn tài sản mã hóa ở đâu. Bị lừa sau khi lộ dữ liệu thì cách tố giác ở bài tố giác lừa đảo tiền ảo.

Sàn báo chậm hoặc che giấu có thể bị phạt thế nào?

Không báo, báo chậm hoặc báo sai lệch cho cơ quan chuyên trách đều có khung phạt riêng. Mức trong bảng là mức cho tổ chức theo Nghị định 330/2026/NĐ-CP Điều 54.

Hành vi	Tổ chức có thể bị phạt	Căn cứ
Báo cơ quan chuyên trách nhưng cố ý che giấu, sai lệch quy mô, loại dữ liệu, số người bị ảnh hưởng	10–20 triệu đồng	Điều 54 khoản 1 điểm c
Không thông báo cho cơ quan chuyên trách khi phát hiện vi phạm	20–40 triệu đồng	Điều 54 khoản 2 điểm a
Báo cơ quan chuyên trách chậm hơn 72 giờ với vi phạm gây hoặc có thể gây tổn hại đến quốc phòng, an ninh, trật tự, hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của người có dữ liệu	40–60 triệu đồng	Điều 54 khoản 3
Không ngăn chặn vi phạm, không khắc phục hậu quả	60–80 triệu đồng	Điều 54 khoản 4 điểm a

Cá nhân có cùng hành vi có thể bị phạt bằng một nửa mức của tổ chức (Nghị định 330 Điều 7 khoản 1).

Ngoài tiền phạt, tổ chức có thể bị buộc thực hiện đủ nghĩa vụ thông báo đúng nội dung, hình thức, thời hạn (Điều 54 khoản 5 điểm a).

Với sự cố dữ liệu sinh trắc học hoặc vị trí, tổ chức không báo đúng hạn hoặc cố tình trì hoãn “sẽ bị xem xét xử lý vi phạm theo quy định của pháp luật” (Nghị định 356 Điều 29 khoản 4). Khung phạt cho hành vi thu thập, mua bán, công khai trái phép dữ liệu tài khoản tài sản mã hóa ở trang sàn lưu và gửi dữ liệu gì, toàn bộ các điều phạt ở trang Nghị định 330/2026/NĐ-CP.

Sàn nước ngoài làm lộ dữ liệu thì sao?

Luật Bảo vệ dữ liệu cá nhân vẫn áp dụng với tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam, nhưng trên thực tế bạn khó buộc họ thực hiện. Phạm vi này nằm ở Luật 91 Điều 1 khoản 2 điểm c.

Nghĩa vụ lưu dữ liệu tại Việt Nam, giải quyết khiếu nại và bồi thường của Nghị quyết 05 đặt cho tổ chức được Bộ Tài chính cấp phép. Sàn nước ngoài chưa có giấy phép đó không chịu các nghĩa vụ này, bạn chủ yếu dựa vào điều khoản riêng của họ. Hiện trạng pháp lý của việc dùng sàn nước ngoài ở trang giao dịch trên sàn nước ngoài có bị phạt không.

Áp dụng từ ngày nào

Văn bản	Nội dung dùng trên trang	Hiệu lực
Nghị quyết 05/2025/NQ-CP	Trách nhiệm của sàn với bên thứ ba, khiếu nại, bồi thường	09/9/2025
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15	Quyền của bạn, nghĩa vụ báo cơ quan chuyên trách	01/01/2026
Nghị định 356/2025/NĐ-CP	Phân loại dữ liệu, mốc 72 giờ, nội dung thông báo	01/01/2026
Nghị định 330/2026/NĐ-CP	Mức phạt khi không báo, báo chậm	19/8/2026