Trách nhiệm hình sự trong dự án công nghệ

Để tiện theo dõi, bảng dưới đây tóm tắt các nội dung chính; từng nội dung được phân tích ở các mục sau.

1. Hai tầng trách nhiệm

Điểm xuất phát là một vi phạm trong dự án công nghệ có thể kéo theo hai chế độ trách nhiệm: hành chính, chủ yếu đặt lên doanh nghiệp; và hình sự, đặt lên cá nhân hoặc pháp nhân thương mại khi hành vi đủ yếu tố cấu thành tội phạm. Nhà sáng lập thường chỉ tính đến tầng thứ nhất, trong khi ở nhiều tội danh gắn với công nghệ, người bị xem xét là cá nhân đã quyết định hoặc vận hành tính năng vi phạm. Tổng quan các nhóm rủi ro được trình bày tại bài pháp lý dự án công nghệ, AI, blockchain, IPO.

2. Trách nhiệm hình sự của pháp nhân

Về mặt pháp lý, phạm vi trách nhiệm hình sự của pháp nhân thương mại được xác định theo phương pháp liệt kê. Điều 76 Bộ luật Hình sự số 100/2015/QH13, hiệu lực từ 01/01/2018, được sửa đổi bởi Luật số 12/2017/QH14, quy định:

“Pháp nhân thương mại phải chịu trách nhiệm hình sự về tội phạm quy định tại một trong các điều 188, 189, 190, 191, 192, 193, 194, 195, 196, 200, 203, 209, 210, 211, 213, 216, 217, 225, 226, 227, 232, 234, 235, 237, 238, 239, 242, 243, 244, 245, 246, 300 và 324 của Bộ luật này.”

Quy định này cho thấy hai nhóm tội liên quan trực tiếp đến doanh nghiệp công nghệ, nơi cả doanh nghiệp và cá nhân đều có thể bị truy cứu: xâm phạm quyền tác giả, quyền sở hữu công nghiệp (Điều 225, 226); và các tội trong lĩnh vực chứng khoán (Điều 209, 210, 211).

Tuy nhiên, danh sách trên không bao gồm các tội công nghệ thông tin, mạng viễn thông từ Điều 287 đến Điều 291, cũng như tội lừa đảo chiếm đoạt tài sản (Điều 174). Nói cách khác, với nhóm vi phạm này, doanh nghiệp có thể chỉ bị xử phạt hành chính, còn trách nhiệm hình sự hướng tới giám đốc, giám đốc công nghệ, trưởng nhóm sản phẩm hoặc nhân sự trực tiếp tham gia.

3. Đối chiếu hành vi, tội danh và chủ thể

Từ góc độ triển khai, bảng dưới đây đối chiếu hành vi thường gặp với tội danh có thể bị xem xét và chủ thể tương ứng.

Điểm cần lưu ý là việc truy cứu còn phụ thuộc vào lỗi, hậu quả và giá trị thu lợi, thiệt hại theo từng điều luật; dù vậy, hành vi gắn với dữ liệu và hệ thống đều hướng tới trách nhiệm cá nhân.

4. Ngưỡng truy cứu tội xâm phạm quyền tác giả

Xét riêng về Điều 225, đây là tội danh doanh nghiệp phần mềm, nền tảng nội dung và dự án AI dễ chạm tới nhất. Khoản 1 Điều 225 Bộ luật Hình sự, được sửa đổi bởi Luật số 12/2017/QH14, quy định:

“Người nào không được phép của chủ thể quyền tác giả, quyền liên quan mà cố ý thực hiện một trong các hành vi sau đây, xâm phạm quyền tác giả, quyền liên quan đang được bảo hộ tại Việt Nam với quy mô thương mại hoặc thu lợi bất chính từ 50.000.000 đồng đến dưới 300.000.000 đồng hoặc gây thiệt hại cho chủ thể quyền tác giả, quyền liên quan từ 100.000.000 đồng đến dưới 500.000.000 đồng hoặc hàng hóa vi phạm trị giá từ 100.000.000 đồng đến dưới 500.000.000 đồng, thì bị phạt tiền từ 50.000.000 đồng đến 300.000.000 đồng hoặc phạt cải tạo không giam giữ đến 03 năm”

Hiểu đơn giản, các ngưỡng trên thay thế nhau, nên sản phẩm dùng thư viện hoặc dữ liệu có bản quyền không có giấy phép rồi bán thuê bao rộng rãi có thể bị xem xét ở ngưỡng quy mô thương mại. Với pháp nhân thương mại, cùng Điều 225 còn quy định hình phạt đình chỉ hoạt động có thời hạn, cấm kinh doanh hoặc cấm huy động vốn trong một số lĩnh vực, hậu quả nặng hơn nhiều so với tiền phạt đối với công ty đang gọi vốn.

5. Xu hướng hình sự hóa vi phạm dữ liệu

Khung trách nhiệm hình sự về dữ liệu có thể được siết chặt hơn. Dự thảo Bộ luật Hình sự (sửa đổi) do Bộ Công an chủ trì đề xuất bổ sung ba tội danh riêng: xâm phạm dữ liệu cá nhân; mua bán trái phép dữ liệu cá nhân; cản trở hoạt động bảo vệ dữ liệu cá nhân. Đây mới là đề xuất trong dự thảo, chưa được Quốc hội thông qua và có thể thay đổi. Dù vậy, doanh nghiệp nên coi nghĩa vụ bảo vệ dữ liệu cá nhân là ranh giới cần tuân thủ từ khâu thiết kế, không phải chi phí có thể đánh đổi.

6. Mức phạt hành chính theo doanh thu

Ở góc độ hành chính, thay đổi lớn nhất là mức phạt tối đa gắn với doanh thu hoặc khoản thu từ vi phạm. Khoản 3, 4 và 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025, hiệu lực từ 01/01/2026, quy định:

“3. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.

4. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại khoản 5 Điều này thì áp dụng mức phạt tiền theo quy định tại khoản 5 Điều này.

5. Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng.”

Theo đó, sản phẩm càng tăng trưởng, mức phạt tối đa với vi phạm chuyển dữ liệu ra nước ngoài càng lớn; hành vi và mức phạt cụ thể nằm tại các nghị định dưới đây.

Đáng chú ý, doanh nghiệp chưa từng để lộ dữ liệu vẫn có thể bị xử phạt theo Nghị định 330/2026/NĐ-CP chỉ vì thiếu hồ sơ đánh giá tác động.

7. Hình phạt bổ sung, biện pháp khắc phục

Về mặt vận hành, các biện pháp như buộc gỡ bỏ trang thông tin điện tử, phần mềm, hệ thống giao dịch (Nghị định 284/2026/NĐ-CP), tịch thu tang vật, buộc hủy dữ liệu, buộc nộp lại số lợi bất hợp pháp và buộc công khai xin lỗi chủ thể dữ liệu (Nghị định 330/2026/NĐ-CP) nhiều khi tác động mạnh hơn khoản tiền phạt. Về bản chất, gỡ bỏ hệ thống hay hủy dữ liệu đánh thẳng vào tài sản tạo ra giá trị của dự án. Vì vậy, câu hỏi sản phẩm còn được vận hành hay không cần được đặt song song với câu hỏi bị phạt bao nhiêu.

8. Cách người điều hành tự bảo vệ

Vấn đề đặt ra là giảm khả năng vi phạm và giúp người điều hành chứng minh được vai trò của mình khi sự cố xảy ra. Bốn lớp bảo vệ dưới đây không loại trừ trách nhiệm theo luật, nhưng xác định rõ ai quyết định điều gì, khi nào.

9. Đánh giá tác động

N.1. Chế tài và rủi ro pháp lý

Trước hết, rủi ro không phân bố đều: doanh nghiệp chịu phần lớn chế tài hành chính và chỉ chịu trách nhiệm hình sự ở các tội được liệt kê; cá nhân chịu toàn bộ rủi ro hình sự ở nhóm tội công nghệ thông tin và Điều 174.

N.2. Tác động theo nhóm chủ thể

Từ đây phát sinh các tác động khác nhau với từng nhóm:

a) Người điều hành sản phẩm: chịu rủi ro hình sự cá nhân trực tiếp, nên lưu tài liệu thể hiện thẩm quyền của từng quyết định;

b) Công ty khởi nghiệp: rủi ro hình sự của pháp nhân tập trung ở Điều 225, 226, kèm nguy cơ bị cấm huy động vốn;

c) Công ty chuẩn bị niêm yết: Điều 209 đến 211 áp dụng cho cả doanh nghiệp và người điều hành, xem bài gọi vốn, IPO công ty công nghệ.

N.3. Khuyến nghị

Trên cơ sở đó, 7SLAW cho rằng bốn lớp bảo vệ tại mục 8 nên được thiết lập ngay khi sản phẩm có người dùng đầu tiên. Khi phát hiện sự cố, doanh nghiệp nên tạm dừng tính năng liên quan, bảo toàn nhật ký hệ thống, thực hiện nghĩa vụ thông báo và tham vấn luật sư trước khi làm việc với cơ quan chức năng. Doanh nghiệp chưa có bộ phận pháp chế có thể cân nhắc pháp chế thuê ngoài.

10. Tình huống giả định

Để minh họa cách áp dụng các quy định trên, dưới đây là hai tình huống giả định thường gặp.

a) Một ứng dụng bán lẻ bán số điện thoại và lịch sử mua hàng của người dùng cho đối tác quảng cáo mà không có sự đồng ý. Doanh nghiệp có thể bị phạt tối đa 10 lần khoản thu (khoản 3 Điều 8 Luật 91/2025/QH15); người chỉ đạo hoặc trực tiếp thực hiện có thể bị xem xét theo Điều 288 Bộ luật Hình sự với tư cách cá nhân.

b) Một ứng dụng đầu tư phát hành token, hứa lợi nhuận cố định và dùng tiền người sau trả cho người trước. Người tổ chức, điều hành có thể bị xem xét theo Điều 174 hoặc Điều 290; doanh nghiệp có thể bị xử phạt, buộc gỡ bỏ hệ thống theo Nghị định 284/2026/NĐ-CP. Xem thêm bài pháp lý blockchain, tài sản mã hóa tại Việt Nam.

11. Câu hỏi thường gặp

Dưới đây là những câu hỏi 7SLAW thường nhận được từ doanh nghiệp về trách nhiệm hình sự, hành chính trong dự án công nghệ.

a) Giám đốc không trực tiếp viết mã có thể bị truy cứu trách nhiệm hình sự không?

Có thể, nếu là người chỉ đạo hoặc phê duyệt tính năng vi phạm. Việc truy cứu phụ thuộc vào vai trò, lỗi và chứng cứ của từng vụ việc.

b) Doanh nghiệp đã bị phạt hành chính thì cá nhân còn bị truy cứu hình sự không?

Có thể. Việc doanh nghiệp bị xử phạt không đương nhiên loại trừ trách nhiệm hình sự của cá nhân có hành vi đủ yếu tố cấu thành tội phạm, nhất là với các tội từ Điều 287 đến 291.

c) Ba tội danh mới về dữ liệu cá nhân đã có hiệu lực chưa?

Chưa. Tại thời điểm cập nhật, đây là đề xuất trong dự thảo; hành vi xâm phạm dữ liệu trên mạng hiện vẫn có thể bị xem xét theo Điều 288, 289, 291.

Tác giả: 7S Dispute Desk

Phụ lục căn cứ pháp luật

Để tiện tra cứu, các văn bản và điều khoản được dẫn trong bài được tổng hợp tại bảng sau.

Bài viết cung cấp thông tin pháp luật tại thời điểm cập nhật, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể; quy định có thể thay đổi sau ngày cập nhật.

Liên hệ Luật 7S: 0877 523 888 – lienhe@7slaw.vn