Xâm phạm bí mật kinh doanh: 48 giờ đầu phải khóa gì, giữ gì?

Xâm phạm bí mật kinh doanh thường không bắt đầu bằng một vụ kiện. Nó bắt đầu bằng việc nhân sự nghỉ việc rồi khách hàng quen bị gọi mời, bảng giá nội bộ xuất hiện ở đối thủ, công thức bị dùng lại, tài khoản quảng cáo bị sao chép hoặc nhà cung cấp chiến lược bị tiếp cận. Lúc đó doanh nghiệp thường rất bực, nhưng điều cần làm đầu tiên không phải nhắn tin trách móc, mà là khóa rủi ro và giữ chứng cứ.

Bài này dành cho tình huống đã nghi có vi phạm. Nếu bạn đang xây hệ thống phòng ngừa từ trước, hãy đọc bài bảo hộ bí mật kinh doanh. Còn nếu dữ liệu đã có dấu hiệu bị mang đi, 48 giờ đầu rất quan trọng.

48 giờ đầu khi nghi bị xâm phạm bí mật kinh doanh

Việc cần làm	Mục tiêu	Lưu ý rủi ro
Khóa/đổi quyền truy cập	Ngăn tiếp tục tải dữ liệu, xóa log hoặc truy cập tài khoản quan trọng.	Không xóa dữ liệu gốc; cần sao lưu log trước khi thay đổi cấu hình nếu có thể.
Sao lưu log và lịch sử thao tác	Chứng minh ai truy cập, tải, gửi, chia sẻ hoặc xuất file.	Log dễ bị ghi đè; cần xuất ngay từ CRM, email, drive, phần mềm, máy chủ.
Xác định dữ liệu bị lộ	Biết chính xác là danh sách khách hàng, bảng giá, công thức, quy trình hay tài khoản.	Nói chung chung “lấy dữ liệu công ty” thường yếu khi xử lý.
Kiểm tra nghĩa vụ bảo mật	Xác định có NDA, hợp đồng lao động, quy chế bảo mật, email phổ biến nội quy hay không.	Không có NDA không có nghĩa là hết đường, nhưng chứng cứ sẽ khó hơn.
Giữ chứng cứ bên kia sử dụng dữ liệu	Chứng minh dữ liệu bị dùng để lôi kéo khách, chào giá, sản xuất, cạnh tranh.	Đừng cảnh báo quá sớm làm bên kia xóa dấu vết.

Checklist chứng cứ xâm phạm bí mật kinh doanh

• Danh mục thông tin bị nghi lấy: file khách hàng, bảng giá, công thức, quy trình, mã nguồn, dữ liệu nhà cung cấp, tài khoản quảng cáo.
• Chứng cứ thông tin đó không công khai: phân quyền nội bộ, nhãn tài liệu mật, nơi lưu trữ, người được phép truy cập.
• NDA, điều khoản bảo mật trong hợp đồng lao động/dịch vụ/hợp tác, quy chế bảo mật, email phổ biến nội quy.
• Log truy cập, tải file, xuất file, gửi email, chia sẻ drive, kết nối USB, lịch sử đăng nhập bất thường.
• Biên bản bàn giao khi nhân sự nghỉ việc, cam kết xóa dữ liệu, thu hồi thiết bị/tài khoản nếu có.
• Chứng cứ bên vi phạm sử dụng dữ liệu: tin nhắn chào khách, báo giá giống, danh sách khách bị gọi, nội dung quảng cáo, sản phẩm/quy trình giống.
• Chứng cứ thiệt hại: khách hàng rời đi, hợp đồng bị mất, doanh thu giảm, chi phí khắc phục, chi phí khóa hệ thống.
• Thông tin người liên quan: nhân sự cũ, đối tác, nhà cung cấp, tài khoản nhận file, doanh nghiệp cạnh tranh.
• Mốc thời gian: ngày tải file, ngày nghỉ việc, ngày khách bị liên hệ, ngày phát hiện, ngày sao lưu chứng cứ.
• Mục tiêu xử lý: yêu cầu chấm dứt, xóa dữ liệu, cam kết không dùng, bồi thường, xử lý kỷ luật, khởi kiện hoặc yêu cầu cơ quan có thẩm quyền.

Ví dụ thực tế: nhân viên sales nghỉ việc mang danh sách khách hàng đi

Một nhân viên kinh doanh nghỉ việc, sau đó nhiều khách hàng cũ nhận báo giá từ công ty mới với nội dung và mức giá rất giống bảng giá nội bộ. Doanh nghiệp nghi nhân viên đã xuất danh sách khách hàng trước ngày nghỉ. Tuy nhiên, nếu chỉ nhắn tin hỏi “em lấy dữ liệu đúng không?” thì rất dễ khiến bên kia xóa tin nhắn, đổi cách liên hệ hoặc phủ nhận.

Cách xử lý tốt hơn là sao lưu log CRM, lịch sử tải file, email, lịch sử đăng nhập, phân quyền tài khoản; hỏi khách hàng giữ lại tin nhắn/báo giá; kiểm tra hợp đồng lao động/NDA; lập bảng dữ liệu nào bị nghi lộ và dữ liệu đó được bảo mật ra sao. Khi đã có bộ chứng cứ nền, doanh nghiệp mới nên gửi yêu cầu chấm dứt hoặc chọn hướng xử lý mạnh hơn.

Điều kiện quan trọng: thông tin phải thật sự được quản lý như bí mật

Không phải mọi dữ liệu nội bộ đều tự động là bí mật kinh doanh. Doanh nghiệp cần chứng minh thông tin có giá trị kinh doanh, không dễ dàng có được và đã được áp dụng biện pháp bảo mật hợp lý. Nếu dữ liệu khách hàng để mở trong nhóm chat chung, ai cũng tải được, không có phân quyền, không NDA, không quy chế, việc chứng minh sẽ khó hơn.

Đây là lý do bài xử lý vi phạm luôn phải đi kèm câu hỏi: trước khi bị lộ, doanh nghiệp đã bảo mật thông tin như thế nào? Nếu câu trả lời còn yếu, vẫn cần gom chứng cứ, nhưng đồng thời phải khắc phục hệ thống để tránh lặp lại.

Dữ liệu bị lộ	Điểm cần chứng minh	Chứng cứ thường hữu ích
Danh sách khách hàng	Danh sách không công khai, có giá trị kinh doanh và được phân quyền.	CRM, log xuất file, phân quyền tài khoản, lịch sử chăm sóc khách, NDA.
Bảng giá, chiết khấu, nhà cung cấp	Thông tin giúp cạnh tranh về giá/nguồn hàng và không phổ biến trên thị trường.	File nội bộ, lịch sử chỉnh sửa, email gửi hạn chế, quy chế bảo mật.
Công thức, quy trình, mã nguồn	Thông tin tạo lợi thế, khó tự có nếu không tiếp cận trái phép.	Kho mã nguồn, bản mô tả kỹ thuật, log truy cập, thỏa thuận bảo mật với nhân sự/đối tác.

Chọn hướng xử lý sau khi đã giữ chứng cứ

Không phải vụ nào cũng nên kiện ngay. Nếu mục tiêu chính là dừng sử dụng dữ liệu và giữ khách, có thể bắt đầu bằng thư yêu cầu chấm dứt, cam kết xóa dữ liệu, không liên hệ khách và bồi thường nếu có thiệt hại rõ. Nếu bên vi phạm tiếp tục dùng dữ liệu hoặc thiệt hại lớn, cần cân nhắc khởi kiện, yêu cầu bồi thường hoặc đề nghị cơ quan có thẩm quyền xử lý tùy tính chất vụ việc.

Nếu hành vi liên quan nhiều loại quyền khác nhau như dùng logo, ảnh, nội dung, dữ liệu khách hàng cùng lúc, nên đọc thêm bài xâm phạm quyền sở hữu trí tuệ để chọn hướng xử lý theo từng nhóm quyền. Nếu cần luật sư rà chứng cứ trước khi gửi cảnh báo, xem bài công ty luật sở hữu trí tuệ. Nếu tranh chấp phát sinh từ hợp đồng với nhân sự/đối tác/agency, xem thêm bài tranh chấp hợp đồng.

Căn cứ pháp lý cần biết

Quy định về bí mật kinh doanh thuộc nhóm pháp luật sở hữu trí tuệ. Hành vi xâm phạm có thể bao gồm tiếp cận, thu thập, bộc lộ hoặc sử dụng bí mật kinh doanh trái phép; sử dụng hoặc bộc lộ thông tin khi biết hoặc có nghĩa vụ phải biết thông tin đó có nguồn gốc từ hành vi trái phép; hoặc không thực hiện nghĩa vụ bảo mật đã cam kết.

Các văn bản nền tảng được ban hành trước 2026, nên LegalZone chỉ trích dẫn căn cứ cần thiết trong bài và không đưa thêm văn bản cũ vào thư viện luật. Khi xử lý thực tế, cần xem cả hợp đồng, lao động, dữ liệu cá nhân, cạnh tranh và chứng cứ điện tử.

Hồ sơ nên gửi LegalZone

• NDA, hợp đồng lao động, hợp đồng dịch vụ, hợp đồng hợp tác có điều khoản bảo mật.
• Quy chế bảo mật, email/biên bản phổ biến nội quy, phân quyền truy cập dữ liệu.
• Danh sách dữ liệu bị nghi lộ và giá trị kinh doanh của từng nhóm dữ liệu.
• Log truy cập/tải file/gửi email/chia sẻ drive/kết nối thiết bị.
• Chứng cứ bên kia sử dụng dữ liệu: báo giá, tin nhắn, email, khách hàng xác nhận, nội dung quảng cáo.
• Thiệt hại hoặc nguy cơ thiệt hại: mất khách, mất doanh thu, chi phí khóa hệ thống, uy tín bị ảnh hưởng.
• Mục tiêu xử lý: yêu cầu xóa dữ liệu, dừng liên hệ khách, bồi thường, xin lỗi/cải chính, kiện hoặc xử lý nội bộ.

Câu hỏi thường gặp

Không có NDA thì có xử lý được không?

Vẫn có thể xem xét nếu còn chứng cứ về nghĩa vụ bảo mật, phân quyền, quy chế nội bộ và hành vi sử dụng dữ liệu. Tuy nhiên thiếu NDA làm việc chứng minh khó hơn.

Danh sách khách hàng có phải bí mật kinh doanh không?

Có thể, nếu danh sách không công khai, được tạo từ đầu tư của doanh nghiệp, có giá trị kinh doanh và được quản lý bằng biện pháp bảo mật hợp lý.

Có nên gọi điện cho nhân sự cũ hỏi ngay không?

Không nên vội nếu chưa giữ chứng cứ. Trước hết nên sao lưu log, chứng cứ khách hàng bị liên hệ, chứng cứ dữ liệu bị tải/xuất và hợp đồng bảo mật.

LegalZone có thể rà hệ thống phòng ngừa sau vụ việc không?

Có. Sau khi xử lý khẩn cấp, nên rà lại NDA, quy chế bảo mật, phân quyền, offboarding nhân sự và quản trị dữ liệu để tránh lặp lại.