企业未能正确备份数据：法律责任和补救措施

...

在数字时代，数据已成为任何企业最有价值的资产之一，直接影响运营效率、企业声誉和市场竞争力。然而，许多企业在实施适当的数据备份流程方面仍然存在疏忽，导致企业无法适当备份数据，从而在数据丢失、损坏或泄露的情况下面临重大法律风险和重大损失。本文分析了数据备份的现状、相关概念、法律法规、相关风险和常见问题，帮助企业更好地了解自己的责任和有效的预防措施。

I、企业数据备份不到位的现状

由于技术故障、恶意软件或硬件故障导致的关键数据丢失可能会扰乱业务运营，并对企业信誉产生不利影响。此外，如果企业违反法律规定的数据保留要求，可能会面临法律风险、行政处罚或损害赔偿要求。常见的原因包括意识不足、缺乏标准化的数据管理程序以及备份系统缺乏足够的安全措施或地理冗余。这表明，企业未能正确备份数据仍然是一个普遍存在的问题，需要及时补救以尽量减少潜在风险。

II、企业未能正确备份数据的概念

1.对于未能正确备份数据的企业来说，这意味着什么？

数据备份是指创建数据系统、配置、应用程序和其他数字资产的副本，并将这些副本与原始数据分开存储的过程。这样的过程使企业能够在信息系统故障、硬件损坏、自然灾害或人为错误的情况下保护和及时恢复数据。

因此，当企业没有充分、定期和安全地创建、存储或保护其数据的备份副本时，企业就无法正确备份数据，从而增加了丢失、损坏或披露重要信息的风险。

可能包括以下情况：

缺少数据的备份副本。
未能定期或按照预定时间表执行备份。
将备份副本存储在与原始数据相同的物理位置。
未能加密或以其他方式保护备份数据免受未经授权的访问。
未能定期测试和验证数据恢复能力。

2.在企业中，哪些行为被视为不当的数据备份做法？

当企业从事以下任何行为时，可能会被视为未能正确备份数据：

创建备份副本失败：重要数据仅存在于主系统上，没有单独的备份副本。在技术故障、网络攻击或自然灾害的情况下，这些数据可能会永久丢失。
不规则或不充分的数据备份：过时或不经常更新的备份可能会导致数据恢复不完整或过时。
将备份数据存储在与原始数据相同的位置：当原始数据损坏或泄露时，备份副本也可能受到影响。
未能保护或加密备份数据：未加密的备份数据或缺乏访问控制的备份系统容易受到未经授权的访问和数据泄露。
未能进行定期测试和恢复练习：企业不验证数据是否可以从备份副本中成功恢复。在实际的紧急情况下，恢复尝试可能会失败，导致严重的运营中断。

III、与企业未能正确备份数据有关的法律规定

1.目前常用的数据备份方法

企业内部的数据备份通常通过以下方法实现：

完整备份：在特定时间点创建所有数据的完整副本，允许快速恢复，但需要大量存储容量。
增量备份：只复制自最近一次备份以来所做的数据更改，从而减少存储要求和备份时间。
差异备份：复制自最近一次完整备份以来所做的数据更改，在恢复效率和存储消耗之间实现平衡。
本地备份：数据备份到企业直接管理的服务器或物理存储设备。
云备份：数据在第三方服务提供商运营的系统上进行备份。虽然这种方法方便灵活，但需要对安全措施和法律责任进行严格监督。

2.法定数据保留期是多久？

根据第53/2022/ND-CP号法令第27条第1款：本法令第26条规定的数据保留期应从企业收到数据保留请求之日起开始，并持续到该请求终止为止。最短保留期应为24个月。

因此，根据现行法规，企业必须在越南保留数据至少24个月，除非法律对特定类别的数据另有规定。

3.数据备份是强制性的吗？

越南法律没有明确要求所有企业进行数据备份的具体规定。然而，通过与信息安全、数据保护和数据保留相关的法律要求，企业间接有义务实施数据备份措施，以防止数据丢失、损坏或泄露。

4.未能正确备份数据的企业如何受到法律制裁？

未能充分备份和保护数据可能会导致数据丢失、客户信息泄露、侵犯消费者权利以及网络空间的信息安全事件。根据违规行为的性质和严重程度，企业可能会承担行政、刑事和民事责任。

- 行政处罚：根据第98/2020/ND-CP号法令第46条第2款c点，经第24/2025/ND-CP号法令第1条第5款修订和补充，对任何违规行为，如在收集、存储或使用此类信息期间未采取确保消费者信息安全的措施，或未采取法律规定的防止侵犯消费者信息安全措施，应处以30000000越南盾至40000000越南盾的罚款，但本法令第64条第3款规定的情况除外。

- 刑事责任：根据2015年《刑法》（2017年修订）第361条，故意泄露工作秘密；挪用、交易或销毁涉密工作文件应承担以下责任：

最长三年的非监禁改造；或
监禁六个月至三年。
如果出现严重后果，包括有组织行为、1亿越南盾或以上的损害，或对机构或组织的运作产生重大不利影响，可判处2至7年监禁。

此外，根据第362条，疏忽披露与工作有关的秘密；丢失与工作相关的机密文件也将受到以下制裁：

发生不利影响或损失达到1亿越南盾或以上的警告或非监禁改革，最长可达三年。
如果损失达到5亿越南盾或以上，或者另一人利用这种情况实施严重犯罪，则处以三个月至两年的监禁。

除主要罚款外，违法者还可能被禁止在一至五年内担任某些职位、从事某些职业或从事特定工作。

- 民事责任：根据2015年《民法典》第584条，企业必须赔偿因数据丢失或披露而造成的所有损害，包括：

财产损失；
补救事件和恢复数据的费用；
名誉和荣誉受损；
对客户、业务伙伴和员工合法权益的不利影响。

IV、关于企业未能正确备份数据的问题

1.如何确定企业是否正确备份了数据？

当一个企业满足以下基本要求时，它可能被视为已正确备份其数据：数据是按照明确制定的程序进行全面和定期备份的；备份副本与原始数据分开存储，并通过适当的安全措施和访问控制进行保护；企业能够在事件中有效地恢复数据；备份过程符合数据处理的预期目的、适用的保留期以及与网络安全和个人数据保护有关的法律要求。

2.如果企业只备份重要数据，但丢失了次要数据，是否仍会承担法律责任？

如果企业未能全面备份数据，导致法律要求保护或保留的信息丢失，企业仍可能承担法律责任。

即使丢失的信息被视为“次要数据”，如果此类数据包含个人数据、客户信息、管理记录、会计记录、税务相关信息或企业有法律义务保留的任何其他类别的数据，也可能产生法律责任。在这种情况下，未能正确备份数据可能构成违反信息安全和数据保护义务。

相反，如果丢失的数据不受任何强制性保留要求的约束，不会对客户或业务合作伙伴的合法权益产生不利影响，也不会造成实际损害，则企业的法律责任可能会减轻或根本不会产生。

然而，为了将风险降至最低，企业应制定全面的数据备份政策，而不是仅仅关注主观上被视为“重要”的数据。

3.企业是否应该将备份数据存储在多个位置以降低风险？

企业应在多个位置维护数据的备份副本，以尽量减少因技术故障、网络攻击或灾难导致的数据丢失风险。但是，此类存储安排必须符合越南有关数据本地化的强制性规定。

根据第53/2022/ND-CP号法令第26条，越南必须存储各类数据，包括越南用户的个人数据、用户生成的数据和有关用户关系的数据。国内企业有义务在越南境内保留此类数据。此外，在电子商务、社交网络服务、数据存储和共享服务、在线支付服务和类似行业经营的外国企业也可能被要求在越南存储数据，并应主管网络安全部门的要求，在越南设立分支机构或代表处。

4.如果客户数据因数据备份不当而丢失，企业应如何应对？

如果客户数据因备份实践不足而丢失，企业应首先确定事件的原因、范围和程度。然后，它应该立即采取适当的技术措施来减轻损害，纠正问题，防止再次发生。因此，个人数据的存储和处理必须以合法和相称的方式进行，仅限于之前向数据主体披露的目的，并辅以适当的保护和安全措施，以防止未经授权的披露、丢失、销毁或访问。

根据第13/2023/ND-CP号法令第4条，违反个人数据保护条例的组织和个人可能会根据违规行为的严重程度受到行政制裁或刑事责任。根据第15/2020/ND-CP号法令，未经授权保留个人数据、收集、共享、使用或披露个人数据等行为也可能受到制裁。在严重情况下，根据2015年《刑法》（2017年修订和补充）第159条关于侵犯通信、电话通信、电报或其他形式私人信息交换的保密性或安全性的规定，或第288条关于在计算机网络或电信网络上非法提供或使用信息的规定，可能会产生刑事责任。