Dữ liệu cá nhân, trách nhiệm người sử dụng thế nào?

Ai được phép sử dụng dữ liệu cá nhân của người dùng trên mạng? Liệu tình trạng mua bán thông tin hiện nay có giảm thiểu?

"Chào chị, em gọi cho chị từ bộ phận chăm sóc khách hàng của điện lực Sóc Sơn đây. Mã khách hàng em đọc để chị kiểm tra cho dễ: PD090xxx. Hiện tại em chưa nhận được số tiền của gia đình chị đâu ạ…"

Vừa rồi là nội dung một đoạn video hot trên mạng xã hội tuần qua, khi đối tượng gọi điện tự xưng là nhân viên điện lực và nắm rõ mọi thông tin của khách hàng. Trên thực tế, rất nhiều người đã từng nhận được những cuộc điện thoại như vậy, trong đó có anh Nguyễn Minh Quân, ở Hai Bà Trưng, Hà Nội:

"Họ giả danh là điện lực Hai Bà Trưng, cung cấp được cả số căn cước, địa chỉ mình thường trú… Thông tin cá nhân bây giờ bảo mật rất kém, có nhiều hình thức để lấy được thông tin, đơn giản như mình vào nhiều nơi người ta giữ căn cước của mình, những chỗ đấy là rất dễ bị lộ".

Tình trạng mua bán thông tin cá nhân hiện nay phổ biến đến mức các hội nhóm “data chọn lọc toàn quốc” với hàng nghìn thành viên xuất hiện công khai trên Facebook. Hay một vụ việc từng xôn xao dư luận hồi tháng 3/2023, một cựu công an quận Long Biên, Hà Nội đã lĩnh án 6 năm tù vì mua bán thông tin cá nhân.

Do đó, những quy định mới về xử phạt vi phạm hành chính liên quan bảo vệ dữ liệu cá nhân được người dân nhiệt tình ủng hộ. Tuy nhiên, vẫn còn không ít ý kiến băn khoăn:

"Nó không phải từ một nguồn mà lộ từ rất nhiều nguồn khác nhau, có thể từ trung tâm thương mại, hay những cái đơn giản như mua hàng trên TikTok, thì người ta cũng bắt mình điền đầy đủ thông tin thì người ta mới ship đến cho mình. Phải xem về nhân sự của họ ý, làm thế nào để người ta không bán thông tin khách hàng ra ngoài".

"Tất nhiên mức phạt tăng lên thì nó cũng có tác dụng nhất định, thế nhưng phải có những chế tài khác nữa. Nếu cơ quan chức năng vào cuộc một cách gay gắt, nghiêm túc và quyết liệt thì tình trạng này có thể được hạn chế một cách tối đa".

Theo Nghị định 24 năm 2025 của Chính phủ, mức xử phạt đối với hành vi thu thập và sử dụng thông tin cá nhân mà không có sự đồng ý của chủ thể được tăng lên thành 20 - 30 triệu đồng. Doanh nghiệp hoặc cá nhân không có biện pháp đảm bảo an toàn trong quá trình thu thập, lưu trữ, sử dụng thông tin cá nhân sẽ bị phạt từ 30 - 40 triệu đồng. Việc chuyển giao thông tin cho bên thứ ba mà chưa có sự đồng ý hợp pháp cũng bị xử phạt theo quy định.

Luật sư Nguyễn Quang Vịnh, Công ty Luật TNHH Trường Lộc đánh giá, quy định mới của Nghị định 24 có tác động tích cực trong việc răn đe và hạn chế tình trạng mua bán thông tin cá nhân trái phép, góp phần bảo vệ quyền lợi người tiêu dùng và nâng cao chất lượng quản lý trong nền kinh tế số.

Để Nghị định phát huy hiệu quả, ngoài công tác tuyên truyền, các cơ quan chức năng cần thực hiện đồng bộ nhiều biện pháp như: nâng cao năng lực chuyên môn, phối hợp liên ngành chặt chẽ, tăng cường kiểm tra, giám sát và cải tiến quy trình xử lý vi phạm. Còn về trách nhiệm của cá nhân, tổ chức thu thập, quản lý và sử dụng thông tin cá nhân, luật sư Nguyễn Quang Vịnh cho rằng:

"Cá nhân, tổ chức phải có sự đồng ý hợp lệ, rõ ràng của người dùng, phải thông báo đầy đủ về mục đích, phạm vi và thời gian lưu trữ thông tin. Thứ hai, áp dụng các biện pháp kỹ thuật và quản lý nhằm đảm bảo an ninh thông tin, ngăn ngừa rò rỉ hoặc truy cập trái phép.

Nếu chuyển giao hoặc ủy quyền cho bên thứ ba xử lý thông tin, phải có văn bản ủy quyền rõ ràng, xác định phạm vi trách nhiệm của mỗi bên. Phải xây dựng hệ thống quản lý nội bộ hiệu quả, thường xuyên cập nhật và kiểm tra các biện pháp bảo vệ thông tin. Đảm bảo có cơ chế tiếp nhận, giải quyết khiếu nại của người dùng".

Theo ông Vũ Hoàng Liên, Chủ tịch Hiệp hội Internet Việt Nam, việc giám sát và xử lý vi phạm là cần thiết, nhưng quan trọng hơn là biện pháp hỗ trợ để doanh nghiệp tự nâng cao trách nhiệm và năng lực bảo mật thông tin:

"Việc phát hiện được trước tiên là để hỗ trợ người ta làm tốt hơn, để người ta có những biện pháp, công nghệ. Bên sử dụng dữ liệu cá nhân phải xác định xem nơi mà anh sử dụng là môi trường nào, phương tiện công nghệ gì, đối tượng nào có liên quan, khả năng tiếp cận của các bên ra sao,… để đảm bảo sử dụng đúng mục đích, tránh người không có quyền hạn tiếp cận.

Tận dụng tối đa công nghệ để phục vụ mục tiêu quản lý. Trong nội bộ đơn vị cũng cần có chế tài đối với những người không làm đúng trách nhiệm hoặc sai sót, cố tình lộ lọt dữ liệu cá nhân".

Còn theo ông Võ Đỗ Thắng, Giám đốc Trung tâm tư vấn an ninh mạng Athena, cần có thêm hướng dẫn cụ thể người dân báo cáo, thu thập chứng cứ và gửi cho cơ quan quản lý khi bị quấy rối vì lộ lọt thông tin cá nhân. Ví dụ như việc đặt mua vé máy bay xong thì lập tức các hãng taxi hay xe khách nhắn tin làm phiền, người dân không biết báo đến đâu và khi nào được giải quyết:

"Chúng ta có Nghị định nhưng không quy định rõ đơn vị nào tiếp nhận, xử lý và trả lời người dân, dẫn tới người dân khi bị thiệt hại, quấy rối, “khủng bố” thì người dân không biết báo qua đâu, khi nào có kết quả, khi có kết quả thì được đền bù như thế nào? Khi Facebook bị rò rỉ thông tin thì người dân có yêu cầu đền bù và Facebook đã đền 5 tỷ USD. Để Nghị định đi vào đời sống thì tôi nghĩ cơ quan quản lý nhà nước phải có hướng dẫn chi tiết".

Nâng trách nhiệm để bảo vệ “tài sản” thông tin cá nhân

Theo Công ty An ninh mạng Viettel, trong năm 2024, số lượng thông tin cá nhân bị đánh cắp đã tăng 50%, với hàng chục triệu bản ghi bị rò rỉ. Trong đó, dữ liệu khách hàng bị lộ lọt nhiều nhất, thậm chí có cả thông tin nhận diện khuôn mặt.

Việc siết chặt quy định và tăng nặng mức phạt là cần thiết, song cần nhiều biện pháp quyết liệt hơn nữa trong bối cảnh việc mua bán thông tin cá nhân đã trở thành một “thị trường ngầm” với lợi nhuận khổng lồ.

Dữ liệu cá nhân là một tài sản có giá trị lớn trong thời đại số, khi các nhãn hàng, dịch vụ đang cạnh tranh khốc liệt để hút khách. Do đó, việc nó bị khai thác như một mặt hàng để mua bán, kéo theo một “thị trường” thông tin cá nhân, từ giao dịch ngầm đến công khai trên các hội nhóm mạng xã hội, cũng là điều dễ hiểu.

Các cá nhân làm việc trong ngành ngân hàng, viễn thông, bảo hiểm,… có thể trở thành nguồn cung cấp dữ liệu ngầm. Các ứng dụng, trang web, nền tảng trực tuyến dù có điều khoản bảo mật vẫn âm thầm thu thập dữ liệu người dùng rồi bán cho bên thứ ba. Khi công nghệ ngày càng tinh vi, việc kiểm soát rủi ro càng trở nên khó khăn.

Trong khi đó, nhận thức của người dân và doanh nghiệp còn hạn chế. Việc truy vết, phát hiện và xử lý các hành vi vi phạm trên môi trường mạng ẩn danh chưa được như mong đợi. Điều này kéo theo nhiều hệ lụy, từ quảng cáo, quấy rối đến lừa đảo, khiến người dân lo lắng và bức xúc.

Chính vì vậy, việc ban hành Nghị định 24 năm 2025, trong đó sửa đổi và bổ sung các quy định xử phạt vi phạm hành chính liên quan bảo vệ dữ liệu cá nhân, được kỳ vọng sẽ giảm thiểu tình trạng mua bán thông tin đang nhức nhối bấy lâu nay.

Nghị định đã đặt ra những tiêu chí rõ ràng hơn về việc sử dụng thông tin cá nhân, quy định cụ thể ai có quyền thu thập, xử lý dữ liệu của người dùng và trong những trường hợp nào. Mức phạt cũng tăng từ 30 - 50%, thậm chí tăng gấp đôi với trường hợp dữ liệu nhạy cảm và gấp bốn lần nếu vi phạm do nền tảng số lớn thực hiện.

Tuy nhiên, lợi nhuận từ việc buôn bán thông tin cá nhân quá hấp dẫn, trong khi khả năng bị phát hiện và xử lý thực tế còn thấp. Do đó, cần thêm nhiều giải pháp đồng bộ với sự chung tay của cả cơ quan nhà nước, doanh nghiệp và người dân.

Trước hết, cần tiếp tục hoàn thiện khung pháp lý với những quy định cụ thể, chế tài đủ sức răn đe, cập nhật thực tế biến đối của các hình thức thu thập, sử dụng, mua bán thông tin cá nhân trái phép. Trong đó, dự thảo Luật Bảo vệ dữ liệu cá nhân đang được xây dựng cần tiếp thu rộng rãi ý kiến nhân dân, học tập kinh nghiệm từ các quốc gia phát triển để tạo hành lang pháp lý vững chắc.

Cơ chế giám sát nghiêm ngặt là yếu tố then chốt để đưa các quy định thực sự đi vào đời sống. Cần xử lý nghiêm mọi trường hợp vi phạm, từ cá nhân nhỏ lẻ đến những đường dây, tổ chức có quy mô lớn. Những hội nhóm mua bán thông tin cá nhân công khai, dễ dàng tìm kiếm trên mạng xã hội thực sự là một hình ảnh phản cảm và khiến người dân không khỏi bất an.

Cùng với việc xử lý các cá nhân, tổ chức vi phạm, cơ quan quản lý cũng cần có kênh tiếp nhận phản ánh của người dân, có cơ chế để họ khiếu kiện và được đền bù thiệt hại khi thông tin cá nhân bị mua bán, lộ lọt.

Cơ chế giám sát nghiêm ngặt từ cơ quan quản lý cũng là yếu tố quyết định đến việc tuân thủ của các doanh nghiệp. Điều này càng đặc biệt có ý nghĩa với các đơn vị hoạt động trong lĩnh vực tài chính, ngân hàng, điện lực, viễn thông,…, nơi mà thông tin nhạy cảm bị lộ lọt sẽ dễ dàng dẫn đến những vụ lừa đảo trực tuyến.

Thực tế, dù doanh nghiệp đã tuân thủ quy định, thậm chí thiết lập đội ngũ nhân sự chuyên trách, nhưng vi phạm có thể xảy ra ở nhóm nhân viên trực tiếp tiếp xúc với khách hàng. Đây là khâu khó kiểm soát, vì cá nhân có thể cố tình vi phạm chính sách công ty để trục lợi.

Do vậy, nếu không muốn bị xử phạt, không muốn bị loại khỏi cuộc chơi khi niềm tin của khách hàng sụp đổ thì doanh nghiệp buộc phải nghiêm túc thực hiện các quy định của pháp luật, nâng cao ý thức trong việc bảo vệ thông tin, quy trách nhiệm cho từng bộ phận và giám sát thực hiện.

Đồng thời, các cơ quan quản lý cũng cần tự nâng cao quy trình và năng lực bảo vệ thông tin tại chính đơn vị mình; đồng hành doanh nghiệp, hỗ trợ họ nâng cao công nghệ bảo mật, phòng ngừa tấn công mạng và rò rỉ thông tin.

Và cuối cùng, hơn ai hết, người dân phải hiểu rõ giá trị của dữ liệu cá nhân, nhận diện các rủi ro và chủ động bảo mật thông tin.

Không dễ dàng chia sẻ thông tin cá nhân trên mạng xã hội; không nên ham các chương trình khuyến mãi mập mờ, chỉ cung cấp thông tin cho các tổ chức uy tín, có cam kết rõ ràng về mục đích sử dụng và quy trình bảo mật; không hiếu kỳ nhấp vào những đường link, quét mã QR không xác thực; không hùa theo các trào lưu tiềm ẩn rủi ro, như chỉnh sửa ảnh bằng AI, để tránh nguy cơ rò rỉ dữ liệu khuôn mặt,…

Hãy chủ động và cảnh giác, bởi nếu không biết bảo vệ “tài sản” dữ liệu cá nhân thì chúng ta sẽ phải trả giá bằng tài sản vật chất và sự riêng tư của bản thân.