Bảo vệ dữ liệu cá nhân là trách nhiệm của ai: Nhà nước, doanh nghiệp hay cá nhân?

"Chợ đen" dữ liệu cá nhân

Kỷ nguyên công nghệ 4.0, mỗi cú nhấp chuột, mỗi giao dịch trực tuyến, mỗi lần khai báo thông tin để sử dụng dịch vụ tiện ích đều vô hình trung đều tạo nên những “dấu chân số” của chúng ta.

Dữ liệu cá nhân - từ thông tin định danh cơ bản đến các dữ liệu nhạy cảm về sức khỏe, tài chính, thói quen sinh hoạt đã trở thành “mỏ vàng đen” của thời đại số hóa. Tuy nhiên, chính nơi đây lại đang biến thành “vùng nguy hiểm” với quyền riêng tư và an toàn của người dân.

Theo nghiên cứu từ Cybernews, từ tháng 4/2024 tới tháng 4/2025 đã ghi nhận hơn 200 vụ vi phạm dữ liệu nghiêm trọng, làm rò rỉ 19,030 tỷ mật khẩu thật. Đáng nói hơn, tới 94% trong số đó được người dùng tái sử dụng, dù là trên cùng một nền tảng hay giữa nhiều dịch vụ khác nhau. Điều này mở đường cho các chuỗi tấn công mạng lan rộng.

Theo báo cáo của Công ty An ninh mạng Viettel, năm 2024, Việt Nam ghi nhận khoảng 14,5 triệu tài khoản bị rò rỉ, tương đương gần 12% trên toàn cầu. Đa số các mật khẩu này được người dùng tái sử dụng trên nhiều nền tảng, khiến tin tặc dễ dàng thực hiện các cuộc tấn công bằng phương pháp Brute force và Vredential stuffing.

Nhiều vụ việc rò rỉ dữ liệu cá nhân nghiêm trọng, ảnh hưởng đến hàng triệu người dân. Từ thông tin khách hàng các ngân hàng thương mại, công ty bảo hiểm, nhà mạng viễn thông, cho đến hồ sơ bệnh án điện tử, thông tin học sinh sinh viên - tất cả đều có thể trở thành “hàng hóa” rao bán công khai trên các sàn giao dịch bất chính.

Từ nghị định đến Luật Bảo vệ dữ liệu: Tấm "khiên" nào đủ mạnh?

Câu hỏi cấp bách được đặt ra: Trong vòng xoáy nguy cơ mất an toàn dữ liệu, ai sẽ đứng ra bảo vệ người dùng? Pháp luật Nhà nước có đang thực sự là “khiên chắn” đủ mạnh? Bản thân mỗi công dân có thể trang bị những “vũ khí” nhận thức nào để tự vệ trong cuộc chiến bất cân sức này?

Sự ra đời của Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã đánh dấu bước ngoặt quan trọng trong lịch sử pháp luật Việt Nam về lĩnh vực này. Lần đầu tiên, chúng ta có một văn bản quy phạm pháp luật tương đối toàn diện, tiệm cận với các tiêu chuẩn quốc tế như GDPR (General Data Protection Regulation) của Liên minh châu Âu.

Tuy nhiên, với tính chất là Nghị định do Chính phủ ban hành, hiệu lực pháp lý và khả năng răn đe vẫn còn những hạn chế nhất định. Việc Quốc hội hiện đang xem xét dự thảo Luật Bảo vệ dữ liệu cá nhân được kỳ vọng sẽ mang lại những đột phá vượt trội.

Thứ nhất, về tính pháp lý, Luật do Quốc hội ban hành sẽ có hiệu lực cao nhất trong hệ thống pháp luật, tạo ra khung quy định thống nhất cho toàn bộ hoạt động xử lý dữ liệu cá nhân. Điều này không chỉ áp dụng với các tổ chức, doanh nghiệp mà còn làm rõ trách nhiệm của các cơ quan nhà nước trong việc bảo vệ dữ liệu công dân.

Thứ hai, về chế tài xử lý, luật có thể quy định các hình phạt nghiêm khắc hơn, không chỉ dừng lại ở xử phạt hành chính mà còn bao gồm trách nhiệm dân sự (bồi thường thiệt hại thực tế và tinh thần) cũng như hình sự hóa các hành vi xâm phạm dữ liệu đặc biệt nghiêm trọng. Theo dự thảo, mức phạt có thể lên đến 5% doanh thu hàng năm của doanh nghiệp vi phạm.

Thứ ba, về quyền của chủ thể dữ liệu: Luật được kỳ vọng sẽ cụ thể hóa và tăng cường khả năng thực thi các quyền cơ bản như quyền được biết, truy cập, chỉnh sửa, xóa bỏ dữ liệu, quyền khiếu nại và yêu cầu bồi thường thiệt hại.

Từ virus, cảnh báo đỏ đến camera giám sát, nỗi lo chung trong thời đại số hóa, nơi dữ liệu cá nhân có thể bị xâm phạm chỉ sau một cú nhấp chuột bất cẩn. Ảnh: AI

Quyền riêng tư ngay trong tay bạn

Về phía người dân, chủ nhân thực sự của dữ liệu và “vũ khí” nhận thức trước hết cần hiểu rõ quyền của mình cũng là nền tảng của tự bảo vệ.

Theo đó, mỗi công dân cần nắm vững “bộ quyền số” cơ bản được pháp luật bảo vệ.

Đó là quyền được thông tin minh bạch. Cụ thể, trước khi cung cấp dữ liệu, bạn có quyền được biết rõ ai thu thập, thu thập để làm gì, trong bao lâu, có chia sẻ cho ai hay không.

Kế đến là quyền đồng ý có điều kiện, nghĩa là sự đồng ý phải tự nguyện, cụ thể và có thể rút lại. Các checkbox mặc định đã được tích sẵn hoặc điều khoản gói ghém đều là vi phạm.

Quyền truy cập và sửa đổi là yêu cầu cung cấp bản sao dữ liệu đang được lưu trữ và đòi hỏi chỉnh sửa thông tin sai lệch.

Quyền xóa dữ liệu khi mục đích thu thập đã hoàn thành hoặc không còn cần thiết, bạn có quyền yêu cầu xóa bỏ hoàn toàn.

Và cuối cùng là quyền khiếu nại và bồi thường. Chính là khi quyền bị xâm phạm, có thể khiếu nại đến cơ quan quản lý hoặc khởi kiện để đòi bồi thường.

Để tự bảo vệ dữ liệu cá nhân, tránh trở thành nạn nhân, mỗi người cần chủ động trang bị những “khiên chắn” số thiết yếu.

Tạo mật khẩu mạnh, tối thiểu 12 ký tự, kết hợp đa dạng ký tự, khác nhau cho mỗi tài khoản. Bật xác thực hai yếu tố (2FA) mọi nơi có thể.

Kiểm tra chính sách quyền riêng tư, đặc biệt về chia sẻ dữ liệu và mục đích sử dụng. Cảnh giác với ứng dụng yêu cầu quyền không liên quan.

Tránh giao dịch tài chính qua WiFi công cộng. Không nhấp link đáng ngờ như thông báo trúng thưởng hay xác minh khẩn cấp.

Suy nghĩ kỹ trước khi đăng thông tin cá nhân, vị trí. Tránh khoe vé máy bay có mã QR hay check-in tại nhà với chế độ công khai.

Cuộc chiến bảo vệ dữ liệu cá nhân không phải “trận đánh” của riêng ai, mà là nỗ lực chung của toàn xã hội. Việc xây dựng và thực thi hiệu quả hệ thống trách nhiệm rõ ràng từ Nhà nước, doanh nghiệp đến từng công dân không chỉ là yêu cầu pháp lý mà còn là điều kiện tiên quyết để Việt Nam phát triển an toàn, bền vững trong kỷ nguyên số.

Luật Bảo vệ dữ liệu cá nhân sắp được ban hành sẽ là cột mốc quan trọng, nhưng thành công cuối cùng phụ thuộc vào việc mỗi chủ thể thực hiện đúng vai trò, trách nhiệm của mình. Chỉ khi chiếc kiềng ba chân Nhà nước - Doanh nghiệp - Người dân cùng vững chắc, chúng ta mới có thể thực sự làm chủ dự liệu của mình và khai thác những lợi ích to lớn mà chuyển đổi số mang lại một cách an toàn và bền vững.

Trách nhiệm được xác định và thực hiện hiệu quả hôm nay chính là sự đảm bảo cho một tương lai số an toàn hơn cho tất cả chúng ta vào ngày mai.

Information Commissioner's Office (ICO) của Anh hay các Data Protection Authorities (DPAs) ở EU, những cơ quan này có tính độc lập trong hoạt động điều tra, thanh tra; thẩm quyền mạnh trong xử lý vi phạm và áp dụng chế tài; có nguồn lực đầy đủ về nhân sự chuyên môn và kinh phí hoạt động và vai trò tư vấn cho Chính phủ trong việc hoàn thiện chính sách. Đây là những mô hình cần được tham khảo kinh nghiệm.

×