Cảnh báo phải đến được với người bị ảnh hưởng
Lộ dữ liệu cá nhân là sự cố khiến thông tin nhận dạng hoặc dữ liệu riêng tư của một người có thể bị người khác truy cập, khai thác hay sử dụng sai mục đích, tạo nguy cơ cho tài khoản và quyền lợi của họ. Vì vậy, sau sự cố, thông báo kịp thời không nên là thủ tục phụ mà phải là một phần của ứng phó an ninh dữ liệu.
Trong phiên thảo luận tại Quốc hội sáng 4/11 về dự án Luật An ninh dữ liệu và Luật Định danh và xác thực điện tử, đại biểu Nguyễn Vũ Trung, Đoàn TP.HCM, đề nghị bổ sung nghĩa vụ thông báo cho cá nhân bị ảnh hưởng khi xảy ra lộ, lọt thông tin. Đây là đề xuất đúng trọng tâm: người dân không thể tự bảo vệ nếu không biết dữ liệu nào có thể đã bị lộ, sự cố gây ra nguy cơ gì và cần làm gì tiếp theo. Một lời báo chung chung rằng “đang xử lý sự cố” không đủ để người nhận quyết định có nên khóa tài khoản hay theo dõi giao dịch.
Mức độ khẩn cấp có cơ sở rõ ràng. Theo đề nghị của đại biểu, sự cố từ cấp độ 3 trở lên cần được báo cáo chậm nhất trong 24 giờ kể từ khi phát hiện; nguy cơ đặc biệt nghiêm trọng phải báo ngay. Báo cáo cho cơ quan có thẩm quyền là cần thiết, nhưng cảnh báo trực tiếp tới người có nguy cơ bị ảnh hưởng mới giúp họ kịp hành động.
Thông báo phải đi kèm hướng dẫn hành động
Biết thông tin bị lộ là bước đầu; người dân còn cần biết cách giảm thiệt hại. Đại biểu Nguyễn Vũ Trung đề nghị thông báo phải làm rõ dữ liệu có thể bị lộ, nguy cơ phát sinh và hướng dẫn các biện pháp như khóa tài khoản, đổi mật khẩu, chặn giao dịch. Đây là khác biệt giữa một thông báo mang tính hình thức và một cảnh báo có ích.
Hướng dẫn nên gắn với loại dữ liệu và dịch vụ liên quan: nếu có nguy cơ truy cập trái phép, chỉ rõ tài khoản nào cần khóa; nếu thông tin xác thực có thể bị lộ, khuyến nghị đổi mật khẩu; nếu tài khoản gắn với giao dịch, nêu cách yêu cầu chặn giao dịch. Đây là những bước thiết thực để người dân chủ động bảo vệ tài sản và quyền riêng tư, thay vì phải tự đoán mức độ nguy hiểm.
Cảnh báo cũng cần dễ hiểu và dễ tiếp cận. Đại biểu Thạch Phước Bình đề nghị cơ quan, tổ chức cung cấp dịch vụ hỗ trợ hoặc có phương thức xác minh phù hợp cho người cao tuổi, trẻ em, người khuyết tật và người gặp khó khi sử dụng phương tiện điện tử. Nếu hướng dẫn chỉ vận hành tốt với người quen thao tác trực tuyến, nhóm dễ bị tổn thương có thể nhận được cảnh báo nhưng vẫn không thể tự bảo vệ.
Nguy cơ không còn là chuyện xa vời
Lý do cần đặt người bị ảnh hưởng ở trung tâm rất rõ: dữ liệu bị lộ có thể kéo theo nguy cơ ngoài không gian mạng. Đại biểu Phạm Thu Xanh nêu y tế, ngân hàng và bảo hiểm là những lĩnh vực tiềm ẩn nguy cơ cao về lộ, lọt, mua bán dữ liệu. Năm 2025, cơ quan chức năng phát hiện khoảng 300 vụ rao bán dữ liệu với hơn 1,7 triệu bản ghi ở một số lĩnh vực, trong đó có dữ liệu y tế.
Dữ liệu y tế còn chứa lịch sử sức khỏe và thông tin riêng tư; sự cố ở bệnh viện vì thế không chỉ là vấn đề công nghệ. Bảo vệ dữ liệu phải đi cùng an toàn người bệnh và tính liên tục của khám, chữa bệnh. Tương tự, khi một sự cố có thể ảnh hưởng tài khoản thanh toán, cảnh báo chậm khiến người dùng mất thời gian quý giá để yêu cầu chặn giao dịch.
Dự thảo luật xác định năm cấp độ rủi ro, dựa trên khả năng xảy ra sự cố và mức độ thiệt hại đối với an ninh, trật tự cũng như quyền và lợi ích hợp pháp. Phân cấp có thể giúp tổ chức ứng phó tương xứng, nhưng không nên biến thành lý do để người dân phải chờ đợi khi thông tin của họ có nguy cơ bị khai thác. Ngưỡng báo cáo và nghĩa vụ cảnh báo cần được quy định rõ, dễ kiểm tra.
Quy định phải biến trách nhiệm thành hành động cụ thể
Đề xuất tại Quốc hội đặt ra một yêu cầu thiết thực: cơ quan, tổ chức liên quan cần thông báo sớm và chỉ dẫn cụ thể để người bị ảnh hưởng có thể tự bảo vệ. Tuy nhiên, phạm vi hỗ trợ sau cảnh báo cần được làm rõ trong quy định; nếu chỉ gửi thông tin mà không chỉ đường xử lý, gánh nặng ứng phó vẫn bị đẩy sang người dân.
Các đại biểu cũng đề nghị hoàn thiện quy định về bảo vệ dữ liệu, ứng phó sự cố và bảo đảm quyền tiếp cận dịch vụ số. Với biện pháp kỹ thuật khẩn cấp, cần nêu căn cứ, phạm vi, thời hạn và phương án khôi phục; trước khi đình chỉ hệ thống thiết yếu, nên đánh giá tác động và ưu tiên cô lập phần bị xâm nhập nếu khả thi. Như vậy, ứng phó không chỉ nhằm ngăn sự cố lan rộng mà còn hạn chế gián đoạn dịch vụ thiết yếu.
Liên kết tài khoản giao dịch điện tử với danh tính điện tử quốc gia trong các lĩnh vực như ngân hàng, chứng khoán, viễn thông, thương mại điện tử và khám chữa bệnh được đại biểu đánh giá có ý nghĩa trong phòng chống giả mạo danh tính, bảo vệ tài sản. Nhưng công cụ phòng ngừa không thay thế nghĩa vụ cảnh báo sau sự cố. Bảo vệ dữ liệu chỉ có ý nghĩa khi người dân được báo đúng lúc, hiểu nguy cơ và biết cách hành động. Luật cần bảo đảm cả ba điều đó.
