Giăng 'lá chắn số' bảo vệ dữ liệu cá nhân, ngăn chặn tội phạm mạng

Trong khuôn khổ Hội nghị phổ biến, hướng dẫn Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân do Bộ Công an phối hợp cùng Hiệp hội An ninh mạng quốc gia (NCA) tổ chức diễn ra vào ngày 21/8, Thượng tá Nguyễn Đình Đỗ Thi, Phó Trưởng phòng 1, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao đã trình bày những nội dung trọng tâm của Luật Bảo vệ dữ liệu cá nhân năm 2025 và Nghị định số 356/2025/NĐ-CP.

Theo đại diện Cục A05, thực tiễn cho thấy các hoạt động xâm phạm dữ liệu cá nhân đang biến tướng vô cùng phức tạp với việc ứng dụng nhiều phương thức mới dựa trên công nghệ cao. Chỉ tính trong 6 tháng đầu năm 2026, các lực lượng chuyên trách đã rà quét và phát hiện ra khoảng 2 triệu cảnh báo tấn công mạng. Đáng lo ngại, 50% trong số các cảnh báo này có sự can thiệp của Trí tuệ nhân tạo (AI). Nhờ công cụ AI, các đối tượng có khả năng tự động hóa toàn bộ các khâu từ dò tìm lỗ hổng, xâm nhập hệ thống cho đến thực thi các hành vi tấn công với tốc độ chớp nhoáng.

Song song với đó, thị trường mua bán dữ liệu trái phép cũng hoạt động với quy mô đặc biệt lớn. Các báo cáo ghi nhận riêng trong năm 2025, lực lượng chức năng đã bóc gỡ hơn 40 vụ việc giao dịch bất hợp pháp, thu giữ khoảng 160 triệu bản ghi.

"Các tệp dữ liệu này chứa hàng triệu thông tin chi tiết, trải dài từ họ tên, số điện thoại cho đến các dữ liệu tài chính và nhiều thông tin giá trị cao khác," Thượng tá Nguyễn Đình Đỗ Thi cho biết.

Không dừng lại ở đó, các thiết bị thông minh trong gia đình (như camera giám sát, điện thoại cá nhân, Smart TV) cũng dễ dàng trở thành cửa ngõ để tội phạm khai thác. Minh chứng điển hình được Thượng tá Nguyễn Đình Đỗ Thi viện dẫn là vụ án tại Đà Nẵng vào năm 2023. Trong vụ việc này, thủ phạm đã lợi dụng lỗ hổng phân quyền của hệ thống camera để âm thầm thâm nhập, trích xuất các hình ảnh nhạy cảm trong phòng ngủ và dùng chính những hình ảnh đó để tống tiền gia chủ 130 triệu đồng.

Mổ xẻ nguyên nhân của thực trạng nhức nhối trên, Thượng tá cho rằng vấn đề xuất phát từ cả hai phía. Đối với người dân, tâm lý chủ quan khi phơi bày thông tin đời tư trên mạng vẫn rất phổ biến. Ở khối cơ quan, doanh nghiệp, nhiều nơi chưa triển khai toàn diện các rào chắn bảo vệ; quy trình kiểm soát còn lỏng lẻo. Nguy hiểm hơn, không ít nhân sự có đặc quyền truy cập kho dữ liệu đã lợi dụng vị trí công tác để lén lút tuồn thông tin ra ngoài.

Toàn cảnh sự kiện.

Sự bất cẩn này khiến khối dữ liệu cá nhân trở thành "nguồn sống" cho các đường dây lừa đảo. Hiện Việt Nam có hơn 30 loại hình tội phạm mạng khác nhau, trong đó lừa đảo tài chính chiếm tỷ lệ lớn. Bọn chúng thường xuyên dàn dựng các kịch bản cực kỳ tinh vi như mạo danh nhân viên ngân hàng, công an hay cán bộ bảo hiểm hòng thao túng tâm lý, moi móc thông tin để chiếm đoạt tài sản. Trong giai đoạn 2020-2025, lực lượng chức năng đã triệt phá 24.000 vụ lừa đảo chiếm đoạt tài sản trên không gian mạng, với số tiền bị chiếm đoạt hơn 40.000 tỷ đồng.

Mua bán dữ liệu cá nhân: Phạt tối đa 10 lần khoản thu lợi bất chính, 5% tổng doanh thu của năm tài chính liền trước

Chính thức có hiệu lực từ ngày 1/1/2026 (sau khi được Quốc hội khóa XV thông qua vào ngày 26/6/2025), Luật Bảo vệ dữ liệu cá nhân ra đời nhằm nhằm cụ thể hóa quyền bí mật đời tư được Hiến pháp quy định, đồng thời tham khảo nhiều chuẩn mực pháp lý quốc tế. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam và cả tổ chức, cá nhân nước ngoài trực tiếp tham gia xử lý dữ liệu của công dân Việt Nam theo quy định.

Luật xác định dữ liệu cá nhân bao gồm dữ liệu cơ bản và dữ liệu nhạy cảm. Hoạt động xử lý dữ liệu được hiểu theo phạm vi rộng, bao gồm thu thập, lưu trữ, chỉnh sửa, phân tích, chia sẻ, tiết lộ, xóa hoặc hủy dữ liệu. Trong quá trình xử lý, luật xác định rõ vai trò của bên kiểm soát dữ liệu, bên xử lý dữ liệu, bên vừa kiểm soát vừa xử lý dữ liệu và bên thứ ba.

Đáng chú ý, quyền của chủ thể dữ liệu được mở rộng với 11 nhóm quyền, trong đó có quyền đồng ý hoặc rút lại sự đồng ý, truy cập, chỉnh sửa, xóa dữ liệu, hạn chế hoặc phản đối xử lý dữ liệu, khiếu nại, tố cáo và yêu cầu bồi thường thiệt hại.

Việc xử lý dữ liệu về nguyên tắc phải dựa trên sự tự nguyện của chủ thể dữ liệu, đồng thời người dân phải được biết về loại dữ liệu được xử lý, mục đích xử lý, các bên liên quan và quyền, nghĩa vụ của mình. Luật cũng quy định một số trường hợp không cần sự đồng ý, như xử lý dữ liệu để bảo vệ tính mạng, sức khỏe trong tình trạng khẩn cấp; phục vụ an ninh quốc gia, trật tự, an toàn xã hội hoặc thực hiện nghĩa vụ theo hợp đồng.

Luật đồng thời nghiêm cấm các hành vi xử lý dữ liệu nhằm chống lại Nhà nước, xâm phạm an ninh quốc gia; mua bán dữ liệu cá nhân, trừ trường hợp luật định; cố ý làm mất hoặc chiếm đoạt dữ liệu cá nhân. Đối với hoạt động chuyển dữ liệu cá nhân ra nước ngoài, tổ chức phải thực hiện đánh giá tác động và lập hồ sơ theo quy định nhằm bảo đảm an toàn cho dòng chảy dữ liệu.

Các đại biểu tham dự chương trình.

Các đại biểu tham dự chương trình.

Một điểm đáng chú ý khác, Thượng tá Nguyễn Đình Đỗ Thi nhấn mạnh, chế tài xử phạt được thiết kế ở mức cao. Hành vi mua bán dữ liệu cá nhân có thể bị phạt tối đa 10 lần khoản thu lợi bất chính; tổ chức có thể bị phạt tới 5% tổng doanh thu của năm tài chính liền trước đối với các vi phạm nghiêm trọng theo quy định.

Chủ động thiết lập "lá chắn số"

Luật cũng đặt yêu cầu rõ hơn về nhân sự chuyên trách bảo vệ dữ liệu cá nhân (DPO). Theo đó, tổ chức phải bổ nhiệm bằng văn bản nhân sự hoặc bộ phận thực hiện nhiệm vụ này. Nhân sự DPO phải có trình độ từ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm trong các lĩnh vực như pháp chế, công nghệ thông tin, an ninh mạng hoặc quản trị rủi ro và được đào tạo, bồi dưỡng kiến thức chuyên môn về bảo vệ dữ liệu cá nhân.

Từ nền tảng pháp lý mới, Thượng tá Nguyễn Đình Đỗ Thi lưu ý các cơ quan, doanh nghiệp cần khẩn trương rà soát, phân loại toàn bộ hoạt động xử lý dữ liệu. Kế đó, cần áp dụng các biện pháp kỹ thuật bảo vệ tương xứng; sớm chỉ định nhân sự chuyên trách; đẩy mạnh đào tạo nội bộ và chuẩn hóa quy trình thực hiện các quyền của khách hàng. Công tác đánh giá tác động xử lý dữ liệu cũng phải được tiến hành định kỳ.

Đứng ở góc độ cá nhân, Thượng tá đặc biệt khuyến nghị người dân: Tuyệt đối không chia sẻ các dữ liệu đời tư hay giấy tờ tùy thân lên mạng; không đánh đổi thông tin cá nhân để nhận các tiện ích không rõ nguồn gốc. Người dùng cần cẩn trọng không kết nối thiết bị lưu trữ vào máy tính lạ; không mở các tệp tin, đường link không xác định. Đặc biệt, tuyệt đối không chuyển tiền hoặc làm theo bất kỳ hướng dẫn nào từ người lạ khi chưa xác minh kỹ càng.

Tổng kết lại vấn đề, Thượng tá Nguyễn Đình Đỗ Thi khẳng định, công tác bảo vệ dữ liệu cá nhân không chỉ dừng lại ở việc tuân thủ pháp lý mà cần phải trở thành văn hóa của mỗi cơ quan, doanh nghiệp và người dân. Việc thực thi tốt điều này sẽ tạo nền móng vững chắc để hình thành "lá chắn số", góp phần xây dựng một môi trường số an toàn, đáng tin cậy và phục vụ hiệu quả cho sự phát triển kinh tế - xã hội.