Phạt người không tự bảo vệ dữ liệu cá nhân có hợp lý?

Lưu tin

Một đề xuất đáng chú ý trong Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân là việc phạt từ 50-70 triệu đồng đối với hành vi “Chủ thể dữ liệu không tự bảo vệ dữ liệu cá nhân của mình”.

Ở góc nhìn quản lý, đây là một bước đi nhằm nâng cao ý thức người dân trong bối cảnh dữ liệu cá nhân đang bị thu thập, mua bán, khai thác tràn lan. Nhưng ở góc nhìn xã hội, đề xuất này chạm đến một câu hỏi lớn hơn, liệu có công bằng khi đặt gánh nặng bảo vệ dữ liệu lên vai cá nhân, trong khi họ là mắt xích yếu nhất trong toàn bộ hệ sinh thái số.

Dữ liệu cá nhân, từ số điện thoại, căn cước, tài khoản ngân hàng, đến hành vi tiêu dùng, thói quen trực tuyến, ngày nay không còn chỉ là thông tin riêng tư, mà đã trở thành một loại tài sản có giá trị kinh tế rất lớn. Chính cơ quan chức năng cũng thừa nhận dữ liệu là “mỏ vàng mới” để tội phạm công nghệ cao xây dựng hàng trăm kịch bản lừa đảo tinh vi.

Nhưng điều nghịch lý là, trong “mỏ vàng” đó, người dân lại thường không phải là người kiểm soát, mà chỉ là “chủ sở hữu trên danh nghĩa”.

Chúng ta đang sống trong một môi trường mà dữ liệu cá nhân được thu thập gần như mặc định. Mỗi lần đăng ký tài khoản, mỗi lần mua hàng online, mỗi lần cài ứng dụng, người dùng đều phải cung cấp thông tin. Thậm chí, nhiều dịch vụ yêu cầu truy cập danh bạ, vị trí, camera, micro, vượt xa nhu cầu thực tế.

Trong phần lớn các trường hợp, người dùng không có lựa chọn thực sự. Hoặc đồng ý, hoặc không được sử dụng dịch vụ.

Vậy câu hỏi đặt ra là, trong một hệ sinh thái mà việc thu thập dữ liệu mang tính “cưỡng bức mềm” như vậy, cá nhân có thực sự đủ năng lực để “tự bảo vệ” hay không?

Thực tế cho thấy, phần lớn các vụ lộ lọt dữ liệu quy mô lớn không xuất phát từ sự bất cẩn của cá nhân, mà từ các tổ chức lưu trữ dữ liệu. Từ các nền tảng thương mại điện tử, ứng dụng tài chính, đến các dịch vụ công, dữ liệu thường bị rò rỉ do lỗ hổng hệ thống, quản trị yếu kém, hoặc bị tấn công.

Trong khi đó, người dân gần như không thể biết dữ liệu của mình đang được lưu ở đâu, ai đang sử dụng, và được bảo vệ ra sao.

Việc yêu cầu cá nhân “tự bảo vệ dữ liệu” vì thế có nguy cơ trở thành một cách tiếp cận chưa cân xứng. Nó giống như yêu cầu người gửi tiền phải tự bảo vệ tiền của mình, thay vì yêu cầu ngân hàng phải đảm bảo an toàn hệ thống.

Không thể phủ nhận rằng người dùng cũng có trách nhiệm. Việc chia sẻ thông tin tùy tiện, sử dụng mật khẩu yếu, hoặc dễ dàng cung cấp mã OTP cho người lạ là những nguyên nhân trực tiếp dẫn đến nhiều vụ lừa đảo.

Nhưng nếu nhìn sâu hơn, những hành vi này không hoàn toàn là lỗi cá nhân, mà còn là hệ quả của một môi trường số thiếu minh bạch, thiếu giáo dục, và thiếu cơ chế bảo vệ.

Một người lớn tuổi bị lừa cung cấp mã OTP không chỉ vì thiếu cảnh giác, mà còn vì họ không được trang bị kỹ năng số. Một người dùng đồng ý cấp quyền truy cập danh bạ không phải vì họ muốn, mà vì ứng dụng không cho họ lựa chọn khác.

Do đó, nếu chỉ dừng lại ở việc xử phạt cá nhân, chính sách sẽ có nguy cơ đi chệch trọng tâm. Thay vì tạo ra một hệ sinh thái an toàn hơn, nó có thể khiến người dân trở thành “đối tượng bị phạt” trong khi các chủ thể nắm giữ dữ liệu lại chưa chịu trách nhiệm tương xứng.

Ở các quốc gia phát triển, nguyên tắc phổ biến là trách nhiệm chính thuộc về bên thu thập và xử lý dữ liệu. Các doanh nghiệp phải chứng minh họ bảo vệ dữ liệu đúng cách, nếu không sẽ bị phạt rất nặng, thậm chí tính theo phần trăm doanh thu toàn cầu.

Trong khi đó, quyền của người dùng được đặt ở vị trí trung tâm, họ có quyền biết dữ liệu của mình được dùng thế nào, quyền yêu cầu xóa, quyền từ chối, và quyền được bồi thường nếu bị xâm phạm.

Việt Nam đã bắt đầu đi theo hướng này với Luật Bảo vệ dữ liệu cá nhân, trong đó quy định rõ dữ liệu cá nhân là thông tin có thể xác định một con người cụ thể, bao gồm cả dữ liệu nhạy cảm.

Tuy nhiên, thách thức lớn nhất không nằm ở việc có luật, mà ở việc thực thi.

Một trong những vấn đề nổi cộm hiện nay là thị trường mua bán dữ liệu cá nhân gần như công khai. Chỉ cần vài cú nhấp chuột, người ta có thể mua danh sách khách hàng theo ngành nghề, thu nhập, khu vực, thậm chí cả hành vi tiêu dùng.

Điều này cho thấy dữ liệu không chỉ bị rò rỉ, mà còn bị thương mại hóa có hệ thống.

Dữ liệu cá nhân được xem là "mỏ vàng mới" để tội phạm công nghệ cao thực hiện hàng trăm kịch bản lừa đảo.

Trong bối cảnh đó, nếu cá nhân bị phạt vì “không tự bảo vệ dữ liệu”, thì câu hỏi cần được trả lời rõ ràng là: họ phải bảo vệ bằng cách nào?

Không thể yêu cầu một người dân bình thường hiểu và kiểm soát các thuật toán thu thập dữ liệu, các điều khoản sử dụng dài hàng chục trang, hay các cơ chế chia sẻ dữ liệu xuyên biên giới.

Cũng không thể yêu cầu họ từ chối toàn bộ các dịch vụ số chỉ để giữ an toàn tuyệt đối.

Do đó, nếu muốn quy định này khả thi và công bằng, cần làm rõ ba vấn đề.

Thứ nhất, phải định nghĩa cụ thể thế nào là “không tự bảo vệ dữ liệu”. Nếu không có tiêu chí rõ ràng, quy định sẽ dễ dẫn đến tùy tiện trong áp dụng.

Thứ hai, cần phân định rõ trách nhiệm giữa cá nhân và tổ chức. Cá nhân chỉ nên chịu trách nhiệm trong phạm vi hành vi chủ động của mình, như cố ý chia sẻ thông tin cho mục đích trái pháp luật.

Thứ ba, phải đặt trách nhiệm chính lên các tổ chức thu thập và xử lý dữ liệu, từ doanh nghiệp đến cơ quan nhà nước. Đây mới là nơi cần những chế tài mạnh, minh bạch và có tính răn đe cao.

Quan trọng hơn, bảo vệ dữ liệu cá nhân không thể chỉ là câu chuyện của pháp luật, mà còn là câu chuyện của giáo dục và công nghệ.

Người dân cần được trang bị kỹ năng số, từ việc nhận diện lừa đảo, quản lý mật khẩu, đến hiểu quyền của mình. Các nền tảng công nghệ cần thiết kế theo hướng bảo vệ người dùng ngay từ đầu, thay vì đẩy trách nhiệm về phía họ.

Và trên hết, cần xây dựng một hệ sinh thái mà trong đó dữ liệu cá nhân được coi là tài sản cần được bảo vệ nghiêm ngặt, không phải là “nguồn tài nguyên” để khai thác tùy tiện.

Đề xuất phạt người không tự bảo vệ dữ liệu cá nhân có thể xuất phát từ mục tiêu tốt, nâng cao ý thức xã hội. Nhưng nếu không được thiết kế cẩn trọng, nó có thể tạo ra một nghịch lý, khi người yếu nhất trong hệ thống lại là người chịu rủi ro lớn nhất.

Trong kỷ nguyên số, bảo vệ dữ liệu cá nhân không phải là lựa chọn, mà là điều kiện để đảm bảo an toàn, niềm tin và sự phát triển bền vững của xã hội.

Và nếu phải chọn một nguyên tắc cốt lõi, thì đó nên là, trách nhiệm càng lớn phải thuộc về bên nắm giữ nhiều quyền lực hơn đối với dữ liệu.

Lê Thọ Bình