Báo động tình trạng lộ dữ liệu cá nhân trên không gian mạng

Báo động rò rỉ dữ liệu cá nhân

Dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể. Dữ liệu cá nhân bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Thông tin giúp xác định một con người cụ thể là thông tin hình thành từ hoạt động của cá nhân mà khi kết hợp với các dữ liệu, thông tin lưu trữ khác có thể xác định một con người cụ thể.

Theo Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an, thời gian vừa qua, tình trạng lộ dữ liệu cá nhân diễn ra phổ biến trên không gian mạng. Người sử dụng chưa có ý thức bảo vệ dữ liệu cá nhân, đăng tải công khai hoặc lộ trong quá trình chuyển giao, lưu trữ, trao đổi phục vụ hoạt động kinh doanh hoặc do biện pháp bảo vệ không tương xứng dẫn tới bị chiếm đoạt và đăng tải công khai.

Một số vụ việc điển hình như việc Công ty VNG để lộ hơn 163 triệu tài khoản khách hàng; Công ty Thế giới di động và Điện máy xanh để lộ hơn 5 triệu email và hàng chục nghìn thông tin thẻ thanh toán như Visa, thẻ tín dụng của khách hàng; tin tặc đã tấn công vào hệ thống máy chủ của Việt Nam Airlines, đăng tải lên Internet 411.000 tài khoản khách hàng thành viên của chương trình Bông Sen Vàng; tình trạng để lộ thông tin khách hàng để các công ty môi giới dịch vụ taxi của Việt Nam sử dụng để mời chào khách hàng qua tin nhắn SMS;....

Vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử lý hình sự. (Ảnh minh hoạ)

Hay vừa qua, Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an TP Đà Nẵng cho biết vừa phối hợp với Công an quận Liên Chiểu phá 2 đường dây mua bán thông tin, dữ liệu cá nhân, phát hiện 2 nhóm gồm 11 đối tượng chuyên mua bán dữ liệu cá nhân, sim rác, tạo tài khoản ngân hàng số lượng lớn.

Theo một báo cáo của Bộ Công an, dữ liệu cá nhân của 2/3 dân số Việt Nam đang được lưu trữ, đăng tải, chia sẻ và thu thập trên không gian mạng với nhiều hình thức, mức độ khác nhau. Trong những năm qua, cơ quan chức năng đã phát hiện, xử lý hàng trăm cá nhân, tổ chức liên quan bán dữ liệu cá nhân, trong đó có một số đường dây chiếm đoạt, mua bán dữ liệu quy mô lớn. Số lượng dữ liệu cá nhân bị thu thập, mua bán trái phép phát hiện được lên tới hàng nghìn Gb, kể cả những dữ liệu cá nhân nội bộ, nhạy cảm.

Các mạng xã hội nắm giữ nguồn dữ liệu cá nhân lớn cũng tiềm ẩn nhiều nguy cơ lộ, lọt thông tin. Điển hình như TikTok có thể lấy dữ liệu từ điện thoại mà không cần mở ứng dụng bằng cách theo dõi hoạt động của điện thoại thông qua số điện thoại đăng ký, truy cập vào danh bạ và lịch sử cuộc gọi.

Đáng chú ý, Ủy ban phụ trách vấn đề quyền riêng tư của Canada công bố ngày 23/2 nêu rõ cơ quan quản lý quyền riêng tư liên bang, cũng như các đối tác cấp tỉnh ở Quebec, British Columbia và Alberta, sẽ đánh giá việc TikTok có tuân thủ các luật về quyền riêng tư của Canada hay không. Không chỉ có Canada, nhiều nước trên thế giới cũng đang xem xét kỹ lưỡng các hoạt động của TikTok - thuộc sở hữu của công ty ByteDance Ltd. (Trung Quốc) - do lo ngại rằng ứng dụng này có thể đang thu thập dữ liệu người dùng và sử dụng chúng một cách trái phép.

Tình trạng mua bán dữ liệu cá nhân hiện đang diễn ra phổ biến, công khai, với các dữ liệu thô (như danh sách cán bộ, danh bạ nội bộ của các bộ, tập đoàn kinh tế; khách hàng điện lực trên toàn quốc; thông tin chủ thuê bao điện thoại, internet của các nhà mạng; thông tin khách hàng vay, gửi tiết kiệm ngân hàng; chứng khoán; bảo hiểm; hồ sơ đăng ký kinh doanh; trường học; thông tin hộ khẩu; thông tin khách hàng thuộc các lĩnh vực bất động sản, siêu thị, mua ôtô, xe máy…) và dữ liệu cá nhân đã qua xử lý (gồm thông tin chi tiết về các cá nhân, tổ chức, doanh nghiệp, như họ tên, ngày sinh, số CMND, địa chỉ, số điện thoại, số tài khoản ngân hàng bao gồm cả số dư, thân nhân, chức vụ, vị trí công tác…).

Có thể thấy, những dữ liệu cá nhân được cung cấp trên môi trường mạng khi bị rao bán luôn tiềm ẩn nhiều rủi ro cho những người sử dụng. Không chỉ đến từ các cuộc gọi làm phiền, các tin nhắn quảng cáo, mà nguy hiểm hơn là khi thông tin cá nhân rơi vào tay các đối tượng xấu thường bị sử dụng vào các mục đích như lừa đảo, chiếm đoạt tài khoản ngân hàng, đánh cắp tiền...

Theo các chuyên gia, tình trạng lộ, lọt, hoạt động đánh cắp, mua bán dữ liệu cá nhân diễn ra phổ biến trên không gian mạng trong thời gian qua là do nguyên nhân việc ý thức bảo vệ dữ liệu thông tin của người dân chưa cao. Việc sử dụng sim rác còn nhiều. Bộ hành lang pháp lý chưa phù hợp với thực tiễn, dữ liệu cá nhân vẫn chưa được xem là tài sản, chế tài xử lý chưa đủ sức răn đe.

Tăng cường bảo vệ dữ liệu cá nhân

Để ngăn chặn tình trạng mua bán tràn lan dữ liệu cá nhân, cũng như công tác quản lý đối với các tổ chức, doanh nghiệp có quản lý dữ liệu người dùng, các doanh nghiệp có lượng dữ liệu khách hàng lớn.

Trong bối cảnh đó, việc Chính phủ ban hành Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân chính thức có hiệu lực kể từ ngày 1/7 là hết sức kịp thời và cấp thiết. Theo đó, cơ quan, tổ chức, cá nhân vi phạm quy định bảo vệ dữ liệu cá nhân tùy theo mức độ có thể bị xử lý kỷ luật, xử phạt vi phạm hành chính, xử lý hình sự theo quy định.

Ảnh minh họa.

Nghị định nêu rõ, điều kiện bảo đảm hoạt động bảo vệ dữ liệu cá nhân bao gồm: Lực lượng bảo vệ dữ liệu cá nhân là lực lượng chuyên trách bảo vệ dữ liệu cá nhân được bố trí tại Cơ quan chuyên trách bảo vệ dữ liệu cá nhân; bộ phận, nhân sự có chức năng bảo vệ dữ liệu cá nhân được chỉ định trong cơ quan, tổ chức, doanh nghiệp nhằm bảo đảm thực hiện quy định về bảo vệ dữ liệu cá nhân; tổ chức, cá nhân được huy động tham gia bảo vệ dữ liệu cá nhân; Bộ Công an xây dựng chương trình, kế hoạch cụ thể nhằm phát triển nguồn nhân lực bảo vệ dữ liệu cá nhân.

Dữ liệu cá nhân cơ bản Nghị định quy định bao gồm: Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có); Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích; Giới tính; Nơi sinh, nơi đăng ký khai sinh, nơi thường trú, nơi tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ; Quốc tịch; Hình ảnh của cá nhân;

Số điện thoại, số chứng minh nhân dân, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe, số mã số thuế cá nhân, số bảo hiểm xã hội, số thẻ bảo hiểm y tế; Tình trạng hôn nhân; Thông tin về mối quan hệ gia đình (cha mẹ, con cái);

Thông tin về tài khoản số của cá nhân; dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng; Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại khoản 4 điều này.

Nghĩa vụ của chủ thể dữ liệu: Tự bảo vệ dữ liệu cá nhân của mình; yêu cầu các tổ chức, cá nhân khác có liên quan bảo vệ dữ liệu cá nhân của mình. Tôn trọng, bảo vệ dữ liệu cá nhân của người khác. Cung cấp đầy đủ, chính xác dữ liệu cá nhân khi đồng ý cho phép xử lý dữ liệu cá nhân. Tham gia tuyên truyền, phổ biến kỹ năng bảo vệ dữ liệu cá nhân. Thực hiện quy định của pháp luật về bảo vệ dữ liệu cá nhân và tham gia phòng, chống các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân.

Quyền của chủ thể dữ liệu: Quyền được biết; Quyền đồng ý; Quyền truy cập; Quyền rút lại sự đồng ý; Quyền xóa dữ liệu; Quyền hạn chế xử lý dữ liệu; Quyền cung cấp dữ liệu; Quyền phản đối xử lý dữ liệu; Quyền khiếu nại, tố cáo, khởi kiện; Quyền yêu cầu bồi thường thiệt hại; Quyền tự bảo vệ.

Nghị định quy định các hành vi bị nghiêm cấm gồm: Xử lý dữ liệu cá nhân trái với quy định của pháp luật về bảo vệ dữ liệu cá nhân; Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; Xử lý dữ liệu cá nhân để tạo ra thông tin, dữ liệu gây ảnh hưởng tới an ninh quốc gia, trật tự an toàn xã hội, quyền và lợi ích hợp pháp của các tổ chức, cá nhân khác; Cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan có thẩm quyền; Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật.

Có 5 trường hợp dữ liệu cá nhân được xử lý không cần sự đồng ý của chủ thể dữ liệu cụ thể:

Trong trường hợp khẩn cấp, cần xử lý ngay dữ liệu cá nhân có liên quan để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu hoặc người khác. Bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, Bên thứ ba có trách nhiệm chứng minh trường hợp này.

Việc công khai dữ liệu cá nhân cần tuân thủ theo quy định của luật.

Theo đó, việc xử lý dữ liệu của cơ quan nhà nước có thẩm quyền trong trường hợp tình trạng khẩn cấp về quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, thảm họa lớn, dịch bệnh nguy hiểm; khi có nguy cơ đe dọa an ninh, quốc phòng nhưng chưa đến mức ban bố tình trạng khẩn cấp; phòng, chống bạo loạn, khủng bố, phòng, chống tội phạm và vi phạm pháp luật theo quy định của luật.

Để thực hiện nghĩa vụ theo hợp đồng của chủ thể dữ liệu với cơ quan, tổ chức, cá nhân có liên quan theo quy định của luật.

Phục vụ hoạt động của cơ quan nhà nước đã được quy định theo luật chuyên ngành.