Bảo vệ dữ liệu cá nhân - Kỷ luật số của mỗi cán bộ, chiến sĩ

Chuyển đổi số giúp lực lượng Công an nhân dân khai thác dữ liệu nhanh hơn, giải quyết công việc chính xác hơn và phục vụ người dân thuận tiện hơn. Tuy nhiên, dữ liệu càng được kết nối, chia sẻ và sử dụng rộng rãi thì trách nhiệm bảo vệ càng lớn. Mỗi thao tác truy cập, sao chép, lưu trữ hoặc chuyển tiếp dữ liệu đều phải được thực hiện đúng thẩm quyền, đúng mục đích và bảo đảm an toàn.

Ảnh minh họa.

Dữ liệu cá nhân không chỉ là số căn cước

Khi nói đến dữ liệu cá nhân, nhiều người thường chỉ nghĩ đến họ tên, ngày sinh, địa chỉ hoặc số căn cước. Trên thực tế, phạm vi dữ liệu cá nhân rộng hơn nhiều, bao gồm những thông tin có thể trực tiếp hoặc gián tiếp xác định một con người cụ thể.

Bên cạnh các thông tin thông thường như số điện thoại, địa chỉ cư trú, hình ảnh cá nhân, dữ liệu còn có thể liên quan đến tài khoản điện tử, tài khoản ngân hàng, vị trí, sức khỏe, sinh trắc học, quan hệ gia đình, lịch sử giao dịch, thông tin phản ánh, tố giác hoặc các dữ liệu phát sinh trong quá trình giải quyết thủ tục hành chính.

Một thông tin riêng lẻ có thể chưa gây nguy hiểm. Tuy nhiên, khi nhiều thông tin được ghép nối, đối tượng xấu có thể dựng lại tương đối đầy đủ “hồ sơ số” của một người, từ đó thực hiện hành vi giả danh, lừa đảo, chiếm đoạt tài sản, đe dọa, bôi nhọ hoặc xâm phạm đời tư.

Đối với lực lượng Công an nhân dân, dữ liệu cá nhân còn gắn trực tiếp với quá trình quản lý nhà nước về an ninh, trật tự; giải quyết thủ tục hành chính; tiếp nhận tin báo, tố giác; đấu tranh phòng, chống tội phạm và phục vụ người dân. Vì vậy, bảo vệ dữ liệu không chỉ là yêu cầu về kỹ thuật mà trước hết là trách nhiệm pháp lý, trách nhiệm công vụ và kỷ luật nghề nghiệp.

Hành lang pháp lý mới về bảo vệ dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 01/01/2026, đánh dấu bước hoàn thiện quan trọng của pháp luật Việt Nam trong bảo vệ quyền riêng tư và bảo đảm an toàn dữ liệu. Luật quy định quyền, nghĩa vụ của chủ thể dữ liệu; trách nhiệm của cơ quan, tổ chức, cá nhân xử lý dữ liệu; đồng thời nghiêm cấm các hành vi mua bán, chiếm đoạt, cố ý làm lộ, làm mất hoặc sử dụng dữ liệu cá nhân vào mục đích trái pháp luật. Các hành vi vi phạm, tùy tính chất và mức độ, có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Cùng với Luật, Nghị định số 356/2025/NĐ-CP của Chính phủ, có hiệu lực từ ngày 01/01/2026, quy định chi tiết một số nội dung và biện pháp thi hành, tạo cơ sở để các cơ quan, tổ chức thực hiện thống nhất trong toàn bộ quá trình thu thập, sử dụng, lưu trữ, chia sẻ và bảo vệ dữ liệu cá nhân.

Hành lang pháp lý này đặt ra một yêu cầu rõ ràng: dữ liệu cá nhân không thể được xem là nguồn thông tin có thể tùy tiện khai thác, sao chép hoặc chia sẻ. Mỗi hoạt động xử lý dữ liệu đều phải có căn cứ, mục đích cụ thể và biện pháp bảo vệ tương ứng.

Bảo vệ dữ liệu không có nghĩa là không được khai thác

Trong thực hiện nhiệm vụ bảo đảm an ninh, trật tự, phòng, chống tội phạm và quản lý nhà nước, lực lượng Công an được pháp luật giao quyền thu thập, kiểm tra, đối chiếu và xử lý nhiều loại dữ liệu. Một số trường hợp xử lý dữ liệu theo quy định của pháp luật không cần có sự đồng ý của chủ thể dữ liệu, chẳng hạn để bảo vệ tính mạng, sức khỏe, quyền và lợi ích hợp pháp của cá nhân; xử lý tình huống khẩn cấp; phòng, chống tội phạm; bảo vệ an ninh quốc gia hoặc phục vụ hoạt động quản lý nhà nước.

Tuy nhiên, “không cần sự đồng ý” không đồng nghĩa với “được sử dụng không giới hạn”. Cơ quan xử lý dữ liệu vẫn phải xác định rõ quy trình, phân công trách nhiệm, áp dụng biện pháp bảo vệ, thường xuyên đánh giá rủi ro và bảo đảm cơ chế tiếp nhận phản ánh, khiếu nại theo quy định.

Bảo vệ dữ liệu đúng quy định không làm cản trở chuyển đổi số. Ngược lại, đây là điều kiện để dữ liệu được khai thác lâu dài, an toàn và đáng tin cậy. Một hệ thống có nhiều dữ liệu nhưng thiếu kiểm soát sẽ tiềm ẩn nguy cơ lớn hơn một hệ thống chưa được số hóa đầy đủ.

Kỷ luật số bắt đầu từ những thao tác nhỏ

Sự cố dữ liệu không phải lúc nào cũng xuất phát từ một cuộc tấn công mạng phức tạp. Nhiều trường hợp bắt đầu từ những hành động tưởng như rất nhỏ: gửi nhầm tệp tin, để lộ màn hình máy tính, sử dụng mật khẩu đơn giản, chuyển tài liệu qua tài khoản cá nhân hoặc chụp hồ sơ bằng điện thoại riêng.

Đối với mỗi cán bộ, chiến sĩ, kỷ luật số cần được thể hiện trong từng thao tác cụ thể:

- Chỉ truy cập dữ liệu phục vụ nhiệm vụ được giao; không tự ý tra cứu thông tin vì tò mò, vì quan hệ cá nhân hoặc theo đề nghị không đúng thẩm quyền.

- Không cho người khác mượn tài khoản; không chia sẻ mật khẩu, mã xác thực hoặc sử dụng chung tài khoản nghiệp vụ.

- Không chụp ảnh hồ sơ, màn hình có dữ liệu cá nhân bằng thiết bị cá nhân khi chưa được phép.

- Không chuyển dữ liệu nghiệp vụ qua email cá nhân, tài khoản nhắn tin cá nhân, thiết bị lưu trữ hoặc dịch vụ đám mây chưa được cơ quan có thẩm quyền cho phép.

- Không đưa dữ liệu cá nhân, dữ liệu công tác lên các công cụ trí tuệ nhân tạo công cộng để tóm tắt, phân tích hoặc soạn thảo khi chưa được đánh giá, phê duyệt về an toàn thông tin.

- Không in, sao chép hoặc lưu giữ nhiều hơn mức cần thiết; phải quản lý chặt chẽ bản in, bản sao và thiết bị chứa dữ liệu.

- Khi rời vị trí làm việc phải khóa thiết bị; khi kết thúc nhiệm vụ phải bàn giao, lưu trữ hoặc xóa dữ liệu theo đúng quy định.

Những yêu cầu này không phải thủ tục mang tính hình thức. Chỉ một bức ảnh hồ sơ bị gửi nhầm, một tài khoản bị sử dụng trái phép hoặc một tệp tin bị sao chép ra ngoài cũng có thể ảnh hưởng đến quyền lợi của nhiều người và uy tín của cơ quan.

Được quyền truy cập không có nghĩa được quyền sử dụng tùy ý

Hệ thống thông tin nghiệp vụ thường phân quyền cho cán bộ theo vị trí công tác và nhiệm vụ được giao. Quyền truy cập là công cụ để thực hiện công vụ, không phải quyền sở hữu đối với dữ liệu.

Cán bộ có quyền xem một thông tin để giải quyết hồ sơ không có nghĩa được phép chụp lại, chuyển tiếp, kể cho người khác hoặc sử dụng vào mục đích riêng. Việc “tra cứu giúp người quen”, cung cấp thông tin không đúng quy trình hoặc khai thác dữ liệu ngoài phạm vi nhiệm vụ đều có thể làm phát sinh trách nhiệm.

Ngay cả việc chia sẻ dữ liệu trong nội bộ cũng phải bảo đảm đúng người nhận, đúng phạm vi, đúng kênh và thực sự cần thiết. Trước khi gửi một tài liệu, người thực hiện cần kiểm tra:

- Người nhận có đúng chức năng, nhiệm vụ và thẩm quyền hay không?

- Toàn bộ nội dung trong tài liệu có cần thiết cho công việc hay chỉ cần trích xuất một phần?

- Kênh truyền nhận có được cơ quan cho phép và bảo đảm an toàn hay không?

- Dữ liệu cần được lưu giữ trong thời gian bao lâu và ai chịu trách nhiệm quản lý?

Hạn chế dữ liệu ở mức cần thiết vừa làm giảm nguy cơ lộ lọt, vừa giúp xác định rõ trách nhiệm khi xảy ra sự cố.

Quản lý dữ liệu trong suốt vòng đời

Bảo vệ dữ liệu không chỉ được thực hiện ở thời điểm thu thập. Trách nhiệm bảo vệ phải được duy trì trong toàn bộ vòng đời của dữ liệu, từ khi tiếp nhận, nhập vào hệ thống, khai thác, chỉnh sửa, chia sẻ, lưu trữ đến khi xóa hoặc hủy theo quy định.

Khi thu thập dữ liệu, cần xác định rõ căn cứ và mục đích; không yêu cầu người dân cung cấp thêm những thông tin không cần thiết hoặc những thông tin đã có thể khai thác hợp pháp từ hệ thống dùng chung.

Trong quá trình sử dụng, dữ liệu phải được phân quyền, kiểm soát truy cập và bảo vệ trước nguy cơ sửa đổi, sao chép hoặc phát tán trái phép. Khi dữ liệu không còn cần thiết, việc tiếp tục lưu giữ cũng phải có căn cứ pháp luật; không nên giữ lại chỉ vì tâm lý “có thể sau này sẽ dùng đến”.

Trách nhiệm này không chỉ thuộc về bộ phận kỹ thuật. Người trực tiếp tiếp nhận hồ sơ, cán bộ nhập dữ liệu, người phê duyệt, người quản trị hệ thống và người sử dụng kết quả đều là những mắt xích trong quá trình bảo vệ dữ liệu.

Không che giấu khi xảy ra sự cố

Trong môi trường số, không hệ thống nào có thể loại trừ tuyệt đối mọi rủi ro. Điều quan trọng là phát hiện sớm, báo cáo kịp thời và xử lý đúng quy trình.

Khi phát hiện gửi nhầm dữ liệu, mất thiết bị, tài khoản có dấu hiệu bị chiếm quyền, dữ liệu bị truy cập bất thường hoặc tài liệu bị phát tán, cán bộ cần:

1. Ngừng ngay thao tác có thể làm sự cố lan rộng.

2. Báo cáo người có trách nhiệm và bộ phận chuyên môn theo quy trình của đơn vị.

3. Giữ nguyên các thông tin, nhật ký và dấu vết cần thiết phục vụ xác minh; không tự ý xóa hoặc che giấu sự việc.

4. Phối hợp xác định loại dữ liệu, số lượng người có thể bị ảnh hưởng và phạm vi phát tán.

5. Thực hiện biện pháp thu hồi, cô lập, thay đổi thông tin xác thực, khắc phục lỗ hổng và thông báo theo quy định pháp luật.

Chậm báo cáo có thể làm mất “thời gian vàng” để thu hồi dữ liệu hoặc ngăn chặn hậu quả. Việc chủ động nhận diện và báo cáo sự cố cần được xem là biểu hiện của tinh thần trách nhiệm, không phải lý do để né tránh hoặc che giấu.

Người dân có quyền gì đối với dữ liệu của mình?

Luật Bảo vệ dữ liệu cá nhân quy định người dân có quyền được biết về hoạt động xử lý dữ liệu; đồng ý, từ chối hoặc rút lại sự đồng ý trong trường hợp pháp luật yêu cầu phải có sự đồng ý; truy cập, chỉnh sửa; yêu cầu cung cấp, xóa hoặc hạn chế xử lý; phản đối việc xử lý; khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường và đề nghị áp dụng biện pháp bảo vệ.

Các quyền này được thực hiện theo trình tự pháp luật và không phải trong mọi trường hợp đều mang tính tuyệt đối. Chẳng hạn, dữ liệu liên quan đến hồ sơ quản lý nhà nước, hoạt động điều tra hoặc nghĩa vụ lưu trữ có thể phải tiếp tục được xử lý khi có căn cứ pháp luật.

Bên cạnh quyền, mỗi người cũng có trách nhiệm bảo vệ dữ liệu của mình, tôn trọng dữ liệu của người khác, cung cấp thông tin chính xác khi thực hiện thủ tục và không cho mượn tài khoản để thực hiện hành vi trái pháp luật.

Chủ động bảo vệ dữ liệu khi sử dụng dịch vụ công

Để hạn chế nguy cơ bị thu thập hoặc lợi dụng thông tin, người dân cần thực hiện một số biện pháp đơn giản:

- Chỉ nộp hồ sơ trên cổng dịch vụ công, ứng dụng và địa chỉ chính thức hoặc trực tiếp tại cơ quan có thẩm quyền.

- Không gửi ảnh căn cước, tài khoản ngân hàng, hồ sơ cá nhân qua tài khoản mạng xã hội không rõ danh tính.

- Không cung cấp mật khẩu hoặc mã OTP cho bất kỳ ai, kể cả người tự xưng là cán bộ cơ quan nhà nước.

- Kiểm tra kỹ địa chỉ trang thông tin, tên tài khoản và người tiếp nhận trước khi chuyển dữ liệu.

- Không đăng công khai hồ sơ, giấy tờ có số căn cước, địa chỉ, số điện thoại hoặc thông tin của người khác.

- Khi nhận được yêu cầu cung cấp dữ liệu bất thường, cần liên hệ cơ quan Công an nơi gần nhất hoặc kênh chính thức của đơn vị để xác minh.

Cổng Thông tin điện tử Công an tỉnh Tây Ninh đã thường xuyên cảnh báo về các thủ đoạn dụ người dân cung cấp dữ liệu, cài đặt ứng dụng giả mạo hoặc truy cập đường dẫn độc hại. Đáng chú ý, nhiều “chiếc bẫy” không yêu cầu chuyển tiền ngay mà âm thầm thu thập thông tin để chuẩn bị cho hành vi giả danh và lừa đảo ở bước tiếp theo.

Bảo vệ dữ liệu phải trở thành văn hóa công vụ

Công nghệ có thể hỗ trợ mã hóa, phân quyền, cảnh báo truy cập bất thường và lưu vết thao tác. Tuy nhiên, công nghệ không thể thay thế hoàn toàn ý thức của người sử dụng. Một hệ thống được đầu tư hiện đại vẫn có thể mất an toàn nếu người dùng chia sẻ mật khẩu, bỏ qua cảnh báo hoặc chuyển dữ liệu ra ngoài không đúng quy định.

Vì vậy, bên cạnh hoàn thiện hạ tầng kỹ thuật, mỗi đơn vị cần thường xuyên rà soát tài khoản và quyền truy cập; kịp thời thu hồi quyền khi cán bộ thay đổi vị trí công tác; kiểm tra việc lưu trữ, sao chép và chia sẻ dữ liệu; tổ chức tập huấn, diễn tập xử lý sự cố; đồng thời xác định rõ trách nhiệm của từng cá nhân trong mỗi công đoạn.

Công an tỉnh Tây Ninh đang tiếp tục đẩy mạnh chuyển đổi số gắn với bảo đảm an ninh thông tin, an toàn dữ liệu; tăng cường tuyên truyền về trách nhiệm của cơ quan, tổ chức và cá nhân trong quá trình thu thập, lưu trữ, xử lý và sử dụng dữ liệu. Đây là yêu cầu xuyên suốt để các tiện ích số được triển khai an toàn, đúng pháp luật và phục vụ hiệu quả quyền lợi chính đáng của người dân.

Chuyển đổi số trong Công an nhân dân chỉ thực sự bền vững khi hiệu quả khai thác dữ liệu đi cùng khả năng bảo vệ dữ liệu. Mỗi thao tác truy cập, sao chép, gửi, lưu và xóa thông tin đều gắn với một trách nhiệm cụ thể. Khi dữ liệu được sử dụng đúng thẩm quyền, đúng mục đích và được bảo vệ trong suốt vòng đời, chất lượng phục vụ người dân được nâng cao, đồng thời niềm tin đối với cơ quan Công an được giữ vững./.

Minh Long