Báo động thực trạng dữ liệu cá nhân bị lộ lọt, thiệt hại hàng ngàn tỷ đồng

Hội thảo do Bộ Khoa học và Công nghệ Việt Nam, Bộ Công an, Liên hiệp các Hội  Khoa học và Kỹ thuật Việt Nam, Hội Thông tin khoa học và công nghệ Việt Nam chỉ đạo, Sở Khoa học và Công nghệ Hà Nội, Tạp chí Một thế giới, Công ty Cổ phần đầu tư thương mại và phát triển Công nghệ FSI phối hợp tổ chức.

Yếu tố con người chiếm tới gần 70% nguyên nhân các vụ lộ lọt dữ liệu

Trong bối cảnh dữ liệu được ví như "nguồn dầu mỏ mới" hay "máu" của nền kinh tế số, tình trạng lộ lọt thông tin cá nhân tại Việt Nam đang ở mức báo động. Sự ra đời của Luật Bảo vệ dữ liệu cá nhân năm 2025 (có hiệu lực từ 1/5/2026), thì việc xây dựng một hệ sinh thái dữ liệu an toàn không còn là lựa chọn, mà là vấn đề sống còn của doanh nghiệp và quốc gia.

Theo thống kê, chỉ trong 6 tháng đầu năm 2025 đã có hơn 110 triệu bản ghi dữ liệu bị rao bán trái phép trên các diễn đàn không chính thống. Tình hình càng trở nên nghiêm trọng hơn trong quý 3 năm 2025, hơn 502 triệu bản ghi dữ liệu của các tổ chức, doanh nghiệp bị rò rỉ, trong khi số tài khoản cá nhân bị đánh cắp tăng 64% so với quý trước. Điển hình như tháng 9/2025, Trung tâm thông tin tín dụng Quốc gia (CIC) thuộc Ngân hàng Nhà nước bị tấn công, làm lộ lọt 160 triệu hồ sơ tín dụng. Trước đó, các doanh nghiệp lớn như VN Direct, VNG (với hơn 163 triệu tài khoản bị lộ) hay Vietnam Airlines cũng từng là nạn nhân của các đợt tấn công mã hóa dữ liệu tống tiền hoặc rò rỉ thông tin khách hàng.

Theo báo cáo của Hiệp hội An ninh mạng Quốc gia, thiệt hại do lừa đảo trực tuyến liên quan đến khai thác dữ liệu cá nhân tại Việt Nam trong năm 2025 ước tính vượt qua con số 6.000 tỷ đồng. Dữ liệu bị đánh cắp trở thành "nguyên liệu" cho các vụ lừa đảo tinh vi, làm xói mòn niềm tin của người dân và gây thiệt hại nặng nề về uy tín cho các tổ chức.

Các chuyên gia tại hội thảo chỉ ra rằng, yếu tố con người chiếm tới gần 70% nguyên nhân dẫn đến các vụ lộ lọt dữ liệu (số liệu khác ghi nhận ít nhất là 32,6%). Bên cạnh đó, thói quen chia sẻ thông tin quá mức của người dân trên mạng xã hội cũng là một vấn đề. Ông Nguyễn Quang Đồng, Viện trưởng Viện Nghiên cứu chính sách và phát triển truyền thông (IPS) dẫn chứng về việc người dân vô tư đăng ảnh căn cước công dân lên mạng sau khi đi bầu cử, tạo cơ hội cho việc thu thập dữ liệu tự nhiên nhưng nguy hiểm. Ngoài ra, nhiều ứng dụng di động đang thu thập dữ liệu vượt quá mức cần thiết. Một ví dụ điển hình được đưa ra là các ứng dụng di chuyển yêu cầu quyền truy cập vào toàn bộ kho ảnh cá nhân của người dùng, dù điều này không phục vụ cho mục đích vận tải.

Hành lang pháp lý mới: "Thiết quân luật" cho dữ liệu

Để ngăn chặn thực trạng này, Việt Nam đã chính thức thiết lập một "hàng rào thép" pháp lý. Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025 quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân sẽ chính thức có hiệu lực từ ngày 1/5/2026. Điểm đáng chú ý nhất của luật chính là các chế tài xử phạt cực kỳ nghiêm khắc. Hành vi mua bán dữ liệu cá nhân có thể bị phạt tới 10 lần khoản thu bất hợp pháp. Đặc biệt, vi phạm về chuyển dữ liệu ra nước ngoài có thể bị phạt tới 5% doanh thu của năm trước liền kề.

Cũng tại hội thảo, Thượng tá Nguyễn Đình Đỗ Thi, Phó Trưởng phòng Tham mưu, Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao (Bộ Công an) lưu ý rằng, xử lý dữ liệu là một chuỗi quy trình từ tạo lập, thu thập đến xóa, hủy và khử nhận dạng. Các biện pháp bảo vệ phải được áp dụng đồng bộ ở từng công đoạn nhỏ nhất. Một điểm mới quan trọng là việc thiết lập bộ phận hoặc chỉ định nhân sự chuyên trách bảo vệ dữ liệu cá nhân. Thượng tá Thi khuyến cáo các cán bộ này không chỉ cần năng lực chuyên môn mà phải có phẩm chất đạo đức tốt, vì họ là người trực tiếp tiếp xúc với những kho dữ liệu trị giá hàng tỷ đô la.

Theo Thượng tá Thi, doanh nghiệp cần xây dựng các chính sách, biểu mẫu cụ thể để đảm bảo người dân có thể thực hiện các quyền của mình (như quyền truy cập, chỉnh sửa, xóa dữ liệu) một cách thuận lợi và trong thời gian quy định. Đặc biệt, việc xin sự đồng ý của chủ thể dữ liệu phải được thực hiện nghiêm túc, trừ các trường hợp đặc biệt liên quan đến an ninh quốc gia hay cứu người đã được luật quy định. Thượng tá Thi cho biết, Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao sẵn sàng lắng nghe và hướng dẫn các tổ chức thực hiện đúng các hồ sơ này để tránh những sai sót thường gặp.

Chia sẻ thêm về những quy định mới trong việc triển khai Luật Bảo vệ dữ liệu cá nhân, ông Lưu Xuân Vĩnh, Luật sư điều hành Asia Legal cho rằng, mức phạt 5% doanh thu là một "cú sốc" tài chính thực sự, có thể làm rung chuyển cả những doanh nghiệp lớn đang niêm yết trên sàn chứng khoán. Luật cũng mở rộng phạm vi áp dụng đối với cả các tổ chức, cá nhân nước ngoài xử lý dữ liệu của công dân Việt Nam, đồng thời làm rõ các loại dữ liệu nhạy cảm bao gồm dữ liệu sinh trắc học, dữ liệu vị trí, dữ liệu mạng xã hội và các dữ liệu phát sinh từ Big Data hay Blockchain.

Kết luận buổi hội thảo, các chuyên gia, đại biểu đều khẳng định, bảo vệ dữ liệu cá nhân không chỉ là câu chuyện của các văn bản luật trên giấy mà cần sự phối hợp đồng bộ giữa Nhà nước, doanh nghiệp và người dân. Việc tuân thủ luật pháp không nên được coi là rào cản, mà phải là lợi thế cạnh tranh và nền tảng để xây dựng niềm tin số. Chỉ khi dữ liệu được an toàn, dòng chảy kinh tế số mới có thể bền vững và vươn xa.