Bảo vệ dữ liệu cá nhân thế nào để không còn bị hoãn xuất cảnh oan?
Bảo vệ dữ liệu cá nhân đang là bài toán cấp thiết khi nhiều công dân vô cớ bị mạo danh thành lập doanh nghiệp "ma" dẫn đến việc bị hoãn xuất cảnh oan uổng.
T
ừ câu chuyện thực tế về trường hợp một công dân phải chịu đựng "75 ngày và không biết bao giờ tôi thôi bị hoãn xuất cảnh" do bị mạo danh thông tin cá nhân để thành lập doanh nghiệp "ma", PV Tạp chí Một Thế Giới đã có cuộc trao đổi với Luật sư Diệp Năng Bình, Trưởng Văn phòng Luật sư Tinh Thông Luật thuộc Đoàn Luật sư TP.Hồ Chí Minh. Cuộc trò chuyện nhằm làm rõ những bất cập trong hành lang pháp lí, trách nhiệm của các bên liên quan cũng như giải pháp bảo vệ dữ liệu cá nhân và các khoảng trống trong thực thi pháp luật hiện hành.
Thực trạng pháp lí và Nghị định 13/2023/NĐ-CP
- Thưa luật sư, việc thông tin cá nhân của công dân bị đánh cắp, rò rỉ và lợi dụng để thành lập doanh nghiệp "ma" (như trường hợp trên) phản ánh những lỗ hổng nào trong việc thực thi các quy định pháp luật về bảo vệ dữ liệu cá nhân hiện nay?
Luật sư Diệp Năng Bình: Vụ việc này cho thấy vấn đề không chỉ nằm ở hành vi đánh cắp thông tin cá nhân, mà còn ở khâu kiểm soát việc sử dụng dữ liệu sau khi dữ liệu đã bị lộ.
Điểm bất cập đầu tiên cần nhìn nhận là khả năng kiểm soát nguồn thu thập và việc chia sẻ dữ liệu cá nhân trên thực tế còn hạn chế. Luật đã đặt ra các nguyên tắc xử lí dữ liệu cá nhân, yêu cầu việc xử lí phải đúng mục đích, trong phạm vi cần thiết và có biện pháp bảo vệ phù hợp. Tuy nhiên, khi dữ liệu căn cước, số định danh, thông tin liên hệ hoặc các thông tin nhận diện khác bị thu thập từ nhiều nguồn rồi bị sử dụng cho mục đích khác, việc truy nguyên dữ liệu bị lộ từ đâu, ai đã cung cấp và ai đã sử dụng trái phép vẫn là vấn đề rất khó trong thực tiễn. Vì vậy, khoảng cách hiện nay không hẳn là thiếu quy định, mà là khả năng kiểm soát, truy vết và xử lí trách nhiệm đối với toàn bộ chuỗi xử lí dữ liệu.
Tiếp theo, cần phân biệt rõ trách nhiệm bảo vệ dữ liệu với trách nhiệm khắc phục hậu quả khi dữ liệu đã bị lạm dụng. Một công dân bị sử dụng thông tin để thành lập doanh nghiệp có thể phải mất nhiều thời gian làm việc với cơ quan đăng kí kinh doanh, cơ quan thuế và cơ quan công an để chứng minh mình không phải chủ thể thực hiện hành vi. Như vậy, gánh nặng trên thực tế có nguy cơ chuyển từ bên có trách nhiệm bảo vệ dữ liệu sang chính người bị xâm phạm dữ liệu. Đây là điểm cần được khắc phục bằng cơ chế phối hợp, chia sẻ dữ liệu và xác minh liên thông giữa các cơ quan, để người dân không phải tự mình chứng minh một cách thủ công rằng mình là nạn nhân của việc giả mạo danh tính.
Nói ngắn gọn, pháp luật về bảo vệ dữ liệu cá nhân hiện nay đã có khung quy định tương đối đầy đủ, nhưng lỗ hổng đáng chú ý nằm ở khâu thực thi: kiểm soát dòng dữ liệu, xác thực người thực sự thực hiện giao dịch, truy vết nguồn rò rỉ và cơ chế xử lí nhanh khi dữ liệu bị lợi dụng. Vụ việc cũng cho thấy bảo vệ dữ liệu cá nhân không thể chỉ dừng ở việc cấm thu thập, mua bán hoặc sử dụng trái phép dữ liệu, mà phải gắn trực tiếp với cơ chế xác minh danh tính trong các giao dịch có hậu quả pháp lý như thành lập doanh nghiệp.
- Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã có hiệu lực, nhưng người dân dường như vẫn phải chịu thiệt hại nặng nề khi danh tính bị xâm phạm. Theo luật sư, trách nhiệm pháp lí của các bên liên quan (đặc biệt là các tổ chức, doanh nghiệp làm rò rỉ dữ liệu) được quy định ra sao?
Luật sư Diệp Năng Bình: Về bản chất, tổ chức, doanh nghiệp không thể cho rằng chỉ cần dữ liệu bị rò rỉ bởi nhân viên hoặc bị hacker xâm nhập thì đương nhiên được miễn trách nhiệm. Luật Bảo vệ dữ liệu cá nhân đặt trách nhiệm trực tiếp lên bên kiểm soát dữ liệu, bên kiểm soát và xử lí dữ liệu trong việc tuân thủ các nguyên tắc xử lý và chứng minh sự tuân thủ của mình. Dữ liệu phải được xử lí đúng mục đích, trong phạm vi cần thiết và phải được áp dụng các biện pháp bảo vệ, bảo mật phù hợp để phòng ngừa mất mát, phá hủy, thiệt hại hoặc hành vi vi phạm. Đây là nghĩa vụ mang tính chủ động, chứ không phải chỉ xử lí sau khi sự cố xảy ra.
Đặc biệt, khi xảy ra vi phạm, bên xử lí dữ liệu phải thông báo cho bên kiểm soát dữ liệu trong thời gian nhanh nhất có thể; đồng thời pháp luật quy định cơ chế thông báo vi phạm, trong đó phải làm rõ tính chất sự cố, loại và số lượng dữ liệu bị ảnh hưởng, hậu quả có thể xảy ra và các biện pháp khắc phục, giảm thiểu thiệt hại (cụ thể tại Điều 23 Luật bảo vệ dữ liệu cá nhân). Điều này nhằm tránh tình trạng doanh nghiệp biết dữ liệu bị lộ nhưng chậm trễ hoặc không minh bạch với chủ thể dữ liệu và cơ quan có thẩm quyền.
Về trách nhiệm đối với người bị xâm phạm dữ liệu, pháp luật hiện hành ghi nhận quyền của chủ thể dữ liệu được yêu cầu bồi thường thiệt hại khi có vi phạm quy định về bảo vệ dữ liệu cá nhân. Trách nhiệm bồi thường được xác định theo pháp luật dân sự, do đó phải xem xét hành vi vi phạm, thiệt hại thực tế, mối quan hệ nhân quả và chủ thể có trách nhiệm. Nghị định 13/2023/NĐ-CP trước đây cũng đã ghi nhận rõ quyền yêu cầu bồi thường này tại Điều 9. Ngoài trách nhiệm dân sự, Điều 4 Nghị định 13/2023/NĐ-CP quy định hành vi vi phạm về bảo vệ dữ liệu cá nhân, tùy tính chất và mức độ, có thể bị xử lí kỷ luật, xử phạt vi phạm hành chính hoặc xử lí hình sự.
Điểm đáng lưu ý nhất từ vụ việc này là: khi dữ liệu cá nhân bị rò rỉ và sau đó bị sử dụng để giả mạo danh tính, thành lập doanh nghiệp hoặc thực hiện giao dịch trái phép, trách nhiệm pháp lí không nên chỉ dừng ở người trực tiếp sử dụng dữ liệu. Cần xác định cả quá trình dữ liệu được thu thập, lưu trữ, truy cập, chia sẻ và bảo vệ như thế nào; tổ chức đang nắm giữ dữ liệu đã thực hiện đầy đủ nghĩa vụ bảo mật hay chưa. Nếu có vi phạm nghĩa vụ bảo vệ dữ liệu và vi phạm đó gây thiệt hại cho công dân thì có cơ sở để xem xét trách nhiệm của tổ chức làm lộ dữ liệu, độc lập với trách nhiệm của người trực tiếp chiếm đoạt hoặc sử dụng trái phép dữ liệu.
Bất cập trong quy định hoãn xuất cảnh và khoảng trống phối hợp
- Việc cơ quan thuế/cơ quan nhà nước áp dụng biện pháp tạm hoãn xuất cảnh đối với người đại diện theo pháp luật của doanh nghiệp nợ thuế là đúng quy trình. Tuy nhiên, khi người đó là nạn nhân bị mạo danh, liệu quy định hiện hành có đang thiếu một cơ chế "lọc" hoặc "tạm hoãn khẩn cấp" để bảo vệ người vô tội không?
Luật sư Diệp Năng Bình: Về nguyên tắc, cơ chế hoãn xuất cảnh đối với người đại diện theo pháp luật của doanh nghiệp còn nợ thuế có căn cứ pháp lí, nhưng pháp luật hiện hành vẫn bộc lộ một khoảng trống đáng lưu ý đối với trường hợp người đứng tên bị giả mạo danh tính.
Theo Luật Quản lí thuế, trường hợp thuộc diện phải hoàn thành nghĩa vụ thuế mà chưa hoàn thành, cơ quan quản lí thuế có thể thông báo cho cơ quan quản lí xuất nhập cảnh để thực hiện việc dừng xuất cảnh. Tuy nhiên, điểm cần lưu ý là cơ chế này chủ yếu được thiết kế theo quan hệ “người nộp thuế - nghĩa vụ thuế”, chứ chưa thiết kế riêng một quy trình xác minh nhanh trường hợp cá nhân bị mạo danh để trở thành người đại diện theo pháp luật.
Khi hệ thống quản lí xác định một cá nhân là người đại diện theo pháp luật của doanh nghiệp đang có nghĩa vụ thuế chưa hoàn thành thì việc áp dụng biện pháp hạn chế xuất cảnh có thể được kích hoạt trên cơ sở thông tin đăng kí chính thức. Trong khi đó, nếu thông tin đăng kí doanh nghiệp được hình thành từ hành vi giả mạo thì người bị mạo danh về thực chất không phải là chủ thể tạo ra nghĩa vụ thuế, nhưng vẫn phải chịu hậu quả pháp lí cho đến khi cơ quan có thẩm quyền xác minh và điều chỉnh thông tin.
Đây chính là điểm cần hoàn thiện. Pháp luật hiện hành chưa thể hiện một cơ chế “tạm hoãn khẩn cấp” riêng dành cho người có căn cứ cho rằng mình bị giả mạo danh tính, theo nghĩa ngay khi có tài liệu ban đầu chứng minh việc mạo danh thì cơ quan có thẩm quyền phải tạm thời rà soát, đối chiếu và đình chỉ việc áp dụng biện pháp hạn chế xuất cảnh đối với người đó trong thời gian xác minh.
Vì vậy, vấn đề đặt ra không phải là bỏ cơ chế hoãn xuất cảnh để bảo đảm thu hồi nợ thuế, mà là bổ sung một “bộ lọc” đối với trường hợp có dấu hiệu rõ ràng về giả mạo danh tính. Bộ lọc này có thể dựa trên việc đối chiếu dữ liệu định danh, hồ sơ đăng kí doanh nghiệp, chữ kí điện tử, lịch sử giao dịch và kết quả xác minh của cơ quan công an.
Quan trọng hơn, không nên để người bị mạo danh phải chứng minh hoàn toàn theo cách thủ công rằng mình không phải người thành lập hoặc điều hành doanh nghiệp. Khi đã xuất hiện căn cứ đáng tin cậy cho thấy có khả năng giả mạo, trách nhiệm xác minh cần được chuyển thành trách nhiệm phối hợp giữa cơ quan thuế, cơ quan đăng kí kinh doanh, cơ quan xuất nhập cảnh và cơ quan công an. Đây mới là cơ chế thực sự bảo vệ người vô tội mà vẫn không làm suy yếu công cụ cưỡng chế thu hồi nghĩa vụ thuế của Nhà nước.
- Luật sư đánh giá thế nào về khoảng thời gian xác minh kéo dài (hàng chục ngày hoặc nhiều tháng) giữa các cơ quan chức năng (Công an - Đăng kí kinh doanh - Thuế)? Đâu là điểm nghẽn pháp lí lớn nhất khiến người dân bị "mắc kẹt"?
Luật sư Diệp Năng Bình: Về tố tụng và hành chính, điểm nghẽn lớn nhất không nằm ở việc pháp luật hoàn toàn không quy định thời hạn, mà nằm ở thiếu một quy trình liên thông, có thời hạn cụ thể để xử lí trường hợp cá nhân bị mạo danh nhưng đồng thời bị ràng buộc bởi dữ liệu của cơ quan đăng kí kinh doanh và cơ quan thuế.
Đối với khiếu nại quyết định hành chính hoặc hành vi hành chính, pháp luật đã quy định thời hạn giải quyết tương đối rõ. Theo Điều 28 Luật Khiếu nại 2011, thời hạn giải quyết khiếu nại lần đầu không quá 30 ngày kể từ ngày thụ lí; vụ việc phức tạp không quá 45 ngày. Tuy nhiên, việc xác minh giữa Công an, cơ quan đăng kí kinh doanh và cơ quan thuế trong trường hợp mạo danh không nhất thiết nằm trong một quy trình khiếu nại thống nhất, mà được thực hiện theo chức năng riêng của từng cơ quan.
Đây chính là điểm dễ dẫn đến tình trạng kéo dài. Cơ quan đăng kí kinh doanh cần xác minh hồ sơ thành lập doanh nghiệp; cơ quan thuế xác định nghĩa vụ thuế; cơ quan Công an xác minh hành vi giả mạo, sử dụng trái phép thông tin. Kết quả xác minh của cơ quan này lại có thể là căn cứ để cơ quan khác thay đổi dữ liệu hoặc chấm dứt biện pháp đang áp dụng. Khi chưa có kết luận cuối cùng, mỗi cơ quan có xu hướng tiếp tục dựa vào dữ liệu đang được quản lí trong hệ thống của mình.
Do đó, khoảng trống đáng chú ý là chưa có một cơ chế dành riêng cho trường hợp mạo danh liên quan đồng thời đến đăng ký doanh nghiệp, nghĩa vụ thuế và xuất nhập cảnh. Đây là nguyên nhân khiến cá nhân bị mạo danh có thể rơi vào trạng thái chờ đợi kết quả xác minh từ nhiều cơ quan, trong khi các biện pháp hành chính bất lợi vẫn tiếp tục được duy trì.
Về hướng hoàn thiện, cần thiết lập cơ chế xác minh ưu tiên đối với trường hợp có căn cứ ban đầu về giả mạo danh tính, xác định rõ cơ quan chủ trì, thời hạn phối hợp của từng cơ quan và cơ chế xem xét tạm thời biện pháp hạn chế quyền của người bị mạo danh trong thời gian xác minh. Điều này không làm mất đi công cụ quản lí thuế của Nhà nước, mà nhằm bảo đảm biện pháp cưỡng chế hướng đúng vào người có nghĩa vụ, không biến người bị giả mạo thành người phải gánh hậu quả của một dữ liệu sai trong hệ thống hành chính.
Trách nhiệm doanh nghiệp và gánh nặng chứng minh
- Thông tin cá nhân của người dân thường bị lộ lọt từ các nền tảng số, ứng dụng trực tuyến. Luật sư đánh giá thế nào về mức độ tuân thủ và chế tài xử phạt hiện nay đối với các doanh nghiệp để lộ dữ liệu khách hàng? Liệu các chế tài đã đủ sức răn đe chưa?
Luật sư Diệp Năng Bình: Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, hành vi vi phạm có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường nếu gây thiệt hại. Đáng chú ý, theo khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP mức phạt hành chính tối đa đối với các hành vi vi phạm các quy định về bảo vệ dữ liệu cá nhân là 3 tỉ đồng; hành vi mua, bán dữ liệu cá nhân có thể bị phạt tối đa 10 lần khoản thu có được, còn vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tối đa 5% doanh thu của năm trước liền kề đối với tổ chức.
Tuy nhiên, mức phạt cao không đồng nghĩa với việc mọi trường hợp để lộ dữ liệu đều bị xử lí ở mức cao. Muốn xử phạt phải xác định được chủ thể kiểm soát hoặc xử lí dữ liệu, hành vi vi phạm cụ thể, mức độ lỗi, hậu quả và mối quan hệ giữa hành vi với sự cố dữ liệu. Đây mới là điểm khó trong thực tiễn. Một vụ rò rỉ dữ liệu có thể bắt nguồn từ nhân viên, nhà cung cấp dịch vụ, bên thứ ba hoặc lỗ hổng kỹ thuật; nếu không truy được nguyên nhân và trách nhiệm của từng chủ thể thì chế tài dù được quy định nghiêm vẫn khó phát huy đầy đủ tác dụng.
Đặc biệt, pháp luật hiện hành đã chuyển trọng tâm từ việc chỉ xử lí hậu quả rò rỉ sang yêu cầu doanh nghiệp phải chủ động phòng ngừa và bảo vệ dữ liệu. Luật Bảo vệ dữ liệu cá nhân cấm hành vi chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân; đồng thời đặt trách nhiệm đối với bên kiểm soát, xử lý dữ liệu trong việc bảo đảm an toàn cho dữ liệu trong suốt quá trình xử lí. Vì vậy, doanh nghiệp không thể đơn giản viện dẫn lí do “bị tấn công mạng” để mặc nhiên phủ nhận trách nhiệm; cần xem xét doanh nghiệp đã áp dụng các biện pháp bảo vệ cần thiết và thực hiện đầy đủ nghĩa vụ theo luật hay chưa.
Từ góc độ răn đe, khung chế tài hiện nay đã nghiêm hơn đáng kể, nhưng hiệu quả răn đe phụ thuộc rất lớn vào khả năng phát hiện và chứng minh vi phạm. Nếu doanh nghiệp biết rằng việc thu thập quá mức, chia sẻ dữ liệu tùy tiện hoặc bảo mật dữ liệu yếu có khả năng bị kiểm tra, truy trách nhiệm và buộc bồi thường tương xứng với hậu quả, chế tài mới thực sự tạo sức ép tuân thủ. Ngược lại, nếu phần lớn vụ việc chỉ được phát hiện sau khi dữ liệu đã bị sử dụng để lừa đảo, giả mạo danh tính và rất khó truy ngược nguồn rò rỉ, thì mức phạt cao vẫn chưa đủ để bảo vệ người dân một cách thực chất.
- Người dân cần phải chứng minh thế nào rằng mình là nạn nhân bị đánh cắp danh tính? Việc chứng minh này đang thuộc về ai theo quy định pháp luật hiện hành, thưa Luật sư?
Luật sư Diệp Năng Bình: Khi phát hiện thông tin cá nhân bị sử dụng trái phép, trước hết người dân cần cung cấp những tài liệu, chứng cứ thể hiện danh tính thật của mình và việc dữ liệu cá nhân đã bị sử dụng để thực hiện một giao dịch, thủ tục hoặc hành vi mà bản thân không thực hiện. Chẳng hạn, có thể là căn cước công dân, thông báo của cơ quan thuế, hồ sơ đăng kí doanh nghiệp, hợp đồng, tài khoản hoặc dữ liệu giao dịch mà người dân không xác lập, cùng với đơn trình báo và tài liệu xác minh của cơ quan có thẩm quyền. Dữ liệu điện tử cũng được pháp luật tố tụng dân sự công nhận là một nguồn chứng cứ.
Đối với lĩnh vực dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân năm 2025, đặt trách nhiệm trực tiếp lên bên kiểm soát dữ liệu, bên kiểm soát và xử lí dữ liệu trong việc bảo đảm an toàn dữ liệu, kiểm soát việc truy cập, sử dụng và xử lí trái phép. Luật cũng quy định khi phát hiện vi phạm, các chủ thể này phải lập biên bản xác nhận và phối hợp với cơ quan chuyên trách để xử lí.
Vì vậy, trong trường hợp một người bị dùng danh tính để thành lập doanh nghiệp “ma”, người dân chỉ nên phải chứng minh những sự kiện thuộc khả năng kiểm soát của mình, như không đăng kí, không kí kết, không thực hiện giao dịch và không ủy quyền cho người khác. Còn việc ai đã sử dụng dữ liệu, dữ liệu bị lấy từ đâu, doanh nghiệp nào đang lưu giữ, ai truy cập, bằng phương thức nào và doanh nghiệp có vi phạm nghĩa vụ bảo mật hay không là những vấn đề thường nằm trong hệ thống dữ liệu của doanh nghiệp hoặc cơ quan nhà nước. Những nội dung này cần được cơ quan có thẩm quyền xác minh, thay vì đẩy toàn bộ gánh nặng cho người bị mạo danh.
Đây cũng chính là điểm cần cải thiện trong thực tiễn: người dân phải có nghĩa vụ chứng minh việc mình bị mạo danh, nhưng không nên phải tự mình chứng minh toàn bộ hướng đi của dữ liệu mà bản thân không quản lí và không thể tiếp cận. Nếu vẫn đặt yêu cầu chứng minh quá cao đối với nạn nhân, cơ chế bảo vệ dữ liệu cá nhân rất dễ trở thành cơ chế mà người bị xâm phạm phải tự mình đi tìm chứng cứ về chính hành vi xâm phạm mình.
Giải pháp chính sách và kĩ năng tự bảo vệ dữ liệu cá nhân
Để giải quyết tận gốc tình trạng này, theo luật sư, các cơ quan quản lí nhà nước cần sửa đổi hoặc bổ sung những quy định, cơ chế phối hợp liên ngành nào để vừa làm sạch dữ liệu quốc gia, vừa bảo vệ kịp thời quyền lợi của công dân vô tội?
Trước hết, cần xây dựng một quy trình liên ngành thống nhất đối với trường hợp có dấu hiệu mạo danh, thay vì để người dân phải lần lượt làm việc với Công an, cơ quan đăng kí kinh doanh, cơ quan thuế và các đơn vị liên quan. Khi có căn cứ ban đầu cho thấy một cá nhân bị sử dụng danh tính trái phép, cơ quan tiếp nhận thông tin phải có cơ chế chuyển ngay vụ việc đến đầu mối xác minh, đồng thời thông báo cho các cơ quan đang sử dụng thông tin đó để tạm thời đánh dấu cảnh báo và ngăn việc tiếp tục phát sinh giao dịch hoặc nghĩa vụ mới trên danh tính đang bị tranh chấp. Đây nên là biện pháp bảo vệ tạm thời, không đồng nghĩa với việc mặc nhiên xác định doanh nghiệp hay giao dịch là giả.
Thứ hai, cần hình thành cơ chế đối soát dữ liệu giữa Cơ sở dữ liệu quốc gia về dân cư với hệ thống đăng kí doanh nghiệp, thuế, ngân hàng và các cơ sở dữ liệu có liên quan, trong phạm vi pháp luật cho phép. Mục tiêu không phải là tập trung thêm dữ liệu, mà là phát hiện những dấu hiệu bất thường, chẳng hạn một cá nhân được sử dụng để đăng kí doanh nghiệp nhưng không có dấu vết tương ứng về xác thực danh tính, chữ kí điện tử, giao dịch hoặc thông tin liên hệ. Khi có dấu hiệu bất thường, hệ thống cần chuyển sang trạng thái xác minh thay vì để hậu quả phát sinh rồi người dân mới phát hiện.
Thứ ba, cần quy định rõ thời hạn xử lí đối với hồ sơ xác nhận bị mạo danh và xác định một cơ quan đầu mối chịu trách nhiệm điều phối. Đây là điểm rất quan trọng. Người dân không thể bị đặt vào tình trạng phải tự đi chứng minh với nhiều cơ quan khác nhau trong khi mỗi cơ quan chỉ xác minh một phần thông tin. Cần có cơ chế một đầu mối tiếp nhận, một mã hồ sơ dùng chung, thời hạn xác minh cụ thể và trách nhiệm của từng cơ quan trong việc cung cấp dữ liệu.
Cuối cùng, sau khi có kết quả xác minh người dân thực sự bị mạo danh, phải có cơ chế “làm sạch dữ liệu” đồng bộ: điều chỉnh hoặc hủy thông tin sai trong hệ thống đăng kí doanh nghiệp, thuế và các cơ sở dữ liệu liên quan; đồng thời tự động thông báo kết quả cho các cơ quan đã tiếp nhận dữ liệu sai trước đó. Người bị mạo danh cũng cần được bảo đảm không tiếp tục phải gánh các nghĩa vụ phát sinh từ giao dịch mà mình không thực hiện.
- Luật sư có khuyến cáo gì đối với người dân để tự bảo vệ dữ liệu cá nhân của mình trên không gian mạng nhằm tránh rơi vào những rắc rối pháp lí tương tự?
Luật sư Diệp Năng Bình: Trước hết, cần thay đổi thói quen cung cấp thông tin cá nhân trên môi trường mạng. Không nên cung cấp tùy tiện số căn cước, ảnh căn cước, số điện thoại, địa chỉ, tài khoản ngân hàng, mã OTP hoặc thông tin sinh trắc học cho các ứng dụng, đường link và chủ thể không rõ mục đích. Trước khi cung cấp dữ liệu, cần kiểm tra đơn vị thu thập là ai, thu thập để làm gì, sử dụng trong phạm vi nào và có chuyển cho bên thứ ba hay không.
Đối với các tài khoản trực tuyến, cần sử dụng mật khẩu riêng tránh sử dụng cùng một mật khẩu để đăng kí tài khoản trên các nền tảng, xác thực nhiều lớp và hạn chế tối đa việc lưu thông tin thanh toán hoặc giấy tờ tùy thân trên những nền tảng không thực sự cần thiết. Đặc biệt, không cung cấp mã OTP, mã xác thực hoặc thông tin đăng nhập cho bất kì người nào, kể cả khi đối tượng tự nhận là ngân hàng, cơ quan nhà nước hoặc đơn vị cung cấp dịch vụ.
Một điểm rất quan trọng là phải chủ động kiểm tra khi có dấu hiệu bất thường. Nếu nhận được thông báo về khoản nợ, giao dịch, hợp đồng, tài khoản, doanh nghiệp hoặc nghĩa vụ mà bản thân không thực hiện, cần nhanh chóng yêu cầu đơn vị liên quan cung cấp thông tin, lưu giữ toàn bộ thông báo, lịch sử giao dịch, tin nhắn, email và các tài liệu điện tử liên quan; đồng thời trình báo cơ quan có thẩm quyền khi có dấu hiệu bị đánh cắp hoặc sử dụng trái phép danh tính. Việc lưu giữ chứng cứ ngay từ thời điểm phát hiện có ý nghĩa rất lớn nếu sau đó phát sinh tranh chấp hoặc thủ tục xác minh.
