Bất ngờ biến thành sếp, gánh nợ từ ‘trên trời’ rơi xuống-Kỳ 3:Lỗ hổng khiến dữ liệu cá nhân bị đánh cắp, ‘xẻ thịt’
Thông tin cá nhân có thể bị thu thập từ nhiều nguồn, bị sao chép hoặc khai thác trái phép. Việc xác thực danh tính và sự đồng ý chưa đủ chặt chẽ, một dữ liệu bị lộ có thể bị biến thành hồ sơ doanh nghiệp mang tên người không hề hay biết.
Từ một bộ dữ liệu cá nhân bị sử dụng trái phép, người dân có thể bị kéo vào những nghĩa vụ pháp lý mà họ không biết, thậm chí đối mặt nguy cơ bị tạm hoãn xuất cảnh. Câu hỏi vì thế không chỉ là dữ liệu bị lấy từ đâu, mà còn là vì sao một danh tính có thể xuất hiện trong hồ sơ doanh nghiệp mà chủ nhân không hay biết.
Không thể xác định nguồn rò rỉ trong từng vụ việc nếu chưa có kết quả điều tra. Anh Dương Thanh Tùng (đã đề cập ở kỳ 2) cũng cho biết không biết thông tin cá nhân của mình bị lộ trong hoàn cảnh nào.
Nhưng việc dữ liệu được cung cấp cho nhiều tổ chức trong quá trình học tập, làm việc, giao dịch, sử dụng dịch vụ và thực hiện thủ tục hành chính khiến câu chuyện bảo vệ thông tin không thể chỉ đặt lên vai người dùng.
Dữ liệu đi qua nhiều mắt xích
Thượng tá Nguyễn Đình Đỗ Thi, Phó trưởng phòng 1, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an), cho rằng dữ liệu cá nhân bị rò rỉ có thể xuất phát từ người dùng, doanh nghiệp và khâu quản lý nội bộ.
Theo ông, một bộ phận người dùng còn chủ quan, đăng ảnh căn cước, giấy tờ tùy thân hoặc thông tin đời sống lên mạng xã hội, tạo điều kiện để đối tượng xấu thu thập dữ liệu.
Ở chiều ngược lại, một số cơ quan, doanh nghiệp chưa có biện pháp bảo vệ tương xứng trong toàn bộ quá trình thu thập, lưu trữ và xử lý thông tin khách hàng. Rủi ro cũng có thể đến từ khâu quản lý nhân sự, khi người có quyền truy cập dữ liệu sao chép hoặc tuồn thông tin ra ngoài để bán cho bên thứ ba.
Một số cơ quan, doanh nghiệp chưa có biện pháp bảo vệ tương xứng trong toàn bộ quá trình thu thập, lưu trữ và xử lý thông tin khách hàng
Một dữ liệu định danh đầy đủ có thể giúp người khác dựng lên hồ sơ mang tên người thật. Khi kết hợp với hình ảnh giấy tờ, chữ ký hoặc phương thức xác thực khác, thông tin ấy có thể bị lợi dụng để thực hiện thủ tục mà chính chủ không hề biết.
Tuy nhiên, với từng trường hợp cụ thể, nguồn dữ liệu và cách thức sử dụng vẫn cần được cơ quan có thẩm quyền xác minh, không thể chỉ từ kết quả cuối cùng mà suy đoán nơi rò rỉ.
Đăng ký doanh nghiệp là một ví dụ cho thấy dữ liệu cá nhân có thể tạo ra hệ quả vượt xa mục đích ban đầu. Cơ chế kê khai và tự chịu trách nhiệm giúp đơn giản hóa thủ tục, giảm thời gian và chi phí cho người gia nhập thị trường.
Nhưng nếu thông tin định danh bị sử dụng trái phép, tên một người có thể xuất hiện trong hồ sơ dù họ không phải người nộp hồ sơ và không có ý chí thành lập hoặc tham gia doanh nghiệp.
Khi hồ sơ được tiếp nhận, thông tin tiếp tục được sử dụng trong quản lý thuế và các thủ tục hành chính liên quan. Từ dữ liệu cá nhân, một “danh tính pháp lý” có thể được hình thành trên hệ thống, trong khi người mang danh tính ấy không biết doanh nghiệp tồn tại.
Xác thực phải đúng người, đúng ý chí
Luật sư Võ Mộng Thu, Phó giám đốc Công ty Luật TNHH LCP, cho rằng những vụ việc người dân bất ngờ đứng tên doanh nghiệp đặt ra yêu cầu kiểm soát tốt hơn tính xác thực của hồ sơ và ý chí của người được ghi nhận là người đại diện theo pháp luật.
Theo luật sư, thông tin căn cước hoặc giấy tờ định danh có thể bị thu thập, sao chụp và sử dụng trái phép. Trong khi đó, thủ tục đăng ký doanh nghiệp dựa nhiều vào nguyên tắc người đăng ký tự kê khai và chịu trách nhiệm về nội dung hồ sơ. Nếu khâu xác thực danh tính và sự đồng ý của người được ghi nhận chưa đủ chặt chẽ, cơ chế này có thể bị lợi dụng.
Từ ngày 23/7/2026, Nghị định 296/2026/NĐ-CP có hiệu lực, bổ sung một số quy định về xác thực điện tử trong thủ tục đăng ký doanh nghiệp. Đây là bước tăng cường kiểm soát danh tính, nhưng không đồng nghĩa nguy cơ mạo danh đã được loại bỏ hoàn toàn. Công nghệ xác thực chỉ phát huy hiệu quả khi dữ liệu đầu vào an toàn và phương thức xác thực không bị lợi dụng.
Vấn đề cốt lõi vì thế không chỉ là có xác thực hay không, mà là xác thực ai, bằng dữ liệu nào và người được xác thực có thực sự biết, đồng ý với giao dịch hay không. Nếu quy trình chỉ xác nhận thông tin được kê khai khớp với dữ liệu định danh nhưng chưa bảo đảm ý chí của người mang tên, nguy cơ bị sử dụng danh tính trái phép vẫn cần được xem xét.
Luật sư Trần Hoài Nhân (Đoàn Luật sư TP.HCM) cho rằng việc tiếp nhận hồ sơ đăng ký doanh nghiệp qua mạng là cần thiết, giúp tiết kiệm thời gian, chi phí và tạo thuận lợi cho người dân, doanh nghiệp. Tuy nhiên, đơn giản hóa thủ tục phải đi đôi với kiểm soát chặt việc xác thực danh tính và tính hợp pháp của hồ sơ.
Từ thực tế này, luật sư Nhân kiến nghị Chính phủ xem xét sửa đổi, bổ sung khoản 1 Điều 12 Nghị định 01/2021/NĐ-CP về ủy quyền thực hiện thủ tục đăng ký doanh nghiệp theo hướng chặt chẽ hơn.
Ông đề xuất xem xét yêu cầu công chứng, chứng thực văn bản ủy quyền của cá nhân hoặc bảo đảm việc ủy quyền của tổ chức được thực hiện bởi người có thẩm quyền, với chữ ký, con dấu phù hợp quy định. Với trường hợp nhận kết quả trực tiếp, cần kiểm tra giấy tờ tùy thân bản chính, đối chiếu thông tin và xác định rõ tư cách của người đến nhận.
Mục tiêu được ông nêu ra là hạn chế việc lợi dụng thủ tục đăng ký kinh doanh để sử dụng trái phép thông tin cá nhân, đồng thời vẫn bảo đảm thuận lợi cho hoạt động kinh doanh hợp pháp.
Đơn giản hóa thủ tục phải đi đôi với kiểm soát chặt việc xác thực danh tính và tính hợp pháp của hồ sơ.
Cảnh báo sớm và bảo vệ dữ liệu từ gốc
Một giải pháp được luật sư Mộng Thu đề xuất là tăng cường xác thực sự đồng ý của chính cá nhân được đăng ký làm người đại diện theo pháp luật. Việc xác thực không nên chỉ dừng ở người nộp hồ sơ, mà cần bảo đảm người được ghi nhận chức danh thực sự biết và đồng ý với việc sử dụng thông tin của mình.
Bên cạnh đó, có thể nghiên cứu cơ chế thông báo chủ động cho công dân khi dữ liệu định danh được sử dụng để thành lập doanh nghiệp hoặc thay đổi người đại diện theo pháp luật. Nếu được cảnh báo kịp thời, người dân có thể phát hiện và phản đối trước khi doanh nghiệp phát sinh nợ thuế hay các nghĩa vụ khác.
Cơ chế phối hợp giữa cơ quan đăng ký kinh doanh, cơ quan thuế, công an và cơ quan quản lý xuất nhập cảnh cũng cần được chú trọng. Khi tiếp nhận trường hợp có dấu hiệu mạo danh, thông tin cần được kiểm tra và cập nhật đồng bộ giữa các hệ thống liên quan, thay vì để người dân nhiều lần trình bày cùng một sự việc.
Về phía người dùng, việc hạn chế công khai giấy tờ tùy thân, không gửi dữ liệu cho các nguồn không đáng tin cậy và thận trọng khi cung cấp thông tin là cần thiết.
Nhưng trách nhiệm không thể chỉ đặt vào sự cảnh giác của mỗi cá nhân. Các tổ chức thu thập và lưu trữ dữ liệu cần kiểm soát quyền truy cập, giới hạn mục đích sử dụng, bảo đảm an toàn trong quá trình chia sẻ và có cơ chế phát hiện việc khai thác bất thường.
Dữ liệu cá nhân thường được cung cấp để phục vụ một giao dịch hoặc thủ tục cụ thể. Khi bị sao chép, kết hợp và sử dụng ngoài mục đích ban đầu, nó có thể trở thành công cụ tạo ra quan hệ pháp lý mà chủ nhân không hề biết.
Khi tiếp nhận trường hợp có dấu hiệu mạo danh, thông tin cần được kiểm tra và cập nhật đồng bộ giữa các hệ thống liên quan, thay vì để người dân nhiều lần trình bày cùng một sự việc.
Vì vậy, bảo vệ dữ liệu phải bao gồm cả việc ngăn rò rỉ, kiểm soát sử dụng, xác thực giao dịch và nhanh chóng xử lý hậu quả khi có dấu hiệu bị mạo danh.
Trong kỷ nguyên số, một người không chỉ cần bảo vệ tờ căn cước trong ví, mà còn cần được bảo vệ trước những bản sao dữ liệu đang tồn tại ở nhiều hệ thống. Câu hỏi đặt ra là các tổ chức lưu giữ dữ liệu phải bảo vệ đến đâu, thủ tục xác thực cần chặt chẽ thế nào và hệ thống có thể trả lại đúng danh tính cho chủ nhân nhanh đến mức nào khi thông tin bị sử dụng trái phép.
