Khi dữ liệu không còn chỉ phản ánh con người

Trong nhận thức truyền thống, dữ liệu cá nhân thường được xem là tập hợp các thông tin dùng để nhận diện hoặc mô tả một con người. Tuy nhiên, cùng với quá trình chuyển đổi số, vai trò của dữ liệu đang thay đổi nhanh chóng. Dữ liệu không còn chỉ phản ánh các đặc điểm của cá nhân mà ngày càng tham gia trực tiếp vào việc xác lập các quan hệ pháp lý, quyền và nghĩa vụ của cá nhân trong đời sống kinh tế - xã hội.

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đã chỉ rõ điều này khi định nghĩa dữ liệu cá nhân không chỉ là thông tin gắn với một con người cụ thể mà còn là cơ sở để xác lập các quyền và nghĩa vụ của cá nhân trong môi trường số. Theo quy định tại Khoản 5 Điều 2, "chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh". Đồng thời, Luật cũng xác lập các khái niệm nền tảng về bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân và bên thứ ba tại khoản 7, 8, 9, 10 Điều 2, qua đó làm rõ ai có trách nhiệm và quyền hạn trong toàn bộ vòng đời xử lý dữ liệu - một cơ sở pháp lý quan trọng để giải quyết vấn đề chiếm đoạt danh tính số.

Thực tiễn thời gian gần đây ghi nhận nhiều trường hợp công dân chỉ khi thực hiện các giao dịch tài chính, thủ tục hành chính, hoạt động xuất nhập cảnh hoặc các thủ tục pháp lý liên quan mới phát hiện danh tính của mình đã bị sử dụng để xác lập các quan hệ pháp lý mà bản thân hoàn toàn không hay biết. Một trong những trường hợp điển hình là việc cá nhân bị đứng tên người đại diện theo pháp luật, chủ sở hữu hoặc thành viên góp vốn của doanh nghiệp. Trong một số tình huống, doanh nghiệp đã phát sinh nợ thuế, vi phạm nghĩa vụ tài chính hoặc bị áp dụng các biện pháp quản lý của cơ quan nhà nước. Điều đáng nói là những người liên quan hoàn toàn không biết về sự tồn tại của doanh nghiệp này và chưa từng tham gia bất kỳ hoạt động quản lý hay điều hành nào.

Nhìn từ góc độ dữ liệu, đây không đơn giản là hiện tượng lộ lọt thông tin cá nhân. Nếu việc lộ lọt dữ liệu chỉ làm gia tăng nguy cơ bị quấy rối, quảng cáo hoặc lừa đảo thì trong các trường hợp nêu trên, dữ liệu cá nhân đã bị sử dụng để tạo lập một danh tính pháp lý mới trong môi trường số. Từ thời điểm đó, các hệ thống quản lý có thể ghi nhận một cá nhân với những quyền và nghĩa vụ mà chính người đó không hề biết đến. Điều này cho thấy một thay đổi quan trọng của xã hội số. Trước đây, dữ liệu được tạo ra từ các hoạt động của con người. Ngày nay, dữ liệu không chỉ phản ánh thực tại mà còn có khả năng tác động trở lại và tạo ra những hệ quả pháp lý đối với con người.

Quy mô của vấn đề này đang rất đáng báo động. Theo thống kê của Phòng Đăng ký kinh doanh thuộc Sở Tài chính TP.HCM, từ tháng 3/2025 đến nay, đơn vị đã nhận được phản ánh của hàng trăm người dân bị giả mạo thông tin cá nhân để thành lập doanh nghiệp và đã chuyển 164 trường hợp đến cơ quan công an xác minh. Trong khi đó, ghi nhận của Bộ Thông tin và Truyền thông (nay là Bộ Khoa học và Công nghệ) cho thấy 9 tháng đầu năm 2024 đã tiếp nhận hơn 22.200 phản ánh về lừa đảo trực tuyến, trong đó hơn 80% liên quan đến chiếm đoạt tài sản thông qua các hình thức kỹ thuật số. Những con số này cho thấy việc bảo vệ danh tính số đã trở thành một thách thức ở quy mô hệ thống, không chỉ là câu chuyện của riêng cá nhân nào. Khi đó, vấn đề đặt ra không còn là bảo vệ dữ liệu cá nhân mà là bảo vệ danh tính số và quyền kiểm soát của cá nhân đối với danh tính số của mình.

Quyền của chủ thể dữ liệu và khoảng cách giữa pháp luật với thực tiễn

Luật Bảo vệ dữ liệu cá nhân đã xác lập một bước tiến quan trọng trong việc bảo vệ quyền của cá nhân trong môi trường số. Luật quy định nhiều quyền của chủ thể dữ liệu như quyền được biết (khoản 1 Điều 4), quyền đồng ý (Điều 9) và rút lại sự đồng ý (Điều 10), quyền truy cập, chỉnh sửa (Điều 13), quyền yêu cầu xóa, huỷ dữ liệu (Điều 14), quyền yêu cầu hạn chế xử lý (Điều 10) hoặc quyền phản đối xử lý dữ liệu trong những trường hợp nhất định (Điều 19). Đây là những quyền thể hiện rõ quan điểm lấy con người làm trung tâm trong hoạt động xử lý dữ liệu, thiết lập một khuôn khổ pháp lý vững chắc và hiện đại để bảo vệ quyền riêng tư và lợi ích hợp pháp của công dân trong kỷ nguyên số.

Về nguyên tắc, Luật quy định mọi hoạt động thu thập, lưu trữ, sử dụng, chia sẻ hoặc chuyển giao dữ liệu cá nhân đều phải bảo đảm tuân thủ quy định của pháp luật, đúng phạm vi, mục đích cụ thể, rõ ràng (khoản 2 Điều 3) và bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân (khoản 6 Điều 3). Luật cũng quy định bên kiểm soát dữ liệu và bên xử lý dữ liệu phải áp dụng các biện pháp, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân và chịu trách nhiệm về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra. Tuy nhiên, khoảng cách giữa quyền được pháp luật ghi nhận và khả năng thực thi các quyền đó trong thực tế vẫn còn khá lớn. Nhiều cá nhân không biết dữ liệu của mình đang được lưu trữ ở đâu, được chia sẻ cho những tổ chức nào hoặc đang được sử dụng cho những mục đích gì. Trong không ít trường hợp, chủ thể dữ liệu chỉ biết đến việc dữ liệu của mình đã bị khai thác hoặc sử dụng trái phép khi các hậu quả pháp lý hoặc kinh tế đã phát sinh.

Các vụ việc cá nhân bất ngờ phát hiện mình đứng tên doanh nghiệp, phát sinh nghĩa vụ thuế hoặc bị ảnh hưởng đến các quyền, lợi ích hợp pháp là ví dụ điển hình. Đáng chú ý là khi các hậu quả pháp lý phát sinh, gánh nặng xử lý trên thực tế nhiều khi lại đặt lên chính người bị giả mạo danh tính. Để chứng minh mình không liên quan đến doanh nghiệp, giao dịch hoặc nghĩa vụ tài chính đã được xác lập dưới danh tính của mình, cá nhân có thể phải thực hiện nhiều thủ tục giải trình với các cơ quan chức năng và mất không ít thời gian, chi phí. Thực tế, việc chứng minh mình không thực hiện hành vi còn khó khăn hơn việc chứng minh mình đã thực hiện hành vi đó.

Những hiện tượng này cho thấy bảo vệ dữ liệu cá nhân không chỉ là vấn đề bảo mật thông tin mà còn là vấn đề bảo đảm quyền kiểm soát của cá nhân đối với các hoạt động sử dụng dữ liệu. Khi quyền kiểm soát bị suy giảm, các quyền khác của cá nhân cũng có nguy cơ bị ảnh hưởng theo.

Có thể nói rằng xã hội số đang xuất hiện một nghịch lý mới. Trong khi pháp luật trao cho cá nhân vị thế là chủ thể dữ liệu thì trên thực tế, nhiều quyết định của xã hội lại được đưa ra dựa trên những gì hệ thống dữ liệu ghi nhận về cá nhân đó. Khi khoảng cách giữa con người thực và danh tính số ngày càng thu hẹp, việc bảo đảm tính chính xác, toàn vẹn và khả năng kiểm soát đối với dữ liệu trở thành điều kiện để bảo vệ các quyền dân sự của công dân trong môi trường số.

Thêm một khía cạnh cần được nhìn nhận là mối quan hệ giữa quyền kiểm soát dữ liệu cá nhân và giá trị pháp lý của các thông tin đã được xác lập trên hệ thống đăng ký doanh nghiệp. Theo Luật Doanh nghiệp, thông tin về người đại diện theo pháp luật và các chủ thể liên quan được sử dụng làm căn cứ để xác định quyền, nghĩa vụ và trách nhiệm pháp lý của doanh nghiệp trong các quan hệ với Nhà nước, đối tác và xã hội. Tuy nhiên, khi dữ liệu định danh của một cá nhân bị sử dụng trái phép để thành lập doanh nghiệp hoặc thực hiện các giao dịch khác, chính người bị hại lại phải chứng minh rằng mình không phải là chủ thể của các hành vi đó. Điều này cho thấy thách thức của xã hội số vượt ra ngoài phạm vi bảo vệ dữ liệu trước nguy cơ lộ lọt, hướng tới việc bảo đảm quyền kiểm soát thực chất của cá nhân đối với danh tính số của mình. Nói cách khác, bài toán đặt ra là tìm kiếm sự cân bằng giữa tính ổn định, độ tin cậy của các thông tin pháp lý đã được xác lập theo Luật Doanh nghiệp và quyền được bảo vệ danh tính của công dân theo Luật Bảo vệ dữ liệu cá nhân

Danh tính số: Tài sản cần được bảo vệ trong xã hội số

Một trong những thay đổi quan trọng của thời đại số là sự hình thành của danh tính số. Nếu trong xã hội truyền thống, việc nhận diện một cá nhân chủ yếu dựa trên giấy tờ và sự hiện diện trực tiếp thì trong môi trường số, một cá nhân được nhận diện thông qua tập hợp các dữ liệu được lưu trữ và liên kết trên nhiều hệ thống khác nhau. Danh tính số không chỉ bao gồm các thông tin nhận dạng cơ bản như họ tên, ngày sinh, số định danh cá nhân hay địa chỉ liên hệ mà còn cả lịch sử giao dịch, thông tin tài chính, hoạt động nghề nghiệp, quá trình học tập, dữ liệu trên môi trường mạng và nhiều dấu vết số khác. Khi các dữ liệu này được kết nối với nhau, chúng tạo thành một hồ sơ số tương đối hoàn chỉnh về một con người.

Chính vì vậy, giá trị của dữ liệu cá nhân ngày nay không nằm ở từng thông tin riêng lẻ mà nằm ở khả năng hình thành và xác thực danh tính số. Một khi danh tính số bị chiếm đoạt hoặc sử dụng trái phép, hậu quả có thể vượt xa các thiệt hại về quyền riêng tư để tác động trực tiếp đến tài sản, uy tín, hoạt động nghề nghiệp và các quyền dân sự của cá nhân.

Trong nền kinh tế công nghiệp, tài sản quan trọng nhất của cá nhân thường là tài sản hữu hình hoặc các giấy tờ pháp lý truyền thống. Tuy nhiên, trong xã hội số, danh tính số đang dần trở thành một loại tài sản đặc biệt. Tài khoản định danh điện tử, tài khoản ngân hàng, hồ sơ thuế, lịch sử tín dụng, hồ sơ nghề nghiệp hay các giao dịch trên môi trường mạng đều gắn với danh tính số của mỗi cá nhân. Một khi danh tính số bị chiếm đoạt hoặc bị sử dụng trái phép, cá nhân có thể mất quyền kiểm soát đối với nhiều hoạt động kinh tế - xã hội dù tài sản vật chất vẫn còn nguyên vẹn. Theo nghĩa đó, bảo vệ dữ liệu cá nhân ngày nay cũng chính là bảo vệ danh tính số và các quyền gắn liền với danh tính số của công dân.

Nhận thức này đã xuất hiện trong các chính sách quản trị dữ liệu của nhiều quốc gia. Liên minh châu Âu đã xây dựng khuôn khổ định danh điện tử và dịch vụ tin cậy (eIDAS) nhằm tăng cường độ tin cậy của các giao dịch điện tử. Estonia phát triển hệ sinh thái định danh số quốc gia gắn với cơ chế xác thực và giám sát chặt chẽ việc sử dụng dữ liệu. Singapore triển khai hệ thống Singpass cho phép người dân quản lý danh tính số và tiếp cận nhiều dịch vụ công thông qua một nền tảng thống nhất. Điểm chung của các mô hình này là ngoài việc tập trung vào việc bảo vệ dữ liệu, nó còn hướng tới bảo vệ quyền kiểm soát của công dân đối với danh tính số của mình. Đây cũng là xu hướng mà Việt Nam cần tiếp tục nghiên cứu trong quá trình hoàn thiện hệ thống pháp luật và thể chế quản trị dữ liệu quốc gia trong thời gian tới.

Chia sẻ dữ liệu và bài toán cân bằng giữa phát triển với bảo vệ

Mỗi khi xảy ra các vụ việc lộ lọt dữ liệu hoặc chiếm đoạt danh tính, thường xuất hiện quan điểm cho rằng cần hạn chế tối đa việc chia sẻ dữ liệu giữa các cơ quan, tổ chức. Tuy nhiên, một xã hội số không thể phát triển trên nền tảng của sự khép kín dữ liệu. Dữ liệu chỉ thực sự tạo ra giá trị khi được kết nối, chia sẻ và khai thác phục vụ phát triển kinh tế - xã hội. Hoạt động quản lý nhà nước, cung cấp dịch vụ công, phát triển kinh tế số hay đổi mới sáng tạo đều cần dựa trên khả năng trao đổi và sử dụng dữ liệu giữa các hệ thống khác nhau. Nếu mỗi cơ quan, tổ chức đều quản lý dữ liệu theo cách biệt lập, người dân sẽ tiếp tục phải kê khai lặp đi lặp lại cùng một thông tin, chi phí xã hội gia tăng và hiệu quả quản lý bị suy giảm.

Vấn đề vì thế không nằm ở việc có nên chia sẻ dữ liệu hay không mà nằm ở cơ chế chia sẻ dữ liệu. Dữ liệu cần được chia sẻ đúng mục đích, đúng thẩm quyền, đúng phạm vi cần thiết và phải bảo đảm khả năng giám sát trong toàn bộ vòng đời xử lý. Chủ thể dữ liệu cần được biết dữ liệu của mình đang được sử dụng như thế nào, bởi ai và cho mục đích gì. Đồng thời, các cơ quan, tổ chức xử lý dữ liệu phải có trách nhiệm giải trình đối với các hoạt động liên quan đến dữ liệu cá nhân. Nói cách khác, mục tiêu của bảo vệ dữ liệu cá nhân không phải là ngăn cản sự lưu chuyển của dữ liệu mà là xây dựng các cơ chế để dữ liệu được lưu chuyển một cách an toàn, minh bạch và có trách nhiệm. Đây cũng là điều kiện quan trọng để vừa thúc đẩy phát triển kinh tế số, vừa bảo đảm quyền và lợi ích hợp pháp của công dân.

Con người - Nền tảng của an ninh dữ liệu và bảo vệ dữ liệu cá nhân

Những năm gần đây, Việt Nam từng bước hoàn thiện hệ thống pháp luật về an ninh mạng, an ninh dữ liệu và bảo vệ dữ liệu cá nhân. Các quy định pháp luật ngày càng đầy đủ hơn, các giải pháp kỹ thuật ngày càng hiện đại hơn và nhận thức của xã hội về bảo vệ dữ liệu cũng đang từng bước được nâng cao. Tuy nhiên, suy cho cùng, mọi hệ thống kỹ thuật đều do con người thiết kế, mọi quy trình đều do con người vận hành và mọi quyết định liên quan đến dữ liệu đều xuất phát từ con người. Phần lớn các sự cố liên quan đến dữ liệu, dù vô tình hay cố ý, cuối cùng vẫn có nguồn gốc từ các hành vi của con người trong quá trình thu thập, sử dụng, chia sẻ hoặc quản lý dữ liệu.

Trong các diễn đàn, thảo luận về an ninh mạng, an ninh dữ liệu và bảo vệ dữ liệu cá nhân hiện nay, sự chú ý thường tập trung vào công nghệ, hệ thống bảo mật hoặc các quy định pháp luật mới. Tuy nhiên, dữ liệu không tự rò rỉ, không tự bị mua bán và cũng không tự bị lạm dụng. Đằng sau mỗi hành vi vi phạm dữ liệu luôn là các quyết định của con người. Vì vậy, cùng với việc hoàn thiện các quy định về an ninh mạng, an ninh dữ liệu và bảo vệ dữ liệu cá nhân, cần quan tâm nhiều hơn đến việc xây dựng văn hóa trách nhiệm, đạo đức số và ý thức tuân thủ trong xử lý dữ liệu.

Tuy nhiên, nâng cao nhận thức và trách nhiệm của con người thôi là chưa đủ. Từ thực tiễn các vụ việc giả mạo danh tính thời gian qua, cần tiếp tục hoàn thiện các cơ chế bảo vệ chủ thể dữ liệu theo hướng chủ động hơn, với các giải pháp cụ thể sau:

Thứ nhất, cần nghiên cứu xây dựng cơ chế thông báo tự động khi phát sinh các thay đổi quan trọng liên quan đến tư cách pháp lý của công dân như đăng ký thành lập doanh nghiệp, thay đổi người đại diện theo pháp luật, đăng ký mã số thuế hoặc các giao dịch có khả năng làm phát sinh nghĩa vụ tài chính và trách nhiệm pháp lý. Khi xuất hiện các thay đổi này, hệ thống cần tự động gửi cảnh báo đến chủ thể dữ liệu thông qua các nền tảng định danh điện tử hoặc các kênh xác thực chính thức để cá nhân có thể kịp thời phát hiện và xử lý các dấu hiệu bất thường.

Thứ hai, đối với các giao dịch có nguy cơ tác động lớn đến quyền và lợi ích hợp pháp của cá nhân, cần từng bước áp dụng các cơ chế xác thực tăng cường thay vì chỉ dựa trên các thông tin định danh cơ bản. Cụ thể, các giao dịch như đăng ký doanh nghiệp, thay đổi người đại diện, đăng ký tài sản, vay vốn tín dụng... cần có sự xác thực đa yếu tố, bao gồm dữ liệu sinh trắc học và xác thực trực tiếp thông qua nền tảng định danh điện tử quốc gia VNeID, thay vì chỉ dựa trên bản sao giấy tờ tùy thân như hiện nay. Đây là yêu cầu phù hợp với tinh thần của Luật Bảo vệ dữ liệu cá nhân, theo đó bên kiểm soát dữ liệu phải áp dụng các biện pháp kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân.

Thứ ba, pháp luật cũng cần nghiên cứu hình thành quy trình xử lý chuyên biệt đối với các trường hợp bị chiếm đoạt hoặc sử dụng trái phép danh tính số. Mục tiêu không chỉ là phát hiện và xử lý hành vi vi phạm mà còn phải hỗ trợ khôi phục nhanh tình trạng pháp lý ban đầu cho người bị hại, giảm thiểu tối đa thời gian, chi phí và các hệ lụy phát sinh trong quá trình chứng minh mình không liên quan đến các giao dịch hoặc nghĩa vụ đã được xác lập dưới danh tính của mình.

Thứ tư, cần nghiên cứu áp dụng cơ chế chuyển dịch gánh nặng chứng minh trong các vụ việc giả mạo danh tính số. Khi một cá nhân chứng minh được có dấu hiệu hợp lý cho thấy danh tính của mình đã bị sử dụng trái phép, trách nhiệm chứng minh tính hợp pháp của việc xác thực và xử lý dữ liệu phải thuộc về cơ quan, tổ chức đã xác lập giao dịch hoặc quan hệ pháp lý đó. Cơ chế này sẽ góp phần khắc phục tình trạng người dân phải tự chứng minh mình không phải là người mà hệ thống dữ liệu đang mô tả, đồng thời thúc đẩy các chủ thể xử lý dữ liệu nâng cao trách nhiệm trong hoạt động định danh và xác thực điện tử. Nói cách khác, thay vì đặt gánh nặng chứng minh lên người dân, các cơ quan, tổ chức xử lý dữ liệu phải có trách nhiệm chứng minh rằng việc xác thực danh tính đã được thực hiện đúng quy định.

Kết luận

Xét cho cùng, câu hỏi "Ai mới thực sự là chủ nhân của dữ liệu?" không chỉ là một vấn đề pháp lý mà còn là một vấn đề về quyền lực trong xã hội số. Một cá nhân chỉ thực sự là chủ thể dữ liệu khi họ có khả năng biết dữ liệu của mình đang được sử dụng như thế nào, có quyền quyết định đối với việc sử dụng đó và có khả năng bảo vệ quyền lợi của mình khi dữ liệu bị lạm dụng. Nếu những quyền năng này không được bảo đảm trên thực tế, vị thế "chủ thể dữ liệu" được ghi nhận trong pháp luật rất dễ chỉ tồn tại trên danh nghĩa. Các vụ việc công dân bất ngờ bị đứng tên doanh nghiệp, bị gắn với các nghĩa vụ tài chính hoặc trách nhiệm pháp lý mà bản thân không hề hay biết cho thấy dữ liệu cá nhân ngoài yếu tố biểu diễn thông tin về một con người còn là một phần của danh tính số và năng lực pháp lý trong môi trường số. Khi đó, việc bảo vệ dữ liệu cá nhân cũng chính là bảo vệ quyền kiểm soát của công dân đối với danh tính số của mình, để chủ thể dữ liệu có thể yên tâm rằng các quyền và lợi ích hợp pháp không bị xâm phạm bởi những hành vi sử dụng dữ liệu trái phép.

Nguồn: Trần Trí Dũng/Ban Cơ yếu Chính phủ