Tại Hội nghị phổ biến, hướng dẫn Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân sáng 21/8, Thượng tá, ThS. Nguyễn Đình Đỗ Thi, Phó Trưởng phòng 1, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an cho biết trong những năm qua đã xảy ra hàng chục vụ việc học sinh tự tử sau khi bị xúc phạm, bôi nhọ trên không gian mạng.

Các trường hợp được thống kê ở nhiều địa phương, trong đó có học sinh từ lớp 8 đến lớp 11. Một số em để lại thư tuyệt mệnh, tâm sự không chịu được áp lực từ những thông tin xuyên tạc và bình luận ác ý trên mạng.

“Chúng ta đang sử dụng không gian ảo, tuy nhiên những gì đưa lên đã tác động tới cuộc sống đời thực, thậm chí gây ra những hậu quả rất đau lòng... Chỉ vì một vài dòng tin, hình ảnh phát tán, xuyên tạc, bôi nhọ, xúc phạm, các em đã lựa chọn tìm đến cái chết”, Thượng tá Nguyễn Đình Đỗ Thi chia sẻ.

Những trường hợp này cho thấy không gian mạng không còn là môi trường tách biệt với đời thực. Một thông tin, hình ảnh khi được phát tán có thể tác động trực tiếp đến danh dự, đời sống và thậm chí tính mạng của một người.

Hocsinhbca
Thượng tá, ThS. Nguyễn Đình Đỗ Thi, Phó Trưởng phòng 1, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an nêu các tình huống đau lòng xảy ra ngoài đời thực do những hành vi trên mạng. Ảnh: PV

Dữ liệu cá nhân thành ‘mỏ vàng’ của tội phạm

Theo Thượng tá Nguyễn Đình Đỗ Thi, cùng với quá trình chuyển đổi số, các hoạt động xâm phạm dữ liệu cá nhân đang diễn biến phức tạp. Dữ liệu bị khai thác không chỉ gồm họ tên, ngày tháng năm sinh, số điện thoại mà còn có thông tin nhạy cảm như số tài khoản ngân hàng, dữ liệu sinh trắc học.

Trên một số hội nhóm kín, diễn đàn ngầm, các tệp dữ liệu khách hàng, người sử dụng Việt Nam được rao bán với số lượng có thể lên tới hàng chục triệu bản ghi. Riêng năm 2025, A05 cùng công an các địa phương phát hiện hơn 30 vụ rao bán, chiếm đoạt, khai thác dữ liệu cá nhân, liên quan khoảng 160 triệu bản ghi.

Một số vụ có quy mô đặc biệt lớn. Cụ thể, tháng 11/2022, Công an Phú Thọ phối hợp A05 bắt nhóm đối tượng rao bán 2,2 triệu dữ liệu cá nhân. Năm 2025, một đường dây mua bán 56 triệu bản ghi bị triệt phá. Trong năm 2026, Công an Nghệ An khởi tố một đối tượng về hành vi mua bán 50 triệu thông tin dữ liệu cá nhân, trong khi Công an Lâm Đồng khởi tố một học sinh lớp 10 xâm nhập hệ thống, chiếm đoạt và bán 20 triệu bản ghi.

“Các đối tượng đã coi dữ liệu cá nhân như là một loại ‘mỏ vàng’ mới”, ông nhận định.

Dữ liệu bị chiếm đoạt trở thành nguồn đầu vào cho nhiều loại tội phạm mạng, đặc biệt là lừa đảo trực tuyến. Theo ông, các đường dây có thể vận hành với hàng trăm, thậm chí hàng nghìn người, xây dựng hàng trăm kịch bản dựa trên những vấn đề thời sự để tiếp cận nạn nhân.

Cùng với đó, AI đang được sử dụng để tăng tốc hoạt động tấn công. Trong sáu tháng đầu năm 2026, VNCERT phát hiện khoảng hai triệu cảnh báo tấn công mạng, trong đó khoảng 50% cuộc tấn công có gắn với AI. Công nghệ này có thể giúp tự động hóa quá trình dò quét, lây nhiễm mã độc và xâm nhập hệ thống nhanh hơn.

AI và Deepfake cũng được sử dụng để lồng ghép, chỉnh sửa hình ảnh, tạo thông tin xuyên tạc, xúc phạm hoặc giả mạo danh tính. Trong sáu tháng đầu năm, A05 phát hiện hàng chục nghìn thông tin, bài viết mang tính chất xuyên tạc trên không gian mạng.

Luật mới siết trách nhiệm bảo vệ dữ liệu

Luật Bảo vệ dữ liệu cá nhân được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ 1/1/2026. Luật quy định rõ hơn quyền, nghĩa vụ của chủ thể dữ liệu và trách nhiệm của các bên tham gia quá trình xử lý dữ liệu.

Người dùng có quyền được biết về hoạt động xử lý dữ liệu cá nhân; đồng ý hoặc rút lại sự đồng ý; xem, chỉnh sửa, yêu cầu xóa hoặc hạn chế xử lý dữ liệu; phản đối việc xử lý; khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường theo quy định.

Đáng chú ý, sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và người dùng biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu cùng quyền và nghĩa vụ của mình.

Ở chiều ngược lại, cá nhân cũng có nghĩa vụ tự bảo vệ dữ liệu của mình và tôn trọng dữ liệu của người khác. Luật nghiêm cấm xử lý dữ liệu trái quy định, sử dụng dữ liệu của người khác để thực hiện hành vi vi phạm, mua bán dữ liệu cá nhân trái phép, cũng như chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu.

Đối với tổ chức, doanh nghiệp, luật yêu cầu chỉ định nhân sự hoặc bộ phận bảo vệ dữ liệu cá nhân. Khi xử lý hoặc chuyển dữ liệu xuyên biên giới, các bên liên quan phải thực hiện những yêu cầu đánh giá tác động theo quy định.

Mức chế tài cũng được thiết kế theo hướng răn đe. Hành vi mua bán dữ liệu cá nhân có thể bị phạt tối đa 10 lần khoản thu từ hành vi vi phạm. Với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa có thể lên tới 5% doanh thu của năm liền trước.

Tuy nhiên, theo Thượng tá Nguyễn Đình Đỗ Thi, bảo vệ dữ liệu không chỉ là trách nhiệm của cơ quan quản lý hay doanh nghiệp. Người dùng cũng cần thận trọng với những gì đưa lên mạng, cân nhắc trước khi chia sẻ thông tin cá nhân để đổi lấy một dịch vụ, không mở tệp lạ, không cài ứng dụng không rõ nguồn gốc và không chuyển tiền theo hướng dẫn của người lạ.

“Dữ liệu vừa được coi là nguyên liệu, vừa được coi là tài sản”, ông Nguyễn Đình Đỗ Thi nói, đồng thời cho rằng nếu doanh nghiệp coi bảo vệ dữ liệu cá nhân là văn hóa, điều này sẽ giúp bảo vệ khách hàng, nhân viên, uy tín và thương hiệu.