Khi một tổ chức đang giữ ảnh khuôn mặt, ảnh giấy tờ, mẫu sinh trắc của bạn để chúng bị lộ, bạn có quyền được biết chuyện gì đã xảy ra, yêu cầu họ giải trình, khiếu nại và đòi bồi thường thiệt hại theo quy định. Bên giữ dữ liệu có nghĩa vụ bảo vệ nó; sự cố xảy ra không tự động có nghĩa họ có lỗi, nhưng họ phải trả lời cho bạn.
Bài này tập trung vào phía quyền của bạn đối với bên giữ dữ liệu: ngân hàng, ví, nhà mạng, ứng dụng, toà nhà, công ty. Những việc cần làm ngay để chặn kẻ gian dùng dữ liệu lộ, như khoá tài khoản, theo dõi khoản vay đứng tên mình, có bài riêng trong danh mục giả mạo danh tính và danh mục giấy tờ cá nhân của trang. Phần pháp lý viết theo nguyên lý, dặn kiểm văn bản hiện hành.
Biết mình bị ảnh hưởng bằng cách nào
Bạn có thể biết qua ba đường. Đường thứ nhất là chính bên giữ dữ liệu thông báo: email, tin nhắn trong ứng dụng hoặc thông cáo công khai về sự cố. Đường thứ hai là báo chí hoặc cơ quan chức năng công bố một vụ lộ dữ liệu có liên quan tới dịch vụ bạn dùng. Đường thứ ba là bạn tự phát hiện dấu hiệu: nhận tin nhắn, cuộc gọi lạ nhắc đúng thông tin chỉ một nơi biết, thấy ảnh giấy tờ của mình được rao bán, hay có khoản vay mở bằng thông tin của bạn.
Đường thứ ba khó nhất, vì bạn thường không biết chắc dữ liệu lộ từ đâu. Một số mẹo giúp thu hẹp: nhớ lại thông tin bị nhắc tới chỉ đưa cho nơi nào; dùng địa chỉ email khác nhau cho từng nhóm dịch vụ để biết thư rác đến từ đâu; ghi lại thời điểm bắt đầu nhận cuộc gọi lạ. Những ghi chép này sẽ quan trọng khi bạn hỏi bên giữ dữ liệu.
Cẩn thận với chính những "thông báo lộ dữ liệu". Kẻ gian hay giả danh ngân hàng, cơ quan chức năng để báo bạn bị lộ dữ liệu rồi yêu cầu "xác minh lại" bằng đường dẫn. Bên giữ dữ liệu thật không yêu cầu bạn cung cấp lại ảnh mặt, mã OTP hay mật khẩu qua đường dẫn trong tin nhắn. Khi nhận thông báo, tự mở ứng dụng chính thức hoặc gọi số tổng đài in trên thẻ để xác nhận.
Bạn có quyền yêu cầu bên giữ trả lời những gì
Khi biết hoặc nghi ngờ dữ liệu của mình bị lộ từ một tổ chức, gửi thư yêu cầu họ trả lời các câu dưới đây. Theo nguyên lý của pháp luật bảo vệ dữ liệu cá nhân, đây là thông tin bạn có quyền được biết về dữ liệu của chính mình.
- Dữ liệu nào của bạn bị ảnh hưởng: tên, số căn cước, ảnh giấy tờ, ảnh khuôn mặt, video định danh, mẫu sinh trắc, lịch sử giao dịch.
- Sự cố xảy ra khi nào và được phát hiện khi nào. Khoảng cách giữa hai mốc này cho biết dữ liệu đã bị phơi bày bao lâu.
- Nguyên nhân sơ bộ: bị tấn công, nhân viên làm lộ, bên xử lý thay mặt bị lộ, cấu hình sai.
- Họ đã làm gì để ngăn chặn và để giảm thiệt hại cho người bị ảnh hưởng.
- Họ khuyến nghị bạn làm gì, có hỗ trợ cụ thể nào như theo dõi tín dụng, khoá tạm tài khoản, cấp lại giấy tờ không.
- Đầu mối liên hệ để bạn hỏi tiếp và gửi yêu cầu bồi thường nếu có thiệt hại.
Pháp luật đặt cho bên kiểm soát dữ liệu nghĩa vụ thông báo sự cố cho cơ quan chuyên trách trong thời hạn nhất định; việc thông báo cho từng người bị ảnh hưởng và nội dung thông báo tuỳ quy định hiện hành và mức độ sự cố. Dù họ có chủ động báo bạn hay không, bạn vẫn có quyền hỏi.
Dữ liệu sinh trắc lộ khác dữ liệu thường ở đâu
Không phải loại dữ liệu nào bị lộ cũng có hậu quả như nhau. Hiểu sự khác biệt giúp bạn biết cần đòi gì ở bên giữ và cần tự làm gì.
| Loại dữ liệu lộ | Có đổi được không | Hậu quả thường gặp | Nên đòi bên giữ |
|---|---|---|---|
| Mật khẩu, mã PIN | Đổi được ngay | Chiếm tài khoản nếu không đổi kịp | Buộc đổi mật khẩu, thông báo kịp thời |
| Số căn cước, ngày sinh, địa chỉ | Không đổi được dễ dàng | Lừa đảo nhắm mục tiêu, mạo danh | Giải trình phạm vi, hỗ trợ theo dõi |
| Ảnh hai mặt giấy tờ | Có thể cấp lại giấy tờ trong một số trường hợp | Mở tài khoản, vay mượn bằng danh tính bạn | Xác nhận phạm vi, hỗ trợ thủ tục cần thiết |
| Ảnh khuôn mặt, video eKYC | Không đổi được | Dùng làm nguyên liệu giả mạo, tăng rủi ro vượt định danh | Giải trình biện pháp bảo vệ, cam kết rà soát hệ thống |
| Mẫu sinh trắc số hoá | Không đổi được | Tuỳ cách mã hoá; rủi ro lâu dài | Giải trình cách lưu, đề xuất ngừng dùng sinh trắc với bạn |
Với dữ liệu sinh trắc, điều bạn có thể đòi hợp lý nhất là bên giữ ngừng dùng sinh trắc làm phương thức xác thực duy nhất với tài khoản của bạn, và chuyển sang phương thức có thể thay đổi được khi cần. Khuôn mặt bị lộ thì không cấp lại được, nhưng cách tài khoản của bạn được bảo vệ thì thay đổi được.
Chuẩn bị hồ sơ khiếu nại
Nếu bên giữ dữ liệu không trả lời, trả lời qua loa, hoặc sự cố đã gây thiệt hại, bạn có thể khiếu nại. Hồ sơ tốt giúp người xử lý hiểu nhanh và giúp bạn không phải kể lại nhiều lần.
- Dòng thời gian. Ngày bạn cung cấp dữ liệu cho bên giữ, ngày phát hiện dấu hiệu, ngày nhận thông báo, ngày gửi thư hỏi, ngày nhận trả lời.
- Bằng chứng về dữ liệu đã cung cấp. Ảnh chụp màn hình tài khoản, email xác nhận đăng ký, hợp đồng dịch vụ.
- Bằng chứng về sự cố. Thông báo của bên giữ, bài báo, ảnh chụp nơi dữ liệu bị rao bán, tin nhắn lừa đảo nhắc đúng thông tin bị lộ.
- Thư từ đã trao đổi. Thư hỏi của bạn và trả lời của họ, hoặc bằng chứng đã gửi mà không được trả lời.
- Thiệt hại thực tế. Khoản tiền bị mất, chi phí làm lại giấy tờ, thời gian phải nghỉ việc để xử lý; ghi kèm chứng từ.
- Yêu cầu cụ thể. Bạn muốn gì: giải trình đầy đủ, xoá dữ liệu, ngừng dùng sinh trắc, bồi thường khoản nào.
Gửi khiếu nại trước tiên cho chính bên giữ dữ liệu. Nếu không được giải quyết, bạn có thể gửi tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an, hoặc cơ quan quản lý ngành của bên đó. Với thiệt hại lớn, con đường dân sự đòi bồi thường cần tư vấn của người làm luật.
Dùng AI để sắp xếp hồ sơ, không để AI phán đúng sai
Khi sự việc kéo dài, giấy tờ nhiều, một trợ lý AI giúp bạn sắp xếp. Câu lệnh gợi ý: "Đây là các mốc sự việc (đã xoá tên người, số giấy tờ). Hãy sắp xếp thành dòng thời gian, chỉ ra mốc nào còn thiếu bằng chứng, và soạn một đoạn tóm tắt sự việc dưới 200 chữ để gửi kèm đơn khiếu nại, giọng trung tính, không suy đoán lỗi của ai." Bạn thay tên thật bằng ký hiệu như "Ngân hàng A", "Ứng dụng B" trước khi dán.
Đừng hỏi AI "bên này có vi phạm luật không, phải bồi thường bao nhiêu". Câu trả lời sẽ là phỏng đoán dựa trên kiến thức chung, có thể sai với văn bản hiện hành và không tính tới tình tiết riêng của bạn. Đánh giá lỗi và mức bồi thường là việc của người làm luật và cơ quan có thẩm quyền. Bạn có thể đặt câu hỏi cho luật sư trên AI Cố Vấn, gửi kèm dòng thời gian và bản tóm tắt AI đã giúp bạn sắp xếp; như vậy buổi tư vấn đi thẳng vào phần đáng bàn.
Một điều nữa: không dán ảnh giấy tờ, ảnh khuôn mặt bị lộ vào chatbot để "kiểm tra xem có đúng của mình không". Đưa dữ liệu bị lộ thêm vào một hệ thống nữa không giúp gì cho bạn.
Khi bên làm lộ là một nơi nhỏ
Không phải vụ lộ nào cũng đến từ ngân hàng hay ứng dụng lớn. Rất nhiều ảnh giấy tờ, ảnh khuôn mặt bị lộ từ những nơi nhỏ: chủ nhà trọ chụp căn cước người thuê rồi gửi vào nhóm chat, phòng tập để lộ danh sách hội viên kèm ảnh, cửa hàng cầm đồ giữ bản chụp giấy tờ trong máy tính không đặt mật khẩu, nhân viên lễ tân khách sạn chụp giấy tờ khách bằng điện thoại cá nhân.
Với những nơi này, cách tiếp cận nên khác. Họ thường không có bộ phận dữ liệu cá nhân, không có quy trình xử lý sự cố, và nhiều khi không biết mình đã làm sai. Một cuộc nói chuyện trực tiếp, nêu rõ ảnh nào của bạn đang ở đâu, đề nghị gỡ và xoá, thường hiệu quả hơn một lá thư dẫn luật. Ghi lại cuộc trao đổi và kết quả.
Nếu họ không hợp tác, hoặc ảnh giấy tờ của bạn đã bị dùng để làm điều gì đó trái phép, bạn vẫn có các kênh như với tổ chức lớn: phản ánh tới cơ quan có thẩm quyền, trình báo khi có dấu hiệu tội phạm. Kích cỡ của bên giữ dữ liệu không làm giảm nghĩa vụ bảo vệ dữ liệu của họ, chỉ thay đổi cách bạn nên bắt đầu câu chuyện.
Những kỳ vọng nên thực tế
Khiếu nại về lộ dữ liệu thường mất thời gian, và không phải lúc nào cũng dẫn tới bồi thường bằng tiền. Rất khó chứng minh một thiệt hại cụ thể, như một khoản vay bị mở trái phép, bắt nguồn từ đúng một vụ lộ dữ liệu khi thông tin của bạn có thể đã lộ ở nhiều nơi. Điều này không có nghĩa là không nên khiếu nại, mà là nên đặt mục tiêu đúng.
Mục tiêu thực tế nhất thường là: buộc bên giữ dữ liệu giải trình rõ ràng; được hỗ trợ cụ thể để giảm thiệt hại; dữ liệu không cần thiết của bạn bị xoá; phương thức xác thực tài khoản của bạn được chuyển sang cách an toàn hơn. Với thiệt hại tài chính có chứng từ, việc đòi bồi thường có cơ sở hơn, nhất là khi bên giữ không chứng minh được đã áp dụng biện pháp bảo vệ phù hợp.
Khiếu nại còn có giá trị vượt khỏi trường hợp của riêng bạn. Mỗi hồ sơ được ghi nhận giúp cơ quan chức năng thấy bức tranh, và buộc các tổ chức đầu tư nghiêm túc hơn vào bảo vệ dữ liệu. Ví dụ giả định: nếu một ứng dụng làm lộ dữ liệu của hàng nghìn người mà chỉ có vài người lên tiếng, sự việc dễ bị coi là nhỏ. Nhiều hồ sơ cùng nội dung, gửi đúng kênh, khiến nó không thể bị xem nhẹ.
Câu hỏi thường gặp
Bên giữ dữ liệu có bắt buộc phải báo cho mình khi bị lộ không?
Pháp luật đặt nghĩa vụ thông báo sự cố cho cơ quan chuyên trách; việc thông báo trực tiếp cho người bị ảnh hưởng tuỳ quy định hiện hành và mức độ sự cố. Dù họ không chủ động báo, bạn vẫn có quyền gửi thư hỏi dữ liệu nào của mình bị ảnh hưởng và đề nghị trả lời bằng văn bản.
Khiếu nại lộ dữ liệu cá nhân gửi tới đâu?
Trước hết gửi cho chính tổ chức giữ dữ liệu qua kênh chính thức. Nếu không được giải quyết, gửi tới cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an hoặc cơ quan quản lý ngành của tổ chức đó. Khi có dấu hiệu tội phạm như lừa đảo chiếm đoạt tài sản, trình báo công an nơi gần nhất.
Ảnh khuôn mặt bị lộ thì có cần làm lại căn cước không?
Ảnh khuôn mặt không thay đổi khi làm lại căn cước, nên làm lại giấy tờ không giải quyết được việc lộ ảnh mặt. Việc cần làm là theo dõi các tài khoản đứng tên mình, bật thêm lớp xác thực không dựa vào khuôn mặt nếu có, và cảnh giác với yêu cầu xác minh lạ.
Có thể đòi bồi thường khi chưa mất tiền không?
Bồi thường thường gắn với thiệt hại có thể chứng minh, gồm thiệt hại vật chất và trong một số trường hợp là tổn thất tinh thần theo quy định dân sự. Khi chưa có thiệt hại cụ thể, yêu cầu thực tế hơn là giải trình, hỗ trợ và xoá dữ liệu. Hỏi luật sư nếu bạn muốn đi theo hướng bồi thường.
Nhiều người cùng bị lộ dữ liệu từ một ứng dụng thì có nên khiếu nại chung không?
Nhiều hồ sơ cùng nội dung giúp sự việc được chú ý hơn. Mỗi người vẫn nên có hồ sơ riêng với bằng chứng của mình, nhưng có thể phối hợp về dòng thời gian chung và cùng gửi trong một thời điểm. Với vụ việc lớn, nên có người làm luật hướng dẫn cách làm.
Làm sao biết thông tin đang bị rao bán có đúng từ vụ lộ đó không?
Thường khó biết chắc. Dấu hiệu gợi ý là bộ dữ liệu chứa đúng những trường thông tin bạn chỉ cung cấp cho một nơi, hoặc ảnh giấy tờ trùng với ảnh bạn chụp khi định danh với dịch vụ đó. Ghi lại bằng chứng và đưa vào hồ sơ, không tự liên hệ người rao bán.