Trong bối cảnh hiện nay, khi dữ liệu cá nhân trở thành “tài sản số”, bảo vệ dữ liệu không còn là câu chuyện kỹ thuật mà là nền tảng của xã hội số an toàn, lành mạnh.
Việc Luật Bảo vệ dữ liệu cá nhân và Nghị định hướng dẫn có hiệu lực đánh dấu bước chuyển quan trọng, tạo lập hành lang pháp lý thống nhất, bảo vệ con người trong không gian số và làm nền tảng cho phát triển bền vững chuyển đổi số quốc gia.
Dữ liệu cá nhân trở thành mục tiêu của tội phạm mạng
Thực tế thời gian qua cho thấy, với nhiều phương thức mới dựa trên công nghệ cao, trí tuệ nhân tạo (AI), hoạt động xâm phạm dữ liệu cá nhân đang diễn biến phức tạp. Trong 6 tháng đầu năm 2026, các đơn vị chuyên trách phát hiện khoảng 2 triệu cảnh báo tấn công mạng, trong đó khoảng 50% có liên quan đến AI. Công nghệ này giúp tội phạm tự động hóa quá trình dò quét, xâm nhập hệ thống và thực hiện các hành vi tấn công nhanh hơn.
Tình trạng xâm phạm, mua bán dữ liệu cá nhân trái phép cũng diễn ra với quy mô lớn. Theo báo cáo, trong năm 2025 phát hiện hơn 40 vụ mua bán dữ liệu với khoảng 160 triệu bản ghi.
Những vụ việc được lực lượng Công an triệt phá gần đây, cho thấy tính chất mức độ tinh vi, nguy hiểm của các hành vi xâm phạm và mua bán dữ liệu cá nhân. Theo cơ quan chức năng, dữ liệu bị mua bán gồm nhiều thông tin cá nhân như số căn cước công dân, địa chỉ, số điện thoại, nơi làm việc, chỗ ở... Đây là những thông tin nếu bị kết hợp, khai thác trái phép có thể tạo điều kiện cho nhiều hành vi lừa đảo, giả mạo hoặc xâm phạm quyền riêng tư.
Không chỉ dừng lại ở thông tin cá nhân, các hành vi xâm phạm dữ liệu tài chính, nhóm dữ liệu đặc biệt nhạy cảm, những thông tin gắn với đời sống riêng tư và sức khỏe của mỗi người cũng diễn biến phức tạp.
Tháng 6/2026, Công an tỉnh Lâm Đồng khởi tố N.H.A., một học sinh lớp 10 tại Nghệ An, để điều tra hành vi xâm nhập trái phép hệ thống mạng và mua bán dữ liệu cá nhân.
Theo kết quả điều tra ban đầu, đối tượng tự tìm hiểu kiến thức lập trình, phát hiện và lợi dụng các lỗ hổng bảo mật để xâm nhập Hệ thống thông tin tiêm chủng quốc gia, sau đó thu thập và rao bán khoảng 20 triệu dữ liệu cá nhân của người dân trên cả nước.
Vụ việc gây chú ý bởi nguồn dữ liệu lần này không chỉ là những tệp thông tin được thu thập từ nhiều nguồn trên Internet, mà liên quan đến một hệ thống thông tin y tế quy mô.
Hay mới đây, trong quá trình điều tra các số điện thoại, tài khoản mạng xã hội liên quan đến những cuộc gọi mời chào tiêm chủng, tắm cho bé, chăm sóc mẹ và bé sau sinh…, Công an tỉnh Bắc Ninh đã bắt giữ 1 đối tượng từng là nhân viên tư vấn tiêm chủng tại một phòng tiêm trên địa bàn thành phố Hà Nội.
Đối tượng khai nhận từng làm việc tại một cơ sở tiêm chủng, sau khi nghỉ việc, tài khoản được cấp trước đó vẫn được đối tượng sử dụng để truy cập hệ thống. Đối tượng nắm được cách tra cứu, trích xuất dữ liệu trên hệ thống, từ đó phân chia dữ liệu theo từng tỉnh, thành và rao bán trên mạng xã hội hơn 132.000 thông tin cá nhân của mẹ và trẻ sơ sinh.
Khi dữ liệu y tế và thông tin của các bà mẹ và trẻ em bị đưa vào hoạt động mua bán, nguy cơ không chỉ đơn thuần là số lượng hàng triệu bản ghi dữ liệu, mà có thể vượt xa câu chuyện về một danh sách khách hàng bị lộ.
Nguy hiểm hơn, thị trường dữ liệu trái phép không chỉ dừng lại ở những thông tin “có sẵn”, mà có xu hướng tìm đến những nguồn dữ liệu có khả năng tạo ra giá trị cao hơn khi được phân loại và kết hợp, bị sử dụng theo nhiều tầng khác nhau.
Một số vụ án bị triệt phá vừa qua cho thấy, dữ liệu không chỉ được mua bán nguyên trạng. Sau khi bị “đánh cắp” từ nguồn ban đầu, dữ liệu có thể tiếp tục trải qua nhiều công đoạn trước khi đến tay người mua cuối cùng. Dữ liệu được tập hợp, chỉnh sửa và đưa trở lại thị trường.
Tháng 7/2026, Công an tỉnh Nghệ An triệt phá đường dây mua bán trái phép dữ liệu cá nhân, do đối tượng Phùng Xuân Đường (sinh năm 1980, trú tại xã Sông Lô, tỉnh Phú Thọ) cầm đầu. Kết quả điều tra ban đầu, cơ quan điều tra thu giữ hàng nghìn file dữ liệu với tổng dung lượng hơn 72,4 GB, chứa hơn 50 triệu thông tin cá nhân trên phạm vi cả nước, trong đó, dữ liệu liên quan đến nhiều nhóm đối tượng, có cả cán bộ, công chức, viên chức, học sinh, sinh viên và lãnh đạo doanh nghiệp.
Đáng chú ý, các đối tượng thu thập nguồn dữ liệu, sau đó sử dụng phần mềm, ứng dụng công nghệ để tập hợp, chỉnh sửa và bán cho những người có nhu cầu, thu lợi bất chính hơn 1 tỷ đồng. Để che giấu hoạt động, các đối tượng thường sử dụng nhóm kín trên mạng xã hội, ứng dụng nhắn tin mã hóa, ví tiền ảo và tài khoản ngân hàng không chính chủ; đồng thời thường xuyên thay đổi địa bàn cư trú. Cơ quan điều tra cũng xác định nhiều vụ việc có dấu hiệu liên quan yếu tố nước ngoài.
Hình thành "lá chắn số"
Theo Thượng tá Nguyễn Đình Đỗ Thi, Phó Trưởng phòng 1, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05, Bộ Công an), trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, dữ liệu cá nhân ngày càng trở thành nguồn tài nguyên quan trọng nhưng cũng là mục tiêu của tội phạm mạng, lừa đảo trực tuyến và các hành vi xâm phạm đời tư.
Nguyên nhân của tình trạng trên đến từ cả phía người dùng và tổ chức. Người dân còn chủ quan khi chia sẻ thông tin cá nhân trên mạng; một số cơ quan, doanh nghiệp chưa triển khai đầy đủ biện pháp bảo vệ dữ liệu; quy trình quản lý còn lỏng lẻo, trong khi nhân sự có quyền tiếp cận kho dữ liệu có thể lợi dụng vị trí để tuồn dữ liệu ra ngoài.
Đáng chú ý, dữ liệu cá nhân ngày càng trở thành nguồn tài nguyên quan trọng đối với các đường dây lừa đảo. Tại Việt Nam, có hơn 30 loại hình tội phạm mạng, trong đó lừa đảo tài chính chiếm tỷ trọng lớn. Do đó, bảo vệ dữ liệu cá nhân không chỉ là yêu cầu tuân thủ pháp luật mà cần trở thành một phần trong văn hóa của mỗi cơ quan, doanh nghiệp và người dân. Đây là nền tảng để hình thành "lá chắn số", góp phần xây dựng môi trường số an toàn, tin cậy và phục vụ phát triển kinh tế-xã hội.
Trong bối cảnh đó, việc Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực từ ngày 1/1/2026; Nghị định 330/2026/NĐ-CP xử phạt hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực từ 19/8/2026 được xem là bước ngoặt quan trọng trong cách tiếp cận của Việt Nam đối với quyền riêng tư và an toàn dữ liệu.
Lần đầu tiên, bảo vệ dữ liệu cá nhân được đặt trong một khuôn khổ pháp lý thống nhất, có tính bắt buộc và đi kèm chế tài, thay vì chỉ dựa vào các quy định phân tán hoặc tiêu chuẩn kỹ thuật mang tính khuyến nghị.
Luật không chỉ xác lập quyền của cá nhân đối với dữ liệu của mình, mà còn làm rõ trách nhiệm của các cơ quan nhà nước, doanh nghiệp và tổ chức trong việc thu thập, xử lý, lưu trữ và chia sẻ dữ liệu. Đáng chú ý, quyền của chủ thể dữ liệu được mở rộng với 11 nhóm quyền, trong đó có quyền đồng ý hoặc rút lại sự đồng ý, truy cập, chỉnh sửa, xóa dữ liệu, hạn chế hoặc phản đối xử lý dữ liệu, khiếu nại, tố cáo và yêu cầu bồi thường thiệt hại.
Việc xử lý dữ liệu về nguyên tắc phải dựa trên sự tự nguyện của chủ thể dữ liệu, đồng thời người dân phải được biết về loại dữ liệu được xử lý, mục đích xử lý, các bên liên quan và quyền, nghĩa vụ của mình. Luật cũng quy định một số trường hợp không cần sự đồng ý, như xử lý dữ liệu để bảo vệ tính mạng, sức khỏe trong tình trạng khẩn cấp; phục vụ an ninh quốc gia, trật tự, an toàn xã hội hoặc thực hiện nghĩa vụ theo hợp đồng.
Luật đồng thời nghiêm cấm các hành vi xử lý dữ liệu nhằm chống lại Nhà nước, xâm phạm an ninh quốc gia; mua bán dữ liệu cá nhân, trừ trường hợp luật định; cố ý làm mất hoặc chiếm đoạt dữ liệu cá nhân.
Đối với hoạt động chuyển dữ liệu cá nhân ra nước ngoài, tổ chức phải thực hiện đánh giá tác động và lập hồ sơ theo quy định nhằm bảo đảm an toàn cho dòng chảy dữ liệu.
Một điểm đáng chú ý khác là chế tài xử phạt được thiết kế ở mức cao. Hành vi mua bán dữ liệu cá nhân có thể bị phạt tối đa 10 lần khoản thu lợi bất chính; tổ chức có thể bị phạt tới 5% tổng doanh thu của năm tài chính liền trước đối với các vi phạm nghiêm trọng theo quy định.
Từ các quy định mới, Thượng tá Nguyễn Đình Đỗ Thi lưu ý các tổ chức, doanh nghiệp cần rà soát, phân loại toàn bộ hoạt động xử lý dữ liệu; áp dụng các biện pháp kỹ thuật và quy chuẩn bảo vệ phù hợp; chỉ định nhân sự chuyên trách; tổ chức đào tạo nội bộ và chuẩn hóa quy trình thực hiện các quyền của khách hàng. Việc đánh giá tác động xử lý dữ liệu cũng cần được thực hiện định kỳ theo quy định.
Đối với người dân, khuyến nghị không công khai, chia sẻ dữ liệu đời tư hoặc giấy tờ quan trọng lên mạng; không đánh đổi thông tin cá nhân lấy các tiện ích không rõ nguồn gốc; không kết nối thiết bị lưu trữ với máy tính lạ; không mở tệp tin, đường link không xác định và không chuyển tiền hoặc làm theo hướng dẫn của người lạ khi chưa xác minh./.
Khởi tố một học sinh lớp 10 xâm nhập hệ thống quốc gia, mua bán 20 triệu dữ liệu cá nhân