Theo Luật Chuyển đổi số 2025, cơ sở hỗ trợ người bị bạo lực gia đình bảo mật dữ liệu thế nào?

Ở lĩnh vực này, rò rỉ một địa chỉ có thể dẫn tới hậu quả tính mạng. Bài viết chỉ ra các nguyên tắc bảo mật ở mức cao nhất.

Cơ sở hỗ trợ người bị bạo lực gia đình làm việc trong bối cảnh mà bảo mật dữ liệu không phải vấn đề tuân thủ hành chính — nó là vấn đề an toàn tính mạng. Một địa chỉ bị lộ, một cuộc gọi bị người sai nhận, một tin nhắn hiển thị sai thời điểm đều có thể dẫn tới hậu quả không khắc phục được.

Lưu ý trước: hoạt động phòng chống bạo lực gia đình chịu điều chỉnh của pháp luật chuyên ngành, với quy định riêng về bảo mật thông tin và các biện pháp bảo vệ. Bài viết bàn về khía cạnh dữ liệu và công nghệ.

Nguyên tắc bảo mật ở mức cao nhất

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Cụm "phù hợp với tính chất hoạt động" có ý nghĩa cụ thể ở đây: mức bảo vệ phải tương xứng với hậu quả có thể xảy ra, và hậu quả ở lĩnh vực này là nghiêm trọng nhất.

Mười hai nguyên tắc:

• Không bao giờ tiết lộ địa chỉ nơi lưu trú tạm thời cho bất kỳ ai;
• Không xác nhận một người có đang được hỗ trợ hay không;
• Phân quyền cực hẹp — chỉ người trực tiếp xử lý ca đó;
• Ghi nhật ký mọi lần truy cập hồ sơ;
• Cảnh báo mọi truy cập bất thường;
• Mã hóa mạnh dữ liệu lưu trữ;
• Không lưu trên thiết bị cá nhân của nhân viên;
• Không gửi qua ứng dụng nhắn tin thông thường;
• Dùng mã ca thay tên trong trao đổi nội bộ;
• Xác minh danh tính rất chặt với mọi yêu cầu cung cấp thông tin;
• Cam kết bảo mật với toàn bộ nhân sự, gồm cả tình nguyện viên, nhân viên hậu cần;
• Đào tạo về hậu quả cụ thể của việc rò rỉ.

Điểm thứ hai đáng nhấn mạnh đặc biệt: chỉ riêng việc xác nhận một người có liên hệ với trung tâm đã là thông tin có thể gây nguy hiểm cho họ. Câu trả lời đúng với mọi câu hỏi từ người ngoài là không xác nhận cũng không phủ nhận.

Điểm thứ mười một quan trọng vì thường bị bỏ sót: người giao hàng, nhân viên vệ sinh, kỹ thuật viên sửa chữa đều có thể vô tình hoặc cố ý làm lộ vị trí.

Kênh liên lạc an toàn

Đây là khía cạnh kỹ thuật có ý nghĩa sinh mạng: người cần hỗ trợ thường đang sống chung với người gây bạo lực, và thiết bị của họ có thể bị kiểm soát.

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Chín biện pháp:

• Trang thông tin có nút thoát nhanh, chuyển ngay sang trang khác;
• Hướng dẫn xóa lịch sử duyệt web, hiển thị rõ;
• Không lưu dấu vết trên thiết bị người dùng nếu có thể;
• Tin nhắn không hiển thị nội dung trên màn hình khóa;
• Không tự động gọi lại vào số đã gọi tới;
• Hỏi trước về thời điểm và cách liên lạc an toàn;
• Số hiển thị trung tính, không lộ tên tổ chức;
• Cảnh báo về phần mềm theo dõi có thể đã được cài trên điện thoại;
• Kênh liên lạc thay thế khi thiết bị chính không an toàn.

Điểm thứ nhất và thứ hai là tính năng cơ bản mà mọi trang thông tin về lĩnh vực này nên có: người đang tìm hiểu có thể bị phát hiện bất cứ lúc nào.

Điểm thứ năm là chi tiết đã gây hậu quả trong thực tế: cuộc gọi lại từ trung tâm vào thời điểm sai có thể khiến người gây bạo lực biết được.

Điểm thứ tám ngày càng quan trọng: phần mềm theo dõi cài trên điện thoại là công cụ kiểm soát phổ biến, và nạn nhân thường không biết mọi tin nhắn của mình đang bị đọc.

Dữ liệu về trẻ em liên quan

Bảy nguyên tắc: bảo mật thông tin về trường học của trẻ ở mức cao nhất; không ghi địa chỉ trường trong hồ sơ dễ truy cập; phối hợp với nhà trường theo quy trình bảo mật; thận trọng khi có tranh chấp quyền nuôi con; không cung cấp thông tin cho người thân khi chưa xác minh; ưu tiên an toàn của trẻ; và ghi nhận đầy đủ để phục vụ cơ quan chức năng khi cần.

Điểm thứ nhất và thứ hai là lỗ hổng thực tế nghiêm trọng: trường học là nơi dễ tìm ra vị trí của gia đình nhất.

Hồ sơ và chứng cứ

Hồ sơ tại trung tâm có thể trở thành chứng cứ trong thủ tục pháp lý. Sáu yêu cầu: ghi nhận đầy đủ, khách quan, có thời điểm; ảnh thương tích lưu bảo mật, có dấu thời gian; không sửa được bản ghi đã lập; nhật ký đầy đủ; cung cấp cho cơ quan có thẩm quyền theo đúng trình tự; và giúp người được hỗ trợ hiểu quyền của họ với hồ sơ này.

Điểm thứ hai cần xử lý cẩn trọng: ảnh thương tích là dữ liệu vừa quan trọng làm chứng cứ vừa cực kỳ nhạy cảm, và cần mức bảo vệ cao nhất trong hệ thống.

Không chia sẻ dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Sáu nguyên tắc: không chia sẻ cho tổ chức khác nếu người được hỗ trợ chưa đồng ý; không đưa vào báo cáo, nghiên cứu ở mức có thể nhận diện; không dùng câu chuyện cá nhân để truyền thông gây quỹ khi chưa có đồng ý rõ ràng; không chụp ảnh người được hỗ trợ; thận trọng tối đa với dữ liệu tổng hợp ở địa bàn nhỏ; và giới hạn chặt việc chia sẻ với đối tác.

Điểm thứ ba là ranh giới đạo đức quan trọng trong lĩnh vực này: câu chuyện cá nhân có sức thuyết phục lớn cho hoạt động vận động, nhưng việc kể lại nó phải hoàn toàn do người trong cuộc quyết định, ở mức họ chọn, và có thể rút lại.

Điểm thứ năm là vấn đề kỹ thuật thực tế: ở một huyện nhỏ, con số thống kê chi tiết có thể đủ để người trong cộng đồng nhận ra là ai.

An ninh vật lý và hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Tám biện pháp: xác thực nhiều lớp bắt buộc; máy tính không cài phần mềm ngoài danh mục; kiểm soát ra vào cơ sở; camera an ninh không phát ra ngoài; không công khai địa chỉ trên bản đồ trực tuyến; thu hồi quyền ngay khi nhân sự nghỉ; sao lưu mã hóa; và quy trình khẩn cấp khi nghi ngờ lộ vị trí.

Điểm thứ năm là biện pháp cụ thể cần rà soát: ảnh chụp cơ sở đăng lên mạng, đánh dấu vị trí trên bản đồ, hoặc thông tin trong hồ sơ đăng ký công khai đều có thể làm lộ địa điểm.

Điểm thứ tám cần có sẵn: khi có dấu hiệu vị trí bị lộ, quyết định chuyển người được bảo vệ đi nơi khác phải thực hiện được nhanh.

Nhân sự

Sáu việc: xác minh kỹ khi tuyển; đào tạo về bảo mật với các tình huống cụ thể; hỗ trợ tâm lý cho chính nhân viên; quy định rõ về việc không thảo luận công việc ngoài cơ sở; cấm đăng bất kỳ nội dung nào lên mạng xã hội liên quan công việc; và kênh báo cáo khi bị tiếp cận, gây áp lực.

Điểm cuối là rủi ro có thật: người gây bạo lực có thể tiếp cận, đe dọa hoặc mua chuộc nhân viên để tìm thông tin.

Danh sách kiểm tra

• Có xác nhận một người đang được hỗ trợ khi được hỏi không?
• Trang thông tin có nút thoát nhanh không?
• Tin nhắn có hiển thị nội dung trên màn hình khóa không?
• Có hỏi trước về thời điểm liên lạc an toàn không?
• Thông tin trường học của trẻ được bảo vệ ở mức nào?
• Địa chỉ cơ sở có lộ trên bản đồ, ảnh đăng mạng không?
• Có quy trình khẩn cấp khi nghi ngờ lộ vị trí không?

Đọc thêm cùng chủ đề

• Công ty kiểm toán làm việc với chứng từ điện tử cần bảo đảm gì?
• Môi giới bất động sản thu thập thông tin khách cần tuân thủ gì?
• Doanh nghiệp phát hành trò chơi trực tuyến cần tuân thủ những gì?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 15
• Luật 116/2025/QH15 Điều 26
• Luật 148/2025/QH15 Điều 5

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.