Theo Luật Công nghiệp công nghệ số, doanh nghiệp cung cấp giải pháp họp trực tuyến cần cam kết gì?

Nền tảng họp trực tuyến nắm nội dung trao đổi của hàng nghìn tổ chức. Bài viết bàn về mã hóa, kiểm soát phòng họp và dữ liệu ghi hình.

Nền tảng họp trực tuyến xử lý loại dữ liệu nhạy cảm bậc nhất: nội dung trao đổi nội bộ của doanh nghiệp, cuộc họp hội đồng quản trị, tư vấn y tế từ xa, lớp học có trẻ em, và các cuộc trao đổi riêng tư khác.

Mã hóa và ranh giới truy cập

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Mười cam kết:

• Mã hóa trên đường truyền cho mọi cuộc họp;
• Nói rõ và trung thực về mức mã hóa — không quảng cáo mã hóa đầu cuối nếu máy chủ vẫn giải mã được;
• Không nghe, không ghi nội dung cuộc họp;
• Không dùng nội dung để huấn luyện mô hình khi chưa có đồng ý rõ ràng;
• Không phân tích nội dung cho mục đích quảng cáo;
• Công bố vị trí máy chủ xử lý, cho phép chọn khu vực;
• Ghi nhật ký mọi truy cập của nhân sự nhà cung cấp;
• Thông báo cho khách khi nhận yêu cầu cung cấp thông tin, trong phạm vi pháp luật cho phép;
• Danh sách nhà thầu phụ minh bạch;
• Xóa dữ liệu theo yêu cầu, có xác nhận.

Điểm thứ hai là vấn đề đã gây tranh cãi lớn trên thị trường quốc tế: quảng cáo mã hóa đầu cuối trong khi thực tế máy chủ vẫn tiếp cận được nội dung là hành vi cung cấp thông tin sai lệch về một tính năng mà khách hàng dựa vào để ra quyết định.

Điểm thứ tư là ranh giới ngày càng quan trọng: bản ghi âm và phiên âm cuộc họp là kho dữ liệu ngôn ngữ tự nhiên rất giá trị, và việc sử dụng nó cần sự đồng ý thực sự — không chỉ của khách hàng doanh nghiệp mà còn liên quan tới mọi người tham gia cuộc họp.

Kiểm soát phòng họp

Chín tính năng bảo mật cần có và bật theo mặc định:

• Mật khẩu hoặc mã tham gia theo mặc định;
• Phòng chờ để chủ trì duyệt người vào;
• Khóa phòng sau khi đủ người;
• Kiểm soát quyền chia sẻ màn hình — mặc định chỉ chủ trì;
• Kiểm soát quyền bật micro, camera;
• Loại và chặn người quấy rối;
• Hiển thị rõ ai đang trong phòng;
• Cảnh báo khi có người tham gia bằng đường dẫn chia sẻ lại;
• Mã phòng không đoán được, không dùng lại mãi.

Điểm thứ tư và thứ chín là hai lỗ hổng từng gây ra làn sóng quấy rối trên các nền tảng: mã phòng đơn giản bị dò ra, người lạ vào và chia sẻ nội dung phản cảm — kể cả trong lớp học có trẻ em.

Điểm thứ nhất tới thứ ba nên là mặc định, không phải tùy chọn người dùng phải tự tìm và bật.

Ghi hình cuộc họp

Điều 15 Luật 116/2025/QH15 liệt kê các hành vi xâm phạm bí mật cá nhân, bí mật gia đình và đời sống riêng tư trên không gian mạng.

Chín nguyên tắc:

• Thông báo rõ ràng cho mọi người khi bắt đầu ghi;
• Chỉ báo hiển thị liên tục trong suốt thời gian ghi;
• Không cho phép ghi lén — không có chế độ ghi mà người khác không biết;
• Người tham gia có thể rời đi khi không đồng ý;
• Kiểm soát quyền ghi — mặc định chỉ chủ trì;
• Mã hóa bản ghi khi lưu;
• Phân quyền cho việc xem lại;
• Nhật ký truy cập bản ghi;
• Thời hạn lưu cấu hình được, tự động xóa.

Điểm thứ ba là ranh giới thiết kế quan trọng: một nền tảng cho phép ghi mà người tham gia không biết là công cụ xâm phạm, dù ai đó có thể viện lý do quản lý.

Với phiên âm và tóm tắt tự động, cần thêm ba nguyên tắc: thông báo rõ như với ghi hình; xử lý trên hạ tầng của khách khi có thể; và không dùng nội dung phiên âm cho mục đích khác.

Bảo vệ nhóm người dùng đặc thù

Bảy nội dung: chế độ dành cho lớp học với kiểm soát chặt hơn theo mặc định; hạn chế trẻ em chia sẻ màn hình, gửi tin nhắn riêng; công cụ cho giáo viên quản lý lớp; chế độ cho tư vấn y tế với bảo mật cao hơn; hỗ trợ người khuyết tật — phụ đề, tương thích công cụ đọc màn hình; hoạt động được trên đường truyền yếu; và tiêu thụ dữ liệu thấp cho người dùng gói cước hạn chế.

Điểm thứ hai đáng lưu ý: tính năng nhắn tin riêng giữa các học sinh trong lớp trực tuyến là kênh bắt nạt mà giáo viên không nhìn thấy.

Điểm thứ sáu và thứ bảy là vấn đề công bằng tiếp cận: học sinh ở vùng có kết nối kém và gói dữ liệu hạn chế bị loại khỏi lớp học nếu nền tảng đòi hỏi băng thông cao.

Tính sẵn sàng

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu, gồm bảo đảm tính sẵn sàng.

Bảy yêu cầu: kiến trúc không có điểm chết đơn lẻ; cam kết mức sẵn sàng; trang trạng thái công khai, phản ánh đúng thực tế; thông báo trước khi bảo trì; không cập nhật vào giờ cao điểm; phương án khi máy chủ khu vực gặp sự cố; và hỗ trợ kỹ thuật kịp thời.

Với khách hàng dùng nền tảng cho lớp học, phiên tòa trực tuyến, hội nghị quan trọng, gián đoạn có hậu quả không khắc phục được về thời gian.

Dữ liệu siêu dữ liệu cuộc họp

Ngay cả khi không tiếp cận nội dung, nhà cung cấp vẫn biết: ai họp với ai, khi nào, bao lâu, từ đâu. Đây là dữ liệu có giá trị suy luận rất cao.

Sáu nguyên tắc: thu thập tối thiểu; không phân tích để lập hồ sơ quan hệ; không bán; thời hạn lưu ngắn; không tiết lộ danh sách khách hàng; và không suy luận về hoạt động kinh doanh của khách từ mẫu hình họp.

Điểm thứ hai đáng lưu ý: mẫu hình cuộc họp bất thường giữa lãnh đạo hai doanh nghiệp có thể tiết lộ một thương vụ đang đàm phán.

An ninh nền tảng

Bảy biện pháp: xác thực nhiều lớp cho tài khoản quản trị của khách; cảnh báo đăng nhập bất thường; kiểm thử bảo mật định kỳ bởi bên độc lập; kênh tiếp nhận báo cáo lỗ hổng; vá lỗi nhanh và thông báo minh bạch; kiểm soát ứng dụng bên thứ ba tích hợp vào nền tảng; và quy trình thông báo sự cố.

Điểm thứ sáu là rủi ro ngày càng lớn: các ứng dụng ghi chú, tóm tắt tự động cài vào cuộc họp có quyền truy cập toàn bộ nội dung, và khách hàng thường không kiểm soát được nhân viên mình cài gì.

Danh sách kiểm tra

• Quảng cáo về mức mã hóa có đúng thực tế không?
• Có dùng nội dung cuộc họp để huấn luyện mô hình không?
• Mật khẩu phòng và phòng chờ có bật theo mặc định không?
• Quyền chia sẻ màn hình có mặc định chỉ chủ trì không?
• Có chế độ ghi lén không?
• Chỉ báo đang ghi có hiển thị liên tục không?
• Nền tảng có hoạt động trên đường truyền yếu không?

Đọc thêm cùng chủ đề

• Đơn vị cung cấp dịch vụ chứng thực chữ ký số có trách nhiệm gì?
• Doanh nghiệp cung cấp dịch vụ lưu trữ website có trách nhiệm gì?
• Đơn vị vận hành bến xe khách số hoá quản lý cần lưu ý những gì?

Căn cứ pháp lý

• Luật 71/2025/QH15 Điều 10
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26
• Luật 116/2025/QH15 Điều 15

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.