Trách nhiệm bảo mật khi cơ quan hành chính gửi nhầm kết quả hồ sơ

Khái quát về hành vi gửi nhầm kết quả hồ sơ

Trong hoạt động hành chính, kết quả giải quyết hồ sơ thường chứa dữ liệu cá nhân, thông tin về nhân thân, tình trạng pháp lý, tài sản hoặc các dữ kiện thuộc phạm vi riêng tư của người dân. Khi cơ quan hành chính gửi nhầm kết quả cho người không có thẩm quyền tiếp nhận, hành vi này xâm phạm trực tiếp đến nguyên tắc bảo mật và kiểm soát thông tin trong quá trình giải quyết thủ tục hành chính. Mức độ nghiêm trọng của sai sót phụ thuộc vào loại tài liệu bị lộ, số lượng người bị ảnh hưởng, cách thức phát tán và hậu quả thực tế đối với chủ thể dữ liệu.

Về bản chất, đây không chỉ là lỗi nghiệp vụ đơn thuần mà còn là dấu hiệu của việc không bảo đảm an toàn thông tin trong quản lý công. Nếu tài liệu có chứa dữ liệu cá nhân hoặc bí mật đời tư, cơ quan tiếp nhận và xử lý hồ sơ phải chịu trách nhiệm theo quy định của pháp luật chuyên ngành và pháp luật chung về dân sự, hành chính, dữ liệu cá nhân.

Cơ sở pháp lý về nghĩa vụ bảo mật

Pháp luật về tiếp cận thông tin xác lập ranh giới rõ ràng giữa thông tin được công khai và thông tin phải được bảo vệ. Theo khoản 2 Điều 6 Luật Tiếp cận thông tin 2016, thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình và dữ liệu cá nhân thuộc nhóm thông tin hạn chế tiếp cận, trừ trường hợp pháp luật có quy định khác. Theo khoản 1 Điều 16 Luật Tiếp cận thông tin 2016, thông tin liên quan đến đời sống riêng tư, bí mật cá nhân được tiếp cận khi có sự đồng ý của người đó; thông tin về bí mật gia đình được tiếp cận khi các thành viên gia đình đồng ý.

Về dữ liệu cá nhân, theo khoản 1 Điều 3 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể. Theo khoản 2 Điều 3 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, trong đó các kết quả hồ sơ hành chính thường gắn với cả hai nhóm này.

Về nguyên tắc xử lý dữ liệu, theo khoản 1 Điều 4 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải bảo đảm đúng mục đích, phạm vi, thời gian và có biện pháp bảo vệ dữ liệu phù hợp. Theo khoản 2 Điều 4 Nghị định 13/2023/NĐ-CP, cơ quan, tổ chức, cá nhân có trách nhiệm áp dụng biện pháp quản lý, kỹ thuật để bảo vệ dữ liệu cá nhân khỏi truy cập, chỉnh sửa, tiết lộ, làm mất hoặc phá hủy trái phép.

Trách nhiệm của cơ quan hành chính khi gửi nhầm hồ sơ

Trước hết, cơ quan hành chính phải xác định đây là sự cố an toàn thông tin và kịp thời triển khai biện pháp khắc phục. Việc khắc phục bao gồm thu hồi tài liệu, yêu cầu người nhận nhầm không sử dụng hoặc tiếp tục cung cấp, đồng thời thông báo cho người bị lộ thông tin theo quy trình nội bộ và quy định pháp luật có liên quan. Nếu thông tin bị gửi nhầm thuộc dữ liệu cá nhân nhạy cảm hoặc gây nguy cơ ảnh hưởng quyền, lợi ích hợp pháp của đương sự, việc xử lý phải tiến hành khẩn trương và có biện pháp ngăn chặn hậu quả tiếp diễn.

Cơ quan hành chính còn phải rà soát trách nhiệm của cá nhân trực tiếp xử lý hồ sơ, người kiểm tra, bộ phận văn thư và quy trình phân loại, phát hành kết quả. Sai sót lặp lại hoặc xảy ra do thiếu quy trình kiểm soát nội bộ cho thấy dấu hiệu vi phạm nghĩa vụ bảo đảm an toàn dữ liệu trong hoạt động công vụ. Trường hợp hậu quả nghiêm trọng, người đứng đầu cơ quan có trách nhiệm tổ chức kiểm điểm, xử lý kỷ luật và khắc phục hệ thống quản trị hồ sơ.

Các dạng trách nhiệm pháp lý có thể phát sinh

1. Trách nhiệm hành chính và kỷ luật công vụ

Khi hành vi gửi nhầm kết quả hồ sơ làm lộ thông tin thuộc phạm vi bí mật đời tư, bí mật cá nhân hoặc dữ liệu cá nhân, cơ quan và cá nhân liên quan có thể bị xem xét xử lý kỷ luật theo pháp luật về cán bộ, công chức, viên chức và quy chế nội bộ. Nếu việc tiết lộ thông tin vi phạm quy trình bảo vệ dữ liệu, cơ quan còn có thể bị xử phạt vi phạm hành chính theo quy định chuyên ngành đang có hiệu lực về an ninh mạng và bảo vệ dữ liệu cá nhân. Căn cứ xử phạt cụ thể phụ thuộc vào tính chất hành vi, mức độ lỗi và hậu quả lộ lọt dữ liệu.

2. Trách nhiệm dân sự bồi thường thiệt hại

Theo khoản 1 Điều 584 Bộ luật Dân sự 2015, người nào có hành vi xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, uy tín, tài sản, quyền và lợi ích hợp pháp của người khác mà gây thiệt hại thì phải bồi thường. Nếu việc gửi nhầm hồ sơ gây thiệt hại vật chất hoặc tổn thất tinh thần cho người bị lộ thông tin, trách nhiệm bồi thường có thể được đặt ra theo nguyên tắc này. Trong trường hợp cơ quan hành chính là bên quản lý, lưu giữ và phát hành hồ sơ, trách nhiệm bồi thường của Nhà nước còn được xem xét theo Luật Trách nhiệm bồi thường của Nhà nước 2017 nếu hành vi thuộc phạm vi trách nhiệm bồi thường do người thi hành công vụ gây ra.

3. Trách nhiệm hình sự trong trường hợp đặc biệt nghiêm trọng

Chỉ khi hành vi có dấu hiệu cấu thành tội phạm, ví dụ cố ý làm lộ bí mật nhà nước hoặc xâm phạm dữ liệu theo cách thức thuộc phạm vi điều chỉnh của Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017), trách nhiệm hình sự mới được xem xét. Đa số trường hợp gửi nhầm kết quả hồ sơ mang tính vô ý sẽ xử lý theo kỷ luật, hành chính hoặc bồi thường dân sự. Tuy nhiên, nếu hồ sơ chứa bí mật nhà nước hoặc dữ liệu đặc biệt nhạy cảm và việc tiết lộ gây hậu quả nghiêm trọng, cơ quan tiến hành tố tụng có thể đánh giá theo hướng trách nhiệm hình sự.

Quyền của người bị gửi nhầm hồ sơ

Người có thông tin bị gửi nhầm có quyền yêu cầu cơ quan hành chính xác nhận sự cố, dừng ngay việc sử dụng hoặc lan truyền thông tin và áp dụng biện pháp khắc phục. Người này cũng có quyền yêu cầu giải thích về phạm vi thông tin bị lộ, đối tượng đã nhận nhầm, biện pháp đã thực hiện và kết quả xử lý nội bộ. Nếu phát sinh thiệt hại, đương sự có quyền yêu cầu bồi thường, xin lỗi, cải chính hoặc đề nghị cơ quan có thẩm quyền xem xét trách nhiệm của cá nhân, tổ chức liên quan.

Trong nhiều trường hợp, cách xử lý phù hợp nhất là yêu cầu cơ quan ban hành văn bản xác nhận thu hồi tài liệu, cam kết không sử dụng dữ liệu và thông báo biện pháp ngăn chặn tái diễn. Nếu sự cố ảnh hưởng đến danh dự, uy tín hoặc đời sống riêng tư, việc ghi nhận bằng văn bản là cơ sở quan trọng để yêu cầu bồi thường hoặc khiếu nại tiếp theo.

Yêu cầu đối với quy trình nội bộ của cơ quan hành chính

Cơ quan hành chính phải thiết lập quy trình phân loại tài liệu, đối chiếu người nhận, kiểm tra địa chỉ, xác thực số định danh hồ sơ và kiểm soát chéo trước khi phát hành kết quả. Với hồ sơ điện tử, yêu cầu bảo mật phải được thực hiện bằng phân quyền truy cập, nhật ký hệ thống, mã hóa và cơ chế xác thực người nhận. Các biện pháp này là điều kiện cần để bảo đảm nghĩa vụ quản trị dữ liệu theo pháp luật hiện hành.

Đối với hồ sơ có chứa dữ liệu nhạy cảm, việc gửi trả kết quả cần áp dụng nguyên tắc tối thiểu hóa thông tin và chỉ cung cấp cho đúng chủ thể, đúng phạm vi, đúng thời điểm. Sai sót trong bước phát hành thường phản ánh lỗ hổng tổ chức hơn là lỗi cá nhân đơn lẻ, nên đánh giá trách nhiệm phải gắn với năng lực quản trị của đơn vị hành chính.

Kết luận

Gửi nhầm kết quả hồ sơ cho người khác là hành vi làm phát sinh rủi ro pháp lý rõ rệt về bảo mật thông tin, dữ liệu cá nhân và trách nhiệm công vụ. Căn cứ pháp lý trọng tâm nằm ở Luật Tiếp cận thông tin 2016, Nghị định 13/2023/NĐ-CP, Bộ luật Dân sự 2015 và Luật Trách nhiệm bồi thường của Nhà nước 2017. Khi xảy ra sự cố, cơ quan hành chính phải ưu tiên thu hồi, ngăn chặn hậu quả, xác định trách nhiệm và bồi thường nếu có thiệt hại.

Tài liệu tham khảo

• Luật Tiếp cận thông tin 2016.
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Bộ luật Dân sự 2015.
• Luật Trách nhiệm bồi thường của Nhà nước 2017.
• Bộ luật Hình sự 2015, sửa đổi, bổ sung 2017.