Được yêu cầu cài ứng dụng lạ khi làm thủ tục hành chính: nhận diện rủi ro pháp lý và an toàn dữ liệu

Nhận diện yêu cầu cài ứng dụng lạ trong thủ tục hành chính

Trong môi trường số hóa hiện nay, thủ tục hành chính được thực hiện ngày càng nhiều qua cổng dịch vụ công, hệ thống một cửa điện tử, tài khoản định danh điện tử và các nền tảng tích hợp liên thông. Trên thực tế, xuất hiện tình trạng cá nhân hoặc tổ chức được yêu cầu cài đặt một ứng dụng không rõ nguồn gốc để “xác minh hồ sơ”, “nộp giấy tờ”, “quét mã”, hoặc “hoàn tất thủ tục”. Yêu cầu này cần được xem xét thận trọng vì một ứng dụng không được công bố rõ ràng có thể vượt ra ngoài mục đích hành chính và xâm phạm dữ liệu cá nhân. Theo khoản 1 Điều 3 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân là thông tin gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể, nên mọi thao tác thu thập dữ liệu qua ứng dụng đều phải đặt trong khuôn khổ pháp luật bảo vệ dữ liệu cá nhân.

Một yêu cầu cài ứng dụng được coi là dấu hiệu rủi ro khi ứng dụng không có tên rõ ràng, không xác định được chủ thể quản lý, không có mô tả chức năng minh bạch, hoặc không xuất hiện trên các kênh chính thức của cơ quan nhà nước. Rủi ro cũng hiện diện khi ứng dụng đòi cấp quyền truy cập vượt quá nhu cầu xử lý hồ sơ, chẳng hạn quyền danh bạ, tin nhắn, micro, camera, vị trí, bộ nhớ hoặc quyền quản trị thiết bị. Nếu người yêu cầu thúc giục cài đặt gấp, không cho kiểm tra thông tin phát hành, hoặc từ chối giải thích căn cứ pháp lý, đây là tín hiệu bất thường cần dừng ngay việc thao tác.

Cơ sở pháp lý cần được đối chiếu trước khi cài đặt

Việc xử lý dữ liệu cá nhân trong bối cảnh thủ tục hành chính phải tuân thủ Nghị định 13/2023/NĐ-CP, văn bản đang có hiệu lực từ ngày 01/7/2023. Theo khoản 1 Điều 4 Nghị định 13/2023/NĐ-CP, bảo vệ dữ liệu cá nhân là trách nhiệm của cơ quan, tổ chức, cá nhân liên quan; theo khoản 2 Điều 4 Nghị định 13/2023/NĐ-CP, việc bảo vệ này phải gắn với nguyên tắc phù hợp mục đích, giới hạn phạm vi xử lý và an toàn dữ liệu. Khi một ứng dụng chỉ là công cụ hỗ trợ thủ tục, dữ liệu thu thập phải tương xứng với mục tiêu giải quyết hồ sơ, không được mở rộng tùy tiện sang các mục đích thương mại, quảng cáo hay thu thập trái phép.

Luật An ninh mạng 2018 cũng đặt nền tảng cho việc bảo đảm an toàn trên không gian mạng. Theo khoản 1 Điều 3 Luật An ninh mạng 2018, an ninh mạng là sự bảo đảm hoạt động trên không gian mạng không gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân. Theo khoản 1 Điều 8 Luật An ninh mạng 2018, hành vi xâm phạm an ninh mạng, trong đó có việc xâm phạm thông tin cá nhân trên không gian mạng, là hành vi bị nghiêm cấm. Vì vậy, một ứng dụng yêu cầu cài đặt trong quy trình hành chính nhưng không chứng minh được tính chính danh cần được xem là rủi ro an ninh chứ không chỉ là bất tiện kỹ thuật.

Luật Giao dịch điện tử 2023 là căn cứ quan trọng khi thủ tục được thực hiện dưới dạng điện tử. Theo khoản 1 Điều 5 Luật Giao dịch điện tử 2023, giao dịch điện tử được thực hiện trên môi trường điện tử và có giá trị pháp lý nếu đáp ứng điều kiện do luật định; theo khoản 1 Điều 6 Luật Giao dịch điện tử 2023, cơ quan, tổ chức, cá nhân có quyền lựa chọn thực hiện giao dịch bằng phương tiện điện tử khi pháp luật không quy định khác. Cơ quan giải quyết thủ tục vì vậy phải bảo đảm nền tảng điện tử được công bố rõ ràng, có thể kiểm chứng và phù hợp quy trình công vụ; việc buộc người dân cài ứng dụng lạ mà không có căn cứ công khai là dấu hiệu cần loại trừ.

Những dấu hiệu cho thấy ứng dụng tiềm ẩn rủi ro

1. Nguồn phát hành không chính thống

Ứng dụng an toàn phải xác định được nhà phát hành, kênh phân phối và mục đích sử dụng. Khi ứng dụng không có trong cổng thông tin chính thức của cơ quan có thẩm quyền, không có thông báo bằng văn bản, hoặc không có tài liệu hướng dẫn công khai, cần coi đó là điểm cảnh báo. Việc tải từ đường dẫn lạ, file cài đặt trực tiếp, hoặc các kho ứng dụng không chính thức làm tăng nguy cơ mã độc, chiếm quyền thiết bị và rò rỉ dữ liệu.

2. Quyền truy cập vượt quá mục đích

Phần lớn thủ tục hành chính chỉ cần các quyền tối thiểu như camera để quét giấy tờ, hoặc truy cập ảnh để tải tài liệu. Khi ứng dụng yêu cầu danh bạ, lịch sử cuộc gọi, tin nhắn, vị trí nền, Bluetooth, micro liên tục, quyền quản trị hoặc quyền truy cập sâu vào bộ nhớ, cần đánh giá ngay mức độ phù hợp. Một ứng dụng hành chính không có lý do hợp lý để thu thập dữ liệu ngoài phạm vi giải quyết hồ sơ.

3. Nội dung thu thập không tương xứng

Một số ứng dụng yêu cầu ảnh chân dung, căn cước, video khuôn mặt, danh sách người thân, dữ liệu sinh trắc học hoặc thông tin tài chính trong khi thủ tục chỉ cần xác thực đơn giản. Sự mở rộng dữ liệu này trái với nguyên tắc giới hạn mục đích và tối thiểu hóa dữ liệu trong Nghị định 13/2023/NĐ-CP. Nếu không có căn cứ pháp luật rõ ràng, việc yêu cầu thu thập như vậy là không phù hợp.

4. Thiếu thông tin về xử lý và chia sẻ dữ liệu

Người dùng cần biết ai là bên kiểm soát dữ liệu, dữ liệu được lưu ở đâu, thời gian lưu bao lâu, có chia sẻ cho bên thứ ba hay không, và cơ chế rút lại sự đồng ý ra sao. Nếu các thông tin này không được công bố minh bạch, người cài đặt không thể đánh giá rủi ro. Thiếu minh bạch là dấu hiệu điển hình của việc xử lý dữ liệu không phù hợp với chuẩn mực pháp lý hiện hành.

Hậu quả pháp lý và thực tiễn nếu chấp nhận cài đặt

Rủi ro đầu tiên là lộ lọt dữ liệu cá nhân, bao gồm số định danh, ảnh giấy tờ tùy thân, thông tin liên hệ, dữ liệu tài chính và dữ liệu sinh trắc học. Khi dữ liệu bị thu thập vượt phạm vi, người dùng có thể bị mạo danh, lừa đảo, chiếm đoạt tài khoản hoặc phát sinh các giao dịch trái ý chí. Đây là hậu quả trực tiếp của việc thiếu kiểm soát môi trường số và vi phạm nguyên tắc bảo vệ dữ liệu.

Rủi ro thứ hai là xâm nhập thiết bị. Ứng dụng độc hại có thể cài mã theo dõi, chuyển dữ liệu ra ngoài, kích hoạt ghi âm, hoặc mở đường cho các tấn công tiếp theo. Khi điện thoại hoặc máy tính bị chiếm quyền, toàn bộ tài khoản ngân hàng, mạng xã hội, thư điện tử và dữ liệu công việc đều chịu ảnh hưởng. Ở góc độ pháp lý, hành vi thu thập hoặc sử dụng dữ liệu trái phép còn có thể kéo theo trách nhiệm hành chính, dân sự hoặc hình sự tùy tính chất, mức độ vi phạm.

Người dân cần kiểm tra gì trước khi chấp nhận cài ứng dụng

Trước hết, cần yêu cầu xuất trình căn cứ pháp lý hoặc thông báo chính thức của cơ quan có thẩm quyền về ứng dụng được sử dụng trong thủ tục. Tiếp theo, cần kiểm tra tên đơn vị phát hành, chức năng chính, điều khoản xử lý dữ liệu, phạm vi quyền truy cập và chính sách bảo mật. Nếu ứng dụng phục vụ thủ tục công, thông tin này phải đủ rõ để người dân nhận biết đó là công cụ chính thống chứ không phải nền tảng trung gian tự phát.

Tiếp đó, cần đối chiếu giữa dữ liệu được yêu cầu và mục đích thủ tục. Nếu hồ sơ chỉ cần xác thực thông tin cơ bản mà ứng dụng lại đòi truy cập dữ liệu sâu trên thiết bị, người dùng có quyền từ chối. Quyền này phù hợp với nguyên tắc bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP và nguyên tắc bảo đảm an toàn thông tin trên không gian mạng theo Luật An ninh mạng 2018.

Cuối cùng, nên sử dụng thiết bị có cập nhật bảo mật, bật xác thực nhiều lớp, hạn chế cấp quyền không cần thiết và lưu lại toàn bộ trao đổi với bên yêu cầu cài đặt. Nếu phát hiện dấu hiệu bất thường, cần dừng thao tác, ghi nhận bằng chứng và phản ánh tới cơ quan tiếp nhận hồ sơ, cơ quan quản lý chuyên ngành hoặc lực lượng chức năng có thẩm quyền. Việc phản ánh sớm giúp ngăn ngừa thiệt hại lan rộng và bảo vệ cả người yêu cầu lẫn cộng đồng.

Hướng xử lý khi đã lỡ cài đặt

Nếu đã cài ứng dụng, cần ngắt kết nối mạng, rà soát quyền truy cập, gỡ ứng dụng và thay đổi mật khẩu của các tài khoản quan trọng. Đồng thời, nên kiểm tra thiết bị bằng phần mềm bảo mật, rà soát giao dịch tài chính và theo dõi các đăng nhập bất thường. Nếu đã cung cấp dữ liệu định danh hoặc dữ liệu nhạy cảm, cần chủ động cảnh giác trước các cuộc gọi, tin nhắn hoặc email mạo danh.

Trong trường hợp có dấu hiệu bị thu thập dữ liệu trái phép hoặc bị chiếm quyền thiết bị, cần lập tức lưu giữ bằng chứng, gồm ảnh chụp màn hình, lịch sử cài đặt, tin nhắn yêu cầu cài ứng dụng và các thông báo liên quan. Bộ dữ liệu chứng cứ này giúp cơ quan có thẩm quyền xác minh hành vi vi phạm và xử lý theo pháp luật hiện hành. Việc chủ động bảo toàn chứng cứ là yếu tố then chốt trong cả xử lý hành chính lẫn tố tụng dân sự, hình sự nếu phát sinh tranh chấp.

Kết luận

Yêu cầu cài một ứng dụng lạ để làm thủ tục hành chính không tự thân là hợp pháp chỉ vì nó được gắn với mục đích công vụ. Tính hợp pháp phụ thuộc vào nguồn phát hành, căn cứ pháp lý, phạm vi dữ liệu thu thập và mức độ minh bạch trong xử lý thông tin. Trong bối cảnh pháp luật Việt Nam đã có Nghị định 13/2023/NĐ-CP, Luật An ninh mạng 2018 và Luật Giao dịch điện tử 2023, người dân có cơ sở rõ ràng để kiểm tra, từ chối và phản ánh các yêu cầu cài đặt thiếu an toàn. Cách ứng xử thận trọng không chỉ bảo vệ quyền riêng tư mà còn góp phần làm sạch môi trường thủ tục số.

Tài liệu tham khảo

• Nghị định số 13/2023/NĐ-CP của Chính phủ về bảo vệ dữ liệu cá nhân.
• Luật số 24/2018/QH14 về an ninh mạng.
• Luật số 20/2023/QH15 về giao dịch điện tử.
• Cổng thông tin Công báo Chính phủ.
• Cổng thông tin văn bản của Chính phủ.