Trong môi trường giáo dục số, dữ liệu của học sinh được thu thập, lưu trữ và chia sẻ ngày càng nhiều để phục vụ tuyển sinh, quản lý, giảng dạy và truyền thông. Nếu không được bảo vệ đúng quy định, những thông tin này có thể bị lợi dụng để giả mạo, lừa đảo, bắt nạt trên mạng hoặc xâm phạm đời sống riêng tư của các em.
Dữ liệu của học sinh không chỉ là họ tên, ngày sinh
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực thi hành từ ngày 01/01/2026, tạo cơ sở pháp lý thống nhất nhằm bảo vệ quyền, lợi ích hợp pháp của cá nhân trong quá trình thu thập, phân tích, lưu trữ, sử dụng, công khai và chuyển giao dữ liệu cá nhân.
Trong hoạt động giáo dục, dữ liệu cá nhân của học sinh có thể bao gồm họ tên, ngày tháng năm sinh, giới tính, địa chỉ, số điện thoại, trường, lớp, thông tin của cha mẹ hoặc người giám hộ; hình ảnh, giọng nói, kết quả học tập, rèn luyện, hồ sơ tuyển sinh, thông tin tài khoản học tập và lịch sử sử dụng các nền tảng giáo dục.
Một số hồ sơ còn chứa thông tin về sức khỏe, đặc điểm sinh học, tình trạng khuyết tật, hoàn cảnh gia đình, chế độ chính sách, vị trí hoặc những vấn đề liên quan đời sống riêng tư của học sinh. Nếu bị công khai hoặc sử dụng sai mục đích, những dữ liệu này có thể gây ảnh hưởng lâu dài đến danh dự, tâm lý, sự an toàn và quá trình phát triển của các em.
Đặc biệt, việc kết hợp nhiều thông tin như họ tên, ngày sinh, trường lớp, số điện thoại của cha mẹ và hình ảnh nhận diện có thể giúp đối tượng xấu xây dựng kịch bản giả mạo giáo viên, nhà trường hoặc người thân để thực hiện hành vi lừa đảo.
Infographic: Những nội dung cần lưu ý để bảo vệ dữ liệu cá nhân của học sinh trong môi trường giáo dục số.
Trẻ em được pháp luật bảo vệ ở mức độ cao hơn
Theo quy định của pháp luật Việt Nam, trẻ em là người dưới 16 tuổi. Đây là nhóm chưa phát triển đầy đủ về thể chất, nhận thức và khả năng tự bảo vệ nên cần có cơ chế bảo vệ chặt chẽ hơn khi xử lý dữ liệu cá nhân.
Luật Bảo vệ dữ liệu cá nhân quy định việc xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên phải có sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp pháp luật có quy định khác.
Như vậy, đối với trẻ em từ đủ 07 tuổi, sự đồng ý của cha mẹ hoặc người đại diện theo pháp luật không phải trong mọi trường hợp đều có thể thay thế hoàn toàn ý kiến của trẻ. Trước khi công bố hình ảnh hoặc thông tin riêng tư, người lớn cần giải thích bằng cách phù hợp với độ tuổi để trẻ hiểu dữ liệu nào sẽ được sử dụng, đăng tải ở đâu và nhằm mục đích gì.
Đối với học sinh từ đủ 16 tuổi trở lên, mặc dù không còn thuộc khái niệm trẻ em theo Luật Trẻ em, dữ liệu cá nhân của các em vẫn được bảo vệ theo Luật Bảo vệ dữ liệu cá nhân và các quy định pháp luật có liên quan.
Việc xin ý kiến cũng không nên thực hiện hình thức hoặc gộp chung thành sự đồng ý không rõ phạm vi. Cơ sở giáo dục cần xác định cụ thể mục đích xử lý, loại dữ liệu, phạm vi sử dụng, thời gian lưu giữ và chủ thể được tiếp cận. Việc đã đồng ý sử dụng hình ảnh trong một hoạt động không đồng nghĩa với việc hình ảnh đó được sử dụng cho mọi mục đích khác.
Những tình huống dễ làm lộ dữ liệu học sinh
Trong thực tế, dữ liệu của học sinh có thể bị lộ từ những việc tưởng như rất bình thường. Chẳng hạn, nhà trường đăng công khai danh sách trúng tuyển kèm ngày sinh, địa chỉ hoặc thông tin của cha mẹ; giáo viên chia sẻ ảnh chụp học bạ, giấy khai sinh, thẻ bảo hiểm y tế trong nhóm trò chuyện; phụ huynh đăng giấy khen, bảng điểm hoặc hồ sơ của con lên mạng xã hội mà không che thông tin nhận diện.
Một số hoạt động truyền thông còn đăng hình ảnh học sinh kèm đầy đủ họ tên, lớp học, địa chỉ gia đình và hoàn cảnh cụ thể. Khi phản ánh trường hợp học sinh bị bạo lực, xâm hại, có hoàn cảnh khó khăn hoặc liên quan vụ việc vi phạm pháp luật, việc cung cấp quá nhiều chi tiết có thể khiến cộng đồng dễ dàng nhận diện các em, gây tổn thương thêm cho người chưa thành niên.
Nhóm trò chuyện của lớp học cũng không phải không gian hoàn toàn an toàn. Thành viên có thể chụp lại màn hình, chuyển tiếp dữ liệu hoặc để người khác tiếp cận thiết bị. Vì vậy, giáo viên và phụ huynh không nên đăng tải hồ sơ cá nhân, thông tin sức khỏe, tài khoản, mật khẩu hoặc nội dung nhạy cảm của học sinh lên nhóm trò chuyện nếu không thực sự cần thiết.
Bên cạnh đó, cơ sở giáo dục có thể sử dụng phần mềm quản lý, nền tảng học trực tuyến, camera giám sát, hệ thống nhận diện hoặc dịch vụ của bên thứ ba. Nếu không đánh giá đầy đủ điều kiện bảo vệ dữ liệu, phân quyền truy cập không chặt chẽ hoặc tiếp tục lưu giữ tài khoản của người đã thôi học, dữ liệu của học sinh có thể bị truy cập, khai thác trái phép.
Nhà trường phải bảo vệ dữ liệu trong suốt quá trình xử lý
Cơ sở giáo dục là nơi trực tiếp thu thập và quản lý khối lượng lớn dữ liệu của người học. Trách nhiệm bảo vệ không chỉ bắt đầu khi dữ liệu đã bị lộ mà phải được thực hiện trong toàn bộ quá trình thu thập, lưu trữ, khai thác, chia sẻ và xóa dữ liệu.
Trước hết, nhà trường cần xác định rõ mục đích thu thập. Chỉ yêu cầu cung cấp những thông tin thực sự cần thiết cho hoạt động tuyển sinh, quản lý và giáo dục; không thu thập tràn lan hoặc sử dụng dữ liệu cho mục đích khác với mục đích đã thông báo.
Dữ liệu học sinh phải được quản lý theo phạm vi nhiệm vụ. Không phải mọi cán bộ, giáo viên và nhân viên đều được tiếp cận toàn bộ hồ sơ. Việc cung cấp dữ liệu cho tổ chức, doanh nghiệp hoặc đơn vị cung cấp nền tảng công nghệ phải có căn cứ, xác định rõ trách nhiệm của các bên và bảo đảm yêu cầu an toàn.
Nhà trường cần ban hành hoặc rà soát quy chế quản lý dữ liệu cá nhân; phân quyền tài khoản; kiểm tra thiết bị lưu trữ; quản lý việc sao chép, chuyển giao hồ sơ; thay đổi hoặc thu hồi quyền truy cập khi cán bộ chuyển vị trí công tác. Hồ sơ giấy và dữ liệu điện tử đều phải được bảo vệ phù hợp, không để tại nơi người không có nhiệm vụ dễ dàng tiếp cận.
Đối với website, fanpage và các kênh truyền thông, cần có quy trình duyệt nội dung trước khi đăng. Người phụ trách phải kiểm tra kỹ hình ảnh, chú thích, danh sách và các tài liệu xuất hiện trong khung hình; tránh để lộ số điện thoại, địa chỉ, mã học sinh, thông tin sức khỏe hoặc hoàn cảnh riêng tư.
Không biến hoạt động tuyên truyền thành việc phơi bày hoàn cảnh của trẻ
Hoạt động trao học bổng, hỗ trợ học sinh có hoàn cảnh khó khăn hoặc biểu dương thành tích có ý nghĩa tích cực. Tuy nhiên, mục tiêu tuyên truyền không thể là lý do để công khai toàn bộ hoàn cảnh, bệnh lý, địa chỉ hoặc những biến cố riêng tư của học sinh.
Khi viết tin, bài về trẻ em, cơ quan, trường học cần đặt lợi ích tốt nhất của trẻ lên hàng đầu. Chỉ sử dụng lượng thông tin tối thiểu cần thiết để phản ánh hoạt động; hạn chế nêu họ tên đầy đủ, ngày sinh, địa chỉ, lớp học và thông tin về cha mẹ nếu không thật sự cần thiết.
Đối với học sinh là nạn nhân của bạo lực, xâm hại, mua bán người, tai nạn; học sinh có vấn đề về sức khỏe, tâm lý; người chưa thành niên có hành vi vi phạm pháp luật hoặc đang được xác minh, xử lý, phải đặc biệt thận trọng. Không đăng ảnh rõ mặt, không nêu địa chỉ cụ thể, trường lớp hoặc những dữ kiện có thể kết hợp để nhận diện.
Ngay cả khi cha mẹ đồng ý, người thực hiện truyền thông vẫn cần đánh giá nguy cơ ảnh hưởng đến danh dự, tâm lý, sự an toàn và tương lai của trẻ. Một nội dung được đăng lên Internet có thể tiếp tục tồn tại, bị sao chép và xuất hiện trở lại sau nhiều năm.
Phụ huynh cũng có trách nhiệm bảo vệ thông tin của con
Nhiều dữ liệu của học sinh bị công khai không phải từ nhà trường mà từ chính tài khoản mạng xã hội của người thân. Việc thường xuyên đăng hình ảnh kèm họ tên, ngày sinh, trường lớp, lịch học, địa điểm sinh hoạt hoặc hành trình hằng ngày có thể giúp người lạ thu thập tương đối đầy đủ thông tin về trẻ.
Phụ huynh không nên đăng công khai giấy khai sinh, thẻ bảo hiểm y tế, mã định danh, hộ chiếu, vé máy bay, giấy báo nhập học, bảng điểm hoặc tài khoản học trực tuyến của con. Nếu cần gửi hồ sơ cho giáo viên, nhà trường, phải sử dụng kênh tiếp nhận chính thức và kiểm tra đúng người nhận.
Trước khi đăng hình ảnh, cha mẹ nên trao đổi với con, nhất là trẻ từ đủ 07 tuổi; không đăng nội dung khiến trẻ xấu hổ, bị chế giễu hoặc có thể ảnh hưởng đến danh dự của trẻ trong tương lai. Việc đặt tài khoản ở chế độ riêng tư chỉ giúp hạn chế phạm vi tiếp cận, không loại trừ hoàn toàn nguy cơ hình ảnh bị chụp lại và phát tán.
Phụ huynh cũng cần cảnh giác với cuộc gọi hoặc tin nhắn tự xưng là giáo viên, cán bộ nhà trường yêu cầu cung cấp mã xác thực, thông tin tài khoản hoặc chuyển tiền. Khi nhận được yêu cầu bất thường, phải trực tiếp xác minh với giáo viên chủ nhiệm hoặc số điện thoại chính thức của cơ sở giáo dục.
Học sinh cần được trang bị kỹ năng tự bảo vệ
Bên cạnh các biện pháp quản lý, việc giúp học sinh nhận thức được giá trị của dữ liệu cá nhân có ý nghĩa rất quan trọng. Các em cần hiểu rằng thông tin cá nhân không chỉ là mật khẩu hay số điện thoại mà còn bao gồm hình ảnh, giọng nói, vị trí, thói quen, mối quan hệ và nội dung trò chuyện riêng tư.
Học sinh không nên công khai địa chỉ nhà, lịch học, số điện thoại của người thân; không gửi ảnh giấy tờ cá nhân cho người quen qua mạng; không cung cấp mật khẩu, mã xác thực hoặc cho người khác mượn tài khoản. Cần sử dụng mật khẩu đủ mạnh, bật biện pháp xác thực phù hợp và đăng xuất tài khoản khi dùng thiết bị chung.
Khi bị người lạ yêu cầu cung cấp hình ảnh riêng tư, đe dọa, dụ dỗ hoặc phát hiện thông tin của mình bị đăng tải trái phép, học sinh không nên âm thầm chịu đựng hoặc tiếp tục làm theo yêu cầu. Các em cần lưu lại bằng chứng, chặn và báo cáo tài khoản, đồng thời thông báo ngay cho cha mẹ, giáo viên hoặc cơ quan chức năng để được hỗ trợ.
Nhà trường nên đưa nội dung bảo vệ dữ liệu cá nhân, phòng, chống lừa đảo và ứng xử trên mạng vào hoạt động phổ biến, giáo dục pháp luật, sinh hoạt lớp và giáo dục kỹ năng sống.
Cần làm gì khi dữ liệu học sinh bị lộ?
Khi phát hiện dữ liệu cá nhân của học sinh bị công khai hoặc sử dụng không đúng mục đích, cơ sở giáo dục và người có trách nhiệm cần khẩn trương xác định loại dữ liệu, nguồn phát tán, phạm vi ảnh hưởng và những chủ thể đã tiếp cận.
Nội dung vi phạm phải được gỡ bỏ hoặc yêu cầu bên quản lý nền tảng ngăn chặn kịp thời. Đồng thời, cần thay đổi mật khẩu, khóa tài khoản hoặc thu hồi quyền truy cập nếu có nguy cơ tài khoản bị chiếm đoạt.
Nhà trường cần thông báo cho phụ huynh, học sinh và người có trách nhiệm bằng hình thức phù hợp; hướng dẫn biện pháp phòng ngừa việc dữ liệu tiếp tục bị lợi dụng. Trường hợp có dấu hiệu chiếm đoạt, mua bán, phát tán trái phép dữ liệu hoặc sử dụng dữ liệu để lừa đảo, đe dọa, xâm hại học sinh, cần kịp thời báo cơ quan Công an để được tiếp nhận, xử lý.
Không nên tự ý chia sẻ lại hình ảnh, bài viết hoặc dữ liệu bị lộ với mục đích cảnh báo, bởi việc làm này có thể khiến thông tin tiếp tục lan truyền và làm tăng mức độ ảnh hưởng đối với học sinh.
Chung tay xây dựng môi trường giáo dục an toàn
Bảo vệ dữ liệu cá nhân của học sinh không chỉ là nhiệm vụ của bộ phận công nghệ thông tin. Đây là trách nhiệm chung của người đứng đầu cơ sở giáo dục, cán bộ quản lý, giáo viên, nhân viên, đơn vị cung cấp dịch vụ, phụ huynh và chính học sinh.
Mỗi cơ sở giáo dục cần chủ động rà soát việc thu thập, quản lý, sử dụng và công khai thông tin người học; khắc phục tình trạng yêu cầu cung cấp dữ liệu vượt quá nhu cầu; kiểm soát chặt chẽ tài khoản và quyền truy cập; thường xuyên tuyên truyền, tập huấn cho cán bộ, giáo viên.
Mỗi giáo viên cần cân nhắc trước khi gửi một danh sách vào nhóm lớp, đăng một bức ảnh lên mạng xã hội hoặc chuyển hồ sơ học sinh cho người khác. Mỗi phụ huynh cần thận trọng trước khi công khai hình ảnh, thành tích và thông tin riêng tư của con. Mỗi học sinh cần được hướng dẫn để biết từ chối, báo cáo và tìm kiếm sự giúp đỡ khi dữ liệu cá nhân bị xâm phạm.
Bảo vệ dữ liệu cá nhân của học sinh chính là bảo vệ quyền riêng tư, danh dự, sự an toàn và tương lai của các em; góp phần xây dựng môi trường giáo dục an toàn, lành mạnh, nhân văn và thượng tôn pháp luật.
Phòng An ninh chính trị nội bộ