Những thông tin gia đình không nên chia sẻ công khai

NIST mô tả thông tin nhận dạng cá nhân không chỉ là dữ liệu trực tiếp xác định một người mà còn bao gồm thông tin có thể liên kết với một cá nhân, chẳng hạn dữ liệu y tế, giáo dục và tài chính. Vì vậy, rủi ro của việc chia sẻ thông tin gia đình cần được đánh giá theo khả năng nhận diện, liên kết và suy luận, chứ không chỉ theo mức độ “bí mật” của từng dữ liệu riêng lẻ.

Thông tin định danh của từng thành viên trong gia đình

Nhóm đầu tiên không nên công khai là dữ liệu có thể trực tiếp xác định một thành viên hoặc cung cấp những mảnh ghép quan trọng cho hồ sơ danh tính của họ.

Các dữ liệu cần đặc biệt hạn chế gồm:

·         Họ tên đầy đủ đi kèm ngày tháng năm sinh

·         Số căn cước, hộ chiếu hoặc giấy tờ nhận dạng

·         Ảnh chụp giấy khai sinh, bằng lái, thẻ bảo hiểm và giấy tờ có thông tin cá nhân

·         Số điện thoại cá nhân khi không cần công khai

·         Địa chỉ email dùng cho tài khoản quan trọng

·         Chữ ký hoặc bản scan giấy tờ có chữ ký

·         Thông tin nhận dạng sinh trắc học khi được thể hiện hoặc lưu trong tài liệu nhạy cảm

Điểm đáng chú ý là một dữ liệu riêng lẻ đôi khi chưa đủ để gây rủi ro lớn. Nhưng họ tên, ngày sinh, số điện thoại, địa chỉ và quan hệ gia đình khi xuất hiện cùng nhau có thể giúp một người bên ngoài dựng được hồ sơ khá chi tiết về thành viên đó.

FTC từng cảnh báo không nên để trẻ đăng công khai tên, địa chỉ hoặc ngày sinh đầy đủ trên mạng. Điều này cho thấy ngay cả những dữ liệu vốn thường xuất hiện trong đời sống hằng ngày cũng cần được kiểm soát khi chúng được đưa lên không gian công khai.

Địa chỉ nhà, vị trí hiện tại và thói quen di chuyển

Địa chỉ nhà không chỉ là thông tin liên lạc. Khi gắn với tên, ảnh gia đình, lịch sinh hoạt hoặc vị trí theo thời gian thực, nó có thể cho người ngoài biết gia đình sống ở đâu, ai thường có mặt và vào thời điểm nào.

Không nên công khai:

·         Địa chỉ nhà đầy đủ

·         Số căn hộ hoặc vị trí chính xác của nơi ở

·         Vị trí thời gian thực của các thành viên

·         Tuyến đường đi học hoặc đi làm cố định

·         Giờ thường xuyên rời nhà hoặc trở về

·         Lịch đi công tác, du lịch khi cả nhà đang vắng

·         Ảnh có biển số nhà, tên đường hoặc dấu hiệu giúp xác định chính xác nơi ở

Một bài đăng “cả nhà đang nghỉ một tuần ở…” có thể không chứa dữ liệu tài chính hay giấy tờ cá nhân, nhưng nó vẫn tiết lộ đồng thời vị trí hiện tại và việc gia đình không có mặt ở nhà.

UNICEF khuyến nghị người dùng kiểm soát cài đặt riêng tư đối với dữ liệu vị trí và cân nhắc kỹ nội dung được chia sẻ, đồng thời tránh công khai những thông tin cá nhân như địa chỉ.

Vì vậy, ảnh chuyến đi hoặc hoạt động gia đình thường an toàn hơn khi được đăng sau khi đã rời địa điểm, đồng thời loại bỏ những chi tiết không cần thiết có thể xác định chính xác nơi ở hoặc lịch trình.

Thông tin tài chính, tài sản và giao dịch của gia đình

Thông tin tài chính cần được xem là dữ liệu có mức bảo vệ cao vì nó vừa phản ánh tài sản vừa có thể chứa thông tin phục vụ xác thực hoặc giao dịch.

Không nên đăng công khai:

·         Số tài khoản ngân hàng

·         Số thẻ thanh toán

·         Ảnh mặt trước hoặc mặt sau của thẻ

·         Mã giao dịch, mã xác nhận hoặc mã OTP

·         Sao kê ngân hàng

·         Ảnh màn hình ứng dụng tài chính có dữ liệu tài khoản

·         Thông tin khoản vay, tiền gửi hoặc danh mục tài sản chi tiết

·         Hồ sơ thuế hoặc chứng từ chứa thông tin định danh

·         Hình ảnh giấy tờ mua bán có thông tin cá nhân và tài chính

Ngay cả khi đã che một phần số tài khoản, ảnh chụp vẫn cần được kiểm tra toàn bộ. Tên chủ tài khoản, mã khách hàng, mã QR, địa chỉ, số điện thoại hoặc lịch sử giao dịch còn hiển thị có thể khiến tài liệu tiếp tục chứa dữ liệu nhạy cảm.

FTC nhấn mạnh rằng thông tin cá nhân có giá trị đối với kẻ lừa đảo và kẻ đánh cắp danh tính, vì vậy việc bảo vệ dữ liệu trong các tài khoản trực tuyến là một phần quan trọng của an toàn thông tin cá nhân.

Mật khẩu, mã xác thực và thông tin dùng để khôi phục tài khoản

Đây là nhóm thông tin không nên chia sẻ công khai trong bất kỳ hoàn cảnh thông thường nào.

Bao gồm:

·         Mật khẩu

·         Mã PIN

·         Mã OTP

·         Mã dự phòng xác thực hai bước

·         Mã QR dùng để thiết lập xác thực

·         Câu hỏi và câu trả lời bảo mật

·         Email hoặc số điện thoại khôi phục khi việc công khai không cần thiết

·         Ảnh màn hình chứa đường dẫn hoặc mã đăng nhập

·         Thông tin có thể dùng để đoán câu hỏi bảo mật

Rủi ro ở đây còn liên quan đến chính những bài đăng gia đình tưởng như vô hại. Tên thú cưng, tên thời con gái của mẹ, ngày cưới, ngày sinh của con hay nơi từng sinh sống có thể trùng với loại thông tin từng được sử dụng trong câu hỏi khôi phục tài khoản.

Do đó, vấn đề không chỉ là “không đăng mật khẩu”. Gia đình cũng nên tránh công khai quá nhiều dữ kiện cá nhân có khả năng trở thành nguyên liệu để đoán hoặc vượt qua một bước xác minh danh tính.

Thông tin của trẻ em cần được bảo vệ chặt chẽ hơn

Trẻ em có một tình huống đặc biệt: nhiều nội dung về các em được đưa lên mạng bởi cha mẹ hoặc người thân, trong khi chính trẻ chưa chắc đã hiểu hoặc đồng ý với phạm vi công khai đó.

Những dữ liệu không nên đăng công khai hoặc cần cân nhắc rất kỹ gồm:

·         Họ tên đầy đủ kèm ngày sinh

·         Địa chỉ nhà

·         Tên trường, lớp học hoặc cơ sở giữ trẻ

·         Lịch học và lịch hoạt động cố định

·         Đồng phục, bảng tên hoặc thẻ học sinh có thể xác định trường

·         Hồ sơ học tập

·         Thông tin sức khỏe

·         Giấy khai sinh và giấy tờ nhận dạng

·         Ảnh hoặc video ở tình huống riêng tư, nhạy cảm hay dễ gây tổn thương về sau

UNICEF sử dụng thuật ngữ “sharenting” cho việc cha mẹ hoặc người chăm sóc chia sẻ nội dung về trẻ trên mạng và lưu ý rằng hành vi này có thể ảnh hưởng đến quyền riêng tư của trẻ. Tổ chức này khuyến khích cha mẹ cân nhắc quan điểm và sự đồng thuận của trẻ khi quyết định đăng nội dung.

Một nguyên tắc hữu ích là không chỉ hỏi “bức ảnh này có đẹp không?” mà còn hỏi: trẻ có muốn nội dung này tồn tại công khai nhiều năm sau hay không, và người lạ có thể suy ra điều gì từ nó?

Dữ liệu sức khỏe và những vấn đề riêng tư của thành viên

Thông tin sức khỏe thường gắn trực tiếp với đời sống riêng tư của một con người. NIST cũng xếp thông tin y tế vào nhóm dữ liệu có thể liên kết với một cá nhân trong khái niệm PII.

Vì vậy, cần thận trọng trước khi công khai:

·         Chẩn đoán bệnh

·         Hồ sơ khám chữa bệnh

·         Đơn thuốc

·         Kết quả xét nghiệm

·         Tình trạng sức khỏe tâm thần

·         Thông tin mang thai hoặc điều trị hiếm muộn khi người liên quan chưa muốn công khai

·         Thông tin khuyết tật hoặc tình trạng sức khỏe của trẻ

·         Ảnh giấy tờ y tế có tên, ngày sinh, mã bệnh nhân hoặc thông tin bảo hiểm

Ranh giới quan trọng nằm ở quyền quyết định của người có dữ liệu. Một người có thể chủ động chia sẻ câu chuyện sức khỏe của chính mình, nhưng điều đó không đồng nghĩa người thân có quyền công khai tình trạng của họ.

Đối với thông tin của vợ/chồng, con đã đủ khả năng bày tỏ ý kiến hoặc những thành viên khác, nên coi sự đồng thuận là điều kiện trước khi chia sẻ.

Mâu thuẫn, đời sống tình cảm và chuyện riêng trong gia đình

Không phải mọi thông tin cần bảo vệ đều có khả năng bị đánh cắp danh tính. Một số dữ liệu cần giữ kín chủ yếu vì chúng liên quan đến phẩm giá, quan hệ cá nhân và quyền riêng tư của nhiều người cùng lúc.

Ví dụ:

·         Mâu thuẫn vợ chồng

·         Tranh chấp giữa cha mẹ và con cái

·         Tin nhắn riêng tư

·         Thông tin về ly thân hoặc vấn đề tình cảm chưa được các bên đồng ý công khai

·         Những câu chuyện gây xấu hổ cho trẻ

·         Bí mật cá nhân của người thân

·         Hình ảnh hoặc video ghi lại khoảnh khắc riêng tư trong nhà

Một người có quyền kể trải nghiệm của mình, nhưng một câu chuyện gia đình thường chứa dữ liệu của nhiều người. Khi đăng công khai, người viết có thể đồng thời tiết lộ tình trạng, hành vi hoặc đời sống riêng của những thành viên chưa hề đồng ý.

Vì vậy, trước khi chia sẻ một vấn đề gia đình, cần tách hai câu hỏi: “Tôi có muốn kể chuyện này không?” và “Tôi có quyền công khai phần thông tin thuộc về người khác không?”

Ảnh gia đình cũng có thể tiết lộ dữ liệu nhạy cảm

Một bức ảnh không cần chứa giấy tờ tùy thân mới có giá trị thông tin. Hình ảnh có thể vô tình để lộ:

·         Địa chỉ hoặc biển số nhà

·         Biển số xe

·         Tên trường

·         Bảng tên của trẻ

·         Vé máy bay hoặc giấy tờ đặt chỗ

·         Màn hình máy tính hoặc điện thoại

·         Tài liệu đặt trên bàn

·         Thẻ nhân viên

·         Thông tin sức khỏe trên giấy tờ

·         Vị trí và thời gian chụp

Do đó, việc đánh giá ảnh trước khi đăng nên bao gồm cả phần nền, không chỉ khuôn mặt của người xuất hiện trong ảnh.

UNICEF khuyến nghị kiểm soát quyền riêng tư đối với ảnh và dữ liệu vị trí, đồng thời cân nhắc đối tượng được phép xem nội dung gia đình.

Đặc biệt với ảnh trẻ em, việc giới hạn người xem hoặc sử dụng album riêng tư có thể phù hợp hơn đăng công khai khi mục tiêu đơn giản chỉ là chia sẻ kỷ niệm với người thân.

Những thông tin riêng lẻ tưởng vô hại nhưng nguy hiểm khi ghép lại

Đây là điểm dễ bị bỏ qua nhất khi xác định thông tin gia đình không nên chia sẻ.

Hãy giả sử một tài khoản công khai chứa các bài đăng khác nhau:

·         Một bài chúc sinh nhật ghi rõ tuổi của con

·         Một ảnh đồng phục cho biết trường đang học

·         Một ảnh trước cửa nhà cho thấy khu vực sinh sống

·         Một bài kỷ niệm tiết lộ ngày cưới

·         Một bài du lịch cho biết cả nhà đang ở xa

·         Một bài khác nhắc đến tên thú cưng

Không bài đăng nào nhất thiết chứa toàn bộ hồ sơ định danh. Tuy nhiên, khi ghép chúng lại, người xem có thể suy luận được nhiều dữ kiện mà gia đình chưa từng chủ ý công bố trong một lần.

Đây cũng là lý do NIST coi cả thông tin “linked or linkable” — dữ liệu đã hoặc có thể liên kết với một cá nhân — là yếu tố quan trọng khi đánh giá thông tin nhận dạng cá nhân.

Vì thế, đánh giá an toàn không nên dừng ở câu hỏi “bài đăng này có thông tin nhạy cảm không?”. Cần hỏi thêm “bài đăng này kết hợp với những gì tôi đã công khai trước đây sẽ cho người khác biết điều gì?”

Cách quyết định một thông tin gia đình có nên đăng công khai hay không

Không cần coi mọi thông tin gia đình là tuyệt mật. Điều quan trọng là phân biệt giữa chia sẻ có kiểm soát và công khai cho một phạm vi người xem khó xác định.

Trước khi đăng, có thể kiểm tra theo năm câu hỏi:

1.    Thông tin này có giúp xác định chính xác một thành viên không?

2.    Thông tin này có tiết lộ nơi ở, vị trí hoặc lịch sinh hoạt không?

3.    Thông tin này có thể hỗ trợ xác thực, khôi phục tài khoản hoặc giao dịch không?

4.    Nội dung có chứa dữ liệu của trẻ em hoặc của một người chưa đồng ý công khai không?

5.    Nếu ghép với những bài đăng cũ, người lạ có thể suy luận thêm thông tin nhạy cảm nào không?

Nếu câu trả lời cho một trong những câu hỏi trên là “có”, nên giảm mức độ chi tiết, giới hạn người xem, trì hoãn thời điểm đăng hoặc không công khai nội dung đó.

Cài đặt “chỉ bạn bè” có thể giảm phạm vi tiếp cận nhưng không biến một thông tin nhạy cảm thành dữ liệu không còn rủi ro. Nội dung vẫn có thể được lưu lại, chụp màn hình hoặc chuyển tiếp ngoài nhóm người xem ban đầu. Vì vậy, mức độ nhạy cảm của dữ liệu nên được xem xét trước cả cài đặt quyền riêng tư.

Những thông tin gia đình không nên chia sẻ công khai không chỉ gồm mật khẩu, tài khoản ngân hàng hay giấy tờ tùy thân. Địa chỉ, vị trí, lịch trình, thông tin trẻ em, sức khỏe, đời sống riêng và những dữ kiện có thể ghép nối cũng cần được kiểm soát.

Nguyên tắc cốt lõi là xem xét khả năng nhận diện, khả năng suy luận và quyền riêng tư của tất cả người liên quan. Nếu một nội dung có thể giúp người ngoài xác định thành viên, tìm nơi họ ở, hiểu lịch sinh hoạt, truy cập tài khoản hoặc biết một vấn đề riêng tư mà người đó không muốn công khai, thông tin ấy không nên được đăng ở chế độ công khai.