Văn phòng luật sư Vũ Ngọc Lam nằm trên tầng hai một toà nhà nhỏ trên đường Nguyễn Đình Chiểu, Quận Ba, không xa mấy so với phòng khám tâm lý My từng tới nhiều năm trước, một sự trùng hợp khiến cô hơi sững lại khi bước qua con đường quen thuộc đó.

Cô không nói gì với Nam hay Châu về điều đó, chỉ lặng lẽ đi qua đúng góc phố nơi mẹ từng dắt tay mình mỗi tuần, giờ cảnh vật đã đổi khác ít nhiều, quán nước mía góc đường ngày xưa đã thành một tiệm trà sữa mới mở, nhưng cảm giác quen thuộc của con đường vẫn còn nguyên vẹn trong cô.

Phòng làm việc nhỏ gọn, giá sách chất đầy hồ sơ và văn bản luật, một chiếc bàn gỗ giản dị kê giữa phòng. Luật sư Lam, một phụ nữ trạc bốn mươi tuổi, dáng người điềm tĩnh, mời cả ba ngồi xuống, rót trà mời trước khi bắt đầu.

"Chị nghe Vy kể sơ qua tình huống rồi," luật sư Lam nói, nhắc tới tên người quen của Nam ở toà soạn. "Các em kể lại chi tiết hơn cho chị nghe được không?"

Nam trình bày lại toàn bộ, từ dòng chữ debug My thấy, tới tấm ảnh bảng xếp hạng, tới cuộc gặp với nguồn tin, và cuối cùng là cuộc đối chất với Khoa tối qua, kết thúc bằng chiếc điện thoại hiện đang nằm yên trong balo My, chưa ai dám mở ra xem thêm.

Luật sư Lam lắng nghe, thỉnh thoảng ghi chú, gương mặt giữ vẻ điềm tĩnh chuyên nghiệp dù nội dung câu chuyện rõ ràng không hề nhẹ nhàng.

"Trước tiên, các em làm đúng khi chưa tự ý mở điện thoại đó ra," luật sư Lam nói. "Nếu các em tự ý truy cập dữ liệu trong đó mà không có sự đồng ý hay quy trình hợp pháp, các em có thể gặp rắc rối pháp lý, thậm chí làm hỏng giá trị của chính bằng chứng đó."

"Vậy tụi em nên làm gì với nó ạ?" My hỏi.

"Tốt nhất là để chị hướng dẫn cách xử lý đúng quy trình, có thể thông qua việc thuyết phục anh Khoa tự nguyện hợp tác cung cấp, hoặc thông qua kênh chính thức nếu sự việc được báo cáo cho cơ quan chức năng," luật sư Lam giải thích.

Bà tiếp tục, giọng chuyển sang phần giải thích pháp lý. "Theo Nghị định 13 năm 2023 về bảo vệ dữ liệu cá nhân, dữ liệu sinh trắc học được xếp vào loại dữ liệu cá nhân nhạy cảm, đòi hỏi phải có sự đồng ý riêng, rõ ràng của người dùng mới được xử lý, không thể gộp chung vào một điều khoản sử dụng mơ hồ như cách LUMA đang làm."

"Vậy công ty LUMA có phải chịu trách nhiệm không, dù chính họ không phải người tuồn dữ liệu ra ngoài?" Nam hỏi, ghi chú nhanh vào sổ tay.

"Có," luật sư Lam đáp chắc chắn. "Công ty là bên xử lý dữ liệu, có nghĩa vụ áp dụng biện pháp kỹ thuật đủ mạnh để ngăn chặn nhân viên nội bộ trích xuất dữ liệu nhạy cảm trái phép. Việc để lọt dữ liệu ra ngoài, dù không cố ý, vẫn là một vi phạm nghĩa vụ bảo vệ dữ liệu mà pháp luật quy định."

My nghe, cảm thấy một phần nào đó trong lòng nhẹ đi, như thể lần đầu tiên có một khung pháp lý rõ ràng để đặt tên cho những gì đang xảy ra, thay vì chỉ là một mớ cảm giác sợ hãi và tức giận không có hình dạng cụ thể.

"Chị nghĩ với những gì các em có, đủ để yêu cầu công ty giải trình chính thức," luật sư Lam kết luận. "Nhưng chị khuyên các em nên để công ty biết mình đang bị điều tra trước khi công khai hoàn toàn, tạo áp lực buộc họ phải minh bạch, thay vì để họ bị bất ngờ và phản ứng phòng thủ ngay lập tức."

Nam gật đầu, nhưng gương mặt anh thoáng qua một nét lo lắng. "Nếu công ty biết trước, liệu họ có tìm cách bịt miệng tụi em không ạ?"

Luật sư Lam nhìn Nam một lúc, rồi đáp, giọng nghiêm túc hơn. "Đó là điều hoàn toàn có thể xảy ra. Các em cần chuẩn bị tinh thần cho cả những đề nghị không đơn giản, và biết rõ ranh giới của mình trước khi bước vào cuộc gặp đó."

Chú thích: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, có hiệu lực từ 1/7/2023, xếp dữ liệu sinh trắc học vào nhóm dữ liệu cá nhân nhạy cảm, yêu cầu sự đồng ý riêng và rõ ràng khi xử lý.