Trường học làm lộ thông tin phụ huynh, học sinh: xử lý thế nào

Dán danh sách học sinh kèm số điện thoại cha mẹ và số định danh cá nhân lên bảng tin hay website là hành vi để lộ dữ liệu cá nhân, dù mục đích chỉ là "để phụ huynh kiểm tra". Từ 1/1/2026, Luật Bảo vệ dữ liệu cá nhân có hiệu lực, cấm cố ý làm lộ, làm mất dữ liệu cá nhân và đặt mức phạt tối đa với tổ chức là 3 tỷ đồng cho phần lớn vi phạm. Bài này dùng một sự việc có thật ở TP.HCM để chỉ ra nhà trường nên công bố danh sách thế nào cho đúng, và phụ huynh có quyền yêu cầu gì khi thấy thông tin của con bị phơi ra.

Sự việc ở TP.HCM và vì sao nó phổ biến

Theo Tạp chí Giáo dục Việt Nam ngày 6/8/2026, Trường THCS Nguyễn Hồng Đào dán danh sách học sinh lớp 6 học bán trú năm học 2026-2027 lên bảng tin, trong đó có họ tên cha mẹ, số điện thoại của cha mẹ và số định danh cá nhân của học sinh. Danh sách thuộc 3 lớp bán trú với 150 học sinh; bảng danh sách trên website trường cũng hiển thị mã định danh. Hiệu trưởng xác nhận và gọi đây là "sơ suất"; trường đã gỡ thông tin cá nhân, dán danh sách mới và gỡ mã định danh trên website.

Sở GD&ĐT TP.HCM sau đó nhấn mạnh dữ liệu ngành gồm thông tin cá nhân của cán bộ, giáo viên, phụ huynh, học sinh là "tài sản công trên môi trường số"; trường không được cung cấp cho bên thứ ba khi chưa có đồng ý của phụ huynh, chỉ dùng cho hoạt động giáo dục, quản lý và không được chia sẻ ra ngoài ngành.

Chuyện này không hiếm. Đầu năm học, nhiều trường dùng biểu mẫu trực tuyến để đăng ký bán trú, xe đưa đón, câu lạc bộ, rồi xuất bảng tính và dán nguyên trạng. Nhóm Zalo lớp cũng thường nhận file Excel chứa đủ cột ngày sinh, địa chỉ, số định danh. Lỗi không nằm ở thiện chí mà ở thói quen xuất "tất cả các cột".

Luật Bảo vệ dữ liệu cá nhân nói gì

Luật số 91/2025/QH15 có hiệu lực từ 1/1/2026. Theo bài giới thiệu trên Cổng thông tin tỉnh Hà Tĩnh, các hành vi bị cấm gồm cố ý làm lộ, làm mất, chiếm đoạt dữ liệu cá nhân, dùng dữ liệu của người khác trái pháp luật. Mức phạt hành chính tối đa với tổ chức là 3 tỷ đồng cho các vi phạm thông thường; cá nhân bằng một nửa; mua bán dữ liệu có thể bị phạt tới 10 lần khoản thu bất hợp pháp. Tùy mức độ, người vi phạm còn có thể bị truy cứu trách nhiệm hình sự và phải bồi thường. Luật cũng có quy định riêng về bảo vệ dữ liệu của trẻ em.

Chủ thể dữ liệu (ở đây là phụ huynh và học sinh) có quyền được biết về việc xử lý dữ liệu; đồng ý, không đồng ý hoặc rút lại đồng ý; xem, chỉnh sửa; yêu cầu xóa, hạn chế xử lý; phản đối; khiếu nại, khởi kiện, yêu cầu bồi thường.

Nhà trường nên công bố danh sách thế nào

Nếu phụ huynh thực sự cần đối chiếu số điện thoại hay ngày sinh đã khai, cách an toàn hơn là gửi đường link cá nhân hoặc tin nhắn riêng cho từng gia đình, mỗi gia đình chỉ thấy dữ liệu của con mình. Cách này tốn công hơn dán một tờ giấy, nhưng phần lớn phần mềm quản lý trường học và sổ liên lạc điện tử hiện nay đều hỗ trợ.

Nguyên tắc chung là tối thiểu hóa: chỉ đưa ra những trường dữ liệu cần cho mục đích cụ thể, và đưa tới đúng người cần biết.

Quy trình nội bộ nên có

1. Mẫu xuất dữ liệu cố định: phần mềm quản lý hoặc giáo vụ chuẩn bị sẵn mẫu xuất chỉ gồm cột được phép công khai.
2. Người duyệt thứ hai: mọi danh sách dán bảng tin, đăng website phải có người thứ hai kiểm tra cột dữ liệu trước khi công bố.
3. Quy định nhóm chat: giáo viên chủ nhiệm không gửi file tổng hợp thông tin cá nhân vào nhóm phụ huynh.
4. Thời hạn gỡ: danh sách trên website có ngày gỡ, không để tồn tại nhiều năm.
5. Kênh tiếp nhận phản ánh: công khai đầu mối để phụ huynh báo khi phát hiện lộ thông tin.

Cổng quản lý điểm và hồ sơ học sinh cũng cần phân quyền chặt, nội dung này có trong bài bảo mật cổng thông tin quản lý điểm của nhà trường.

Phụ huynh phát hiện thông tin của con bị lộ thì làm gì

• Chụp ảnh, lưu đường link bằng chứng, ghi thời điểm phát hiện.
• Liên hệ giáo viên chủ nhiệm hoặc ban giám hiệu, đề nghị gỡ ngay và thông báo bằng văn bản đã gỡ ở những đâu (bảng tin, website, nhóm chat).
• Sử dụng quyền yêu cầu xóa, hạn chế xử lý dữ liệu theo luật nếu trường tiếp tục lưu hành.
• Cảnh giác các cuộc gọi lạ biết tên con, lớp học của con: đây là nguyên liệu cho kịch bản "con bị tai nạn, chuyển tiền cấp cứu".
• Nếu trường không xử lý, phản ánh lên phòng hoặc Sở GD&ĐT.

Bài học cho cả người làm nghiên cứu giáo dục

Các đề tài khảo sát học sinh, phụ huynh cũng thu thập loại dữ liệu tương tự. Nhà nghiên cứu nhận file danh sách từ trường cần xóa cột định danh trước khi phân tích, lưu bản gốc có mã hóa, và không gửi file qua nhóm chat. Các câu hỏi thường gặp về an toàn dữ liệu nghiên cứu giáo dục được tổng hợp trong bài hỏi đáp bảo vệ dữ liệu nghiên cứu giáo dục.

Một tờ danh sách trên bảng tin có thể bị chụp lại và lan đi chỉ trong vài phút. Gỡ xuống là cần, nhưng chỉnh lại mẫu xuất dữ liệu để lần sau không lặp lại mới là việc quyết định.