Rò rỉ dữ liệu NHS khiến nhân viên đường dây chịu áp lực

Một đường dây hỗ trợ được lập sau vụ rò rỉ dữ liệu tại Royal Cornwall Hospitals NHS Trust đã khiến nhân viên chịu “gánh nặng cảm xúc đáng kể”, theo một cuộc rà soát độc lập. Nhóm phụ trách chỉ được báo trước một ngày, nhận hướng dẫn sơ sài rồi nhanh chóng phải xử lý những cuộc gọi đầy căng thẳng.

Vụ việc liên quan đến thông tin nghỉ ốm và dữ liệu sức khỏe nhạy cảm của 8.003 người, gồm nhân viên hiện tại, nhân viên cũ và người không thuộc quỹ tín thác. Một thành viên công chúng phát hiện dữ liệu bị lộ vào tháng 11/2025; cuộc rà soát được công bố gần đúng một năm sau khi quỹ tín thác thông báo sự cố.

Nhân viên phải xử lý các cuộc gọi căng thẳng

Những người được giao trực đường dây kể rằng họ phải đối mặt với người gọi la hét, tức giận và đau khổ. Một số cuộc gọi đặc biệt khó khăn vì người bị ảnh hưởng lo ngại về tính nhạy cảm của thông tin bị lộ, hoặc có thể gặp nguy hiểm do bạo lực gia đình.

Nhân viên cho biết họ phải tự đánh giá các vấn đề liên quan đến bảo vệ an toàn mà không được đào tạo hoặc hướng dẫn quy trình rõ ràng. Báo cáo nhận định những phản ứng giận dữ và đau khổ xuất hiện không hiếm, đồng thời gây áp lực cảm xúc đáng kể cho các nhân viên chưa được chuẩn bị hay hỗ trợ phù hợp.

Các thành viên trong nhóm quản trị lâm sàng của quỹ tín thác chỉ được thông báo trước một ngày rằng họ sẽ phụ trách đường dây. Dù có kinh nghiệm xử lý sang chấn của bệnh nhân, họ chỉ được hướng dẫn ngắn trước khi các cuộc gọi bắt đầu, chỉ vài phút sau khi nhóm được thành lập. Một số người thậm chí chưa đọc xong kịch bản được gửi đến chỉ 30 phút trước khi đường dây hoạt động.

Phần lớn nhân viên trực đường dây chỉ biết dữ liệu của chính mình cũng bị lộ khi họ đang làm nhiệm vụ, đôi khi chỉ vài phút trước khi hỗ trợ những người khác. Họ nói mình ít có lựa chọn khi nhận công việc này và vẫn phải đảm đương nhiệm vụ thường ngày. Một số người làm cả cuối tuần và ở lại quá giờ để đáp ứng yêu cầu của cả hai vai trò.

Đường dây ban đầu dự kiến hoạt động trong hai tuần vào tháng 12/2025. Tuy nhiên, do lượng cuộc gọi, chương trình chỉ kết thúc sau 11 tuần, vào tháng 2/2026.

Bảng tính bị lộ dữ liệu trong 33 tháng

Tháng 2/2023, quỹ tín thác tải một bảng tính lên trang công khai về các yêu cầu theo Luật Tự do Thông tin. Yêu cầu này được cho là do một nhà báo gửi trong quá trình tìm hiểu về tình trạng căng thẳng trong ngành y tế.

Bảng tính chứa dữ liệu cá nhân và vô tình để lộ thông tin nghỉ ốm, cùng dữ liệu sức khỏe nhạy cảm của 7.715 nhân viên, 288 người không thuộc quỹ tín thác và một số ít hồ sơ chưa xác định được danh tính.

Tệp được đăng ở định dạng cho phép người dùng truy cập các bảng tổng hợp mà dữ liệu ban đầu được dùng để tạo ra. Những thông tin trong đó vốn quá nhạy cảm để đưa vào phản hồi yêu cầu thông tin công khai.

Theo điều tra, yêu cầu đã được xử lý bởi nhóm quản lý lịch làm việc điện tử thay vì Đơn vị Thông tin Nhân sự, nơi có chuyên môn về các yêu cầu thông tin công khai liên quan đến tập dữ liệu phức tạp. Nhóm xử lý tin rằng mình đã xóa dữ liệu nhạy cảm, nhưng một số bước trong quy trình bảo vệ thông tin đã bị bỏ qua.

Một nhân viên phụ trách yêu cầu có thể đã không chạy bảng tính qua công cụ kiểm tra tài liệu của Excel, hoặc không xử lý các cảnh báo do công cụ đưa ra. Công cụ này có thể phát hiện bảng tổng hợp và dữ liệu lưu trong bộ nhớ đệm có khả năng bị ẩn, nhưng không thể xác định dữ liệu đó có nhạy cảm hay tự động xóa phần dữ liệu lưu kèm.

Nhân viên cũng không làm theo hướng dẫn chuyển bảng tính thành tài liệu PDF. Điều tra viên nhận thấy cách này ngăn người dùng nhấp để xem các bản ghi phía sau, dù không thể đảm bảo mọi dữ liệu ẩn đều không còn khả năng truy cập. Hướng dẫn nội bộ khi đó cũng chưa yêu cầu chuyển tệp sang định dạng CSV, thao tác có thể loại bỏ chức năng bảng tổng hợp và dữ liệu lưu kèm trong bảng tính.

Quy trình phê duyệt tập trung vào việc trả lời yêu cầu và đáp ứng trách nhiệm truyền thông công chúng, đồng thời mặc định rằng dữ liệu đã được làm sạch phù hợp trước bước duyệt cuối cùng.

Bảng tính nằm trên mạng công khai trong 33 tháng. Nhật ký của quỹ tín thác chỉ ghi nhận 12 tháng trước khi một thành viên công chúng báo về vấn đề bảng tổng hợp; trong khoảng thời gian đó, tệp được truy cập 340 lần. Tuy nhiên, cuộc rà soát cho biết không thể xác định có bao nhiêu lượt truy cập dẫn đến việc mở bảng tổng hợp, hoặc có bao nhiêu lượt do người thật thực hiện thay vì chương trình tự động trên mạng.

Quỹ tín thác thay đổi quy trình

Quỹ tín thác cho biết đã áp dụng một số biện pháp để ngăn sự cố tái diễn, trong đó có yêu cầu bắt buộc đặt mật khẩu cho mọi bảng tính Excel gửi kèm phản hồi yêu cầu thông tin công khai. Một cán bộ cấp cao phụ trách quản trị thông tin hiện phải phê duyệt phản hồi có bảng tính trước khi hồ sơ được trình lãnh đạo ký duyệt.

Hướng dẫn sửa đổi được phổ biến vào tháng 11/2025 cũng yêu cầu chuyển bảng tính sang định dạng CSV. Tuy vậy, điều tra viên nhận thấy yêu cầu này chưa được đưa vào quy trình vận hành chính thức và khuyến nghị cập nhật quy trình.

Văn phòng Ủy viên Thông tin đã đóng hồ sơ sau khi quỹ tín thác thực hiện các khuyến nghị. Đại diện Royal Cornwall Hospitals cho biết tổ chức xin lỗi vì việc vô tình chia sẻ dữ liệu nghỉ ốm và những lo lắng, đau khổ gây ra cho các đồng nghiệp bị ảnh hưởng. Quỹ tín thác nói cuộc điều tra giúp xác định các điểm cần cải thiện và tổ chức vẫn đang hỗ trợ những nhân viên bị tác động.

Góc nhìn

Sự cố cho thấy việc ẩn dữ liệu nhìn thấy được trong bảng tính chưa chắc đã loại bỏ thông tin lưu bên trong tệp. Với các tổ chức xử lý dữ liệu nhạy cảm, quy trình công khai tài liệu cần kiểm tra cả cấu trúc và dữ liệu ẩn, đồng thời phân công việc rà soát cho nhóm có chuyên môn phù hợp.

Bài học cũng không chỉ nằm ở công cụ. Việc chuẩn bị nhân sự, hướng dẫn xử lý tình huống và bố trí hỗ trợ cho người trực đường dây là phần quan trọng trong ứng phó sự cố, nhất là khi chính nhân viên xử lý cũng có thể bị ảnh hưởng.