NHS Cornwall xử lý sai yêu cầu FOI, lộ dữ liệu bệnh nhân
"A data breach at Royal Cornwall Hospitals NHS Trust in February 2023 exposed the sickness absence records of 8,003 individuals due to improper handling of a Freedom of Information request. The exposed data was accessible via pivot tables in an Excel spreadsheet published online for 33 months. The incident resulted in significant emotional distress for affected staff and those staffing a subsequent helpline, highlighting failures in data sanitization procedures."
Rò rỉ dữ liệu cá nhân của nhân viên NHS, bao gồm thông tin sức khỏe nhạy cảm, có thể dẫn đến mất niềm tin vào hệ thống y tế và nguy cơ bị lạm dụng thông tin.
Sự cố này gây ra thiệt hại về uy tín cho NHS Cornwall và đòi hỏi chi phí lớn để khắc phục hậu quả, bao gồm hỗ trợ tâm lý cho nhân viên và cải thiện quy trình bảo mật dữ liệu.
Royal Cornwall Hospitals NHS Trust để lộ dữ liệu vắng mặt do bệnh tật của 8.003 người trong 33 tháng, bắt nguồn từ việc xử lý yêu cầu Tự do Thông tin (FOI) năm 2023. Sự cố này gây ra căng thẳng đáng kể cho nhân viên và những người hỗ trợ đường dây nóng.
Sự việc bắt đầu khi một thành viên công chúng phát hiện ra bảng tính Excel chứa thông tin nhạy cảm trên trang FOI Disclosure log của bệnh viện vào tháng 11/2025. Bảng tính này, được tải lên để trả lời yêu cầu FOI về căng thẳng trong NHS, vẫn giữ lại các bảng tổng hợp (pivot table) cho phép người dùng truy cập dữ liệu vắng mặt chi tiết.
Nhân viên trực đường dây nóng mô tả những cuộc gọi khó khăn với người gọi tức giận, lo lắng và thậm chí là bị đe dọa. Nhiều người gọi bị tổn thương do tính nhạy cảm của thông tin bị lộ, hoặc có nguy cơ bị bạo hành gia đình. Nhân viên hỗ trợ phải đánh giá mức độ an toàn mà không được đào tạo bài bản.
Đội ngũ hỗ trợ chỉ được thông báo một ngày trước khi bắt đầu nhận cuộc gọi. Dù có kinh nghiệm xử lý sang chấn tâm lý cho bệnh nhân, họ lại thiếu chuẩn bị cho những cuộc gọi đầy cảm xúc này. Một nhân viên cho biết: “Đây là kiểu NHS, hoạt động dựa trên sự tận tâm”. Đường dây nóng ban đầu dự kiến hoạt động hai tuần, nhưng kéo dài đến 11 tuần do số lượng cuộc gọi lớn.
Nguyên nhân chính là quy trình xử lý yêu cầu FOI sai sót. Yêu cầu được chuyển cho đội e-Rostering thay vì bộ phận chuyên trách xử lý dữ liệu nhạy cảm. Bảng tính không được kiểm tra kỹ lưỡng bằng Document Inspector của Excel, hoặc không tuân thủ các khuyến nghị của công cụ này. Việc chuyển đổi sang PDF hoặc CSV (để loại bỏ bảng tổng hợp) cũng không được thực hiện. [https://www.theregister.com/2026/11/07/nhs_breach_helpline_emotional_burden/]
Câu hỏi thường gặp
Số lượng người bị ảnh hưởng bởi vụ rò rỉ dữ liệu là bao nhiêu?
Tổng cộng 8.003 người, bao gồm nhân viên hiện tại và trước đây của Royal Cornwall Hospitals NHS Trust, cùng với một số ít nhân viên không thuộc bệnh viện, đã bị ảnh hưởng bởi vụ rò rỉ dữ liệu.
Dữ liệu nào đã bị lộ trong vụ việc này?
Dữ liệu vắng mặt do bệnh tật, bao gồm thông tin nhạy cảm về sức khỏe của nhân viên, đã bị lộ thông qua bảng tính Excel được công khai trên trang FOI Disclosure log.
Thời gian dữ liệu bị lộ trên mạng là bao lâu?
Bảng tính chứa dữ liệu nhạy cảm đã được đăng tải trực tuyến trong 33 tháng, từ tháng 2 năm 2023 đến tháng 11 năm 2025, trước khi được phát hiện.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc đào tạo nhân viên về bảo mật dữ liệu, đặc biệt là khi xử lý các yêu cầu FOI. Các doanh nghiệp Việt Nam, đặc biệt là trong lĩnh vực y tế, nên xem xét lại quy trình xử lý dữ liệu cá nhân để tránh những rủi ro tương tự. Việc sử dụng các công cụ kiểm tra dữ liệu nhạy cảm trước khi công khai là cần thiết.