Nhiều doanh nghiệp cho rằng chỉ cần xóa cột họ tên, số điện thoại và số định danh là dữ liệu đã ẩn danh. Thực tế, tái nhận dạng dữ liệu vẫn làm được khi ghép tập dữ liệu "đã xóa tên" với một nguồn công khai như mạng xã hội, danh sách nhân viên hay báo chí. Điều này quan trọng vì dữ liệu còn xác định được người thì vẫn là dữ liệu cá nhân, và khoản 5 Điều 7 Nghị định 356/2025/NĐ-CP bắt buộc dữ liệu cá nhân phải được khử nhận dạng trước khi giao dịch trên sàn dữ liệu. Bài này giải thích ba kiểu tấn công tái nhận dạng dữ liệu phổ biến, trách nhiệm pháp lý liên quan và khung 5 bước đánh giá rủi ro trước khi bán hoặc chia sẻ dữ liệu.
1. Tái nhận dạng dữ liệu (Re-identification) là gì?#
Tái nhận dạng dữ liệu là việc liên kết một tập dữ liệu đã khử nhận dạng với các nguồn dữ liệu khác để xác định lại một hoặc nhiều người cụ thể trong tập dữ liệu đó. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cấm tái nhận dạng dữ liệu cá nhân sau khi đã khử nhận dạng, trừ trường hợp pháp luật có quy định khác (điểm b khoản 6 Điều 14).
Nghiên cứu của Latanya Sweeney (2000) ước tính khoảng 87% dân số Hoa Kỳ có thể được xác định duy nhất chỉ bằng ba thông tin: mã bưu chính (ZIP code), giới tính và ngày tháng năm sinh.
Tại Việt Nam, tổ hợp tỉnh, xã, ngày sinh, nghề nghiệp và lịch sử giao dịch cũng đủ để thu hẹp về một người trong nhiều tập dữ liệu. Vì vậy, chỉ che tên là chưa đủ.
2. Ba hình thức tấn công tái nhận dạng dữ liệu phổ biến nhất#
Hình thức 1: Tấn công liên kết dữ liệu (Linkage Attack)#
Kẻ tấn công có hai tập dữ liệu: tập A đã khử nhận dạng (chứa thông tin như bệnh án hoặc mức lương) và tập B công khai có danh tính (ví dụ danh sách nhân viên công ty). So khớp các trường chung như tuổi, giới tính, nơi cư trú (quasi-identifier) cho phép ghép hai tập và chỉ ra ai mắc bệnh gì hoặc nhận lương bao nhiêu.
Ví dụ đã được công bố: năm 2008, Narayanan và Shmatikov chỉ ra có thể xác định lại một số người dùng trong tập dữ liệu đánh giá phim "ẩn danh" mà Netflix công bố cho cuộc thi Netflix Prize, bằng cách đối chiếu với các đánh giá công khai trên IMDb.
Hình thức 2: Tấn công suy luận thuộc tính (Inference Attack)#
Kẻ tấn công không cần biết bản ghi nào là của ai, chỉ cần biết một người thuộc một nhóm mà mọi bản ghi trong nhóm có chung một đặc điểm. Ví dụ: nếu ông X (55 tuổi, ở phường Y) nằm trong một nhóm k người mà tất cả đều có cùng một chẩn đoán bệnh, kẻ tấn công suy ra chẩn đoán của ông X mà không cần biết tên trong tập dữ liệu.
Hình thức 3: Tấn công vi phân / chênh lệch (Differencing Attack)#
Kẻ tấn công chạy hai truy vấn thống kê: "Tổng lương của phòng IT" và "Tổng lương của phòng IT trừ nhân viên Z". Lấy kết quả thứ nhất trừ kết quả thứ hai là ra lương của nhân viên Z. Kiểu tấn công này đánh vào các hệ thống cho phép truy vấn tổng hợp, kể cả khi không công bố bản ghi nào.
3. Trách nhiệm pháp lý của doanh nghiệp khi xảy ra tái nhận dạng dữ liệu#
Theo Luật 91/2025/QH15 và Nghị định 330/2026/NĐ-CP (các mức phạt dưới đây áp dụng đối với tổ chức):
- Dữ liệu tái nhận dạng được là dữ liệu chưa được khử nhận dạng thành công, nên vẫn là dữ liệu cá nhân. Chuyển giao dữ liệu cá nhân có thu phí mà không khử nhận dạng khi giao dịch trên sàn dữ liệu là hành vi mua, bán trái phép dữ liệu cá nhân, bị phạt từ 02 đến 10 lần khoản thu có được (điểm e khoản 1 Điều 53 Nghị định 330).
- Bên thực hiện khử nhận dạng phải kiểm soát, giám sát chặt chẽ quá trình này và ngăn truy cập trái phép, làm lộ, làm mất dữ liệu (điểm a khoản 6 Điều 14 Luật). Không kiểm soát, giám sát bị phạt từ 10 đến 30 triệu đồng (điểm d, điểm đ khoản 1 Điều 51 Nghị định 330); để xảy ra lộ, mất dữ liệu trong quá trình khử nhận dạng bị phạt từ 30 đến 50 triệu đồng (điểm d khoản 2 Điều 51). Bên bán khó thoái thác bằng lý do "bên mua tự ý tái nhận dạng" nếu không chứng minh được mình đã áp dụng biện pháp kỹ thuật hợp lý tại thời điểm chuyển giao.
- Bên nhận tự tái nhận dạng dữ liệu bị phạt từ 50 đến 60 triệu đồng và buộc hủy, xóa kết quả tái nhận dạng (điểm b khoản 3, điểm c khoản 4 Điều 51 Nghị định 330).
Tổng hợp các mức phạt khác có tại trang mức phạt vi phạm dữ liệu cá nhân.
4. Khung 5 bước đánh giá rủi ro tái nhận dạng dữ liệu (Re-identification Risk Assessment)#
Trước khi niêm yết dữ liệu lên sàn hoặc chia sẻ cho đối tác, doanh nghiệp nên đánh giá rủi ro theo 5 bước:
- Nhận diện các trường định danh gián tiếp (quasi-identifier): mã bưu chính, ngày sinh, giới tính, dân tộc, trình độ học vấn, thu nhập, nghề nghiệp. Lưu ý dữ liệu tiết lộ dân tộc là dữ liệu cá nhân nhạy cảm (điểm a khoản 1 Điều 4 Nghị định 356).
- Đo tỷ lệ bản ghi độc nhất (uniqueness): tỷ lệ bản ghi có tổ hợp thuộc tính không trùng với bản ghi nào khác. Mục tiêu thực hành là không còn bản ghi độc nhất, thường bằng k-anonymity. Mức
k ≥ 5hay được dùng nhưng không phải ngưỡng do pháp luật quy định. So sánh các kỹ thuật có tại bài 5 phương pháp khử nhận dạng dữ liệu. - Mô phỏng tấn công: giao đội bảo mật thử ghép tập dữ liệu với các nguồn công khai tại Việt Nam và thử các truy vấn chênh lệch.
- Kiểm soát môi trường chia sẻ: dữ liệu công bố rộng cần khử nhận dạng mạnh; dữ liệu chỉ truy cập trong phòng dữ liệu có giám sát có thể giữ chi tiết hơn.
- Đưa các điều khoản phòng vệ vào hợp đồng chuyển giao (xem mục 5).
Lưu lại kết quả đánh giá rủi ro tái nhận dạng ở từng bước. Đây là bằng chứng doanh nghiệp đã kiểm soát quá trình khử nhận dạng theo điểm a khoản 6 Điều 14 Luật.
5. Soạn thảo điều khoản phòng vệ trong hợp đồng dữ liệu (Data Transfer Agreement - DTA)#
Hợp đồng không miễn trách nhiệm hành chính cho bên chuyển giao. Nó phân chia trách nhiệm dân sự giữa các bên và là bằng chứng bên chuyển giao đã đặt ra biện pháp kiểm soát. Ngoài các nội dung bắt buộc của thỏa thuận chuyển giao dữ liệu cá nhân tại khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP (mục đích, loại dữ liệu, thời hạn xử lý và xóa hủy, cơ sở pháp lý, trách nhiệm bảo vệ dữ liệu, trách nhiệm thực hiện quyền của chủ thể, trách nhiệm phối hợp khi phát hiện vi phạm), một hợp đồng DTA nên có thêm:
- Điều khoản cấm tái nhận dạng: bên nhận cam kết không dùng công nghệ, thuật toán hay nguồn dữ liệu bên ngoài để xác định lại chủ thể dữ liệu gốc, và không ghép tập dữ liệu với dữ liệu của bên thứ ba.
- Điều khoản cấm chuyển tiếp: tập dữ liệu chỉ dùng cho mục đích đã thỏa thuận; không bán lại hoặc chia sẻ cho bên khác nếu chưa có chấp thuận bằng văn bản.
- Điều khoản phạt vi phạm và bồi thường: nếu bên nhận vi phạm cam kết dẫn đến lộ danh tính, bên nhận chịu phạt vi phạm hợp đồng và bồi thường thiệt hại cho bên chuyển giao.
- Điều khoản kiểm tra: bên chuyển giao được yêu cầu bên nhận xác nhận hoặc chứng minh việc tuân thủ các cam kết trên.
6. Kịch bản ứng phó khi phát hiện tái nhận dạng dữ liệu trái phép#
Khi phát hiện một tập dữ liệu đã bán hoặc chia sẻ đang bị khai thác để xác định lại danh tính:
- Yêu cầu bên nhận ngừng khai thác, cô lập và niêm phong tập dữ liệu.
- Điều tra kỹ thuật để xác định phương thức và số bản ghi bị xác định lại.
- Nếu vi phạm có thể xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, thông báo cho Cục A05 (Bộ Công an) chậm nhất 72 giờ kể từ khi phát hiện (khoản 1 Điều 23 Luật 91/2025), theo Mẫu số 08 Nghị định 356/2025/NĐ-CP. Cách soạn thông báo xem tại quy tắc 72 giờ khi xảy ra sự cố dữ liệu.
- Thông báo cho các chủ thể dữ liệu bị ảnh hưởng về rủi ro và cách tự bảo vệ.
Nếu doanh nghiệp chuẩn bị đưa dữ liệu lên sàn hoặc bán cho đối tác, việc cần làm trước là chạy khung 5 bước ở mục 4 và rà soát lại hợp đồng chuyển giao. LexData hỗ trợ việc này trong dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân; doanh nghiệp cần một đầu mối xử lý sự cố thường trực có thể dùng DPO thuê ngoài.
