Khử nhận dạng dữ liệu là gì? Tiêu chuẩn giao dịch dữ liệu theo Luật 91

Khử nhận dạng dữ liệu là gì theo Luật Bảo vệ dữ liệu cá nhân 91/2025?

Các đơn vị công nghệ và tài chính thường thắc mắc khử nhận dạng dữ liệu là gì. Căn cứ Khoản 11 Điều 2 Luật 91/2025/QH15, khử nhận dạng dữ liệu là 'chìa khóa vàng' mở ra cơ hội thương mại hóa dữ liệu và huấn luyện trí tuệ nhân tạo (AI/Machine Learning) một cách an toàn mà không vi phạm pháp luật.

Định nghĩa trong luật rất ngắn: khử nhận dạng là "quá trình thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định hoặc không thể giúp xác định được một con người cụ thể" (Khoản 11 Điều 2). Khoản 1 cùng Điều nêu hệ quả: dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Như vậy, tiêu chí nằm ở kết quả, không phải kỹ thuật được dùng. Nếu vẫn xác định được một người cụ thể, trực tiếp hoặc nhờ kết hợp thông tin khác, thì đó vẫn là dữ liệu cá nhân.

Khử nhận dạng dữ liệu khác giả danh hóa và mã hóa thế nào?

Ba khái niệm này thường bị dùng lẫn trong tài liệu của nhà cung cấp và hợp đồng chia sẻ dữ liệu. Sự khác biệt quyết định việc Luật 91 còn áp dụng với dữ liệu đầu ra hay không.

Giả danh hóa và mã hóa là biện pháp bảo mật quan trọng, giúp giảm thiệt hại khi xảy ra sự cố rò rỉ dữ liệu. Tuy nhiên, chúng không đưa dữ liệu ra khỏi phạm vi của Luật 91.

Nghĩa vụ pháp lý khi khử nhận dạng dữ liệu cá nhân

Khử nhận dạng là một hoạt động xử lý dữ liệu cá nhân được liệt kê tại Khoản 6 Điều 2, nên cho đến khi quá trình hoàn tất, tổ chức vẫn đang xử lý dữ liệu cá nhân. Khoản 6 Điều 14 Luật 91/2025 đặt ra ba quy tắc:

1. Kiểm soát, giám sát (điểm a): tổ chức phải kiểm soát và giám sát chặt chẽ quá trình khử nhận dạng; ngăn chặn truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu trong quá trình này.
2. Không tái nhận dạng (điểm b): không được tái nhận dạng dữ liệu đã khử nhận dạng, trừ trường hợp pháp luật có quy định khác.
3. Tuân thủ pháp luật liên quan (điểm c): ví dụ quy định chuyên ngành về bí mật ngân hàng hay hồ sơ bệnh án.

Nghị định 330/2026/NĐ-CP xử phạt các vi phạm này tại Điều 51 (mức phạt đối với tổ chức):

• 10–30 triệu đồng: khử nhận dạng nhưng không kiểm soát, giám sát chặt chẽ; không có biện pháp ngăn chặn truy cập trái phép, sao chép, làm lộ, làm mất dữ liệu trong quá trình khử nhận dạng (điểm d, đ Khoản 1).
• 30–50 triệu đồng: để xảy ra truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu trong quá trình khử nhận dạng (điểm d Khoản 2).
• 50–60 triệu đồng: tái nhận dạng dữ liệu đã khử nhận dạng, trừ trường hợp pháp luật có quy định khác (điểm b Khoản 3).

5 kỹ thuật khử nhận dạng dữ liệu phổ biến

• Data Masking & Suppression: Che mờ hoặc xóa bỏ hoàn toàn trường định danh (CCCD, SĐT, Email).
• Mô hình K-Anonymity: Đảm bảo mỗi bản ghi luôn tương đồng với ít nhất k−1 cá nhân khác trong tập dữ liệu.
• Mô hình L-Diversity & T-Closeness: Đảm bảo tính đa dạng của các thuộc tính nhạy cảm để chống tấn công suy luận.
• Tính riêng tư vi phân (Differential Privacy): Bổ sung nhiễu toán học có kiểm soát để bảo vệ danh tính cá nhân.
• Dữ liệu tổng hợp (Synthetic Data): Dùng mô hình tạo dữ liệu nhân tạo để phục vụ một mục đích xác định; cần kiểm thử rủi ro tái nhận dạng và không coi đây là cam kết tái tạo đầy đủ dữ liệu nguồn.

Không kỹ thuật nào đủ khi dùng riêng lẻ. Che trường định danh trực tiếp thường là bước đầu tiên. Sau đó, khái quát hóa (nhóm tuổi thay cho ngày sinh, tỉnh thay cho địa chỉ) và loại bỏ giá trị hiếm giúp xử lý các thông tin định danh gián tiếp. Nhiễu toán học hoặc dữ liệu tổng hợp được dùng khi dữ liệu đầu ra sẽ công bố hoặc chia sẻ rộng.

Kiểm tra dữ liệu đã thực sự được khử nhận dạng chưa

Luật 91 không quy định phương pháp kiểm tra, vì vậy doanh nghiệp nên tự xây dựng và lưu hồ sơ. Thông lệ quốc tế dùng ba câu hỏi:

• Tách biệt (singling out): còn bản ghi nào xác định được là của một người không?
• Liên kết (linkability): có thể ghép với tập dữ liệu khác (thông tin công khai, mạng xã hội, dữ liệu đối tác) để nhận ra ai đó không?
• Suy luận (inference): có suy ra được thuộc tính nhạy cảm của một người với độ tin cậy cao không?

Một cách tiếp cận thực tế: giả định một người có động cơ và có trong tay thông tin công khai thử nhận dạng người trong tập dữ liệu. Cần kiểm tra lại khi tập dữ liệu được bổ sung trường mới, khi chia sẻ cho bên nhận mới hoặc khi xuất hiện nguồn dữ liệu công khai mới. Một tập dữ liệu an toàn hôm nay có thể không còn an toàn sau khi được ghép với dữ liệu khác.

Ứng dụng khử nhận dạng dữ liệu: phân tích, AI và sàn dữ liệu

• Phân tích, báo cáo nội bộ: bảng điều khiển dùng dữ liệu tổng hợp hoặc đã khử nhận dạng giúp giảm số nhân viên phải tiếp cận dữ liệu cá nhân.
• Trí tuệ nhân tạo: huấn luyện trên dữ liệu đã khử nhận dạng giảm rủi ro pháp lý, nhưng mô hình có thể ghi nhớ bản ghi hiếm. Khi vẫn dùng dữ liệu cá nhân, Điều 30 Luật 91/2025 yêu cầu xử lý đúng mục đích, trong phạm vi cần thiết và phân loại theo mức độ rủi ro.
• Chia sẻ với đối tác, đơn vị nghiên cứu: thỏa thuận chia sẻ nên cấm tái nhận dạng, cấm ghép với dữ liệu khác và cho phép kiểm tra.
• Sàn dữ liệu: mua, bán dữ liệu cá nhân bị nghiêm cấm, trừ trường hợp luật có quy định khác (Khoản 6 Điều 7 Luật 91/2025), và Nghị định 356/2025/NĐ-CP yêu cầu khử nhận dạng trước khi giao dịch trên sàn dữ liệu (khoản 5 Điều 7). Chuyển giao có thu phí mà không khử nhận dạng khi giao dịch trên sàn là hành vi mua bán trái phép theo điểm e Khoản 1 Điều 53 Nghị định 330/2026/NĐ-CP. Xem thêm mua bán dữ liệu cá nhân.

Checklist khử nhận dạng dữ liệu cho doanh nghiệp

1. Xác định mục đích và lượng dữ liệu tối thiểu mà đầu ra cần.
2. Xác nhận căn cứ xử lý cho bước khử nhận dạng và ghi vào sổ ghi hoạt động xử lý (RoPA).
3. Phân loại các trường dữ liệu: định danh trực tiếp, định danh gián tiếp và thuộc tính nhạy cảm.
4. Chọn và kết hợp kỹ thuật phù hợp với cách dùng và bên nhận dữ liệu đầu ra.
5. Kiểm tra rủi ro tái nhận dạng theo ba câu hỏi tách biệt, liên kết, suy luận và lưu kết quả.
6. Tách dữ liệu gốc khỏi dữ liệu đầu ra, giới hạn quyền truy cập dữ liệu gốc và khóa.
7. Ràng buộc bên nhận bằng hợp đồng không tái nhận dạng, không ghép dữ liệu.
8. Rà soát định kỳ, nhất là trước khi công bố, chia sẻ hoặc giao dịch tập dữ liệu.