Tóm tắt: Trong tiến trình chuyển đổi số quốc gia, dữ liệu ngày càng khẳng định vai trò là nguồn lực quan trọng đối với quản trị, phát triển kinh tế - xã hội và đổi mới sáng tạo. Cùng với sự mở rộng của hoạt động thu thập, kết nối, chia sẻ và khai thác dữ liệu, yêu cầu bảo đảm an ninh dữ liệu cũng ngày càng trở nên cấp thiết. Đây không chỉ là vấn đề kỹ thuật mà còn gắn với năng lực quản trị, hoàn thiện thể chế, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân. Từ thực tiễn phát triển dữ liệu y tế, bài viết phân tích một số yêu cầu đặt ra trong quản lý quyền truy cập, chia sẻ dữ liệu phục vụ trí tuệ nhân tạo và chuyển dữ liệu xuyên biên giới; đồng thời đề xuất các giải pháp nhằm nâng cao hiệu quả quản trị, bảo vệ và khai thác dữ liệu, góp phần thúc đẩy chuyển đổi số an toàn, bền vững.
Từ khóa: An ninh dữ liệu; quản trị dữ liệu; bảo vệ dữ liệu cá nhân; dữ liệu y tế; chuyển đổi số.
MỞ ĐẦU
Chuyển đổi số đang tạo ra những thay đổi sâu rộng trong phương thức tổ chức, vận hành và quản trị xã hội. Trong tiến trình đó, dữ liệu ngày càng trở thành nguồn lực quan trọng, góp phần nâng cao chất lượng hoạch định chính sách, hiệu quả quản lý nhà nước, năng lực cạnh tranh của doanh nghiệp và chất lượng cung cấp dịch vụ cho người dân. Khả năng thu thập, kết nối, phân tích và khai thác dữ liệu không chỉ tạo điều kiện tối ưu hóa các quy trình hiện có mà còn mở ra những phương thức phát triển mới trong nhiều lĩnh vực của đời sống kinh tế - xã hội.
Cùng với những cơ hội đó, sự gia tăng về quy mô và phạm vi lưu chuyển dữ liệu cũng đặt ra yêu cầu cao hơn đối với công tác quản lý, bảo vệ và sử dụng thông tin. Những vấn đề như kiểm soát quyền truy cập, bảo đảm tính chính xác, an toàn trong chia sẻ dữ liệu, bảo vệ thông tin cá nhân và xác định trách nhiệm của các chủ thể tham gia xử lý dữ liệu ngày càng có ý nghĩa quan trọng. Đặc biệt, trong những lĩnh vực chứa đựng thông tin nhạy cảm như y tế, việc bảo đảm an ninh dữ liệu không chỉ liên quan đến hiệu quả vận hành hệ thống mà còn gắn trực tiếp với quyền riêng tư và niềm tin của người dân. Vì vậy, nghiên cứu và hoàn thiện cơ chế quản trị an ninh dữ liệu là yêu cầu cần thiết nhằm bảo đảm dữ liệu được khai thác đúng mục đích, hiệu quả và phù hợp với các quy định pháp luật.
1. An ninh dữ liệu – nền tảng của chuyển đổi số an toàn và hiệu quả
Dữ liệu đang trở thành một trong những nguồn lực quan trọng của nền kinh tế số. Thông qua dữ liệu, các cơ quan quản lý có thêm cơ sở phục vụ công tác dự báo, hoạch định chính sách và tổ chức cung cấp dịch vụ công; doanh nghiệp có điều kiện tối ưu hóa hoạt động sản xuất, kinh doanh, nâng cao chất lượng sản phẩm và mở rộng thị trường; các cơ sở nghiên cứu có thêm nguồn thông tin phục vụ phân tích, dự báo và phát triển tri thức. Đặc biệt, sự phát triển của trí tuệ nhân tạo (AI), dữ liệu lớn và điện toán đám mây đang mở rộng đáng kể khả năng xử lý thông tin, hỗ trợ ra quyết định và thúc đẩy đổi mới sáng tạo.
Để phát huy giá trị đó, dữ liệu cần được quản lý trong một môi trường an toàn, có khả năng kiểm soát và bảo đảm độ tin cậy. Nếu dữ liệu bị thay đổi, sai lệch hoặc không thể truy cập khi cần thiết, các quyết định dựa trên nguồn thông tin đó có thể bị ảnh hưởng. Nếu dữ liệu được sử dụng vượt quá mục đích hoặc phạm vi cho phép, quyền và lợi ích hợp pháp của tổ chức, cá nhân có thể bị tác động. Do đó, an ninh dữ liệu không chỉ là yêu cầu bảo vệ hệ thống thông tin mà còn là điều kiện bảo đảm tính liên tục, chính xác và tin cậy của các hoạt động dựa trên dữ liệu.
Bảo đảm an ninh dữ liệu là yêu cầu quan trọng trong tiến trình chuyển đổi số
Về phương diện chuyên môn, an ninh dữ liệu thường được tiếp cận thông qua ba thuộc tính cơ bản: tính bí mật, tính toàn vẹn và tính sẵn sàng. Tính bí mật bảo đảm dữ liệu chỉ được tiếp cận bởi những chủ thể có thẩm quyền; tính toàn vẹn bảo đảm dữ liệu không bị thay đổi hoặc làm sai lệch trái phép; tính sẵn sàng bảo đảm dữ liệu và hệ thống có thể được sử dụng đúng thời điểm, đúng nhu cầu. Ba thuộc tính này có quan hệ hữu cơ, tạo thành nền tảng của một hệ thống quản trị dữ liệu an toàn.
Cần phân biệt an ninh dữ liệu với an ninh mạng và bảo vệ dữ liệu cá nhân. An ninh mạng tập trung vào bảo vệ hệ thống, hạ tầng và môi trường mạng trước các nguy cơ xâm nhập, phá hoại; bảo vệ dữ liệu cá nhân nhấn mạnh quyền của chủ thể dữ liệu và tính hợp pháp của quá trình thu thập, xử lý, sử dụng thông tin; trong khi đó, an ninh dữ liệu bao quát toàn bộ vòng đời dữ liệu, từ hình thành, thu thập, lưu trữ, phân loại, truy cập, chia sẻ đến khai thác và hủy bỏ. Ba lĩnh vực có phạm vi khác nhau nhưng gắn bó chặt chẽ, bổ trợ cho nhau trong hệ sinh thái quản trị số.
Từ góc độ quản trị quốc gia, an ninh dữ liệu còn gắn với năng lực tổ chức, điều phối và khai thác nguồn lực dữ liệu một cách hiệu quả. Một hệ thống dữ liệu được quản lý tốt không chỉ góp phần bảo đảm an toàn thông tin mà còn tạo điều kiện nâng cao chất lượng dịch vụ công, tăng cường khả năng kết nối giữa các cơ quan, tổ chức và thúc đẩy đổi mới sáng tạo. Theo đó, yêu cầu đặt ra không phải là hạn chế việc sử dụng dữ liệu, mà là xây dựng cơ chế quản trị phù hợp để dữ liệu được khai thác đúng mục đích, đúng thẩm quyền và có trách nhiệm giải trình.
Lĩnh vực y tế là một ví dụ tiêu biểu cho yêu cầu này. Hồ sơ bệnh án điện tử, sổ sức khỏe điện tử và các nền tảng kết nối dữ liệu khám, chữa bệnh đang góp phần hiện đại hóa công tác quản lý, giảm thủ tục hành chính và hỗ trợ phối hợp chuyên môn. Theo thông tin Bộ Y tế công bố tháng 2/2026, hơn 34 triệu sổ sức khỏe điện tử đã được tích hợp trên VNeID và 1.210 bệnh viện triển khai bệnh án điện tử. Đây là những kết quả có ý nghĩa trong tiến trình xây dựng hạ tầng dữ liệu y tế, đồng thời cho thấy yêu cầu ngày càng cao đối với việc quản lý và bảo vệ các thông tin có tính nhạy cảm như tiền sử bệnh, kết quả xét nghiệm, chẩn đoán, điều trị và thông tin sức khỏe cá nhân. Khi dữ liệu được kết nối trên phạm vi rộng, công tác bảo vệ cần được triển khai đồng bộ từ thể chế, quy trình nghiệp vụ đến giải pháp công nghệ và trách nhiệm của các chủ thể tham gia.
2. NHỮNG YÊU CẦU ĐẶT RA TỪ THỰC TIỄN QUẢN TRỊ VÀ KHAI THÁC DỮ LIỆU
2.1. Nâng cao hiệu quả quản lý nội bộ và kiểm soát quyền truy cập
Trong môi trường số, dữ liệu thường được tiếp cận và xử lý bởi nhiều bộ phận, nhiều cấp độ nhân sự và các đơn vị phối hợp khác nhau. Vì vậy, việc xác định rõ chủ thể được quyền truy cập, phạm vi thao tác và trách nhiệm trong quá trình khai thác dữ liệu có ý nghĩa quan trọng đối với hiệu quả quản trị. Khi quy mô dữ liệu mở rộng, yêu cầu quản lý quyền truy cập cũng cần được điều chỉnh phù hợp với sự thay đổi về nhân sự, chức năng và nhiệm vụ của từng đơn vị.
Trên thực tế, quá trình vận hành các hệ thống dữ liệu có thể phát sinh những tình huống cần được kiểm soát chặt chẽ, chẳng hạn việc điều chỉnh quyền truy cập khi nhân sự thay đổi vị trí công tác, quản lý tài khoản phục vụ đào tạo, tài khoản dùng thử hoặc kiểm soát hoạt động truy xuất dữ liệu của các nhóm người dùng khác nhau. Nếu các quy trình này chưa được chuẩn hóa đồng bộ, hệ thống có thể gặp khó khăn trong việc duy trì phạm vi truy cập phù hợp với yêu cầu công việc. Đây là vấn đề cần được quan tâm trong quản trị dữ liệu tại các cơ quan, tổ chức, đặc biệt là những đơn vị quản lý khối lượng lớn thông tin có tính nhạy cảm.
Từ góc độ tổ chức, công tác quản lý quyền truy cập cần được triển khai trên cơ sở phân định rõ trách nhiệm giữa bộ phận chuyên môn, bộ phận quản trị hệ thống và bộ phận nhân sự. Việc cấp, điều chỉnh và thu hồi quyền truy cập cần gắn với quy trình quản lý nhân sự và nhiệm vụ được giao. Đồng thời, hệ thống cần có khả năng lưu vết hoạt động, hỗ trợ kiểm tra lịch sử truy cập và nhận diện những thao tác có dấu hiệu bất thường.
Đối với dữ liệu y tế, yêu cầu này càng có ý nghĩa bởi thông tin sức khỏe phản ánh trực tiếp đời sống riêng tư của cá nhân. Việc quản lý, sử dụng dữ liệu cần bảo đảm phục vụ hoạt động chuyên môn và các mục đích hợp pháp, đồng thời hạn chế khả năng tiếp cận ngoài phạm vi cần thiết. Do đó, kiểm soát quyền truy cập cần được xem là một bộ phận quan trọng trong quy trình quản trị chất lượng và bảo vệ quyền lợi người bệnh.
2.2. Chia sẻ dữ liệu, ứng dụng AI và yêu cầu bảo đảm mục đích sử dụng
Sự phát triển của AI đang mở ra nhiều khả năng ứng dụng trong lĩnh vực y tế, từ hỗ trợ phân tích hình ảnh, phát hiện sớm nguy cơ bệnh lý đến tối ưu hóa quy trình chuyên môn và nâng cao hiệu quả nghiên cứu. Để các mô hình AI hoạt động hiệu quả, dữ liệu thường cần được thu thập, chuẩn hóa, kết hợp và xử lý qua nhiều giai đoạn. Quá trình đó có thể liên quan đến cơ sở y tế, đơn vị nghiên cứu, doanh nghiệp công nghệ và nhà cung cấp nền tảng. Khi số lượng chủ thể tham gia tăng lên, việc xác định mục đích xử lý, phạm vi sử dụng và trách nhiệm bảo vệ dữ liệu trở thành yêu cầu cần được quan tâm.
Một vấn đề quan trọng là phân định rõ quyền quản lý dữ liệu và quyền khai thác dữ liệu. Cơ sở y tế lưu trữ hồ sơ bệnh án không đồng nghĩa với việc dữ liệu có thể được sử dụng cho mọi mục đích khác nhau. Tương tự, doanh nghiệp công nghệ được tiếp cận một tập dữ liệu phục vụ nghiên cứu không mặc nhiên có quyền sử dụng tập dữ liệu đó cho các mục đích thương mại khác hoặc chuyển giao cho bên thứ ba ngoài phạm vi đã được xác định. Việc tiếp cận và khai thác dữ liệu cần dựa trên căn cứ pháp lý, mục đích cụ thể, phạm vi cần thiết và các điều kiện bảo vệ tương ứng.
Ẩn danh dữ liệu thường được xem là một giải pháp quan trọng nhằm giảm thiểu nguy cơ lộ lọt thông tin cá nhân. Tuy nhiên, cần phân biệt giữa việc loại bỏ thông tin định danh trực tiếp và việc bảo đảm dữ liệu không còn khả năng nhận diện cá nhân trong bối cảnh sử dụng cụ thể. Khi dữ liệu vẫn chứa các thuộc tính có tính đặc thù như độ tuổi, thời điểm điều trị, địa bàn cư trú hoặc bệnh lý hiếm gặp, việc kết hợp với các nguồn thông tin khác có thể làm gia tăng nguy cơ nhận diện lại. Vì vậy, hiệu quả bảo vệ cần được đánh giá trên cơ sở đặc điểm dữ liệu, phương thức xử lý và môi trường khai thác thực tế.
Đối với AI, yêu cầu này càng quan trọng bởi dữ liệu có thể được biến đổi, kết hợp và tái sử dụng trong nhiều giai đoạn huấn luyện, kiểm thử và cải tiến mô hình. Một tập dữ liệu được cung cấp cho mục đích nghiên cứu cần có giới hạn rõ ràng về phạm vi sử dụng, thời hạn lưu trữ, quyền truy cập và điều kiện chuyển giao. Khi mục đích hoặc quy mô xử lý thay đổi, tổ chức cần xem xét lại các yêu cầu pháp lý và biện pháp bảo vệ tương ứng.
Thách thức đặt ra không phải là hạn chế việc sử dụng dữ liệu y tế cho nghiên cứu và đổi mới sáng tạo, mà là xây dựng cơ chế khai thác phù hợp, bảo đảm hài hòa giữa yêu cầu phát triển công nghệ và bảo vệ quyền, lợi ích hợp pháp của người dân. Việc xác định rõ mục đích sử dụng, trách nhiệm của các bên và cơ chế giám sát sẽ góp phần tạo môi trường thuận lợi cho hoạt động nghiên cứu, đồng thời củng cố niềm tin đối với các ứng dụng công nghệ mới.
2.3. Chuyển dữ liệu xuyên biên giới và yêu cầu bảo đảm trách nhiệm trong chuỗi xử lý
Sự phát triển của điện toán đám mây, nền tảng phân tích dữ liệu và các dịch vụ AI khiến dữ liệu ngày càng được lưu trữ, xử lý trên hạ tầng công nghệ có phạm vi hoạt động rộng. Một tổ chức có thể sử dụng dịch vụ của nhà cung cấp trong nước nhưng hạ tầng kỹ thuật, trung tâm dữ liệu hoặc một số nhà thầu phụ lại đặt tại quốc gia khác. Điều này làm cho quá trình quản lý dữ liệu có thêm những yêu cầu liên quan đến phạm vi áp dụng pháp luật, trách nhiệm của nhà cung cấp và cơ chế phối hợp khi phát sinh sự cố.
Trong bối cảnh đó, việc xác định rõ trách nhiệm của từng chủ thể trong chuỗi xử lý dữ liệu có ý nghĩa quan trọng. Các hợp đồng dịch vụ cần quy định cụ thể về phạm vi sử dụng dữ liệu, vị trí lưu trữ, quyền truy cập, nghĩa vụ bảo mật, việc sử dụng nhà thầu phụ và trách nhiệm thông báo khi xảy ra sự cố. Những nội dung này giúp tổ chức sử dụng dịch vụ có cơ sở theo dõi, đánh giá và kiểm soát quá trình xử lý dữ liệu.
Kinh nghiệm của Liên minh châu Âu cho thấy hoạt động chuyển dữ liệu xuyên biên giới có thể được thực hiện thông qua các cơ chế bảo đảm phù hợp, chẳng hạn quyết định về mức độ bảo vệ tương đương, điều khoản hợp đồng tiêu chuẩn và các cơ chế ràng buộc trách nhiệm giữa các chủ thể. Cách tiếp cận này cho thấy yêu cầu bảo vệ dữ liệu cần được duy trì trong suốt quá trình chuyển giao và xử lý, đồng thời tạo điều kiện cho dòng chảy dữ liệu hợp pháp phục vụ hợp tác và phát triển.
Đối với Việt Nam, việc nâng cao năng lực đánh giá rủi ro và kiểm soát chuỗi xử lý dữ liệu cần được quan tâm, nhất là trong những lĩnh vực có thông tin nhạy cảm. Công tác quản trị không chỉ xem xét nơi lưu trữ dữ liệu mà còn cần tính đến quyền truy cập từ xa, hoạt động của nhà thầu phụ, mục đích xử lý và khả năng chuyển tiếp dữ liệu. Đây là cơ sở để bảo đảm việc ứng dụng các nền tảng công nghệ hiện đại được triển khai đồng bộ với yêu cầu tuân thủ pháp luật và bảo vệ quyền lợi của chủ thể dữ liệu.
3. HOÀN THIỆN THỂ CHẾ VÀ NÂNG CAO NĂNG LỰC QUẢN TRỊ AN NINH DỮ LIỆU
3.1. Tiếp tục hoàn thiện khung pháp lý và tăng cường tính thống nhất trong thực thi
Việt Nam đã từng bước hình thành khung pháp lý điều chỉnh hoạt động quản trị, phát triển và bảo vệ dữ liệu. Luật Dữ liệu số 60/2024/QH15, có hiệu lực từ ngày 1/7/2025, tạo cơ sở pháp lý cho việc xây dựng, phát triển, quản trị, xử lý và sử dụng dữ liệu. Nghị định số 102/2025/NĐ-CP về quản lý dữ liệu y tế góp phần cụ thể hóa yêu cầu quản lý đối với một lĩnh vực có tính đặc thù. Cùng với đó, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP đã bổ sung cơ sở pháp lý quan trọng về quyền của chủ thể dữ liệu và trách nhiệm của các tổ chức, cá nhân tham gia xử lý dữ liệu.
Trong giai đoạn hiện nay, yêu cầu đặt ra là tiếp tục bảo đảm sự thống nhất, đồng bộ và khả năng thực thi giữa các quy định pháp luật có liên quan. Đối với dữ liệu y tế, cần chú trọng mối quan hệ giữa yêu cầu phục vụ khám, chữa bệnh, nghiên cứu khoa học, quản lý nhà nước và bảo vệ thông tin cá nhân. Dữ liệu được thu thập hợp pháp trong một hoạt động chuyên môn cần được sử dụng phù hợp với căn cứ pháp lý và mục đích xử lý tương ứng khi chuyển sang những hoạt động khác.
Bên cạnh đó, cần tiếp tục làm rõ trách nhiệm của các chủ thể tham gia quản lý và xử lý dữ liệu. Cơ quan, tổ chức quyết định mục đích và phương tiện xử lý cần bảo đảm tính hợp pháp, phạm vi và mục đích khai thác; đơn vị thực hiện xử lý cần tuân thủ các yêu cầu được giao và duy trì biện pháp bảo vệ phù hợp; bên thứ ba cần thực hiện đầy đủ nghĩa vụ bảo mật, giới hạn truy cập và phối hợp xử lý khi phát sinh sự cố. Việc phân định trách nhiệm cần được cụ thể hóa trong quy trình nội bộ và hợp đồng dịch vụ, qua đó nâng cao tính minh bạch và khả năng giải trình.
3.2. Nâng cao hiệu quả quản trị nội bộ và kiểm tra, đánh giá an ninh dữ liệu
Cùng với hoàn thiện thể chế, mỗi cơ quan, tổ chức cần xây dựng chính sách quản trị dữ liệu thống nhất, xác định rõ trách nhiệm của bộ phận chuyên môn, bộ phận công nghệ thông tin và các cá nhân được giao quyền tiếp cận dữ liệu. Việc cấp quyền cần tuân thủ nguyên tắc quyền tối thiểu, theo đó mỗi cá nhân chỉ được tiếp cận lượng dữ liệu cần thiết để thực hiện nhiệm vụ được giao.
Một yêu cầu quan trọng là quản lý toàn bộ vòng đời tài khoản. Khi nhân sự thay đổi vị trí công tác, nghỉ việc hoặc kết thúc nhiệm vụ, quyền truy cập cần được điều chỉnh phù hợp. Tài khoản quản trị, tài khoản đào tạo và tài khoản dùng thử cần có quy trình quản lý riêng, thời hạn sử dụng và người chịu trách nhiệm cụ thể. Bên cạnh đó, hệ thống cần lưu vết các hoạt động xem, sửa, tải xuống, sao chép và chia sẻ dữ liệu; các thao tác có dấu hiệu bất thường cần được kiểm tra, đánh giá và xử lý theo quy trình.
Để nâng cao hiệu quả thực thi, cần quan tâm hoạt động kiểm tra, đánh giá an ninh dữ liệu định kỳ. Hoạt động này không chỉ xem xét khả năng bảo vệ kỹ thuật mà còn đánh giá tính phù hợp của phân quyền, mức độ tuân thủ quy trình, hiệu quả xử lý cảnh báo và trách nhiệm của từng bộ phận. Kết quả đánh giá cần được sử dụng làm căn cứ hoàn thiện quy trình, khắc phục những điểm cần cải thiện và nâng cao chất lượng quản trị dữ liệu.
Kinh nghiệm từ quy tắc bảo mật của Đạo luật HIPAA tại Hoa Kỳ cho thấy bảo vệ thông tin sức khỏe điện tử cần được triển khai đồng thời trên ba phương diện: biện pháp hành chính, biện pháp vật lý và biện pháp kỹ thuật. Cách tiếp cận này nhấn mạnh vai trò của đánh giá rủi ro, kiểm soát truy cập, ghi nhật ký hoạt động và xác thực người dùng. Đây là những kinh nghiệm có giá trị tham khảo trong quá trình xây dựng quy trình quản trị dữ liệu tại các cơ sở y tế và tổ chức quản lý thông tin nhạy cảm.
3.3. Tăng cường giải pháp công nghệ và quản trị dữ liệu trong ứng dụng AI
Công nghệ là công cụ quan trọng để bảo vệ dữ liệu, song hiệu quả chỉ được bảo đảm khi được lựa chọn trên cơ sở đánh giá rủi ro và tích hợp vào quy trình quản trị. Các tổ chức cần quan tâm triển khai mã hóa dữ liệu trong quá trình lưu trữ và truyền tải; xác thực đa yếu tố đối với tài khoản có quyền truy cập quan trọng; sao lưu định kỳ và xây dựng phương án khôi phục khi xảy ra sự cố. Đối với dữ liệu có mức độ nhạy cảm cao, cần tăng cường phân vùng lưu trữ, kiểm soát việc tải xuống và giám sát các hoạt động truy xuất dữ liệu.
Đối với dữ liệu phục vụ nghiên cứu và AI, cần áp dụng nguyên tắc bảo vệ dữ liệu ngay từ khâu thiết kế. Trước khi đưa dữ liệu vào huấn luyện mô hình, tổ chức cần xác định mục đích, căn cứ xử lý, mức độ cần thiết và khả năng sử dụng những nguồn dữ liệu thay thế ít nhạy cảm hơn. Các kỹ thuật khử nhận dạng, giả danh, tổng hợp hoặc giảm độ chi tiết dữ liệu có thể được xem xét áp dụng tùy từng trường hợp, đồng thời cần đánh giá nguy cơ nhận diện lại khi kết hợp với các nguồn dữ liệu khác.
Mỗi dự án AI cần có cơ chế quản lý dữ liệu xuyên suốt từ khâu tiếp nhận, chuẩn hóa, huấn luyện, kiểm thử đến lưu trữ và hủy bỏ. Thỏa thuận với đơn vị phát triển công nghệ cần xác định rõ phạm vi sử dụng dữ liệu, điều kiện chuyển giao, quyền tiếp cận của bên thứ ba và trách nhiệm bảo vệ thông tin. Khi mục đích hoặc quy mô xử lý thay đổi, tổ chức cần xem xét lại mức độ rủi ro và các biện pháp bảo vệ tương ứng.
Cách tiếp cận này góp phần hài hòa giữa yêu cầu khai thác dữ liệu phục vụ đổi mới sáng tạo và nhiệm vụ bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân. Thay vì hạn chế việc kết nối, chia sẻ dữ liệu, cần chú trọng xây dựng cơ chế chia sẻ có điều kiện, có giám sát và có khả năng truy xuất trách nhiệm.
3.4. Hình thành văn hóa bảo vệ dữ liệu và nâng cao nhận thức của người dân
An ninh dữ liệu không thể chỉ dựa vào quy định pháp luật hay hệ thống kỹ thuật, bởi con người là chủ thể trực tiếp tham gia thu thập, xử lý và khai thác thông tin. Vì vậy, mỗi cơ quan, tổ chức cần chú trọng xây dựng văn hóa bảo vệ dữ liệu, trong đó việc sử dụng thông tin đúng mục đích, tôn trọng quyền riêng tư và tuân thủ quy trình được xem là yêu cầu thường xuyên trong hoạt động chuyên môn.
Công tác đào tạo cần gắn với đặc thù công việc của từng nhóm nhân sự, thay vì chỉ dừng ở việc phổ biến quy định chung. Nhân viên chuyên môn, cán bộ quản trị hệ thống, bộ phận nhân sự và nhà cung cấp dịch vụ cần được hướng dẫn về phạm vi truy cập, phương thức xử lý dữ liệu và trách nhiệm khi phát hiện dấu hiệu bất thường. Việc duy trì hoạt động tập huấn, trao đổi kinh nghiệm và cập nhật kiến thức sẽ góp phần nâng cao khả năng chủ động phòng ngừa rủi ro.
Cùng với trách nhiệm của tổ chức, người dân cần được bảo đảm khả năng tiếp cận thông tin rõ ràng về việc dữ liệu của mình được thu thập, xử lý và chia sẻ như thế nào. Luật Bảo vệ dữ liệu cá nhân đã xác lập các quyền cơ bản của chủ thể dữ liệu và trách nhiệm tương ứng của các bên liên quan. Để những quy định này được thực hiện hiệu quả, các tổ chức cần xây dựng đầu mối tiếp nhận yêu cầu, quy trình phản hồi minh bạch và cơ chế giải quyết kiến nghị thuận tiện.
Đối với dữ liệu y tế, cần chú trọng giải thích cho người bệnh về mục đích sử dụng thông tin, phạm vi chia sẻ và các trường hợp dữ liệu được xử lý theo căn cứ pháp luật. Việc cung cấp thông tin rõ ràng không chỉ giúp người dân hiểu và thực hiện quyền của mình mà còn góp phần củng cố niềm tin đối với các nền tảng y tế số. Khi quyền và trách nhiệm của các bên được xác định minh bạch, quá trình kết nối, chia sẻ và khai thác dữ liệu sẽ có nền tảng xã hội vững chắc hơn.
KẾT LUẬN
An ninh dữ liệu là một trong những điều kiện quan trọng bảo đảm tiến trình chuyển đổi số diễn ra an toàn, hiệu quả và bền vững. Khi dữ liệu ngày càng trở thành nguồn lực có giá trị đối với quản trị và phát triển, việc bảo vệ dữ liệu cần được tiếp cận như một nhiệm vụ tổng thể, gắn với hoàn thiện thể chế, nâng cao năng lực tổ chức, ứng dụng công nghệ và bảo đảm quyền, lợi ích hợp pháp của các chủ thể liên quan.
Thực tiễn phát triển dữ liệu y tế cho thấy cùng với những kết quả tích cực trong xây dựng và kết nối hạ tầng số, yêu cầu quản lý quyền truy cập, bảo đảm mục đích sử dụng, kiểm soát hoạt động chia sẻ và xác định trách nhiệm trong chuỗi xử lý dữ liệu ngày càng trở nên quan trọng. Sự phát triển của AI, điện toán đám mây và các nền tảng xuyên biên giới tiếp tục mở rộng phạm vi khai thác dữ liệu, đồng thời đòi hỏi các cơ chế quản trị phải được cập nhật phù hợp với thực tiễn công nghệ.
Trong thời gian tới, cần tiếp tục hoàn thiện khung pháp lý, tăng cường kiểm tra và đánh giá an ninh dữ liệu, nâng cao trách nhiệm của các tổ chức, cá nhân tham gia xử lý thông tin, đồng thời phát huy vai trò của người dân trong bảo vệ dữ liệu cá nhân. Về lâu dài, mục tiêu của quản trị an ninh dữ liệu không phải là hạn chế dòng chảy thông tin, mà là tạo lập môi trường trong đó dữ liệu được kết nối, chia sẻ và khai thác đúng mục đích, đúng thẩm quyền, minh bạch và có trách nhiệm. Đây là nền tảng quan trọng để phát huy giá trị của dữ liệu, thúc đẩy đổi mới sáng tạo và đóng góp thiết thực vào quá trình phát triển đất nước trong kỷ nguyên số.
TÀI LIỆU THAM KHẢO
- Quốc hội (2024), Luật Dữ liệu số 60/2024/QH15, ngày 30/11/2024.
- Quốc hội (2025), Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, ngày 26/6/2025.
- Chính phủ (2025), Nghị định số 102/2025/NĐ-CP quy định về quản lý dữ liệu y tế, ngày 13/5/2025.
- Chính phủ (2025), Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, ngày 31/12/2025.
- World Health Organization (2025), Global Strategy on Digital Health 2020–2027, WHO, Geneva.
- OECD (2016), Recommendation of the Council on Health Data Governance, OECD/LEGAL/0433, Paris.
- International Organization for Standardization (2022), ISO/IEC 27001:2022 – Information Security, Cybersecurity and Privacy Protection – Information Security Management Systems – Requirements, ISO, Geneva.
- Pascoe, C., Quinn, S. và Scarfone, K. (2024), The NIST Cybersecurity Framework (CSF) 2.0, NIST Cybersecurity White Paper 29, National Institute of Standards and Technology, Gaithersburg.
- Tabassi, E. (2023), Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, National Institute of Standards and Technology, Gaithersburg.
- European Parliament and Council (2016), Regulation (EU) 2016/679 of 27 April 2016 on the Protection of Natural Persons with Regard to the Processing of Personal Data and on the Free Movement of Such Data (General Data Protection Regulation).
- European Commission (2021), Commission Implementing Decision (EU) 2021/914 of 4 June 2021 on Standard Contractual Clauses for the Transfer of Personal Data to Third Countries.
ThS. Lê Quốc Bảo
