Khử nhận dạng, ẩn danh và mã hóa dữ liệu cá nhân khác nhau thế nào?

Khử nhận dạng, ẩn danh và mã hóa dữ liệu cá nhân khác nhau thế nào?

Khử nhận dạng tạo ra dữ liệu mới không thể xác định hoặc giúp xác định một người cụ thể; mã hóa bảo vệ dữ liệu nhưng dữ liệu sau mã hóa vẫn là dữ liệu cá nhân. “Ẩn danh” trong tài liệu kỹ thuật có thể được dùng để chỉ nhiều cách che hoặc biến đổi thông tin, nên phải xem kết quả thực tế. Một bảng đã bỏ họ tên vẫn có thể nhận diện người qua mã khách hàng, địa chỉ, thời điểm giao dịch hoặc dữ liệu đối chiếu. Vì vậy, doanh nghiệp cần xác định mình muốn hạn chế người xem hay thực sự loại bỏ khả năng nhận diện, rồi lựa chọn biện pháp và nghĩa vụ tương ứng.

Khử nhận dạng khác mã hóa ở điều kiện nào?

Khoản 11 Điều 2 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 xác định khử nhận dạng theo kết quả của việc thay đổi hoặc xóa thông tin: dữ liệu mới không thể xác định hoặc giúp xác định một con người cụ thể. Khoản 1 cùng điều quy định dữ liệu sau khử nhận dạng không còn là dữ liệu cá nhân. Điều kiện này phải được đối chiếu với cả bộ dữ liệu, thay vì chỉ kiểm tra cột họ tên đã bị xóa hay chưa.

Ngược lại, khoản 1 Điều 12 Luật 91/2025/QH15 giữ nguyên tính chất dữ liệu cá nhân sau mã hóa. Ví dụ, tệp danh sách người nhận hàng được mã hóa và chỉ bộ phận giao nhận có khóa giải mã vẫn thuộc phạm vi bảo vệ dữ liệu cá nhân. Hạn chế được người đọc tệp không đồng nghĩa đã loại bỏ người mà thông tin phản ánh.

Theo khoản 3 Điều 12, cơ quan, tổ chức, cá nhân quyết định phương pháp mã hóa, giải mã phù hợp với hoạt động xử lý. Khi triển khai, bộ phận kỹ thuật nên làm rõ nơi lưu khóa, người được sử dụng khóa, cách thu hồi quyền và tình huống phải khôi phục dữ liệu. Đây là các nội dung quản trị đề xuất để thực hiện biện pháp bảo vệ, không phải một danh mục kỹ thuật cố định do điều luật này liệt kê.

 

 

Yêu cầu chỉnh sửaCtrl Shift X

Bảng so sánh các biện pháp và ví dụ dữ liệu

Các ví dụ dưới đây là dữ liệu giả định. Kết luận khử nhận dạng còn phụ thuộc các trường đi kèm, dữ liệu đối chiếu và bối cảnh sử dụng; bảng không xác nhận một kỹ thuật luôn đạt yêu cầu trong mọi hệ thống.

Biện pháp	Dữ liệu đầu ra giả định	Có thể nhận diện lại?	Hệ quả pháp lý	Việc cần kiểm tra
Che một phần khi hiển thị	Tên “N***”; vẫn còn địa chỉ giao hàng và mã đơn	Có thể, qua địa chỉ hoặc hệ thống đơn hàng	Tiếp tục coi là dữ liệu cá nhân nếu giúp xác định người	Tệp xuất có giữ trường bị che? Người nhận có dữ liệu đối chiếu?
Thay tên bằng mã	Khách K042; bảng riêng nối K042 với hồ sơ khách	Có, bằng bảng nối hoặc dữ liệu liên quan	Việc thay mã chưa đáp ứng kết quả khử nhận dạng	Quyền truy cập bảng nối; trường nhận diện gián tiếp; mục đích sử dụng
Mã hóa có khóa giải mã	Danh sách khách được biến đổi thành tệp mã hóa	Có thể phục hồi bằng khóa phù hợp	Vẫn là dữ liệu cá nhân theo khoản 1 Điều 12	Quản lý khóa, phân quyền, bản sao, đường truyền và căn cứ xử lý
Tổng hợp nhưng nhóm quá hẹp	Một người ở chi nhánh A có giao dịch đúng một thời điểm	Có thể suy ra người từ nhóm và thông tin bên ngoài	Chưa thể kết luận đã khử nhận dạng	Nhóm ít người, giá trị khác biệt, khả năng kết hợp các báo cáo
Đầu ra đáp ứng khử nhận dạng	Báo cáo theo tháng và vùng, bỏ dữ liệu từng người và các liên kết nhận diện	Phải đánh giá toàn bộ đầu ra trước khi kết luận không thể nhận diện	Dữ liệu mới không còn là dữ liệu cá nhân khi đạt khoản 11 Điều 2	Hồ sơ biến đổi, kiểm tra khả năng nhận diện, phạm vi đầu ra được phép dùng

 

 

 

Gọi dữ liệu là “ẩn danh” có đủ để ngừng áp dụng luật không?

Không thể chỉ dựa vào tên gọi trong hợp đồng, phần mềm hoặc báo cáo. Luật 91/2025/QH15 sử dụng định nghĩa khử nhận dạng tại khoản 11 Điều 2 làm cơ sở xác định kết quả. Nếu “ẩn danh” chỉ là thay tên bằng mã và doanh nghiệp vẫn có bảng đối chiếu, cần tiếp tục quản lý bộ dữ liệu theo khả năng nhận diện thực tế.

Trong một số quy định, “ẩn danh” xuất hiện như biện pháp bảo mật. Chẳng hạn, khoản 2 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu khi chuyển giao dữ liệu cá nhân nhạy cảm phải có bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, mã hóa, ẩn danh dữ liệu và các biện pháp bảo mật khác. Quy định này không nói rằng cứ áp dụng một biện pháp được gọi là ẩn danh thì toàn bộ dữ liệu chuyển giao mất tính chất cá nhân.

Doanh nghiệp cần mô tả rõ thao tác: che một phần thông tin khi hiển thị, thay định danh trực tiếp bằng mã, tổng hợp dữ liệu hay loại bỏ khả năng liên kết tới người cụ thể. Cách mô tả đó giúp pháp chế và IT kiểm tra cùng một đối tượng, tránh tình trạng hợp đồng ghi “dữ liệu ẩn danh” trong khi người nhận vẫn nhận được danh sách theo từng khách hàng.

Vì sao xóa tên vẫn có thể nhận diện một người?

Danh tính có thể hình thành từ nhiều thông tin kết hợp. Bảng lịch sử mua hàng không có tên nhưng giữ số điện thoại, mã tài khoản hoặc đường dẫn hồ sơ vẫn có định danh rõ. Ngay cả khi bỏ các trường đó, một tổ hợp địa điểm, ngày giờ và sự kiện hiếm cũng có thể giúp người biết bối cảnh xác định cá nhân.

Ví dụ, báo cáo “khách duy nhất nhận sản phẩm tại điểm bán X lúc 10 giờ ngày Y” có thể được đối chiếu với lịch giao nhận của đối tác. Báo cáo theo nhóm quá hẹp cũng có thể tiết lộ thông tin của một người, dù không trình bày từng dòng hồ sơ. Nếu còn khả năng giúp xác định người cụ thể, điều kiện của khoản 11 Điều 2 chưa được đáp ứng.

Khi đánh giá, nên kiểm tra dữ liệu đầu ra cùng các nguồn mà bên sử dụng có thể tiếp cận, như CRM, danh sách đơn hàng và báo cáo đã nhận trước đó. Việc kiểm tra cần thực hiện trong phạm vi hợp pháp, có kiểm soát; không dùng hoạt động đánh giá làm lý do tái nhận dạng trái quy định. Điểm b khoản 6 Điều 14 Luật cấm tái nhận dạng dữ liệu sau khi đã được khử nhận dạng, trừ trường hợp pháp luật quy định khác.

Ví dụ: gửi báo cáo khách hàng cho đơn vị nghiên cứu

Tình huống giả định: Một chuỗi cửa hàng muốn gửi cho đơn vị nghiên cứu bảng gồm mã khách, độ tuổi chính xác, điểm bán, thời điểm mua và giá trị từng giao dịch. Bộ phận kinh doanh cho rằng thay họ tên bằng mã đã đủ để gọi là dữ liệu ẩn danh. Công ty vẫn giữ bảng nối mã với hồ sơ CRM.

Với các dữ kiện này, chưa có cơ sở kết luận đầu ra đạt khử nhận dạng. Mã khách có thể được nối lại trong CRM; các trường thời gian và địa điểm còn có thể giúp nhận diện qua nguồn khác. Nếu chuyển bảng này cho đối tác, doanh nghiệp cần tiếp tục xác định căn cứ xử lý, vai trò bên nhận và yêu cầu chuyển giao, thay vì bỏ qua nghĩa vụ vì tệp không có cột tên.

Nếu mục tiêu chỉ là nghiên cứu xu hướng doanh thu, doanh nghiệp có thể xem xét đầu ra theo tháng và vùng, bỏ mã khách cùng thông tin theo từng giao dịch, đồng thời xử lý các nhóm hoặc giá trị có thể làm lộ một người. IT và đơn vị phụ trách dữ liệu phải đánh giá liệu báo cáo mới còn giúp nhận diện cá nhân hay không. Đây là phương án cần kiểm chứng, không phải kết luận mọi báo cáo tổng hợp đều đã khử nhận dạng.

Hồ sơ kết thúc công việc nên có mục đích của báo cáo, phiên bản dữ liệu đầu ra, danh sách trường đã loại bỏ hoặc biến đổi, kết quả đánh giá và người phê duyệt việc cung cấp. Dữ liệu gốc trong CRM vẫn là dữ liệu cá nhân và cần quản lý riêng. Nếu chưa đạt điều kiện khử nhận dạng, pháp chế cần rà soát việc chia sẻ dữ liệu khách hàng cho đối tác trước khi bàn giao.

Doanh nghiệp nên tổ chức việc khử nhận dạng ra sao?

Bước 1 – Bộ phận sử dụng xác định nhu cầu. Ghi rõ cần phân tích điều gì, ai nhận đầu ra và có thực sự cần thông tin từng người hay không. Kết quả cần có là một yêu cầu dữ liệu cụ thể; việc lấy cả kho CRM để “phân tích sau” sẽ làm khó xác định phạm vi cần thiết.

Bước 2 – Pháp chế kiểm tra căn cứ của dữ liệu đầu vào. Khoản 6 Điều 2 coi khử nhận dạng là hoạt động xử lý dữ liệu cá nhân. Vì vậy, phải đối chiếu nguồn thu thập, mục đích và căn cứ theo Điều 9, Điều 11 hoặc trường hợp Điều 19 thực sự áp dụng. Mục tiêu tạo dữ liệu không còn nhận diện không hợp pháp hóa việc thu thập ban đầu trái luật.

Bước 3 – IT thiết kế và kiểm tra đầu ra. Xác định trường trực tiếp, trường gián tiếp, bảng nối, bản sao và khả năng liên kết. Lưu cách biến đổi và kết quả kiểm tra. Việc tách quyền truy cập dữ liệu gốc và đầu ra là biện pháp quản trị nên áp dụng theo rủi ro của công việc.

Bước 4 – Người có thẩm quyền quyết định phạm vi sử dụng. Chỉ xác nhận đối với phiên bản đã được đánh giá. Nếu sau đó bổ sung trường, thu hẹp nhóm hoặc kết hợp thêm nguồn dữ liệu, cần đánh giá lại trước khi tiếp tục sử dụng. Không sao chép kết luận “đã khử nhận dạng” từ một báo cáo sang mọi tệp trong hệ thống.

Bước 5 – Theo dõi dữ liệu gốc và dữ liệu trung gian. Điểm a khoản 6 Điều 14 Luật 91/2025/QH15 yêu cầu kiểm soát, giám sát quá trình và ngăn truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu. Doanh nghiệp phải xác định ai lưu các bản trung gian, ai được truy cập và thời điểm xử lý chúng theo căn cứ lưu giữ thực tế.

Có phải dùng một tiêu chuẩn kỹ thuật duy nhất không?

Không nên suy ra một ngưỡng kỹ thuật áp dụng chung từ tên của phương pháp. Khoản 1 Điều 8 Nghị định 356/2025/NĐ-CP quy định riêng đối với hoạt động tài chính, ngân hàng và thông tin tín dụng về áp dụng tiêu chuẩn, quy chuẩn bảo vệ, khử nhận dạng, ẩn danh được ban hành và áp dụng tại Việt Nam. Đơn vị thuộc lĩnh vực này cần kiểm tra quy chuẩn và hướng dẫn chuyên ngành phù hợp với hệ thống của mình.

Đối với công việc cụ thể, pháp chế và IT cần đối chiếu quy định bắt buộc thực sự áp dụng, kết quả khử nhận dạng theo Điều 2 và yêu cầu bảo vệ trong Điều 14. Một chỉ số nội bộ, phần mềm có tính năng “anonymize” hoặc chứng nhận của nhà cung cấp không tự thay cho việc đánh giá đầu ra. Khi dữ liệu đã đáp ứng khử nhận dạng, vẫn cần xem xét nghĩa vụ khác về bảo mật, hợp đồng và quản trị dữ liệu có liên quan; không mặc nhiên coi dữ liệu được tự do bán hoặc công khai.

Câu hỏi thường gặp

Dữ liệu đã mã hóa có cần quản lý quyền truy cập không?

Có. Dữ liệu mã hóa vẫn là dữ liệu cá nhân theo khoản 1 Điều 12. Doanh nghiệp cần kiểm soát cả tệp, khóa, bản sao và người có khả năng giải mã theo phạm vi xử lý hợp pháp.

Băm số điện thoại có tự trở thành khử nhận dạng không?

Không thể kết luận chỉ từ việc dùng hàm băm. Cần đánh giá khả năng đối chiếu, suy ra thông tin gốc và kết hợp với nguồn khác. Nếu vẫn giúp xác định một người, đầu ra chưa đáp ứng khoản 11 Điều 2.

Được dùng dữ liệu gốc trái phép rồi khử nhận dạng để nghiên cứu không?

Không. Khử nhận dạng cũng là xử lý dữ liệu; phải tuân thủ căn cứ và nguyên tắc trong quá trình thực hiện. Việc đầu ra không còn nhận diện không xóa bỏ vi phạm đã xảy ra ở khâu thu thập hoặc sử dụng dữ liệu gốc.

Báo cáo tổng hợp có thay thế mọi nghĩa vụ xóa dữ liệu không?

Không tự động. Báo cáo đầu ra và hồ sơ gốc là các đối tượng khác nhau. Nghĩa vụ xóa, hủy dữ liệu gốc phải đối chiếu Điều 14, trường hợp không thực hiện yêu cầu và quy định lưu giữ liên quan; không chỉ giữ hồ sơ dưới mã mới rồi coi đã xử lý xong yêu cầu.

Justix hỗ trợ rà soát căn cứ và cách quản lý dữ liệu

Doanh nghiệp có thể chuẩn bị mô tả bộ dữ liệu, mục đích đầu ra, bên nhận, quy trình biến đổi và hợp đồng hiện có để trao đổi dịch vụ rà soát và thiết lập hệ thống tuân thủ dữ liệu cá nhân. Justix hỗ trợ rà soát pháp lý và tài liệu quản trị phù hợp với hoạt động; việc thiết kế, kiểm chứng kỹ thuật cần phối hợp với bộ phận chuyên môn. Liên hệ 0372 717 888 hoặc info@justix.vn để xác định phạm vi công việc.