Bảo vệ dữ liệu cá nhân là nguyên tắc xuyên suốt trong hoạt động của sàn dữ liệu

Nghị định số 314/2026/NĐ-CP khẳng định rõ: nghiêm cấm lợi dụng sàn dữ liệu để mua, bán dữ liệu cá nhân hoặc xử lý dữ liệu cá nhân trái quy định của pháp luật. Quy định này đặt ra ranh giới pháp lý rõ ràng giữa khai thác giá trị của dữ liệu với bảo vệ quyền riêng tư, an ninh và lợi ích hợp pháp của mỗi cá nhân.

Không đồng nhất giao dịch dữ liệu với mua, bán dữ liệu cá nhân

Việc hình thành sàn dữ liệu mở ra một phương thức mới để đưa dữ liệu, sản phẩm và dịch vụ về dữ liệu vào lưu thông có kiểm soát. Tuy nhiên, Nghị định số 314/2026/NĐ-CP không cho phép thương mại hóa dữ liệu cá nhân trái pháp luật. Hoạt động của sàn phải tuân thủ pháp luật về bảo vệ dữ liệu cá nhân; dữ liệu có nguồn gốc từ dữ liệu cá nhân chỉ được giao dịch khi đã đáp ứng điều kiện về khử nhận dạng và các yêu cầu pháp lý liên quan.

Quy định này có ý nghĩa đặc biệt đối với những lĩnh vực xử lý lượng lớn thông tin nhạy cảm, trong đó có y tế. Thông tin về tình trạng sức khỏe, quá trình khám bệnh, chữa bệnh và các dữ liệu gắn với một cá nhân không mặc nhiên trở thành hàng hóa chỉ vì được số hóa. Mọi hoạt động thu thập, xử lý, chia sẻ hoặc khai thác phải có căn cứ pháp lý, đúng mục đích, đúng phạm vi và bảo đảm quyền của chủ thể dữ liệu.

Kiểm soát từ nguồn gốc đến quá trình sử dụng

Nghị định yêu cầu hồ sơ niêm yết phải thể hiện rõ nguồn gốc, phương thức thu thập, tạo lập và tính hợp pháp của dữ liệu. Bên bán có trách nhiệm xác định, công bố rõ phạm vi quyền khai thác, sử dụng được cung cấp; các điều kiện, yêu cầu hoặc hạn chế trong lưu thông và sử dụng; đồng thời công bố thông tin về chất lượng, mức độ chính xác, tính đầy đủ, mức độ cập nhật và những hạn chế của dữ liệu, sản phẩm, dịch vụ về dữ liệu.

Đối với sản phẩm, dịch vụ được tạo ra từ phân tích, tổng hợp dữ liệu, Nghị định yêu cầu công bố phương pháp xử lý, nguồn dữ liệu đầu vào và tần suất cập nhật; không gây hiểu nhầm về bản chất, nguồn gốc và mức độ chính xác. Cơ chế quản lý rủi ro còn phải tính đến khả năng suy luận hoặc tái nhận dạng chủ thể dữ liệu cá nhân.

Như vậy, bảo vệ dữ liệu không dừng ở biện pháp kỹ thuật tại thời điểm lưu trữ, mà được triển khai trong toàn bộ vòng đời: từ thu thập, tạo lập, kiểm tra, niêm yết, giao dịch, truyền nhận đến khai thác, lưu trữ và xử lý sự cố.

Yêu cầu cao hơn đối với dữ liệu y tế

Trong chuyển đổi số y tế, dữ liệu là đầu vào quan trọng để nâng cao hiệu quả quản lý, hỗ trợ chuyên môn, nghiên cứu khoa học và phát triển các dịch vụ chăm sóc sức khỏe. Song giá trị càng lớn thì yêu cầu bảo vệ càng cao. Các cơ quan, đơn vị cần nhận diện đầy đủ loại dữ liệu đang quản lý; xác định căn cứ và mục đích xử lý; thực hiện phân quyền, kiểm soát truy cập, lưu vết; đồng thời thường xuyên đánh giá rủi ro an toàn, an ninh dữ liệu.

Đối với dữ liệu được hình thành từ cơ sở dữ liệu chuyên ngành, Nghị định quy định chỉ được giao dịch trên sàn khi thuộc phạm vi được phép chia sẻ, khai thác, sử dụng; có hồ sơ chứng minh quyền cung cấp, quyền khai thác, sử dụng và quyền giao dịch; đồng thời đáp ứng đầy đủ các điều kiện pháp luật có liên quan. Đây là yêu
cầu cần được quán triệt để phòng ngừa cách hiểu đơn giản rằng mọi dữ liệu đã được số hóa đều có thể đưa vào lưu thông.

Trung tâm Thông tin y tế Quốc gia, theo chức năng và nhiệm vụ được giao, có thể phát huy vai trò đầu mối chuyên môn trong tuyên truyền nâng cao nhận thức, phối hợp thúc đẩy chuẩn hóa, liên thông và khai thác dữ liệu y tế gắn với bảo đảm an toàn thông tin, an ninh dữ liệu và bảo vệ dữ liệu cá nhân.

Hỗ Trợ khách hàng 

Phòng Hỗ trợ khách hàng