Xóa tên và số căn cước khỏi bệnh án chưa đủ để kết luận dữ liệu đã được khử định danh. Một địa chỉ hiếm, mốc thời gian quá cụ thể, nơi làm việc, quan hệ gia đình hoặc vài dữ kiện ghép lại vẫn có thể giúp nhận ra người bệnh. Ở chiều ngược lại, nếu xóa quá rộng, bệnh án có thể mất liều thuốc, diễn tiến xét nghiệm hoặc thứ tự điều trị.
Khử định danh lâm sàng phải giữ được hai cam kết cùng lúc. Dữ liệu sau xử lý không còn giúp xác định một người cụ thể, và phần lâm sàng cần cho mục đích đã công bố vẫn còn nguyên nghĩa.
Luật đặt ra kết quả cần đạt, không đưa sẵn một danh sách xóa
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1 tháng 1 năm 2026. Luật định nghĩa khử nhận dạng là thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định hoặc không thể giúp xác định một người cụ thể. Theo định nghĩa đó, dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân.
Đây là chuẩn về kết quả. Nó không có nghĩa một mô hình phát hiện được vài loại định danh thì toàn bộ hồ sơ đã tự động đạt chuẩn đó.
Nghị định 356/2025/NĐ-CP, cũng có hiệu lực từ ngày 1 tháng 1 năm 2026, liệt kê tình trạng sức khỏe là dữ liệu cá nhân nhạy cảm. Nghị định này thay thế Nghị định 13/2023/NĐ-CP. Vì vậy, một quy trình tại bệnh viện phải được xem xét cùng mục đích xử lý, quyền truy cập, nơi lưu trữ, bên nhận dữ liệu và các quy định chuyên ngành liên quan. Bài viết này chỉ bàn về thiết kế và đánh giá kỹ thuật, không phải tư vấn pháp lý.
Trước hết phải lập danh mục rủi ro nhận dạng
Danh mục đầu tiên gồm các định danh trực tiếp như họ tên, số điện thoại, email, số định danh, mã hồ sơ và địa chỉ. Chúng thường dễ thấy, nhưng cách viết trong bệnh án không theo một dạng cố định. Tên có dấu hoặc không dấu, số bị tách bằng ký tự, địa chỉ viết tắt và mã hồ sơ nằm trong JSON đều cần có ca kiểm tra riêng.
Lớp thứ hai khó hơn vì từng trường riêng lẻ có vẻ vô hại. Ngày sinh, tuổi rất cao, địa điểm nhỏ, cơ quan làm việc, ngày nhập viện, nghề nghiệp hiếm hoặc một biến cố ít gặp có thể trở thành định danh gián tiếp khi được ghép với nguồn bên ngoài. Không phải trường nào cũng phải xóa hoàn toàn. Nhóm xử lý có thể giảm độ chi tiết, thay ngày tuyệt đối bằng khoảng thời gian, dịch chuyển mốc thời gian nhất quán hoặc giữ dữ liệu trong môi trường truy cập chặt hơn. Cách chọn phụ thuộc vào người sẽ nhận dữ liệu và mục đích họ cần dùng.
Lớp thứ ba nằm ngoài phần văn bản mà mô hình nhìn thấy. Tên tệp, trường siêu dữ liệu, ảnh chụp, chữ được đốt vào ảnh, bình luận trong tài liệu và khóa liên kết giữa các bảng vẫn có thể làm lộ danh tính. Một quy trình chỉ quét ghi chú tự do sẽ không bao phủ những nơi này.
Cuối cùng là khả năng liên kết. Dữ liệu đã bỏ tên vẫn có thể bị đối chiếu với danh sách công khai hoặc dữ liệu mà bên nhận đã có. Vì vậy, phép thử phải nêu rõ đối tượng có thể tìm cách nhận dạng lại, nguồn dữ liệu họ có và quyền truy cập của họ. Không có mô hình đe dọa thì không thể giải thích một con số rủi ro.
Giữ phần lâm sàng theo đúng mục đích sử dụng
Khử định danh không phải xóa càng nhiều càng tốt. Triệu chứng, chẩn đoán, thuốc, liều, đường dùng, dị ứng, phản ứng có hại, kết quả xét nghiệm, đơn vị đo, sinh hiệu, thủ thuật và diễn tiến theo thời gian đều có thể quyết định giá trị của dữ liệu sau xử lý.
Nhưng giữ lại cũng không có nghĩa giữ nguyên mọi trường. Ngày nhập viện có thể cần để tính khoảng cách giữa các biến cố nhưng không nhất thiết phải giữ ngày thật. Tuổi có thể cần cho phân tích lâm sàng nhưng tuổi rất cao có thể làm tăng khả năng nhận dạng. Tên cơ sở có thể hữu ích cho nghiên cứu khác biệt giữa các tuyến, song một cơ sở nhỏ kết hợp với bệnh hiếm lại tạo ra rủi ro mới.
Trước khi khử định danh, nhóm sử dụng dữ liệu phải viết rõ dữ kiện nào cần cho nghiên cứu, huấn luyện hay đánh giá. Sau đó, người rà soát lâm sàng kiểm tra xem từng phép xóa, thay thế hoặc khái quát hóa có làm đổi nghĩa hay không. Một giá trị bị xóa nhầm không chỉ là lỗi dương tính giả của mô hình. Nó có thể làm sai cả bài toán phía sau.
Đánh giá riêng quyền riêng tư và giá trị lâm sàng
Một điểm F1 chung chưa đủ. Báo cáo cần cho biết độ thu hồi theo từng loại định danh, vì một số điện thoại bị bỏ sót và một tên cơ sở bị bỏ sót có hình thức khác nhau. Cũng cần kiểm tra ranh giới chính xác của đoạn định danh, giá trị do mô hình tự tạo, chữ viết tắt, OCR lỗi, văn bản trộn tiếng Việt với tiếng Anh và các định dạng của từng bệnh viện.
Cần một bảng lỗi riêng cho giá trị lâm sàng. Người đánh giá phải đo tỷ lệ thuốc, liều, xét nghiệm, phủ định, mốc thời gian và quan hệ giữa các biến cố còn giữ đúng nghĩa sau xử lý. Nên tách lỗi theo loại tài liệu và nhóm ca khó, thay vì gộp vào một con số trung bình.
Nghiên cứu khử định danh trên bệnh án tiếng Hàn đăng trên npj Health Systems năm 2025 phải xây danh mục riêng cho bối cảnh Hàn Quốc và xử lý văn bản trộn tiếng Hàn, tiếng Anh cùng ký tự đặc biệt. Một tổng quan hệ thống năm 2026 cũng ghi nhận phần lớn nghiên cứu vẫn tập trung vào tiếng Anh, còn trộn ngôn ngữ và thiếu dữ liệu tái lập là những điểm yếu đáng kể. Những kết quả này không chứng minh một mô hình sẽ thất bại tại Việt Nam. Chúng cho thấy chất lượng ở một ngôn ngữ hoặc bộ dữ liệu không thể thay cho kiểm tra trên tài liệu thật của nơi triển khai.
Sau khi đo lỗi phát hiện, nhóm đánh giá còn phải thử khả năng nhận dạng lại trong điều kiện sử dụng dự kiến. Đây không nhất thiết là công bố dữ liệu cho mọi người. Bên nhận có thể chỉ là một nhóm nghiên cứu trong môi trường kiểm soát. Quyền truy cập, nhật ký, hợp đồng, giới hạn tải xuống và thời hạn lưu trữ đều làm thay đổi rủi ro còn lại.
Meddies PII chỉ làm bước phát hiện và trích xuất
Theo thẻ mô hình công khai, Meddies PII nhận văn bản và trả về các đoạn định danh có cấu trúc thuộc bảy nhóm gồm tên người, ngày tháng, số định danh, số điện thoại, email, địa chỉ và tên tổ chức. Đây là một mô hình trích xuất phục vụ nghiên cứu.
Mô hình không xóa, che hay ẩn danh văn bản nguồn. Mô hình chỉ xử lý phần văn bản được đưa vào, nên không tự rà tên tệp, siêu dữ liệu, ảnh, khóa liên kết hoặc nguồn dữ liệu bên ngoài. Mô hình cũng không đánh giá việc một bệnh viện có đáp ứng nghĩa vụ pháp lý hay không. Những phần đó phải được xử lý trong quy trình phía sau và được kiểm tra trên chính dữ liệu sẽ dùng.
Bảy nhãn hiện tại cũng không phải danh sách đầy đủ cho mọi mục đích khử định danh. Thẻ mô hình công khai yêu cầu kiểm tra tại chỗ và nói rõ kết quả đối chuẩn không chứng minh tuân thủ GDPR, HIPAA hay quy định địa phương.
Những điều không nên hứa
Không nên hứa rằng dữ liệu đã ẩn danh vĩnh viễn. Khả năng liên kết thay đổi khi xuất hiện nguồn dữ liệu mới hoặc khi dữ liệu được đưa cho một bên nhận khác. Hướng dẫn của Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ còn nói rõ hai phương pháp khử định danh theo HIPAA vẫn để lại một rủi ro nhận dạng rất nhỏ nhưng không bằng không. Đây là ví dụ kỹ thuật của Hoa Kỳ, không phải quy định áp dụng tại Việt Nam.
Cũng không nên hứa rằng khử định danh đồng nghĩa với tuân thủ pháp luật. Cơ sở pháp lý, mục đích, quyền của chủ thể dữ liệu, kiểm soát truy cập, chuyển dữ liệu và trách nhiệm của các bên vẫn cần được đánh giá riêng.
Cuối cùng, không nên hứa dữ liệu giữ nguyên toàn bộ giá trị. Quyền riêng tư và mức chi tiết có đánh đổi. Điều có thể làm là công bố phép biến đổi, đo rủi ro còn lại, kiểm tra dữ kiện lâm sàng bị ảnh hưởng và giới hạn quyền truy cập theo đúng mục đích.
Một hệ thống phát hiện định danh tốt là thành phần cần thiết. Muốn gọi đầu ra là dữ liệu đã khử định danh, bệnh viện còn phải chứng minh phần dữ liệu còn lại không giúp nhận ra người bệnh trong bối cảnh sử dụng đã chọn, đồng thời cho thấy những dữ kiện lâm sàng cần thiết vẫn còn dùng được.