Thay tên bằng chỗ giữ chỗ là một bước khởi đầu tốt. Theo GDPR, việc này tự nó không khiến dữ liệu trở thành ẩn danh. Bài viết này trình bày quy định nói gì, Tòa án Công lý EU đã quyết định điều gì vào tháng 9 năm 2025 và bạn nên làm gì với thông tin đó.
Câu trả lời ngắn gọn
Nhìn chung là có. GDPR quy định rằng dữ liệu cá nhân đã trải qua quá trình giả danh hóa và có thể được quy cho một người bằng cách sử dụng thông tin bổ sung thì vẫn là thông tin về một người có thể nhận dạng. Nếu bạn giữ khóa liên kết “Person_1” với tên thật, văn bản bạn đã thay thế vẫn là dữ liệu cá nhân trong tay bạn, và việc bạn xử lý dữ liệu đó thuộc phạm vi GDPR.
Câu trả lời chính xác hơn là điều này tùy thuộc vào ai nắm giữ dữ liệu và họ có thể sử dụng hợp lý những phương tiện nào để nhận dạng người đó. Đây là điểm khiến phán quyết của tòa năm 2025 trở nên quan trọng.
GDPR quy định gì
Điều 4(5) định nghĩa giả danh hóa như sau:
“việc xử lý dữ liệu cá nhân theo cách mà dữ liệu cá nhân không còn có thể được quy cho một chủ thể dữ liệu cụ thể nếu không sử dụng thông tin bổ sung, với điều kiện thông tin bổ sung đó được lưu giữ riêng biệt và chịu các biện pháp kỹ thuật, tổ chức nhằm bảo đảm dữ liệu cá nhân không được quy cho một thể nhân đã được xác định hoặc có thể nhận dạng”
Điều khoản mở đầu 26 nêu rằng dữ liệu cá nhân đã trải qua quá trình giả danh hóa, nhưng có thể được quy cho một thể nhân thông qua việc sử dụng thông tin bổ sung, phải được xem là thông tin về một thể nhân có thể nhận dạng. Để quyết định một người có thể nhận dạng được hay không, cần xem xét mọi phương tiện có khả năng được sử dụng một cách hợp lý, chẳng hạn như nhận diện riêng lẻ, bởi bên kiểm soát hoặc một người khác, trong đó có tính đến chi phí và thời gian cần thiết cũng như công nghệ sẵn có.
Cách diễn đạt này dẫn đến hai điểm thực tiễn. Khóa phải được lưu riêng, cùng với các biện pháp kỹ thuật và tổ chức. Và khả năng “nhận dạng” được đánh giá dựa trên những phương tiện thực tế, chứ không phải trên khả năng nhận dạng về mặt lý thuyết.
Tòa án Công lý bổ sung điều gì vào năm 2025
Ngày 4 tháng 9 năm 2025, Tòa án Công lý EU ra phán quyết về EDPS v SRB (Vụ C-413/23 P). Vụ việc liên quan đến các bình luận mà một cơ quan ngân hàng chuyển cho một công ty tư vấn sau khi thay danh tính tác giả bằng mã. Vụ án được xét xử theo Quy định 2018/1725, áp dụng cho các cơ quan EU, nhưng các định nghĩa về dữ liệu cá nhân và giả danh hóa trong quy định này tương tự các định nghĩa của GDPR.
Tòa án phán quyết rằng không được xem dữ liệu đã giả danh hóa là dữ liệu cá nhân “trong mọi trường hợp và đối với mọi người”. Việc dữ liệu có phải là dữ liệu cá nhân đối với một bên nhận cụ thể hay không phụ thuộc vào hoàn cảnh, bao gồm việc bên nhận đó có phương tiện hợp lý để tái nhận dạng những người liên quan hay không. Bên đã giả danh hóa dữ liệu và nắm giữ thông tin bổ sung có vị thế khác với bên nhận không có cách nào liên kết mã với bất kỳ ai.
Đây là một diễn biến pháp lý mà các chuyên gia vẫn đang tìm hiểu. Đừng hiểu điều này là cho phép gửi dữ liệu khách hàng đã giả danh hóa đến bất cứ đâu. Phán quyết nói rằng vấn đề được đánh giá từ phía bên nhận, chứ không phải vấn đề không còn tồn tại.
Điều này có ý nghĩa gì đối với chatbot AI
- Bạn vẫn là bên kiểm soát dữ liệu gốc và khóa. Các nghĩa vụ GDPR của chính bạn áp dụng cho những gì bạn làm với tài liệu, kể cả việc thay thế thông tin.
- Việc nhà cung cấp AI có nhận được dữ liệu cá nhân hay không là câu hỏi phụ thuộc vào từng tình huống cụ thể. Bối cảnh có thể giúp nhận dạng một người ngay cả khi không có tên: một công việc hiếm gặp, một thị trấn nhỏ, một sự kiện bất thường. Nếu ai đó có thể thực tế tìm ra văn bản nói về ai, hãy xem đó là dữ liệu cá nhân.
- Đừng xây dựng cách tuân thủ của bạn dựa trên ý nghĩ rằng chỗ giữ chỗ khiến văn bản trở thành ẩn danh. Hãy lập kế hoạch theo giả định rằng dữ liệu vẫn có thể là dữ liệu cá nhân, và xem chỗ giữ chỗ là một trong nhiều biện pháp bảo vệ.
Giả danh hóa vẫn đáng thực hiện, và GDPR cũng nói như vậy. Điều 32(1)(a) liệt kê giả danh hóa trong số các biện pháp bảo mật mà bên kiểm soát có thể sử dụng. Các Điều khoản mở đầu 28 và 78 nêu rằng biện pháp này có thể giảm rủi ro đối với chủ thể dữ liệu và hỗ trợ bảo vệ dữ liệu ngay từ khâu thiết kế cũng như theo mặc định. Quy định xem đây là một biện pháp bảo vệ, chứ không phải cách thoát khỏi phạm vi áp dụng của quy định.
Cách thực hiện trên thực tế
- Trước hết, hãy giảm thiểu dữ liệu. Chỉ gửi đoạn văn cần thiết cho nhiệm vụ. Xem cách sử dụng công cụ AI với tài liệu khách hàng.
- Thay thế mọi mã định danh, chứ không chỉ tên. Số tài khoản, số ID và ngày sinh cũng là mã định danh. Bài danh sách kiểm tra liệt kê các mục đó.
- Giữ khóa ở phía bạn, tách biệt với văn bản bạn gửi, và xóa khóa khi vụ việc kết thúc.
- Kiểm tra điều khoản của nhà cung cấp và gói dịch vụ bạn dùng. Gói dịch vụ doanh nghiệp có thỏa thuận xử lý dữ liệu khác với tài khoản cá nhân miễn phí. Xem nội dung cài đặt dữ liệu.
- Xin tư vấn về các trường hợp rủi ro cao: dữ liệu sức khỏe, dữ liệu trẻ em, các loại dữ liệu đặc biệt hoặc bất kỳ dữ liệu nào mà nếu bị lộ sẽ gây hậu quả nghiêm trọng.
Trong giao tiếp hằng ngày, các thuật ngữ này thường được dùng không chính xác. Ẩn danh hóa, giả danh hóa và che thông tin so sánh các thuật ngữ đó.
Câu hỏi thường gặp
Dữ liệu đã giả danh hóa có giống dữ liệu ẩn danh không?
Không. Điều khoản mở đầu 26 nêu rằng các nguyên tắc bảo vệ dữ liệu không áp dụng cho thông tin ẩn danh, nghĩa là thông tin không liên quan đến một người có thể nhận dạng, hoặc dữ liệu được làm cho ẩn danh đến mức người đó không còn có thể được nhận dạng. Dữ liệu đã giả danh hóa nhưng có thể liên kết lại thuộc một loại khác.
GDPR có cấm sử dụng công cụ AI với dữ liệu cá nhân không?
Không. Quy định yêu cầu có cơ sở pháp lý, giảm thiểu dữ liệu, bảo mật và, khi làm việc với nhà cung cấp, phải có hợp đồng phù hợp. Dùng chỗ giữ chỗ giúp giảm thiểu dữ liệu.
Quy định này có áp dụng bên ngoài EU không?
Vương quốc Anh có phiên bản quy định riêng, và nhiều quốc gia có các quy tắc tương tự. GDPR cũng có thể áp dụng cho các doanh nghiệp bên ngoài EU cung cấp dịch vụ cho người ở EU.
ClientSafe giữ bảng liên kết chỗ giữ chỗ với tên thật trên máy tính của bạn. Văn bản bạn sao chép để dùng với công cụ AI chỉ chứa các chỗ giữ chỗ. Trước tiên, bạn xem lại nội dung công cụ đã tìm thấy vì không công cụ nào phát hiện được mọi thứ.
Thông tin chung, không phải tư vấn pháp lý. Hãy hỏi chuyên gia tư vấn bảo vệ dữ liệu có đủ chuyên môn về tình huống của bạn.