Hướng dẫn triển khai FHIR cốt lõi Việt Nam — VN Core FHIR Implementation Guide
0.9.0 - Draft for Community Review
Hướng dẫn triển khai FHIR cốt lõi Việt Nam — VN Core FHIR Implementation Guide - Draft for Community Review (v0.9.0) built by the FHIR (HL7® FHIR® Standard) Build Tools. See the Directory of published versions
Trang này hướng dẫn xử lý dữ liệu VN Core khi đưa ra khỏi bối cảnh khám bệnh, chữa bệnh trực tiếp: nghiên cứu, thống kê, kiểm thử phần mềm, và huấn luyện hoặc vận hành hệ thống trí tuệ nhân tạo.
| Cung cấp | Không cung cấp |
|---|---|
| Danh sách trường trong các profile VN Core mang rủi ro nhận dạng, kèm cách xử lý từng trường | Thuật toán khử định danh hoặc phần mềm thực hiện |
Cách gắn nhãn mức xử lý vào meta.security để bên nhận biết dữ liệu đã qua xử lý gì |
Xác nhận rằng một tập dữ liệu cụ thể đã đạt ngưỡng khử nhận dạng |
| Nghĩa vụ pháp lý của từng vai trò khi dùng dữ liệu cho AI | Thay thế đánh giá tác động xử lý dữ liệu cá nhân hoặc hồ sơ phân loại rủi ro AI |
Khử định danh là quyết định về rủi ro tái nhận dạng trên một tập dữ liệu cụ thể, trong một bối cảnh phát hành cụ thể. Không có cấu hình profile nào chứng minh được điều đó. Trang này chỉ giúp không bỏ sót trường và không mô tả sai mức xử lý đã làm.
| Văn bản | Nội dung ràng buộc |
|---|---|
| Luật 91/2025/QH15 Điều 2 khoản 1 | Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân. Đây là lý do khử định danh có giá trị pháp lý thực chất, không chỉ là biện pháp kỹ thuật |
| Luật 91/2025/QH15 Điều 2 khoản 6 | Khử nhận dạng là một hoạt động xử lý dữ liệu cá nhân — bản thân việc khử định danh phải có căn cứ xử lý hợp pháp |
| Luật 91/2025/QH15 Điều 14 khoản 6 | Bên khử nhận dạng phải kiểm soát, giám sát chặt quá trình; ngăn truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu trong khi khử nhận dạng; không được tái nhận dạng sau khi đã khử, trừ trường hợp pháp luật có quy định khác |
| NĐ 356/2025/NĐ-CP | Dữ liệu về tình trạng sức khỏe thuộc danh mục dữ liệu cá nhân nhạy cảm; kèm nghĩa vụ đánh giá tác động và nhân sự bảo vệ dữ liệu cá nhân |
| Luật 134/2025/QH15 Điều 9, Điều 10 | Phân loại hệ thống trí tuệ nhân tạo theo mức rủi ro; nhà cung cấp tự phân loại trước khi đưa vào sử dụng, hệ thống rủi ro trung bình hoặc cao phải có hồ sơ phân loại và thông báo cho Bộ Khoa học và Công nghệ |
| Luật 134/2025/QH15 Điều 13, Điều 14 | Hệ thống rủi ro cao phải được đánh giá sự phù hợp trước khi đưa vào sử dụng; nhà cung cấp phải quản trị dữ liệu huấn luyện, kiểm thử và vận hành (Điều 14 khoản 1 điểm b) |
| Luật 134/2025/QH15 Điều 27 khoản 3 | Cơ quan vận hành hệ thống rủi ro cao hoặc có tác động đáng kể đến quyền con người phải lập báo cáo đánh giá tác động. LƯU Ý PHẠM VI: Điều 27 nằm trong phần ứng dụng trí tuệ nhân tạo trong quản lý nhà nước và cung cấp dịch vụ công — không áp mặc định cho mọi cơ sở khám bệnh, chữa bệnh |
Hệ thống trí tuệ nhân tạo dùng trong khám bệnh, chữa bệnh có khả năng thuộc nhóm rủi ro cao vì có thể gây thiệt hại đáng kể đến tính mạng, sức khỏe (tiêu chí tại Điều 9 khoản 2 điểm a). Việc phân loại do nhà cung cấp tự thực hiện theo Điều 10 khoản 1; IG không phân loại thay. Danh mục hệ thống rủi ro cao do Thủ tướng Chính phủ quy định (Điều 13 khoản 4).
| Mức | Mô tả | Còn là dữ liệu cá nhân? | Nhãn meta.security |
|---|---|---|---|
| Định danh trực tiếp | Dữ liệu vận hành bình thường, có CCCD, họ tên, địa chỉ | Có | Nhãn mức mật theo v3-Confidentiality (thường R hoặc V) |
| Giả danh (pseudonymised) | Định danh thật thay bằng mã giả; khóa ánh xạ vẫn tồn tại ở đâu đó | Có — vì còn khả năng khôi phục | PSEUDED |
| Khử nhận dạng (de-identified) | Không còn khả năng xác định con người cụ thể; khóa ánh xạ đã hủy | Không, theo Điều 2 khoản 1 | ANONYED |
Nhầm lẫn phổ biến nhất là gọi dữ liệu giả danh là "đã ẩn danh". Chừng nào khóa ánh xạ còn tồn tại — kể cả khi do một bộ phận khác giữ — dữ liệu vẫn là dữ liệu cá nhân và mọi nghĩa vụ của Luật 91/2025/QH15 vẫn áp dụng nguyên vẹn.
meta.securityDùng hệ mã HL7 sẵn có, không tạo hệ mã Việt Nam mới cho việc này:
http://terminology.hl7.org/CodeSystem/v3-Confidentiality — U (không hạn chế), L, M, N (bình thường), R (hạn chế), V (rất hạn chế).http://terminology.hl7.org/CodeSystem/v3-ObservationValue — ANONYED (đã khử nhận dạng), PSEUDED (giả danh), MASKED (che), REDACTED (đã lược bỏ), SUBSETTED (chỉ chứa một phần).Nhãn là tuyên bố của bên phát hành về việc mình đã làm gì, không phải yêu cầu bên nhận phải làm gì. Gắn ANONYED cho dữ liệu thực chất mới chỉ giả danh là mô tả sai, và làm bên nhận bỏ qua các biện pháp bảo vệ mà dữ liệu đó vẫn cần.
Bảng dưới liệt kê những chỗ mang rủi ro nhận dạng riêng của bối cảnh Việt Nam; các trường định danh trực tiếp thông thường (họ tên, số điện thoại, email, ảnh) áp dụng như mọi hệ thống.
| Vị trí | Vì sao rủi ro | Xử lý |
|---|---|---|
VNCorePatient.identifier[CCCD] |
12 chữ số CCCD có cấu trúc: 3 số đầu là mã tỉnh nơi đăng ký khai sinh, số thứ tư mã hóa giới tính và thế kỷ sinh, hai số tiếp là năm sinh — xem VNCitizenIdBirthplacePrefixCS |
Xóa toàn bộ. Không giữ một phần: sáu số đầu đã đủ lộ tỉnh, giới tính và năm sinh |
VNCorePatient.identifier[BHYT], [BHXH] |
Mã số bảo hiểm xã hội 10 số là định danh toàn quốc, tra cứu được qua cổng bảo hiểm | Xóa. Nếu cần liên kết bản ghi thì thay bằng mã giả và nhãn PSEUDED |
identifier MRN của cơ sở |
Duy nhất trong một cơ sở; kết hợp với ngày khám thì tái nhận dạng được | Thay bằng mã giả sinh riêng cho từng lần phát hành |
Address.extension[ward] (phường/xã) |
Cả nước có 3.321 xã, phường, đặc khu — đơn vị đủ nhỏ để thu hẹp danh sách ứng viên | Xóa cấp xã; giữ nhiều nhất đến cấp tỉnh trong 34 đơn vị |
Patient.birthDate |
Ngày sinh đầy đủ là một trong ba yếu tố tái nhận dạng kinh điển | Giữ năm, hoặc nhóm tuổi. Người từ 90 tuổi trở lên gom thành một nhóm |
Encounter.identifier[maLuotKcb], Claim.identifier |
Mã lượt khám và mã hồ sơ tra ngược được trên hệ thống giám định | Thay bằng mã giả; không giữ tiền tố có mã cơ sở nếu cỡ mẫu nhỏ |
Encounter.period, Procedure.performed[x], ngày ra viện |
Chuỗi ngày tháng chính xác nhận dạng được ca hiếm | Dịch toàn bộ mốc thời gian của một người bệnh cùng một độ lệch ngẫu nhiên, giữ nguyên khoảng cách giữa các mốc |
Practitioner, Organization được tham chiếu |
Cơ sở chuyên khoa hiếm cộng chẩn đoán hiếm là cặp nhận dạng mạnh | Cân nhắc thay bằng loại hình cơ sở thay vì cơ sở cụ thể |
Composition.section.text, DocumentReference, Annotation.text, Observation.valueString |
Nguồn rò rỉ lớn nhất trong thực tế: văn bản tự do thường chứa tên, số điện thoại, địa chỉ, quan hệ gia đình mà không trường nào khai báo | Không phát hành narrative thô. Nếu buộc phải giữ, xử lý bằng quy trình riêng và chấp nhận rủi ro tồn dư |
Chẩn đoán hiếm, bệnh nghề nghiệp, dữ liệu thuộc #special-protection của VNDataSensitivityClassCS |
Kết hợp với địa lý là tái nhận dạng được kể cả khi đã bỏ định danh | Cân nhắc gom nhóm mã chẩn đoán, hoặc loại khỏi tập phát hành |
VNCorePatient bắt buộc identifier[CCCD] với ràng buộc định dạng 12 chữ số. Đó là thiết kế đúng cho dữ liệu vận hành, nhưng có nghĩa là một bản ghi đã khử định danh thật sự thì không hợp lệ với profile này. Đừng lách bằng cách điền CCCD giả cho đúng định dạng: bản ghi sẽ trông như dữ liệu định danh và mọi công cụ hạ nguồn sẽ đối xử với nó như vậy.
Cách đúng: dùng resource Patient cơ sở của FHIR, gắn nhãn meta.security, và nêu rõ trong tài liệu phát hành rằng tập dữ liệu không tuyên bố tuân thủ VN Core ở mức profile định danh. Xem ví dụ trong IG.
Với dữ liệu giả danh, mã giả không được đặt vào identifier[CCCD]: slice đó ràng buộc system là hệ định danh CCCD và định dạng 12 chữ số, nên điền mã giả vào đây là tuyên bố sai rằng số đó do cơ quan quản lý căn cước cấp — cùng một lỗi vừa cảnh báo ở trên. Đặt mã giả ở một identifier có system riêng của tập dữ liệu, gắn nhãn PSEUDED, và chấp nhận rằng bản ghi khi đó không thỏa VNCorePatient. Nếu quy trình kiểm thử bắt buộc phải thỏa profile, dùng CCCD của người bệnh hư cấu do chính dự án sinh và ghi rõ trong tài liệu bộ dữ liệu — đó là dữ liệu bịa, không phải dữ liệu thật đã giả danh.
Theo vai trò tại Luật 134/2025/QH15:
| Vai trò | Nghĩa vụ cốt lõi |
|---|---|
| Nhà phát triển — huấn luyện, tinh chỉnh mô hình | Có căn cứ xử lý hợp pháp cho chính việc đưa dữ liệu vào huấn luyện theo Luật 91/2025/QH15. Nghĩa vụ quản trị dữ liệu huấn luyện tại Điều 14 khoản 1 điểm b Luật 134/2025/QH15 đặt lên nhà cung cấp; nhà phát triển chịu nghĩa vụ đó khi đồng thời là nhà cung cấp |
| Nhà cung cấp — đưa hệ thống ra sử dụng | Tự phân loại rủi ro trước khi đưa vào sử dụng; hệ thống rủi ro trung bình hoặc cao phải có hồ sơ phân loại và thông báo cho Bộ Khoa học và Công nghệ (Điều 10); rủi ro cao phải được đánh giá sự phù hợp trước khi sử dụng và phải quản trị dữ liệu huấn luyện, kiểm thử, vận hành (Điều 13, Điều 14 khoản 1) |
| Bên triển khai — cơ sở khám bệnh, chữa bệnh đưa hệ thống vào vận hành | Vận hành đúng mục đích và mức rủi ro đã phân loại; nếu sửa đổi, tích hợp làm phát sinh rủi ro mới thì phối hợp phân loại lại (Điều 14 khoản 2). Nghĩa vụ lập báo cáo đánh giá tác động tại Điều 27 khoản 3 chỉ áp khi hệ thống được dùng trong quản lý nhà nước hoặc cung cấp dịch vụ công |
Hai điểm hay bị bỏ sót:
Luật 91/2025/QH15 không có miễn trừ riêng cho nghiên cứu y sinh. Nghiên cứu trên dữ liệu còn là dữ liệu cá nhân mặc định vẫn cần đồng ý theo Điều 9; chỉ đi qua Điều 19 khoản 1 điểm đ khi có pháp luật chuyên ngành quy định rõ — xem mã other-lawful của VNProcessingLegalBasisCS.
Bundle.entry?text.div) của mọi resource, không chỉ các trường có cấu trúc?meta.security có mô tả đúng mức xử lý đã làm, hay đang tuyên bố quá mức?Bốn câu hỏi đầu là kiểm tra kỹ thuật, hai câu cuối là đánh giá rủi ro — phần đánh giá thuộc trách nhiệm của bên phát hành và nhân sự bảo vệ dữ liệu cá nhân, không thuộc phạm vi IG.
| Nếu cần | Nên đọc tiếp |
|---|---|
| Căn cứ xử lý, consent, kiểm toán truy cập | Bảo mật và quyền riêng tư |
| Nghĩa vụ theo vai trò triển khai | Tuân thủ theo vai trò triển khai |
| Registry văn bản pháp lý | Cơ sở pháp lý |
De-identified data is no longer personal data under Law 91/2025/QH15 Art.2(1), but pseudonymised data is — the mapping key's existence is what decides. Art.14(6) bars re-identification and requires controls during the de-identification process itself. This page lists the Vietnam-specific re-identification risks in VN Core profiles: the structured 12-digit citizen ID (province, sex, birth year encoded), ward-level addresses (3,321 units), social-insurance numbers, encounter identifiers traceable through the claims gateway, and free-text narrative. Truly de-identified records cannot claim the VNCorePatient profile, which mandates a format-constrained citizen ID; use base Patient with meta.security labels instead of forging an identifier. For AI use, Law 134/2025/QH15 obligations attach to developer, provider and deployer roles independently of whether the data is still personal data — with the impact-assessment duty (Art.27(3)) scoped to AI used in state administration or public service delivery, not to every clinical deployment.