Chỉ số dữ liệu cá nhân từ Cơ sở dữ liệu quốc gia về dân cư: Giá trị hỗ trợ và giới hạn pháp lý

Thông tư số 136/2026/TT-BCA ngày 22/7/2026 của Bộ trưởng Bộ Công an quy định danh mục sản phẩm khai thác, sử dụng thông tin trong Cơ sở dữ liệu quốc gia về dân cư (sau đây gọi là Thông tư 136/2026/TT-BCA), có hiệu lực từ ngày 01/8/2026, lần đầu chuẩn hóa chín sản phẩm dữ liệu dân cư, trong đó SPDC09 là kết quả phân tích và cung cấp một hoặc một số chỉ số dữ liệu cá nhân. Nếu bài toán quản lý truyền thống chủ yếu xoay quanh việc cung cấp đúng thông tin gốc, SPDC09 đặt ra vấn đề phức tạp hơn: một kết quả suy luận được hình thành từ nhiều nguồn dữ liệu có thể ảnh hưởng đến cách cá nhân được đánh giá, phân loại hoặc tiếp cận dịch vụ. Bởi vậy, việc công nhận sản phẩm không đồng nghĩa với trao quyền sử dụng chỉ số như một kết luận tuyệt đối.

1. Bản chất pháp lý của SPDC09 và giới hạn của quyền yêu cầu

Theo khoản 2 Điều 3 Thông tư 136/2026/TT-BCA, SPDC09 được hình thành từ việc xử lý, phân tích dữ liệu trong Cơ sở dữ liệu quốc gia về dân cư và dữ liệu khác được kết nối, chia sẻ hoặc cung cấp hợp pháp. Khác với kết quả xác thực một trường thông tin, chỉ số là sản phẩm của phương pháp xử lý, lựa chọn biến số và quy tắc tính toán. Vì vậy, độ tin cậy của chỉ số không chỉ phụ thuộc vào tính chính xác của từng dữ liệu đầu vào, mà còn phụ thuộc vào tính phù hợp của mô hình phân tích, thời điểm cập nhật và bối cảnh sử dụng. Một chỉ số đúng về mặt kỹ thuật trong một mục đích nhất định có thể trở nên sai lệch khi được chuyển sang mục đích khác hoặc áp dụng cho nhóm đối tượng ngoài phạm vi thiết kế.

Thông tư yêu cầu việc cung cấp, sử dụng chỉ số phải đúng mục đích, đối tượng, thẩm quyền, phạm vi và điều kiện khai thác; bảo đảm khách quan, chính xác, có khả năng kiểm tra, đối chiếu, đồng thời tuân thủ yêu cầu về an ninh mạng và bảo vệ dữ liệu cá nhân. Khoản 8 Điều 3 còn giới hạn cơ quan có thẩm quyền chỉ cung cấp thông tin cần thiết theo yêu cầu hợp pháp và không cung cấp toàn bộ thông tin về một cá nhân nếu pháp luật không quy định khác. Cấu trúc này khẳng định quyền yêu cầu không được xác định theo khả năng kỹ thuật của hệ thống mà theo mức độ cần thiết của mục đích pháp lý. Cơ quan, tổ chức không thể yêu cầu một bộ chỉ số rộng chỉ vì các chỉ số đó đã tồn tại hoặc có thể được tạo ra từ dữ liệu dân cư.

2. Giá trị hỗ trợ quyết định và yêu cầu kiểm soát quyết định bất lợi

Đối với SPDC06, SPDC07 và SPDC08, Thông tư 136/2026/TT-BCA xác định rõ kết quả thống kê, phân tích, dự báo chỉ có giá trị hỗ trợ việc xem xét, ra quyết định theo chức năng, nhiệm vụ, quyền hạn và không thay thế quyết định của cơ quan hoặc người có thẩm quyền. Mặc dù SPDC09 được thiết kế ở cấp độ cá nhân, tinh thần hạn chế sự phụ thuộc máy móc vào kết quả xử lý dữ liệu vẫn có ý nghĩa đặc biệt. Một chỉ số không phản ánh đầy đủ hoàn cảnh của cá nhân và có thể chứa sai lệch do dữ liệu chậm cập nhật, thiếu nguồn hoặc phương pháp tính không phù hợp. Nếu chỉ số được dùng làm căn cứ duy nhất để từ chối hồ sơ, hạn chế quyền lợi hoặc xếp một người vào nhóm rủi ro, quyết định có thể thiếu cơ sở giải trình và làm gia tăng nguy cơ xâm phạm quyền, lợi ích hợp pháp.

Cơ chế sử dụng có trách nhiệm cần bảo đảm con người hiểu được ý nghĩa, nguồn gốc và giới hạn của chỉ số trước khi ra quyết định. Hồ sơ quyết định nên ghi nhận chỉ số đã được dùng cho mục đích nào, trọng số ra sao, có dữ liệu nào mâu thuẫn và người có thẩm quyền đã thực hiện bước kiểm tra nào. Khi quyết định có ảnh hưởng đáng kể, cá nhân cần có kênh yêu cầu kiểm tra dữ liệu, phản hồi về sai lệch và bổ sung thông tin. Luật Căn cước số 26/2023/QH15 ngày 27/11/2023 của Quốc hội và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 ngày 26/6/2025 của Quốc hội tạo thành nền tảng để hoạt động khai thác dữ liệu phải tôn trọng quyền của cá nhân, giới hạn mục đích và trách nhiệm bảo đảm chất lượng. Khả năng sửa sai vì vậy phải được thiết kế như một phần của quy trình, không phải biện pháp xử lý tùy nghi sau khi thiệt hại đã phát sinh.

3. Quản trị vòng đời chỉ số và trách nhiệm giải trình của đơn vị sử dụng

Rủi ro của chỉ số dữ liệu cá nhân không kết thúc khi cơ quan có thẩm quyền cung cấp sản phẩm. Sau khi được nhận, chỉ số có thể được sao chép sang hồ sơ nghiệp vụ, tích hợp vào phần mềm, chia sẻ nội bộ hoặc kết hợp với dữ liệu khác để tạo một đánh giá mới. Mỗi bước làm thay đổi bối cảnh sử dụng và có thể mở rộng ảnh hưởng đối với cá nhân. Do đó, đơn vị khai thác cần xác định rõ người được truy cập, mục đích được phép, thời hạn lưu, điều kiện chuyển tiếp và thời điểm phải xóa hoặc cập nhật. Hệ thống phải ghi nhật ký truy vấn, nguồn nhận, phiên bản chỉ số và các quyết định đã sử dụng kết quả; nếu chỉ số được điều chỉnh, cần có khả năng xác định những hồ sơ nào đã dùng phiên bản cũ để đánh giá lại khi cần thiết.

Trách nhiệm giải trình còn đòi hỏi kiểm tra định kỳ về độ chính xác và mức độ phù hợp của chỉ số. Đơn vị sử dụng không nên mặc nhiên coi sản phẩm do cơ quan nhà nước cung cấp là phù hợp cho mọi nghiệp vụ. Cần đánh giá sự tương xứng giữa chỉ số và mục đích, nguy cơ phân biệt đối xử gián tiếp, mức độ cần thiết của thông tin định danh và biện pháp bảo mật trong hệ thống nhận dữ liệu. Đối với kết nối tự động, khóa truy cập, giới hạn tần suất truy vấn, cảnh báo bất thường và phân tách môi trường thử nghiệm với môi trường thật là các biện pháp thiết yếu. Về mặt tổ chức, mỗi hoạt động sử dụng chỉ số cần có chủ thể chịu trách nhiệm rõ ràng, quy trình xử lý yêu cầu sửa sai và bằng chứng cho thấy dữ liệu chỉ được dùng trong phạm vi đã được phê duyệt.

4. Kết luận

SPDC09 mở ra khả năng sử dụng dữ liệu dân cư ở cấp độ phân tích sâu hơn, nhưng đồng thời làm gia tăng yêu cầu về tính cần thiết, độ chính xác và khả năng kiểm tra. Chỉ số dữ liệu cá nhân là một kết quả hỗ trợ được tạo ra trong một bối cảnh nhất định, không phải sự mô tả tuyệt đối về con người và càng không phải căn cứ mặc nhiên cho mọi quyết định. Việc sử dụng hợp pháp đòi hỏi chủ thể yêu cầu chứng minh mục đích và thẩm quyền, cơ quan cung cấp giới hạn dữ liệu ở mức cần thiết, còn đơn vị tiếp nhận phải duy trì kiểm soát trong toàn bộ vòng đời chỉ số. Khi khả năng giải thích, sửa sai và giám sát của con người được bảo đảm, sản phẩm dữ liệu mới có thể hỗ trợ quản lý hiệu quả mà không làm suy giảm quyền riêng tư và quyền được đối xử công bằng của cá nhân.