Yêu cầu pháp lý về bảo vệ dữ liệu cá nhân và điều kiện chia sẻ dữ liệu khác nhau theo quốc gia, theo nhà tài trợ và theo loại dữ liệu — đối chiếu với quy định hiện hành và hội đồng đạo đức của bạn trước khi áp dụng.
Trong nhiều hồ sơ đạo đức, phần về bảo vệ người tham gia viết rằng dữ liệu sẽ được ẩn danh. Trên thực tế, việc được làm thường là xoá tên và số điện thoại rồi gán mã.
Hai việc đó không giống nhau, và sự nhầm lẫn giữa chúng là một trong những lỗ hổng phổ biến nhất — đặc biệt khi dữ liệu được chia sẻ với đối tác nước ngoài hoặc công bố theo yêu cầu của nhà tài trợ.
Ba mức, cần gọi đúng tên
Dữ liệu có định danh trực tiếp — có tên, số điện thoại, số giấy tờ, địa chỉ.
Dữ liệu đã mã hoá định danh — thay định danh bằng mã, nhưng vẫn tồn tại một bảng tra ngược ở đâu đó. Đây là mức mà phần lớn nghiên cứu thực sự đang ở, và nó không phải ẩn danh: còn bảng tra thì còn khả năng xác định lại.
Mức này hoàn toàn hợp lệ và thường là cần thiết — để nối dữ liệu qua các đợt thu, để rút một người ra nếu họ yêu cầu. Nhưng nó phải được gọi đúng tên trong hồ sơ và trong phiếu đồng ý, chứ không gọi là ẩn danh.
Dữ liệu ẩn danh thật — không còn cách nào xác định lại, kể cả bởi chính nhóm nghiên cứu. Bảng tra đã bị huỷ, và các thuộc tính còn lại không đủ để nhận ra ai.
Mức thứ ba khó đạt hơn nhiều người nghĩ, vì lý do dưới đây.
Vì sao xoá tên không đủ
Một người có thể được nhận ra qua tổ hợp các thuộc tính, dù không thuộc tính nào là định danh.
Ví dụ cụ thể: một bộ dữ liệu khảo sát giáo viên, đã xoá tên, còn lại tỉnh, huyện, môn dạy, số năm công tác, giới tính, và học vị. Ở một huyện nhỏ, "giáo viên nữ dạy môn X, có bằng thạc sĩ, công tác mười chín năm" có thể chỉ có một người.
Nguyên tắc chung: càng nhiều thuộc tính chi tiết, càng dễ nhận ra, và rủi ro tăng nhanh ở các nhóm nhỏ — vùng ít dân, nghề hiếm, tình trạng sức khoẻ hiếm, chức vụ đặc thù.
Ba loại biến hay gây lộ nhất: địa lý chi tiết, ngày tháng chính xác, và các giá trị cực trị — người lớn tuổi nhất, thu nhập cao nhất, số năm công tác dài nhất.
Các cách xử lý
Bốn kỹ thuật, dùng kết hợp:
Gộp nhóm. Tuổi thành nhóm tuổi, xã thành tỉnh, ngày thành tháng hoặc quý. Đây là cách hiệu quả nhất và rẻ nhất.
Cắt đuôi phân bố. Gộp mọi giá trị trên một ngưỡng thành "trên X" — xử lý được nhóm cực trị vốn dễ nhận ra nhất.
Bỏ biến không cần cho phân tích. Câu hỏi nên đặt cho từng biến: phân tích của mình có thật sự cần mức chi tiết này không? Rất thường là không.
Không công bố dữ liệu thô mà công bố dữ liệu tổng hợp, hoặc cho tiếp cận có kiểm soát — người muốn dùng phải đăng ký và cam kết.
Cách tự kiểm trước khi chia sẻ
Hai phép kiểm đơn giản, làm được bằng công cụ sẵn có:
Đếm số bản ghi duy nhất theo tổ hợp thuộc tính. Lập bảng theo các biến định danh gián tiếp (địa lý, tuổi, giới, nghề, học vị) và đếm. Mọi tổ hợp chỉ có một hoặc hai người là điểm rủi ro, và cần gộp thêm.
Thử tự tìm một người. Lấy một bản ghi bất kỳ và thử xem, với các nguồn công khai sẵn có, có thu hẹp được về một người không. Nếu chính bạn làm được trong mười phút thì người khác cũng làm được.
Trong hợp tác quốc tế: ba việc thêm
Thống nhất mức dữ liệu được chuyển ra nước ngoài — thường không phải mức có định danh, và điều này cần được nêu rõ trong thoả thuận chứ không thoả thuận miệng.
Giữ bảng tra ngược ở phía Việt Nam nếu nghiên cứu thu dữ liệu tại Việt Nam. Đây là cách vừa đáp ứng yêu cầu bảo vệ dữ liệu vừa giữ vai trò của nhóm trong nước — bên nắm bảng tra là bên duy nhất xử lý được yêu cầu rút lui của người tham gia.
Nêu rõ ai được công bố dữ liệu và theo mức nào. Nhà tài trợ nước ngoài có thể yêu cầu mở dữ liệu, và yêu cầu đó phải được đối chiếu với cam kết đã ghi trong phiếu đồng ý mà người tham gia đã ký.
Phiếu đồng ý phải khớp với thực tế
Đây là điểm cuối và cũng là điểm quan trọng nhất.
Nếu phiếu đồng ý nói dữ liệu chỉ dùng cho nghiên cứu này, thì không được chia sẻ cho mục đích khác — kể cả khi dữ liệu đã ẩn danh và kể cả khi nhà tài trợ yêu cầu.
Cách tránh xung đột này: viết phiếu đồng ý ngay từ đầu với các mức lựa chọn — đồng ý cho nghiên cứu này; đồng ý cho các nghiên cứu liên quan về sau; đồng ý cho việc công bố dữ liệu đã xử lý. Người tham gia chọn mức của mình, và mọi quyết định sau đó đều có căn cứ.
Sửa chuyện này về sau gần như không làm được — liên hệ lại hàng trăm người tham gia sau hai năm là việc không khả thi.
Mã hoá định danh có phải là ẩn danh không?
Không — còn bảng tra ngược thì còn khả năng xác định lại. Mức này hợp lệ và thường cần thiết, nhưng phải gọi đúng tên trong hồ sơ và phiếu đồng ý.
Vì sao xoá tên vẫn chưa đủ?
Vì tổ hợp các thuộc tính có thể nhận ra một người — địa lý chi tiết, ngày tháng chính xác và các giá trị cực trị là ba loại biến hay gây lộ nhất.
Kiểm rủi ro nhận diện thế nào?
Đếm số bản ghi duy nhất theo tổ hợp thuộc tính — mọi tổ hợp chỉ có một hai người là điểm rủi ro — và thử tự tìm một người bằng nguồn công khai.
Nên giữ bảng tra ngược ở đâu trong hợp tác quốc tế?
Ở phía Việt Nam nếu dữ liệu thu tại Việt Nam — bên nắm bảng tra là bên duy nhất xử lý được yêu cầu rút lui của người tham gia.
