AI Research Hub

Mỗi ngày, một trường đại học quy mô trung bình tạo ra hàng triệu điểm dữ liệu — nhưng phần lớn thiếu khung quy chế để quản lý, bảo vệ và khai thác tài sản số đó một cách có trách nhiệm. Bài viết phân tích bằng chứng học thuật quốc tế và đề xuất khuyến nghị nội dung quy chế dữ liệu số cho các trường đại học Việt Nam.

1. Lời Dẫn Nhập

Mỗi ngày, một trường đại học quy mô trung bình tạo ra hàng triệu điểm dữ liệu: từ log đăng nhập hệ thống quản lý học tập, điểm số từng bài kiểm tra, hồ sơ sinh viên, cho đến email trao đổi giữa giảng viên và học viên, video bài giảng, dữ liệu nghiên cứu khoa học, và hàng trăm giao dịch tài chính nhỏ lẻ. Khối lượng và tốc độ sản sinh dữ liệu này không ngừng tăng theo cấp số nhân — đặc biệt kể từ khi đại dịch COVID-19 buộc toàn bộ hoạt động giáo dục chuyển sang môi trường số.

Nghịch lý là: trong khi dữ liệu ngày càng trở thành tài sản chiến lược của mỗi tổ chức giáo dục, phần lớn các trường đại học — đặc biệt tại các quốc gia đang phát triển như Việt Nam — vẫn chưa có một khung quy chế hoàn chỉnh để quản lý, bảo vệ và khai thác tài sản đó một cách có trách nhiệm. Dữ liệu được thu thập nhưng không phân loại, được lưu trữ nhưng không ai kiểm soát quyền truy cập, được chia sẻ nhưng không có quy trình phê duyệt, và bị xử lý bởi nhiều bên mà không ai chịu trách nhiệm khi xảy ra sự cố.

Hệ quả không chỉ dừng lại ở những rủi ro kỹ thuật. Vi phạm dữ liệu tại một trường đại học có thể gây tổn hại không thể đảo ngược cho hàng chục nghìn sinh viên và cán bộ — những người tin tưởng trao gửi thông tin cá nhân nhạy cảm nhất của mình cho tổ chức. Các hệ thống phân tích học tập (learning analytics) được triển khai mà không có sự đồng thuận đầy đủ có thể vi phạm quyền riêng tư và dẫn đến phân biệt đối xử thuật toán. Dữ liệu nghiên cứu bị mất hoặc không thể tái sử dụng gây lãng phí nguồn lực công và cản trở tiến bộ khoa học. Và trong bối cảnh pháp lý ngày càng chặt chẽ — từ GDPR của Liên minh châu Âu đến Nghị định 13/2023/NĐ-CP của Việt Nam — sự thiếu vắng một quy chế dữ liệu còn đặt nhà trường trước nguy cơ vi phạm pháp luật nghiêm trọng.

Bài viết này được thực hiện nhằm ba mục tiêu. Thứ nhất, xây dựng một luận cứ toàn diện về sự cần thiết phải ban hành quy chế quản lý dữ liệu số tại mỗi trường đại học, dựa trên bằng chứng học thuật quốc tế và thực tiễn chính sách trong và ngoài nước. Thứ hai, phân tích kinh nghiệm của các trường đại học và hệ thống giáo dục đại học tiên tiến trên thế giới để rút ra bài học phù hợp với bối cảnh Việt Nam. Thứ ba, đề xuất các khuyến nghị cụ thể về nội dung cần có trong một quy chế dữ liệu số đại học, từ phân loại dữ liệu đến bảo vệ quyền riêng tư, từ quản trị nghiên cứu đến ứng phó sự cố.

Bài viết hướng đến hai nhóm đối tượng chính: (1) lãnh đạo và cán bộ quản lý của các trường đại học đang trong quá trình xây dựng hoặc hoàn thiện chính sách chuyển đổi số; và (2) các nhà nghiên cứu, hoạch định chính sách giáo dục quan tâm đến quản trị dữ liệu trong khu vực công. Bài viết cũng có giá trị tham khảo đối với sinh viên, giảng viên và mọi chủ thể dữ liệu trong môi trường đại học — những người có quyền và trách nhiệm hiểu rõ cách dữ liệu của mình được xử lý.

2. Bức Tranh Dữ Liệu Số Trong Các Trường Đại Học Hiện Đại

2.1. Khối lượng và đa dạng dữ liệu trong môi trường đại học

Môi trường đại học hiện đại là một trong những hệ sinh thái dữ liệu phức tạp nhất trong khu vực phi doanh nghiệp. Không giống như một tổ chức doanh nghiệp với dữ liệu chủ yếu tập trung vào giao dịch thương mại, một trường đại học vận hành song song nhiều luồng dữ liệu thuộc các lĩnh vực hoàn toàn khác nhau về bản chất, mức độ nhạy cảm và yêu cầu quản lý.

Dữ liệu đào tạo là loại phong phú nhất và cũng gần gũi nhất với hình dung của công chúng về một trường học: hồ sơ tuyển sinh, điểm thi, bảng điểm, kế hoạch học tập, đánh giá của giảng viên, và toàn bộ lịch sử tương tác của sinh viên với hệ thống quản lý học tập (LMS — Learning Management System). Từ khi các hệ thống LMS như Moodle, Canvas, hay Blackboard trở nên phổ biến, mỗi lần click, mỗi tài liệu tải về, mỗi lần nộp bài, mỗi phút xem video bài giảng đều được ghi nhận và có thể phân tích. Nghiên cứu của Romero và Ventura (2020) cho thấy khối dữ liệu tương tác học tập này là nền tảng của lĩnh vực khai thác dữ liệu giáo dục (educational data mining), một lĩnh vực phát triển nhanh chóng với hàng nghìn công trình khoa học được công bố mỗi năm (Romero & Ventura, 2020).

Romero, C., & Ventura, S. (2020). "Educational data mining and learning analytics: An updated survey." WIREs Data Mining and Knowledge Discovery, 10(3). DOI: 10.1002/widm.1355

Tổng quan toàn diện về lĩnh vực khai thác dữ liệu giáo dục và phân tích học tập, chỉ ra sự bùng nổ của dữ liệu tương tác từ các hệ thống LMS và tiềm năng cũng như rủi ro của việc phân tích dữ liệu này trong môi trường đại học.

Dữ liệu nghiên cứu khoa học tạo thành một luồng dữ liệu hoàn toàn khác về tính chất: dữ liệu thô từ thí nghiệm phòng lab, dữ liệu điều tra xã hội học, hình ảnh y khoa, bộ gen, mô hình máy tính, và tất cả các loại dữ liệu trung gian tạo ra trong quá trình nghiên cứu. Đây là loại dữ liệu có giá trị khoa học cao nhưng cũng đặc biệt dễ tổn thương: mất mát dữ liệu nghiên cứu nghĩa là mất công trình nhiều năm, trong khi rò rỉ dữ liệu nghiên cứu y sinh có thể gây hại trực tiếp cho đối tượng tham gia nghiên cứu.

Dữ liệu cá nhân của cán bộ, giảng viên, sinh viên và học viên là loại dữ liệu nhạy cảm nhất về mặt pháp lý. Từ số CMND/CCCD, ngày sinh, địa chỉ, số điện thoại, đến thông tin tài chính (học phí, học bổng), thông tin sức khỏe (miễn giảm thi do bệnh, dữ liệu bảo hiểm y tế), thông tin gia đình (diện ưu tiên, hoàn cảnh kinh tế), và thậm chí dữ liệu sinh trắc học (ảnh khuôn mặt cho hệ thống điểm danh, vân tay cho kiểm soát ra vào). Mỗi danh mục thông tin này đều chịu sự điều chỉnh của pháp luật bảo vệ dữ liệu cá nhân.

Dữ liệu quản trị và tài chính bao gồm ngân sách, hợp đồng, văn bản hành chính, dữ liệu nhân sự, lịch sử kiểm toán — những dữ liệu quan trọng cho hoạt động điều hành nhưng thường bị đánh giá thấp về mức độ rủi ro. Trong nhiều trường hợp, các cuộc tấn công mạng vào trường đại học nhắm chính xác vào hệ thống quản trị để tiếp cận dữ liệu tài chính hoặc để tống tiền.

Dữ liệu từ hạ tầng kỹ thuật số — log hệ thống, dữ liệu mạng, dữ liệu vận hành thiết bị — thường bị các nhà quản lý giáo dục xem nhẹ nhưng lại là nguồn thông tin quan trọng nhất khi điều tra sự cố an ninh mạng. Thiếu chính sách lưu giữ log đúng đắn đồng nghĩa với mất đi khả năng điều tra và quy trách nhiệm khi có vi phạm.

2.2. Chuyển đổi số và sự bùng nổ dữ liệu trong giáo dục đại học

Quá trình chuyển đổi số trong giáo dục đại học không phải là hiện tượng mới, nhưng đại dịch COVID-19 đã tạo ra một cú sốc ngoại sinh buộc toàn bộ hệ thống phải tăng tốc ở quy mô và nhịp độ chưa từng có. Nghiên cứu của Mohamed Hashim, Tlemsani và Matthews (2021) chỉ ra rằng chiến lược số hóa trong giáo dục đại học đòi hỏi sự tích hợp đồng bộ giữa công nghệ, con người và quy trình — trong đó quản lý dữ liệu là yếu tố cơ sở hạ tầng mà không thể thiếu (Mohamed Hashim et al., 2021).

Mohamed Hashim, M. A., Tlemsani, I., & Matthews, R. (2021). "Higher education strategy in digital transformation." Education and Information Technologies, 27(3), 3171–3195. DOI: 10.1007/s10639-021-10739-1

Phân tích chiến lược chuyển đổi số tại các trường đại học, với luận điểm rằng dữ liệu là nền tảng hạ tầng của mọi sáng kiến số hóa — và thiếu quản trị dữ liệu sẽ khiến mọi chiến lược chuyển đổi số thất bại.

Khi học tập trực tuyến và hỗn hợp (blended learning) trở thành mô hình phổ biến, lượng dữ liệu được tạo ra trong hệ thống giáo dục tăng theo cấp số nhân. Mỗi phiên học trực tuyến không chỉ tạo ra nội dung ghi âm mà còn tạo ra siêu dữ liệu phong phú về hành vi người học: ai đã tham gia, tham gia bao lâu, ai tắt camera, ai đặt câu hỏi, ai nộp bài muộn. Nghiên cứu của Tsai và cộng sự (2020) về phân tích học tập tại châu Âu chỉ ra rằng các rào cản lớn nhất trong việc triển khai hệ thống học tập thích ứng chính là thiếu chính sách dữ liệu rõ ràng và thiếu sự tin tưởng của sinh viên vào cách nhà trường sử dụng dữ liệu của họ (Tsai et al., 2020).

Tsai, Y.-S., Rates, D., Moreno-Marcos, P. M., & Muñoz-Merino, P. J. (2020). "Learning analytics in European higher education — Trends and barriers." Computers & Education, 155, 103933. DOI: 10.1016/j.compedu.2020.103933

Nghiên cứu quy mô lớn về triển khai phân tích học tập tại các trường đại học châu Âu, xác định thiếu chính sách dữ liệu minh bạch là rào cản hàng đầu cản trở việc áp dụng công nghệ phân tích tiên tiến trong giáo dục.

Sự bùng nổ của trí tuệ nhân tạo tổng hợp (generative AI) — điển hình là ChatGPT và các mô hình ngôn ngữ lớn tương tự — đã bổ sung thêm một chiều kích hoàn toàn mới vào vấn đề quản lý dữ liệu đại học. Nghiên cứu của Jin và cộng sự (2025) phân tích chính sách và hướng dẫn về AI của hơn 100 tổ chức giáo dục đại học toàn cầu, cho thấy phần lớn các chính sách hiện tại chỉ đề cập đến việc sử dụng AI trong học tập mà bỏ qua hoàn toàn câu hỏi về dữ liệu nào đang được đưa vào các hệ thống AI, dữ liệu đó đi về đâu, và ai chịu trách nhiệm khi AI xử lý sai thông tin của người dùng (Jin et al., 2025).

Jin, Y., Yan, L., & Echeverria, V. (2025). "Generative AI in higher education: A global perspective of institutional adoption policies and guidelines." Computers and Education: Artificial Intelligence, 6, 100348. DOI: 10.1016/j.caeai.2024.100348

Phân tích toàn cầu về chính sách AI trong giáo dục đại học, phát hiện khoảng trống lớn giữa việc ban hành chính sách sử dụng AI và việc quản trị dữ liệu được đưa vào các hệ thống AI đó.

2.3. Dữ liệu như tài sản chiến lược và trách nhiệm pháp lý

Nhận thức về dữ liệu như một tài sản chiến lược đang thay đổi cách các tổ chức giáo dục tiếp cận vấn đề quản trị. Janssen, Brous và Estevez (2020) lập luận rằng quản trị dữ liệu không đơn thuần là vấn đề kỹ thuật hay tuân thủ pháp luật — đó là yếu tố nền tảng để xây dựng trí tuệ nhân tạo đáng tin cậy và ra quyết định dựa trên dữ liệu một cách có trách nhiệm (Janssen et al., 2020).

Janssen, M., Brous, P., & Estevez, E. (2020). "Data governance: Organizing data for trustworthy Artificial Intelligence." Government Information Quarterly, 37(3), 101493. DOI: 10.1016/j.giq.2020.101493

Lập luận có tính nền tảng về vai trò của quản trị dữ liệu như điều kiện tiên quyết để triển khai AI đáng tin cậy trong các tổ chức — áp dụng trực tiếp cho môi trường đại học đang tích cực ứng dụng AI.

Đồng thời, dữ liệu còn là trách nhiệm pháp lý. Khi một trường đại học thu thập dữ liệu cá nhân của sinh viên, họ đang đảm nhận vai trò "bên kiểm soát dữ liệu" (data controller) theo nghĩa của pháp luật bảo vệ dữ liệu cá nhân — và điều này kéo theo toàn bộ hệ thống nghĩa vụ: thông báo cho chủ thể dữ liệu, đảm bảo mục đích hợp pháp, giới hạn thời gian lưu trữ, đảm bảo an toàn kỹ thuật, và phản hồi khi có yêu cầu xóa hoặc chỉnh sửa dữ liệu. Đây không còn là vấn đề "nên làm" mà là nghĩa vụ pháp lý bắt buộc theo Nghị định 13/2023/NĐ-CP tại Việt Nam.

3. Tại Sao Cần Quy Chế Dữ Liệu? Những Lý Do Nền Tảng

3.1. Bảo vệ quyền riêng tư của sinh viên và cán bộ

Quyền riêng tư là quyền cơ bản của con người, và trong môi trường đại học, quyền này cần được bảo vệ theo những cách rất cụ thể. Sinh viên không chỉ là "người dùng" của hệ thống giáo dục — họ là những cá nhân đang ở giai đoạn phát triển quan trọng, thường xuyên chia sẻ những thông tin nhạy cảm nhất về cuộc sống của mình: sức khỏe tâm thần, hoàn cảnh gia đình, định hướng nghề nghiệp, thậm chí những thất bại học thuật.

Khi dữ liệu này bị xử lý không đúng cách — dù là vô tình hay cố ý — hậu quả có thể kéo dài suốt cuộc đời người bị ảnh hưởng. Một sinh viên có hồ sơ vi phạm kỷ luật bị rò rỉ có thể mất cơ hội nghề nghiệp. Dữ liệu sức khỏe tâm thần bị tiếp cận trái phép có thể dẫn đến kỳ thị và phân biệt đối xử. Điểm số và tiến độ học tập bị chia sẻ không được phép có thể làm tổn hại danh dự và quan hệ gia đình.

Nghiên cứu của Jones (2019) đề xuất một mô hình đồng thuận có thông tin (informed consent) cho hệ thống phân tích học tập, nhấn mạnh rằng sinh viên cần được thực sự trao quyền tự quyết đối với dữ liệu của mình — không chỉ là nhấn "đồng ý" vào một bản điều khoản dài và phức tạp mà ít ai đọc (Jones, 2019).

Jones, K. M. L. (2019). "Learning analytics and higher education: a proposed model for establishing informed consent mechanisms to promote student privacy and autonomy." International Journal of Educational Technology in Higher Education, 16(1), 24. DOI: 10.1186/s41239-019-0155-0

Đề xuất mô hình đồng thuận dữ liệu thực chất cho sinh viên trong hệ thống phân tích học tập, phân biệt rõ giữa đồng thuận hình thức và đồng thuận có thông tin thực sự trao quyền tự quyết cho người học.

Nghiên cứu của Huang (2023) về đạo đức AI trong giáo dục làm rõ hơn nguy cơ này trong bối cảnh AI đang xâm nhập ngày càng sâu vào môi trường học tập: khi các thuật toán AI phân tích dữ liệu học tập để dự đoán kết quả hay phát hiện đạo văn, chúng có thể tái tạo và khuếch đại các định kiến có sẵn trong dữ liệu, dẫn đến phân biệt đối xử có hệ thống mà rất khó phát hiện và chứng minh (Huang, 2023).

Huang, L. (2023). "Ethics of Artificial Intelligence in Education: Student Privacy and Data Protection." Science Insights Education Frontiers, 16(2), 2577–2587. DOI: 10.15354/sief.23.re202

Phân tích các nguy cơ đối với quyền riêng tư và bình đẳng giáo dục khi AI xử lý dữ liệu học sinh mà không có khung quản trị dữ liệu đầy đủ, bao gồm nguy cơ định kiến thuật toán khuếch đại bất bình đẳng có sẵn.

3.2. Tuân thủ khuôn khổ pháp lý ngày càng chặt chẽ

Bối cảnh pháp lý về bảo vệ dữ liệu cá nhân đang thay đổi nhanh chóng trên toàn thế giới, và các trường đại học không thể đứng ngoài xu hướng này.

Tại Liên minh châu Âu, Quy định Bảo vệ Dữ liệu Chung (GDPR — General Data Protection Regulation) có hiệu lực từ năm 2018 áp dụng cho bất kỳ tổ chức nào xử lý dữ liệu của công dân EU, bất kể tổ chức đó đặt trụ sở ở đâu. Điều này có nghĩa là một trường đại học Việt Nam tiếp nhận sinh viên EU — hoặc thậm chí chỉ sử dụng phần mềm lưu trữ dữ liệu trên server đặt tại EU — đều có thể thuộc phạm vi điều chỉnh của GDPR. Các mức phạt theo GDPR có thể lên đến 4% doanh thu toàn cầu hàng năm hoặc 20 triệu EUR, tùy theo mức nào cao hơn — một con số cực kỳ nghiêm trọng với bất kỳ tổ chức giáo dục nào.

Nghiên cứu của Labadie và Legner (2023) phân tích cách các tổ chức xây dựng năng lực quản lý dữ liệu để đáp ứng GDPR, chỉ ra rằng quá trình tuân thủ không chỉ đòi hỏi thay đổi công nghệ mà đòi hỏi tái cơ cấu toàn bộ quy trình quản lý dữ liệu và văn hóa tổ chức (Labadie & Legner, 2023).

Labadie, C., & Legner, C. (2023). "Building data management capabilities to address data protection regulations: Learnings from EU-GDPR." Journal of Information Technology, 38(1), 67–94. DOI: 10.1177/02683962221141456

Nghiên cứu thực địa tại các tổ chức châu Âu cho thấy tuân thủ GDPR đòi hỏi năng lực quản lý dữ liệu toàn diện — không thể đạt được chỉ bằng các biện pháp kỹ thuật đơn lẻ mà cần một khung quy chế thể chế đầy đủ.

Tại Hoa Kỳ, Đạo luật Quyền Giáo dục và Quyền Riêng tư Gia đình (FERPA — Family Educational Rights and Privacy Act) đã tồn tại từ năm 1974 và đặt ra các tiêu chuẩn bảo vệ hồ sơ giáo dục của sinh viên. Nghiên cứu của Sun (2023) phân tích các khoảng trống, suy đoán và vấn đề ẩn trong hệ thống pháp luật bảo vệ quyền riêng tư học sinh tại Mỹ, cho thấy ngay cả hệ thống pháp lý lâu đời nhất cũng còn nhiều vùng mờ khi đối mặt với công nghệ mới (Sun, 2023).

Sun, J. C. (2023). "Gaps, guesswork, and ghosts lurking in technology integration: Laws and policies applicable to student privacy." British Journal of Educational Technology, 54(5), 1147–1162. DOI: 10.1111/bjet.13379

Phân tích các khoảng trống trong luật bảo vệ quyền riêng tư học sinh tại Mỹ khi đối mặt với công nghệ mới, lập luận mạnh mẽ về sự cần thiết của chính sách thể chế bổ sung cho pháp luật quốc gia.

Tại Việt Nam, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân (có hiệu lực từ 01/7/2023) đặt ra yêu cầu rõ ràng đối với mọi tổ chức xử lý dữ liệu cá nhân, bao gồm các cơ sở giáo dục. Nghị định này yêu cầu: (i) phải có cơ sở pháp lý hợp lệ trước khi xử lý dữ liệu cá nhân; (ii) phải thông báo cho chủ thể dữ liệu về mục đích và phạm vi xử lý; (iii) phải có biện pháp bảo vệ an toàn dữ liệu; và (iv) phải có quy trình xử lý khi có vi phạm dữ liệu. Một trường đại học không có quy chế dữ liệu nội bộ sẽ rất khó đảm bảo tuân thủ đầy đủ các yêu cầu này trong thực tế.

Ngoài ra, Luật An ninh mạng số 24/2018/QH14 và Luật An toàn thông tin mạng số 86/2015/QH13 cũng đặt ra các yêu cầu về bảo vệ hệ thống thông tin và dữ liệu trong không gian mạng, áp dụng trực tiếp cho hạ tầng số của các trường đại học.

3.3. Nguy cơ an ninh mạng ngày càng nghiêm trọng

Các trường đại học đang trở thành mục tiêu tấn công mạng hàng đầu trên toàn cầu. Nghiên cứu tổng quan hệ thống của Ulven và Wangen (2021) chỉ ra rằng các tổ chức giáo dục đại học đặc biệt dễ bị tấn công vì nhiều yếu tố cộng hưởng: mạng lưới mở và phi tập trung (thiết kế cho học thuật tự do không tương thích với kiểm soát an ninh chặt chẽ), nhiều điểm truy cập từ xa, nhiều bên thứ ba (sinh viên, đối tác nghiên cứu, nhà cung cấp phần mềm), dữ liệu có giá trị cao (dữ liệu nghiên cứu độc quyền, dữ liệu cá nhân số lượng lớn), và văn hóa an ninh thường yếu hơn so với khu vực doanh nghiệp (Ulven & Wangen, 2021).

Ulven, J. B., & Wangen, G. (2021). "A Systematic Review of Cybersecurity Risks in Higher Education." Future Internet, 13(2), 39. DOI: 10.3390/fi13020039

Tổng quan hệ thống toàn diện về các rủi ro an ninh mạng đặc thù của môi trường đại học, xác định các yếu tố cấu trúc khiến trường đại học dễ bị tấn công hơn so với khu vực doanh nghiệp.

Thực tế đáng lo ngại: theo các báo cáo an ninh mạng quốc tế, khu vực giáo dục đại học liên tục nằm trong nhóm ba ngành bị tấn công ransomware nhiều nhất thế giới. Năm 2020, Đại học California San Francisco (UCSF) phải trả 1,14 triệu USD tiền chuộc sau khi hệ thống nghiên cứu y khoa bị mã hóa. Năm 2021, Đại học Maastricht (Hà Lan) mất toàn bộ dữ liệu nghiên cứu của hàng trăm nhà khoa học. Năm 2022, Đại học Lincoln (Mỹ) phải đóng cửa vĩnh viễn một phần vì áp lực tài chính sau vụ tấn công mạng kết hợp với khủng hoảng COVID-19. [Phân tích của tác giả dựa trên các báo cáo công khai từ Emsisoft và Recorded Future về tấn công ransomware vào giáo dục.]

Trong bối cảnh đó, thiếu một quy chế dữ liệu đồng nghĩa với thiếu: bản đồ dữ liệu (không biết mình đang có gì và ở đâu để bảo vệ), phân loại an ninh (không biết dữ liệu nào cần bảo vệ nghiêm ngặt nhất), kế hoạch ứng phó sự cố (không biết phải làm gì khi xảy ra vi phạm), và cơ chế khôi phục (không có backup đúng quy trình). Thiếu tất cả những thứ đó khiến bất kỳ biện pháp kỹ thuật nào cũng trở nên kém hiệu quả.

3.4. Đảm bảo chất lượng và tính toàn vẹn của dữ liệu nghiên cứu

Dữ liệu nghiên cứu là tài sản quý giá nhất của một trường đại học về phương diện học thuật. Khi dữ liệu nghiên cứu bị mất, bị hỏng hoặc không thể tái sử dụng, thiệt hại không chỉ là về tài chính mà còn là về tiến bộ khoa học và danh tiếng học thuật.

Nguyên tắc FAIR (Findable — Có thể tìm thấy, Accessible — Có thể truy cập, Interoperable — Tương thích, Reusable — Có thể tái sử dụng) đã trở thành tiêu chuẩn toàn cầu cho quản lý dữ liệu nghiên cứu. Carroll và cộng sự (2021) trong nghiên cứu về nguyên tắc CARE và FAIR chỉ ra rằng tính tái sử dụng của dữ liệu không tự nhiên mà có — nó đòi hỏi từ đầu phải có quy trình ghi chép metadata, chuẩn hóa định dạng, và lưu trữ trong hệ thống được thiết kế cho mục đích đó (Carroll et al., 2021).

Carroll, S. R., Herczog, E., & Hudson, M. (2021). "Operationalizing the CARE and FAIR Principles for Indigenous data futures." Scientific Data, 8(1), 108. DOI: 10.1038/s41597-021-00892-0

Hướng dẫn vận hành thực tế hai bộ nguyên tắc quản lý dữ liệu CARE và FAIR, chỉ ra rằng tính FAIR không tự nhiên có mà cần được thiết kế ngay từ đầu quy trình thu thập dữ liệu qua các chính sách và quy trình cụ thể.

Nhiều cơ quan tài trợ nghiên cứu trên thế giới hiện yêu cầu bắt buộc nộp Kế hoạch Quản lý Dữ liệu (Data Management Plan — DMP) như một phần của hồ sơ đề xuất dự án. Chương trình Horizon Europe (EU), National Science Foundation (Mỹ), và ngày càng nhiều quỹ nghiên cứu châu Á đều có yêu cầu tương tự. Một trường đại học không có quy chế dữ liệu nghiên cứu sẽ đặt các nhà nghiên cứu của mình vào thế bất lợi khi xin tài trợ quốc tế.

3.5. Xây dựng niềm tin và văn hóa dữ liệu có trách nhiệm

Niềm tin là cơ sở của bất kỳ quan hệ giáo dục nào. Sinh viên tin tưởng trao thông tin cho nhà trường vì họ tin rằng thông tin đó sẽ được dùng để phục vụ lợi ích của họ — không phải để giám sát, kiểm soát hay kinh doanh. Khi niềm tin đó bị vi phạm — dù chỉ một lần — hệ quả có thể kéo dài nhiều năm.

Nghiên cứu của Holmes và cộng sự (2022) về khung đạo đức AI trong giáo dục nhấn mạnh rằng các tổ chức giáo dục cần xây dựng một nền văn hóa dữ liệu có trách nhiệm — không chỉ tuân thủ pháp luật mà còn chủ động thúc đẩy các giá trị như minh bạch, công bằng và có trách nhiệm giải trình trong cách sử dụng dữ liệu (Holmes et al., 2022).

Holmes, W., Porayska-Pomsta, K., & Holstein, K. (2022). "Ethics of AI in Education: Towards a Community-Wide Framework." International Journal of Artificial Intelligence in Education, 32(3), 504–526. DOI: 10.1007/s40593-021-00239-1

Đề xuất khung đạo đức toàn diện cho AI trong giáo dục, nhấn mạnh rằng quản trị dữ liệu là nền tảng đạo đức không thể thiếu trong bất kỳ triển khai AI nào trong môi trường học tập.

Quy chế dữ liệu không chỉ là văn bản hành chính — đó là tuyên ngôn về giá trị của tổ chức đối với cộng đồng học thuật. Khi một trường đại học công bố quy chế dữ liệu rõ ràng, minh bạch về cách thu thập, sử dụng và bảo vệ dữ liệu, nhà trường đó đang gửi đi một thông điệp quan trọng: chúng tôi tôn trọng quyền của bạn, chúng tôi chịu trách nhiệm về dữ liệu của bạn, và chúng tôi sẵn sàng bị giám sát về điều đó.

3.6. Thúc đẩy ra quyết định dựa trên dữ liệu trong quản trị đại học

Một lý do ít được nhắc đến nhưng không kém phần quan trọng: quy chế dữ liệu tốt là điều kiện để các lãnh đạo đại học có thể thực sự sử dụng dữ liệu cho ra quyết định. Không thể ra quyết định dựa trên dữ liệu nếu không biết dữ liệu đang nằm ở đâu, ai chịu trách nhiệm về dữ liệu đó, và dữ liệu có đáng tin cậy không.

Nghiên cứu về rào cản chuyển đổi số trong giáo dục đại học của Singun (2025) xác định thiếu quản trị dữ liệu là một trong những rào cản cấu trúc quan trọng nhất ngăn cản các tổ chức đại học tận dụng công nghệ số để cải thiện kết quả giáo dục và hiệu quả vận hành (Singun, 2025).

Singun, A. (2025). "Unveiling the barriers to digital transformation in higher education institutions: a systematic literature review." Discover Education, 4(1), 63. DOI: 10.1007/s44217-025-00430-9

Tổng quan hệ thống về các rào cản chuyển đổi số trong giáo dục đại học, xác định thiếu quản trị dữ liệu cùng với thiếu năng lực con người và thiếu lãnh đạo chiến lược là ba rào cản hàng đầu.

Quản trị dữ liệu tốt cho phép tổng hợp và so sánh dữ liệu từ nhiều nguồn khác nhau, xây dựng dashboard quản lý thực thời, phân tích xu hướng dài hạn, và tự động hóa các quy trình báo cáo. Tất cả điều này giúp lãnh đạo đại học có được cái nhìn toàn diện và kịp thời về tình trạng của tổ chức — điều không thể có được khi dữ liệu phân tán, thiếu nhất quán và không ai sở hữu rõ ràng.

4. Kinh Nghiệm Quốc Tế: Chính Sách Dữ Liệu Đại Học Trên Thế Giới

Không có bộ quy định nào tác động mạnh đến cách các trường đại học quản lý dữ liệu như Quy định Bảo vệ Dữ liệu Chung của EU (GDPR). Kể từ khi có hiệu lực toàn diện vào tháng 5/2018, GDPR đã buộc hàng nghìn cơ sở giáo dục đại học châu Âu phải đánh giá lại toàn bộ vòng đời dữ liệu của mình.

Các trường đại học lớn tại Anh, Đức, Hà Lan và Thụy Điển đã phát triển những mô hình quản trị dữ liệu có thể được xem là chuẩn mực toàn cầu. Đại học Oxford, chẳng hạn, có một Data Protection Policy toàn diện được cập nhật định kỳ, một mạng lưới Điều phối viên Bảo vệ Dữ liệu (Data Protection Coordinator) phân tán tại từng khoa, và một hệ thống đánh giá tác động bảo vệ dữ liệu (Data Protection Impact Assessment — DPIA) bắt buộc trước khi triển khai bất kỳ hệ thống xử lý dữ liệu mới nào.

Đại học Cambridge phân biệt rõ ràng ba loại dữ liệu: dữ liệu hành chính (administrative data), dữ liệu nghiên cứu (research data) và dữ liệu giảng dạy (teaching data) — mỗi loại có chính sách riêng về thu thập, lưu trữ, chia sẻ và xóa. Hệ thống Research Data Management của Cambridge yêu cầu mọi dự án nghiên cứu phải có DMP trước khi bắt đầu, và DMP phải được cập nhật trong suốt vòng đời dự án.

Đại học Maastricht (Hà Lan) — chính là trường từng bị tấn công ransomware nghiêm trọng năm 2021 — sau sự cố đã triển khai một hệ thống quản trị dữ liệu đầy đủ gồm: phân loại dữ liệu bắt buộc, mã hóa end-to-end cho dữ liệu nhạy cảm, hệ thống backup theo quy tắc 3-2-1 (3 bản sao trên 2 phương tiện khác nhau, 1 bản offsite), và diễn tập ứng phó sự cố hàng năm. Đây là bài học đắt giá nhưng cũng là minh chứng rõ ràng nhất về giá trị của chính sách dữ liệu phòng ngừa.

[Phân tích của tác giả dựa trên chính sách công khai của các trường được đề cập và báo cáo sau sự cố Đại học Maastricht.]

4.2. Hoa Kỳ: FERPA, COPPA và văn hóa tuân thủ đa tầng

Hệ thống pháp lý về dữ liệu giáo dục tại Mỹ phức tạp hơn châu Âu vì tính liên bang: bên cạnh luật liên bang (FERPA, COPPA cho trẻ em dưới 13 tuổi, HIPAA cho dữ liệu y tế), mỗi tiểu bang có thể có luật bổ sung, và từng trường đại học còn phải tuân thủ các yêu cầu từ các cơ quan tài trợ và hiệp hội kiểm định.

Nghiên cứu của Sun (2023) cho thấy sự phức tạp đa tầng này thực ra tạo ra "khoảng mờ" pháp lý nguy hiểm hơn là tạo ra bảo vệ bao quát — các công nghệ giáo dục mới thường khai thác những khoảng mờ này để thu thập và kinh doanh dữ liệu học sinh theo những cách mà các nhà lập pháp chưa dự liệu (Sun, 2023).

Các trường đại học Mỹ có truyền thống mạnh trong xây dựng chính sách dữ liệu nội bộ để bù đắp cho những khoảng trống pháp lý này. Đại học Michigan có chính sách Sensitive Data Classification với bốn cấp độ: Public, Sensitive, Confidential và Restricted — mỗi cấp độ có yêu cầu rõ ràng về ai được truy cập, phương thức lưu trữ, và quy trình xử lý khi chuyển giao. Đại học Cornell có Data Classification System tương tự, kết hợp với chương trình đào tạo bắt buộc cho tất cả nhân viên tiếp cận dữ liệu nhạy cảm.

Một xu hướng đáng chú ý tại Mỹ là các trường đại học ngày càng yêu cầu các nhà cung cấp phần mềm bên thứ ba (EdTech vendors) ký kết Data Processing Agreements (DPA) làm điều kiện để đưa sản phẩm vào sử dụng trong trường. Điều này phản ánh nhận thức rằng rủi ro dữ liệu trong thời đại SaaS (Software as a Service) không thể chỉ được quản lý từ phía nhà trường — mà đòi hỏi sự cam kết từ toàn bộ chuỗi cung ứng dữ liệu.

4.3. Australia và New Zealand: Mô hình quản trị dữ liệu tích hợp

Australia có cách tiếp cận đặc thù trong quản trị dữ liệu nghiên cứu thông qua Hội đồng Nghiên cứu Australia (ARC) và Hội đồng Nghiên cứu Y tế Quốc gia (NHMRC), cả hai đều yêu cầu DMP bắt buộc và ưu tiên lưu trữ dữ liệu trong kho dữ liệu được kiểm duyệt (certified repository).

Đại học Melbourne có một Research Data Management Policy có hệ thống bao gồm toàn bộ vòng đời dữ liệu nghiên cứu, từ kế hoạch trước khi thu thập cho đến lưu trữ và chia sẻ sau khi công bố kết quả. Đặc biệt, chính sách này yêu cầu dữ liệu phải được lưu trữ ít nhất 5 năm sau khi công bố — hoặc lâu hơn nếu có yêu cầu của cơ quan tài trợ — để cho phép kiểm tra lại và tái sử dụng.

New Zealand có đóng góp quan trọng cho triết lý quản trị dữ liệu qua phong trào dữ liệu Māori (Te Mana Raraunga). Carroll và cộng sự (2020) đề xuất nguyên tắc CARE (Collective Benefit — Lợi ích tập thể, Authority to Control — Quyền kiểm soát, Responsibility — Trách nhiệm, Ethics — Đạo đức) như một bổ sung cho nguyên tắc FAIR, đặc biệt nhấn mạnh quyền của các cộng đồng trong việc kiểm soát dữ liệu về chính họ (Carroll et al., 2020).

Carroll, S. R., Garba, I., Figueroa-Rodríguez, O. L., & Holbrook, J. (2020). "The CARE Principles for Indigenous Data Governance." Data Science Journal, 19(1), 43. DOI: 10.5334/dsj-2020-043

Đề xuất nguyên tắc CARE như bổ sung cho FAIR trong quản trị dữ liệu, nhấn mạnh quyền tự quyết và trách nhiệm với cộng đồng — có ý nghĩa quan trọng cho quản trị dữ liệu sinh viên trong các tổ chức giáo dục.

Mặc dù nguyên tắc CARE ban đầu được phát triển cho dữ liệu cộng đồng bản địa, tư tưởng nền tảng của nó — rằng các cộng đồng có quyền kiểm soát và hưởng lợi từ dữ liệu về họ — có ứng dụng rộng hơn trong bối cảnh dữ liệu sinh viên. Điều này đặt ra câu hỏi quan trọng: liệu sinh viên — với tư cách là cộng đồng tạo ra dữ liệu học tập — có quyền gì đối với dữ liệu đó, và trường đại học có trách nhiệm gì trong việc đảm bảo dữ liệu đó được dùng vì lợi ích của họ?

4.4. Châu Á: Singapore, Nhật Bản và xu hướng quản trị dữ liệu mới nổi

Singapore có cách tiếp cận tích hợp và thực dụng đặc trưng. Đạo luật Bảo vệ Dữ liệu Cá nhân (PDPA — Personal Data Protection Act) 2012 (cập nhật 2021) áp dụng cho cả khu vực tư nhân lẫn các tổ chức giáo dục. Cơ quan Bảo vệ Dữ liệu Cá nhân Singapore (PDPC) đã ban hành hướng dẫn riêng cho tổ chức giáo dục, bao gồm các ví dụ cụ thể về xử lý dữ liệu học sinh hợp lệ và không hợp lệ.

Đại học Quốc gia Singapore (NUS) và Đại học Công nghệ Nanyang (NTU) đều có Data Governance Framework tích hợp với các vai trò quản trị rõ ràng: Chief Data Officer, Data Steward theo từng bộ phận, và Data Custodian ở cấp hệ thống. Mô hình ba tầng này — Data Owner (chủ sở hữu dữ liệu theo nghiệp vụ), Data Steward (người quản lý chất lượng), và Data Custodian (người bảo quản kỹ thuật) — đã trở thành mô hình tham chiếu cho nhiều trường đại học châu Á.

Nhật Bản có cách tiếp cận thận trọng hơn nhưng đang thay đổi nhanh chóng sau khi Đạo luật Bảo vệ Thông tin Cá nhân (APPI) được sửa đổi chi tiết năm 2022. Bộ Giáo dục, Văn hóa, Thể thao, Khoa học và Công nghệ Nhật Bản (MEXT) đã ban hành hướng dẫn quản lý dữ liệu cho các trường đại học, nhấn mạnh yêu cầu bản địa hóa dữ liệu (data localization) — dữ liệu giáo dục nhạy cảm phải được lưu trữ trên server đặt tại Nhật Bản.

Hàn Quốc đáng được chú ý vì cách tiếp cận tích hợp mạng lưới số hóa mạnh mẽ với kiểm soát nghiêm ngặt. Đạo luật Bảo vệ Thông tin Cá nhân (PIPA) của Hàn Quốc được đánh giá là một trong những luật bảo vệ dữ liệu chặt chẽ nhất châu Á. Hầu hết các trường đại học lớn của Hàn Quốc đã thiết lập Privacy Officer độc lập và hệ thống quản lý quyền riêng tư (Privacy Management System — PMS) được chứng nhận bởi cơ quan nhà nước.

4.5. Các trường đại học tại Việt Nam: Hiện trạng và khoảng trống

Chuyển đổi số trong giáo dục đại học Việt Nam đang diễn ra với tốc độ ngày càng tăng, được thúc đẩy bởi Quyết định 749/QĐ-TTg ngày 3/6/2020 phê duyệt Chương trình Chuyển đổi số Quốc gia đến năm 2025 và định hướng đến năm 2030. Chương trình đặt mục tiêu Việt Nam thuộc nhóm 30 nước dẫn đầu về chính phủ điện tử, và giáo dục số là một trong những trụ cột ưu tiên.

Nghiên cứu của Quy, Thanh và Chehri (2023) về chuyển đổi số tại một trường đại học cụ thể ở Việt Nam cho thấy các tổ chức giáo dục đại học Việt Nam đang đầu tư mạnh vào hạ tầng công nghệ (LMS, hệ thống quản lý đào tạo, phần mềm văn phòng) nhưng năng lực quản trị dữ liệu đi kèm chưa theo kịp tốc độ triển khai (Quy et al., 2023).

Quy, V. K., Thanh, B. T., & Chehri, A. (2023). "AI and Digital Transformation in Higher Education: Vision and Approach of a Specific University in Vietnam." Sustainability, 15(14), 11093. DOI: 10.3390/su151411093

Nghiên cứu trường hợp về triển khai AI và chuyển đổi số tại một trường đại học Việt Nam, chỉ ra khoảng cách giữa đầu tư công nghệ và năng lực quản trị dữ liệu đi kèm.

Nghiên cứu của Giang, Hai và Tu (2021) về sẵn sàng chuyển đổi số trong một cơ sở giáo dục đại học Việt Nam hướng đến Cách mạng Công nghiệp 4.0 tiết lộ rằng trong khi nhận thức về tầm quan trọng của chuyển đổi số là cao, năng lực thực thi — bao gồm quản trị dữ liệu, an ninh thông tin và quản lý thay đổi — vẫn là điểm yếu đáng kể (Giang et al., 2021).

Giang, N. T. H., Hai, P. T. T., & Tu, N. T. T. (2021). "Exploring the Readiness for Digital Transformation in a Higher Education Institution towards Industrial Revolution 4.0." International Journal of Engineering Pedagogy, 11(2), 4–23. DOI: 10.3991/ijep.v11i2.17515

Đánh giá mức độ sẵn sàng chuyển đổi số tại trường đại học Việt Nam, xác định quản trị dữ liệu và an ninh thông tin là hai điểm yếu chiến lược cần ưu tiên tăng cường.

Thực tế quan sát được cho thấy bức tranh đa chiều tại các trường đại học Việt Nam:

Về cơ sở pháp lý nội bộ: Phần lớn các trường đại học chưa có quy chế quản lý dữ liệu số độc lập. Một số trường có quy định về bảo mật thông tin lồng ghép trong quy chế CNTT chung, nhưng thường ở mức độ rất chung chung và không có cơ chế thực thi rõ ràng.

Về phân loại dữ liệu: Hầu hết các trường chưa có hệ thống phân loại dữ liệu theo mức độ nhạy cảm. Dữ liệu cá nhân của sinh viên, dữ liệu nghiên cứu và dữ liệu hành chính thường được xử lý theo cùng một cách — nghĩa là không có biện pháp bảo vệ đặc biệt cho dữ liệu nhạy cảm.

Về quyền của sinh viên: Sinh viên thường không biết về quyền của mình đối với dữ liệu cá nhân, và không có cơ chế rõ ràng để họ thực hiện quyền truy cập, chỉnh sửa hay yêu cầu xóa dữ liệu.

Về ứng phó sự cố: Chưa có nhiều trường đại học Việt Nam công bố quy trình ứng phó sự cố dữ liệu. Khi xảy ra sự cố (mà phần lớn không được công bố), việc xử lý thường mang tính ad hoc và thiếu quy trình.

Về dữ liệu nghiên cứu: Phần lớn dữ liệu nghiên cứu được lưu trữ trên máy tính cá nhân của nhà nghiên cứu hoặc server cục bộ của đơn vị, không theo bất kỳ chuẩn quản lý dữ liệu nào. Khi nhà nghiên cứu chuyển công tác hoặc nghỉ hưu, dữ liệu thường bị mất hoàn toàn.

[Phân tích của tác giả dựa trên quan sát thực tế và tổng hợp thông tin từ các nguồn công khai về hiện trạng chuyển đổi số tại các trường đại học Việt Nam.]

4.6. Các mô hình quản trị dữ liệu tiên tiến — Bài học cho Việt Nam

Mô hình Data Governance Framework của DAMA International (Data Management Body of Knowledge — DMBOK) được nhiều trường đại học tiên tiến áp dụng làm khung tham chiếu. DMBOK xác định 11 lĩnh vực quản lý dữ liệu: Data Governance, Data Architecture, Data Modeling & Design, Data Storage & Operations, Data Security, Data Integration & Interoperability, Documents & Content, Reference & Master Data, Data Warehousing & Business Intelligence, Metadata, và Data Quality. Dự thảo Quy chế của FTU đã tham chiếu DAMA — đây là bước đi đúng hướng, nhưng cần chuyển hóa từ tham chiếu khung lý thuyết sang các quy định cụ thể hơn.

Mô hình Mô hình Trưởng thành Quản trị Dữ liệu (Data Governance Maturity Model) là công cụ hữu ích để đánh giá và lập kế hoạch phát triển năng lực. Nghiên cứu của Saraiva và cộng sự (2025) phát triển MMAI-LGPD — một mô hình trưởng thành cho quản trị dữ liệu và tuân thủ pháp luật tại các tổ chức hệ thống thông tin — cho thấy các tổ chức thường trải qua 5 cấp độ trưởng thành: Initial (ad hoc), Defined (quy trình được định nghĩa), Managed (được quản lý và đo lường), Integrated (tích hợp hệ thống), và Optimizing (liên tục cải thiện) (Saraiva et al., 2025).

Saraiva, J., Souza, C. de, & Soares, S. (2025). "MMAI-LGPD: A Maturity Model for Governance and Data Compliance in Information Systems Institutions." Simpósio Brasileiro de Sistemas de Informação. DOI: 10.5753/sbsi.2025.246644

Mô hình trưởng thành tích hợp cho quản trị dữ liệu và tuân thủ pháp luật trong các tổ chức, cung cấp lộ trình từng bước để các đơn vị đánh giá mức độ hiện tại và lập kế hoạch phát triển năng lực.

Phần lớn các trường đại học Việt Nam hiện đang ở cấp độ 1 (Initial/Ad hoc) hoặc mới chuyển sang cấp độ 2 (Defined). Mục tiêu trong 3–5 năm tới có thể là đạt cấp độ 3 (Managed) — có quy chế thành văn, phân công vai trò rõ ràng, và cơ chế giám sát hoạt động.

Nguyên tắc AI có trách nhiệm trong giáo dục đang tác động ngày càng mạnh đến quản trị dữ liệu. Nghiên cứu của Nguyen và cộng sự (2022) về các nguyên tắc đạo đức AI trong giáo dục xác định sáu nguyên tắc cốt lõi: minh bạch, công bằng, không gây hại, trách nhiệm giải trình, quyền riêng tư và an toàn — và chỉ ra rằng tất cả sáu nguyên tắc này đều có hàm ý trực tiếp với cách quản lý dữ liệu trong trường học (Nguyen et al., 2022).

Nguyen, A., Ngo, H. N., & Hong, Y. (2022). "Ethical principles for artificial intelligence in education." Education and Information Technologies, 28(4), 4221–4241. DOI: 10.1007/s10639-022-11316-w

Xác định sáu nguyên tắc đạo đức cốt lõi cho AI trong giáo dục và chỉ ra rằng tất cả đều đòi hỏi nền tảng quản trị dữ liệu vững chắc — không thể có AI đạo đức nếu không có dữ liệu được quản trị có trách nhiệm.

5. Rủi Ro Khi Không Có Quy Chế Dữ Liệu: Phân Tích Theo Chiều Rộng Và Chiều Sâu

5.1. Rủi ro pháp lý và tuân thủ

Trong bối cảnh pháp luật về bảo vệ dữ liệu đang dần chặt chẽ hơn tại Việt Nam, các trường đại học không có quy chế dữ liệu đối mặt với rủi ro pháp lý ngày càng tăng.

Nghị định 13/2023/NĐ-CP quy định các hành vi vi phạm bảo vệ dữ liệu cá nhân có thể bị xử lý hành chính và hình sự. Điều 9 của Nghị định quy định nghĩa vụ của Bên Kiểm soát dữ liệu (Controller) — bao gồm các trường đại học khi xử lý dữ liệu sinh viên và cán bộ — phải: thực hiện các biện pháp bảo vệ dữ liệu cá nhân; thông báo vi phạm bảo vệ dữ liệu cá nhân trong vòng 72 giờ; và đảm bảo dữ liệu chỉ được xử lý cho mục đích đã được đồng ý. Không có quy chế dữ liệu nội bộ đồng nghĩa với không có cơ chế để thực thi bất kỳ điều khoản nào trong số này.

Ngoài Nghị định 13/2023, các trường đại học còn chịu điều chỉnh của Luật An ninh mạng 2018 về bảo vệ hạ tầng số, và Nghị định 47/2020/NĐ-CP về quản lý, kết nối và chia sẻ dữ liệu số của cơ quan nhà nước — áp dụng cho các trường công lập. Với một ma trận pháp lý phức tạp như vậy, không có quy chế dữ liệu nội bộ là một rủi ro pháp lý nghiêm trọng.

5.2. Rủi ro danh tiếng và niềm tin

Vi phạm dữ liệu tại một trường đại học không chỉ gây thiệt hại tài chính — nó phá hủy uy tín học thuật được xây dựng qua nhiều thập kỷ. Trong thời đại mạng xã hội, một sự cố rò rỉ dữ liệu sinh viên có thể lan truyền toàn quốc trong vài giờ và ảnh hưởng đến quyết định đăng ký nhập học của hàng nghìn thí sinh tiềm năng.

Niềm tin — khi đã mất — rất khó lấy lại. Nghiên cứu trong lĩnh vực tâm lý tổ chức cho thấy các tổ chức cần trung bình 5–7 năm để phục hồi niềm tin của công chúng sau một sự cố dữ liệu nghiêm trọng, ngay cả khi họ phản hồi đúng đắn và kịp thời. [Phân tích của tác giả.]

5.3. Rủi ro vận hành và liên tục hoạt động

Tấn công mạng nhắm vào trường đại học — đáng chú ý là ransomware — có thể đình chỉ hoàn toàn hoạt động giảng dạy và vận hành. Mọi hệ thống phụ thuộc vào dữ liệu: từ lịch thi, điểm số, hệ thống thanh toán học phí, đến email nội bộ. Khi dữ liệu bị mã hóa hoặc bị xóa, nhà trường không thể vận hành bình thường.

Không có kế hoạch quản lý dữ liệu bao gồm sao lưu và khôi phục, các trường đại học sẽ không biết: cần bao lâu để khôi phục, cần khôi phục từ đâu, và ai có quyền ra quyết định trong tình huống khẩn cấp. Đây không phải tình huống giả định — đây là điều đã xảy ra với hàng chục trường đại học trên thế giới.

5.4. Rủi ro với tính toàn vẹn của dữ liệu nghiên cứu

Khi không có quy chế quản lý dữ liệu nghiên cứu, dữ liệu thường được lưu trữ phân tán, không có bản sao lưu, không có tài liệu hóa (documentation), và không thể tái sử dụng bởi người khác. Điều này không chỉ lãng phí công sức nghiên cứu — nó còn tạo ra nguy cơ cho tính toàn vẹn học thuật.

Khi dữ liệu gốc không còn có thể truy cập hoặc không được ghi chép đúng cách, không thể kiểm tra lại kết quả nghiên cứu khi cần thiết. Trong thời đại cuộc khủng hoảng tái lập (replication crisis) trong khoa học, đây là vấn đề ngày càng được cộng đồng học thuật quốc tế chú ý.

5.5. Rủi ro bất bình đẳng thuật toán

Khi các hệ thống phân tích dữ liệu học tập được triển khai mà không có khung quản trị, nguy cơ phân biệt đối xử thuật toán là hiện hữu. Một thuật toán dự đoán kết quả học tập có thể bất công với sinh viên thuộc các nhóm thiểu số nếu dữ liệu huấn luyện có định kiến từ trước. Một hệ thống phát hiện gian lận có thể thiên vị chống lại sinh viên có hoàn cảnh nổi bật hoặc sử dụng ngôn ngữ không phải tiếng mẹ đẻ.

Không có quy chế dữ liệu quy định về đánh giá tác động của các hệ thống thuật toán (Algorithmic Impact Assessment), các trường đại học có thể vô tình triển khai các hệ thống gây hại mà không hề hay biết cho đến khi thiệt hại đã xảy ra.

6. Phân Tích Chuyên Sâu: Thiết Kế Quy Chế Cho Môi Trường Đại Học Đa Dạng Tại Việt Nam

6.1. Đặc thù của hệ thống giáo dục đại học Việt Nam và ảnh hưởng đến thiết kế quy chế

Hệ thống giáo dục đại học Việt Nam có một số đặc điểm cấu trúc ảnh hưởng trực tiếp đến cách thiết kế và triển khai quy chế dữ liệu, khác với các hệ thống mà chúng ta học tập kinh nghiệm từ phương Tây hay châu Á phát triển.

Tính đa dạng về mô hình quản trị: Hệ thống đại học Việt Nam bao gồm các trường công lập do Nhà nước đầu tư và quản lý, các trường công lập tự chủ tài chính, và các trường ngoài công lập. Ba nhóm này có khung pháp lý, nguồn tài chính và cơ cấu quản trị khác nhau đáng kể, dẫn đến năng lực và yêu cầu về quản trị dữ liệu cũng khác nhau. Một quy chế dữ liệu "chuẩn toàn ngành" sẽ cần tính đến sự đa dạng này, trong khi quy chế cấp trường cần điều chỉnh cho phù hợp với đặc thù của từng tổ chức.

Hệ thống thông tin phân tán và di sản công nghệ: Nhiều trường đại học Việt Nam đang vận hành đồng thời nhiều hệ thống thông tin được xây dựng qua nhiều giai đoạn khác nhau — từ những phần mềm kế toán có từ đầu những năm 2000 đến LMS được triển khai gần đây, từ cơ sở dữ liệu Access địa phương đến hệ thống ERP tích hợp. Sự đa dạng này tạo ra thách thức thiết yếu cho việc xây dựng bản đồ dữ liệu (data mapping) và áp dụng thống nhất các biện pháp bảo vệ.

Áp lực tuân thủ đa chiều: Các trường đại học công lập Việt Nam phải tuân thủ đồng thời: quy định của Bộ Giáo dục và Đào tạo, quy định của bộ chủ quản (nếu có), quy định về quản lý tài sản công, Luật Viên chức áp dụng cho cán bộ, và ngày càng nhiều các yêu cầu pháp luật về dữ liệu. Quy chế dữ liệu của trường phải được thiết kế để tích hợp, không xung đột với toàn bộ hệ thống pháp lý này.

Văn hóa tổ chức và mức độ số hóa không đồng đều: Trong cùng một trường, có thể tồn tại song song bộ phận CNTT rất hiện đại với một số đơn vị vẫn còn lưu hồ sơ giấy là chính. Quy chế dữ liệu phải đủ linh hoạt để áp dụng cho cả hai thực tế, với lộ trình chuyển đổi rõ ràng.

6.2. Nghiên cứu điển hình: Bài học từ các vụ vi phạm dữ liệu đại học nổi bật

Các vụ vi phạm dữ liệu nghiêm trọng trong lĩnh vực giáo dục đại học cung cấp những bài học thực tế vô giá về hậu quả của việc thiếu quản trị dữ liệu đầy đủ. Phân tích các vụ việc đã được công bố công khai cho thấy những điểm yếu có tính hệ thống và có thể phòng ngừa được.

Vụ việc Đại học East Anglia (Anh, 2019): Một nhân viên vô tình gửi email chứa dữ liệu cá nhân của 191 sinh viên đến toàn bộ mạng lưới phụ huynh. Nguyên nhân: không có quy trình kiểm tra trước khi gửi email hàng loạt, không có công cụ phát hiện dữ liệu nhạy cảm trong nội dung email. Biện pháp khắc phục: triển khai hệ thống DLP (Data Loss Prevention) và quy trình phê duyệt hai người cho email hàng loạt.

Vụ việc Đại học York (Canada, 2019): Tấn công lừa đảo qua email (phishing) dẫn đến rò rỉ thông tin của 52.000 sinh viên và nhân viên. Nguyên nhân: nhân viên không được đào tạo nhận diện email lừa đảo; không có xác thực đa yếu tố (MFA). Biện pháp khắc phục: triển khai MFA bắt buộc cho tất cả tài khoản, chương trình đào tạo phishing simulation hàng quý.

Vụ việc Đại học Greenwich (Anh, 2016): Nhà trường bị phạt 120.000 bảng Anh vì để dữ liệu của hơn 19.000 sinh viên và nhân sự bị rò rỉ qua một hệ thống tập huấn cũ không được bảo mật. Nguyên nhân: không có quy trình thanh lý hệ thống cũ đúng cách; không có kiểm kê sâu rộng các điểm tiếp xúc dữ liệu. Biện pháp khắc phục: kiểm kê đa chiều hệ thống định kỳ; quy trình tắt hệ thống có chứa dữ liệu.

Điểm chung của tất cả các vụ việc trên: không phải thiếu công nghệ bảo mật — mà là thiếu chính sách rõ ràng, thiếu đào tạo, và thiếu quy trình vận hành. Đây chính xác là những thứ mà một quy chế dữ liệu tốt cung cấp. [Phân tích của tác giả dựa trên hồ sơ vi phạm công khai từ ICO (Information Commissioner's Office) UK và các báo cáo sự cố được công bố.]

6.3. So sánh mô hình quản trị dữ liệu tập trung và phân tán

Một câu hỏi quan trọng trong thiết kế quy chế là: ai quản lý dữ liệu? Có hai mô hình cơ bản, mỗi cái có ưu và nhược điểm riêng.

Mô hình tập trung (Centralized): Một đơn vị trung tâm (thường là Trung tâm CNTT hoặc phòng Data Analytics) chịu trách nhiệm quản lý toàn bộ dữ liệu của trường. Ưu điểm: nhất quán, dễ kiểm soát, kinh tế quy mô. Nhược điểm: thiếu kiến thức nghiệp vụ chuyên sâu của từng đơn vị, tạo nút cổ chai, không phù hợp với tổ chức lớn.

Mô hình phân tán (Federated/Distributed): Mỗi đơn vị (khoa, phòng) quản lý dữ liệu của mình theo một khung chung. Ưu điểm: sát với thực tế nghiệp vụ, linh hoạt hơn. Nhược điểm: khó đảm bảo nhất quán, đòi hỏi năng lực CNTT rộng khắp.

Khuyến nghị cho đại học Việt Nam: Mô hình lai (Federated với Central Oversight) phù hợp nhất. Trung tâm CNTT thiết lập chính sách, tiêu chuẩn kỹ thuật và nền tảng hạ tầng chung (centralized governance). Các đơn vị/khoa quản lý dữ liệu nghiệp vụ của mình với sự hỗ trợ từ Trung tâm CNTT (distributed management). DGB điều phối và giải quyết tranh chấp. Mô hình này cân bằng giữa tính nhất quán cần thiết và sự linh hoạt theo bối cảnh nghiệp vụ.

6.4. Xây dựng quy chế dữ liệu theo từng giai đoạn trưởng thành

Một lỗi phổ biến khi ban hành quy chế dữ liệu là tạo ra một văn bản lý tưởng nhưng xa rời thực tế hiện tại của tổ chức. Nếu nhà trường đang ở cấp độ trưởng thành 1 (ad hoc) mà ban hành quy chế yêu cầu cấp độ 5 (tối ưu hóa), kết quả thường là quy chế không được tuân thủ và trở thành "trang trí".

Cách tiếp cận thực tế hơn là xây dựng quy chế theo từng giai đoạn (phased approach):

Giai đoạn 1 (Năm 1) — Quy chế Nền tảng: Tập trung vào những yêu cầu tối thiểu không thể thiếu: phân loại dữ liệu 4 cấp, phân quyền truy cập cơ bản, yêu cầu mã hóa cho dữ liệu nhạy cảm, quy trình báo cáo sự cố, và quyền cơ bản của chủ thể dữ liệu. Quy chế giai đoạn này nên ngắn gọn (10-15 điều), rõ ràng và khả thi ngay với nguồn lực hiện có.

Giai đoạn 2 (Năm 2–3) — Quy chế Phát triển: Bổ sung các yêu cầu nâng cao hơn: DMP cho nghiên cứu, yêu cầu DPIA cho hệ thống mới, chương trình đào tạo có cấu trúc, Ma trận Sở hữu Dữ liệu đầy đủ, và yêu cầu DPA với bên thứ ba.

Giai đoạn 3 (Năm 4–5) — Quy chế Trưởng thành: Thêm các yêu cầu tinh tế hơn: đánh giá tác động thuật toán cho hệ thống AI, chương trình audit độc lập định kỳ, mục tiêu FAIR cho dữ liệu nghiên cứu, và tích hợp với các tiêu chuẩn quốc tế như ISO 27001.

Mỗi giai đoạn nên có đánh giá trung gian để xác nhận mức độ tuân thủ trước khi chuyển sang giai đoạn tiếp theo.

6.5. Quyền riêng tư theo thiết kế trong môi trường đại học — Hướng dẫn thực hành

Privacy by Design (PbD) — quyền riêng tư được tích hợp ngay từ khi thiết kế hệ thống — là nguyên tắc cốt lõi của GDPR và ngày càng được áp dụng rộng rãi. Trong môi trường đại học, PbD có những ứng dụng cụ thể:

Đối với hệ thống LMS: Khi lựa chọn hoặc xây dựng LMS, phải đánh giá: hệ thống thu thập tối thiểu những gì? Dữ liệu được lưu ở đâu (trong nước hay nước ngoài)? Người dùng có thể xuất dữ liệu của mình không? Sau khi kết thúc học kỳ, dữ liệu hành vi được xóa như thế nào? Khi đã lựa chọn hệ thống, cấu hình sao cho tắt các tính năng thu thập dữ liệu không cần thiết.

Đối với hệ thống điểm danh: Hệ thống điểm danh bằng nhận diện khuôn mặt hay vân tay thu thập dữ liệu sinh trắc học — loại dữ liệu nhạy cảm nhất theo quy định của Nghị định 13/2023. Trước khi triển khai, phải: đánh giá sự cần thiết (có giải pháp thay thế không xâm phạm quyền riêng tư hơn không?), lấy sự đồng thuận có thông tin từ từng sinh viên, cung cấp phương án thay thế cho sinh viên không muốn dùng sinh trắc học, và xác định rõ dữ liệu sinh trắc học sẽ được mã hóa và xóa sau bao lâu.

Đối với hệ thống giám sát thi trực tuyến (proctoring): Đây là một trong những vấn đề gây tranh cãi nhất trong giáo dục trực tuyến. Nghiên cứu toàn cầu cho thấy nhiều phần mềm proctoring thu thập nhiều dữ liệu hơn cần thiết, có định kiến chống lại người dùng có màu da tối hơn hoặc đặc điểm khuôn mặt không phải phương Tây, và dữ liệu thường được lưu trữ trên server nước ngoài. Trước khi triển khai bất kỳ phần mềm proctoring nào, nhà trường phải trả lời: dữ liệu video của sinh viên đi về đâu? Được lưu bao lâu? Ai ở công ty phần mềm có thể xem? Và phương án dự phòng cho sinh viên có điều kiện kỹ thuật không đáp ứng yêu cầu là gì?

Đối với email và truyền thông nội bộ: Cần có hướng dẫn rõ ràng về: không gửi dữ liệu Cấp 3/4 qua email thông thường; sử dụng hệ thống chia sẻ file an toàn thay vì đính kèm email; không sử dụng tài khoản email cá nhân cho công việc nhà trường; và mã hóa email khi cần gửi thông tin nhạy cảm.

6.6. Tích hợp quản trị dữ liệu với chiến lược chuyển đổi số đại học

Một điểm thường bị bỏ qua: quy chế dữ liệu không nên được xây dựng tách biệt khỏi chiến lược chuyển đổi số tổng thể của nhà trường. Quản trị dữ liệu và chuyển đổi số là hai mặt của một vấn đề — không thể có chuyển đổi số bền vững nếu không có quản trị dữ liệu tốt, và quy chế dữ liệu cứng nhắc sẽ cản trở sáng kiến chuyển đổi số.

Nghiên cứu về sẵn sàng chuyển đổi số của Giang và cộng sự (2021) chỉ ra rằng các đơn vị Việt Nam thường tiếp cận chuyển đổi số theo dự án đơn lẻ thay vì theo chiến lược tích hợp — mỗi dự án tạo ra hệ thống riêng, dữ liệu riêng, và không tương thích với nhau (Giang et al., 2021). Quy chế dữ liệu, nếu được thiết kế đúng, có thể đóng vai trò kết nối các dự án số hóa rời rạc thành một hệ sinh thái dữ liệu có cấu trúc.

Cụ thể, quy chế dữ liệu cần quy định:

- Kiến trúc dữ liệu tham chiếu: Các khái niệm và định nghĩa chuẩn về sinh viên, môn học, điểm số, v.v. để mọi hệ thống đều "nói cùng ngôn ngữ"
- Tiêu chuẩn tích hợp dữ liệu: Khi triển khai hệ thống mới, phải tích hợp với hệ thống hiện có qua API tiêu chuẩn; không tạo thêm "hòn đảo dữ liệu" (data silo) mới
- Yêu cầu về khả năng di chuyển dữ liệu (data portability): Tránh phụ thuộc vào nhà cung cấp (vendor lock-in) bằng cách yêu cầu xuất dữ liệu ra định dạng mở
- Quản lý vòng đời hệ thống: Khi một hệ thống bị thay thế, dữ liệu phải được chuyển giao đúng cách hoặc xóa theo quy trình — không được "bỏ lại" trong hệ thống cũ không còn được bảo trì

6.7. Khung đánh giá hiệu quả quy chế dữ liệu đại học

Để đảm bảo quy chế dữ liệu không chỉ là "văn bản tồn tại trên giấy", cần có khung đánh giá hiệu quả đầy đủ. Đề xuất đánh giá theo ba chiều:

Chiều 1 — Tuân thủ (Compliance): Đánh giá mức độ các hoạt động xử lý dữ liệu trong thực tiễn tuân thủ quy chế. Thông qua: kiểm tra định kỳ (audit), kiểm tra bất ngờ (spot check), và phân tích log hệ thống. Chỉ tiêu mẫu: tỷ lệ hệ thống có dữ liệu Cấp 3/4 đã triển khai mã hóa, tỷ lệ nhân viên hoàn thành đào tạo bắt buộc.

Chiều 2 — Hiệu quả (Effectiveness): Đánh giá liệu quy chế có thực sự bảo vệ dữ liệu và quyền của chủ thể. Thông qua: số lượng và mức độ nghiêm trọng của sự cố dữ liệu theo thời gian, tỷ lệ yêu cầu từ chủ thể dữ liệu được xử lý đúng hạn, phản hồi từ khảo sát sinh viên và cán bộ về mức độ tin tưởng vào cách trường quản lý dữ liệu của họ.

Chiều 3 — Phát triển năng lực (Capability Building): Đánh giá mức độ tổ chức đang nâng cao năng lực quản trị dữ liệu. Thông qua: đánh giá mức độ trưởng thành theo mô hình trưởng thành định kỳ (hàng năm), theo dõi số lượng nhân viên có chứng chỉ về bảo mật thông tin, và đánh giá chất lượng DMP trong các đề tài nghiên cứu mới.

Kết hợp ba chiều đánh giá này trong một báo cáo hàng năm gửi Hội đồng Trường và công bố tóm tắt ra cộng đồng là thực hành tốt nhất được áp dụng bởi các trường đại học tiên tiến như Đại học Edinburgh, Đại học Leiden và Đại học Hong Kong.

7. Hướng Dẫn Thực Hành: Checklist Xây Dựng Quy Chế Dữ Liệu Đại Học

Phần này cung cấp checklist thực hành để lãnh đạo và cán bộ phụ trách CNTT có thể tự đánh giá mức độ hoàn thiện của quy chế dữ liệu hiện có hoặc đang xây dựng.

7.1. Checklist Nội dung Quy chế

Chương Phạm vi và Định nghĩa:

- [ ] Xác định rõ phạm vi áp dụng (đối tượng, hệ thống, loại dữ liệu)
- [ ] Định nghĩa ít nhất 15 thuật ngữ cốt lõi, bao gồm phân biệt "dữ liệu cá nhân" và "dữ liệu cá nhân nhạy cảm"
- [ ] Liệt kê các văn bản pháp lý làm căn cứ, cập nhật theo pháp luật hiện hành

Chương Phân loại Dữ liệu:

- [ ] Có ít nhất 4 cấp độ phân loại với định nghĩa và ví dụ rõ ràng
- [ ] Mỗi cấp độ có yêu cầu bảo vệ tương ứng (lưu trữ, truyền tải, truy cập)
- [ ] Có hướng dẫn cách phân loại dữ liệu mới chưa được đề cập

Chương Thu thập và Tạo Dữ liệu:

- [ ] Liệt kê các cơ sở pháp lý hợp lệ để thu thập
- [ ] Quy định về thông báo cho chủ thể dữ liệu
- [ ] Yêu cầu đặc thù cho thu thập dữ liệu bằng hệ thống tự động

Chương Lưu trữ và Bảo mật:

- [ ] Yêu cầu về hệ thống lưu trữ được phê duyệt
- [ ] Bảng thời gian lưu trữ cho các loại dữ liệu chính
- [ ] Yêu cầu về mã hóa, sao lưu và quản lý thiết bị

Chương Phân quyền:

- [ ] Nguyên tắc quyền truy cập tối thiểu
- [ ] Các vai trò chuẩn và quyền tương ứng
- [ ] Quy trình phân quyền và thu hồi quyền

Chương Chia sẻ Dữ liệu:

- [ ] Quy trình chia sẻ nội bộ
- [ ] Quy trình chia sẻ ra bên ngoài (kể cả ra nước ngoài)
- [ ] Yêu cầu DPA với bên thứ ba

Chương Quyền Chủ thể Dữ liệu:

- [ ] Liệt kê đầy đủ các quyền
- [ ] Quy trình thực hiện quyền và thời hạn phản hồi
- [ ] Đầu mối tiếp nhận yêu cầu

Chương Nghiên cứu:

- [ ] Yêu cầu DMP
- [ ] Đạo đức nghiên cứu và phê duyệt IRB
- [ ] Lưu trữ dữ liệu nghiên cứu sau công bố

Chương Ứng phó Sự cố:

- [ ] Định nghĩa vi phạm dữ liệu
- [ ] Quy trình 4 giai đoạn
- [ ] Phân công trách nhiệm và thẩm quyền

Chương Quản trị:

- [ ] Cơ cấu DGB và DPO
- [ ] Chương trình đào tạo bắt buộc
- [ ] Cơ chế kiểm tra tuân thủ

Chương AI và Công nghệ mới:

- [ ] Yêu cầu DPIA trước triển khai
- [ ] Yêu cầu đặc thù cho hệ thống AI
- [ ] Hướng dẫn về AI tổng hợp
- [ ] Điều khoản "tương lai bằng chứng"

7.2. Checklist Quy trình Ban hành

- [ ] Thành lập Ban Soạn thảo đa thành phần (CNTT, Pháp chế, Đào tạo, Nghiên cứu, Sinh viên)
- [ ] Kiểm kê dữ liệu toàn Trường trước khi soạn thảo
- [ ] Tham khảo ý kiến các bên liên quan (lấy ý kiến từ cán bộ, giảng viên, sinh viên)
- [ ] Rà soát pháp lý để đảm bảo không xung đột với pháp luật hiện hành
- [ ] Thông qua DGB và lãnh đạo cấp cao
- [ ] Truyền thông nội bộ rộng rãi trước khi có hiệu lực
- [ ] Xây dựng tài liệu đào tạo đi kèm
- [ ] Lên kế hoạch rà soát định kỳ (ít nhất 2 năm/lần)

7.3. Checklist Cơ sở Hạ tầng Kỹ thuật

- [ ] Hệ thống phân quyền RBAC đã được triển khai trên tất cả hệ thống chính
- [ ] Mã hóa đang áp dụng cho dữ liệu Cấp 3/4 at rest và in transit
- [ ] Backup tuân thủ quy tắc 3-2-1 và được kiểm tra định kỳ
- [ ] Hệ thống log truy cập đang hoạt động và được giám sát
- [ ] Danh sách nhà cung cấp được phê duyệt đã được xây dựng
- [ ] DPA đã được ký với tất cả nhà cung cấp có quyền truy cập dữ liệu Cấp 3/4
- [ ] MFA đã được triển khai cho tài khoản đặc quyền
- [ ] Quy trình quản lý vòng đời tài khoản (onboarding/offboarding) đã có

8. Tầm Nhìn Tương Lai: Quản Trị Dữ Liệu Trong Kỷ Nguyên AI

8.1. Dữ liệu tổng hợp và ranh giới mới của quyền riêng tư

Một thách thức mới nổi mà ít quy chế dữ liệu hiện tại đề cập: dữ liệu tổng hợp (synthetic data) và dữ liệu được tạo ra từ AI. Khi một mô hình AI được huấn luyện trên dữ liệu sinh viên và sau đó tạo ra các câu trả lời hoặc nội dung "tổng hợp", liệu dữ liệu tổng hợp đó có mang theo thông tin nhận dạng của các sinh viên trong tập huấn luyện không? Câu trả lời trong nhiều nghiên cứu học thuật là "có thể có" — đáng kể khi mô hình được huấn luyện trên tập dữ liệu nhỏ.

Điều này đặt ra yêu cầu mới: quy chế dữ liệu phải xác định dữ liệu tổng hợp tạo ra từ dữ liệu cá nhân có còn được coi là "dữ liệu cá nhân" không, và nếu có, áp dụng biện pháp bảo vệ nào. Đây là lĩnh vực đang phát triển nhanh cả về mặt kỹ thuật lẫn pháp lý.

8.2. Học liên kết và chia sẻ dữ liệu qua ranh giới tổ chức

Học liên kết (federated learning) — phương pháp huấn luyện AI mà dữ liệu không rời khỏi tổ chức, chỉ có các tham số mô hình được chia sẻ — hứa hẹn cho phép nhiều trường đại học cùng nhau xây dựng mô hình AI mạnh hơn mà không cần tập trung dữ liệu nhạy cảm vào một nơi. Đây là công nghệ có tiềm năng lớn cho nghiên cứu liên trường, nhưng đòi hỏi khuôn khổ quản trị dữ liệu rõ ràng về quyền sở hữu mô hình, nghĩa vụ bảo mật, và điều kiện tham gia.

8.3. Chủ quyền dữ liệu giáo dục

Xu hướng toàn cầu về chủ quyền dữ liệu (data sovereignty) — quyền của cộng đồng, quốc gia hoặc tổ chức kiểm soát dữ liệu về họ — đang ngày càng được áp dụng trong bối cảnh giáo dục. Câu hỏi về "chủ quyền dữ liệu sinh viên" — liệu sinh viên có quyền mang dữ liệu học tập của mình từ trường này sang trường khác không? — đang được nhiều hệ thống giáo dục tiên tiến trả lời theo hướng "có".

Tại châu Âu, khái niệm "Hộ chiếu Kỹ năng Châu Âu" (European Skills Passport) cho phép cá nhân sở hữu và kiểm soát hồ sơ kỹ năng và học tập của mình, chia sẻ với nhà tuyển dụng hoặc tổ chức giáo dục theo ý muốn. Đây là hướng phát triển mà các trường đại học Việt Nam cần tính đến khi thiết kế hệ thống quản lý dữ liệu sinh viên — không phải sở hữu dữ liệu của sinh viên mà là quản lý hộ sinh viên.

8.4. Quy chế dữ liệu trong bối cảnh đại học thông minh

Khái niệm "đại học thông minh" (smart university) — tích hợp IoT, AI, dữ liệu lớn và phân tích nâng cao vào toàn bộ hoạt động của cơ sở giáo dục — đang từng bước trở thành thực hành tại nhiều trường trên thế giới. Trong mô hình đó, camera theo dõi tình trạng sử dụng phòng học, cảm biến môi trường ghi nhận điều kiện học tập, hệ thống phân tích nhận diện sinh viên gặp khó khăn trước khi họ tự báo cáo.

Mô hình đại học thông minh tạo ra một lượng dữ liệu về sinh viên lớn hơn nhiều lần so với mô hình truyền thống — và do đó đòi hỏi khung quản trị dữ liệu bao quát hơn nhiều lần. Không có quy chế dữ liệu đủ mạnh, đại học thông minh có nguy cơ trở thành "đại học giám sát" — nơi mọi cử chỉ, hành vi và thói quen của sinh viên đều được ghi lại và phân tích mà sinh viên không hề biết hoặc không có lựa chọn từ chối.

Đây là lý do sâu xa nhất tại sao quy chế dữ liệu không phải là vấn đề kỹ thuật hay tuân thủ — đó là vấn đề về loại tổ chức giáo dục mà chúng ta muốn xây dựng: một tổ chức tôn trọng phẩm giá và quyền tự quyết của con người, hay một tổ chức tối ưu hóa hiệu quả bằng cách biến con người thành dữ liệu.

Câu trả lời cho câu hỏi đó bắt đầu từ quyết định thiết kế quy chế dữ liệu hôm nay.

9. Khuyến Nghị Nội Dung Quy Chế Dữ Liệu Số Đại Học

9.1. Nguyên tắc thiết kế quy chế

Trước khi đi vào các điều khoản cụ thể, cần xác lập các nguyên tắc thiết kế nền tảng cho một quy chế dữ liệu đại học hiệu quả. Kinh nghiệm từ các trường tiên tiến và nghiên cứu học thuật gợi ý bảy nguyên tắc cốt lõi:

Nguyên tắc 1 — Mục đích chính đáng và tối thiểu hóa dữ liệu: Chỉ thu thập dữ liệu khi có mục đích rõ ràng, hợp pháp và cần thiết. Không thu thập dữ liệu vì "có thể hữu ích trong tương lai" — tư duy "thu thập trước, dùng sau" là nguồn gốc của phần lớn các vi phạm dữ liệu.

Nguyên tắc 2 — Minh bạch và có thể giải trình: Mọi hoạt động xử lý dữ liệu phải được ghi chép, công khai (ở mức phù hợp) và có thể kiểm tra. Chủ thể dữ liệu có quyền biết dữ liệu của họ đang được dùng làm gì.

Nguyên tắc 3 — Bảo vệ theo thiết kế (Privacy by Design): Bảo vệ dữ liệu phải được tích hợp vào thiết kế hệ thống từ đầu, không phải bổ sung sau. Mọi hệ thống mới phải trải qua đánh giá tác động quyền riêng tư trước khi triển khai.

Nguyên tắc 4 — Quyền tự quyết của chủ thể dữ liệu: Sinh viên và cán bộ phải có quyền thực chất — không chỉ hình thức — đối với dữ liệu cá nhân của mình: quyền truy cập, quyền chỉnh sửa, quyền xóa (trong giới hạn pháp lý), và quyền phản đối xử lý.

Nguyên tắc 5 — Phòng ngừa hơn xử lý: Đầu tư vào phòng ngừa vi phạm dữ liệu (kiểm soát truy cập, mã hóa, đào tạo nhân viên) tốn kém ít hơn nhiều so với xử lý hậu quả của vi phạm.

Nguyên tắc 6 — Tương xứng và linh hoạt: Biện pháp bảo vệ dữ liệu phải tương xứng với mức độ nhạy cảm và rủi ro — không áp dụng biện pháp bảo mật tối đa cho mọi loại dữ liệu (không hiệu quả), cũng không bảo vệ không đủ cho dữ liệu nhạy cảm (nguy hiểm).

Nguyên tắc 7 — Cải thiện liên tục: Quy chế dữ liệu không phải văn bản "ban hành một lần rồi để đó" — cần có cơ chế rà soát định kỳ và cập nhật khi công nghệ, pháp luật hoặc hoàn cảnh của tổ chức thay đổi.

9.2. Nội dung Chương 1: Phạm vi điều chỉnh, đối tượng và khái niệm

Về phạm vi: Quy chế phải xác định rõ áp dụng cho toàn bộ dữ liệu số được tạo ra, thu thập, lưu trữ, xử lý, phân phối hoặc khai thác trong khuôn khổ hoạt động của nhà trường, bao gồm cả dữ liệu trên các hệ thống đám mây (cloud) được trường phê duyệt.

Cần xác định rõ ai là "đối tượng áp dụng": cán bộ, giảng viên, viên chức, người lao động theo hợp đồng (kể cả hợp đồng ngắn hạn và thời vụ), sinh viên hệ chính quy, học viên sau đại học, học viên các chương trình liên kết, nhà cung cấp dịch vụ bên thứ ba truy cập hệ thống của trường. Đặc biệt, nhà cung cấp bên thứ ba thường bị bỏ sót nhưng lại là nguồn rủi ro lớn.

Về khái niệm: Cần định nghĩa cụ thể và phân biệt rõ ít nhất các khái niệm: Dữ liệu cá nhân, Dữ liệu cá nhân nhạy cảm (sensitive personal data), Dữ liệu nghiên cứu, Dữ liệu hành chính, Nền tảng số được phê duyệt (approved platform), Xử lý dữ liệu (processing), Bên Kiểm soát dữ liệu (Controller), Bên Xử lý dữ liệu (Processor), và Vi phạm dữ liệu (data breach).

Điều quan trọng là định nghĩa "Dữ liệu cá nhân nhạy cảm" phải bám sát và mở rộng từ Nghị định 13/2023/NĐ-CP, bổ sung thêm các loại dữ liệu đặc thù của môi trường đại học như: dữ liệu sức khỏe tâm thần của sinh viên, dữ liệu vi phạm kỷ luật, dữ liệu hoàn cảnh kinh tế (cơ sở xét học bổng/miễn giảm), và dữ liệu liên quan đến đặc điểm giới tính và tình trạng hôn nhân.

9.3. Nội dung Chương 2: Phân loại dữ liệu

Đây là chương thiết yếu nhất trong quy chế dữ liệu nhưng thường bị bỏ qua hoặc làm quá sơ sài. Không có phân loại dữ liệu rõ ràng, mọi quy định về bảo vệ, chia sẻ và lưu trữ đều trở nên mơ hồ và khó thực thi.

Khuyến nghị áp dụng hệ thống 4 cấp độ phân loại, từ thấp đến cao:

Cấp 1 — Công khai (Public): Dữ liệu có thể chia sẻ tự do với bất kỳ ai, không có hạn chế. Ví dụ: thông tin về chương trình đào tạo đăng trên website, kết quả nghiên cứu đã công bố trên tạp chí mở, thông tin liên lạc chính thức của các đơn vị.

Yêu cầu bảo vệ: Đảm bảo tính chính xác và cập nhật; không cần kiểm soát truy cập vô cùng.

Cấp 2 — Nội bộ (Internal): Dữ liệu phục vụ hoạt động nội bộ, không cần bảo mật cao nhưng không phù hợp để chia sẻ rộng rãi ra bên ngoài. Ví dụ: tài liệu họp nội bộ, kế hoạch công tác, thông tin liên lạc nội bộ.

Yêu cầu bảo vệ: Chỉ chia sẻ trong phạm vi cần thiết; không gửi ra email bên ngoài mà không có lý do; lưu trữ trên hệ thống được trường kiểm soát.

Cấp 3 — Bảo mật (Confidential): Dữ liệu có tính nhạy cảm cao, việc tiết lộ có thể gây hại cho cá nhân hoặc tổ chức. Ví dụ: hồ sơ nhân sự, điểm thi, dữ liệu tài chính cá nhân, dữ liệu sức khỏe.

Yêu cầu bảo vệ: Kiểm soát truy cập theo vai trò; mã hóa khi lưu trữ và truyền tải; ghi log truy cập; không lưu trên thiết bị cá nhân không được phê duyệt; xóa khi không còn cần thiết.

Cấp 4 — Tối mật (Restricted): Dữ liệu cực kỳ nhạy cảm mà việc tiết lộ có thể gây hậu quả nghiêm trọng về pháp lý, an toàn cá nhân hoặc an ninh quốc gia. Ví dụ: đề thi chưa tổ chức, dữ liệu nghiên cứu liên quan đến bí mật nhà nước, thông tin về đối tượng bảo vệ rất.

Yêu cầu bảo vệ: Truy cập theo nguyên tắc cần biết (need-to-know); mã hóa mạnh; không truyền qua email thông thường; yêu cầu phê duyệt rõ ràng cho mọi truy cập; kiểm tra định kỳ danh sách người được phép truy cập.

Ngoài bốn cấp trên, quy chế cần xác định "Dữ liệu Cá nhân Nhạy cảm" là một danh mục chéo cắt qua tất cả các cấp — bao gồm dữ liệu sức khỏe, quan điểm chính trị, tín ngưỡng tôn giáo, đặc điểm di truyền, dữ liệu sinh trắc học, đặc điểm tình dục, và tình trạng tư pháp hình sự. Dữ liệu này luôn được xử lý theo yêu cầu bảo vệ ở mức Cấp 4, bất kể bối cảnh.

9.4. Nội dung Chương 3: Quy trình thu thập và tạo dữ liệu

Yêu cầu về cơ sở xử lý hợp pháp: Mọi hoạt động thu thập dữ liệu cá nhân phải có ít nhất một trong các cơ sở pháp lý: (i) sự đồng thuận tự do, rõ ràng và có thông tin đầy đủ của chủ thể; (ii) nghĩa vụ hợp đồng (ví dụ: hợp đồng tuyển sinh yêu cầu thu thập thông tin cần thiết); (iii) nghĩa vụ pháp lý (ví dụ: báo cáo kết quả học tập theo quy định của Bộ GD&ĐT); (iv) lợi ích chính đáng (legitimate interest) với điều kiện lợi ích đó không lấn át quyền của chủ thể dữ liệu.

Yêu cầu về thông báo: Khi thu thập dữ liệu cá nhân, phải cung cấp thông báo rõ ràng bằng ngôn ngữ dễ hiểu về: (i) ai là người thu thập và chịu trách nhiệm (tên, địa chỉ, thông tin liên lạc); (ii) dữ liệu nào được thu thập; (iii) mục đích thu thập và sử dụng; (iv) cơ sở pháp lý; (v) thời gian lưu trữ; (vi) ai có quyền truy cập; (vii) quyền của chủ thể dữ liệu và cách thực hiện.

Yêu cầu về thu thập dữ liệu nghiên cứu từ con người: Mọi nghiên cứu liên quan đến thu thập dữ liệu từ con người phải được phê duyệt bởi Hội đồng Đạo đức Nghiên cứu (Institutional Review Board — IRB, hoặc tương đương) trước khi tiến hành. Điều này phải áp dụng bao gồm cả nghiên cứu sinh viên làm luận văn/luận án.

Yêu cầu về thu thập dữ liệu bằng công cụ tự động: Khi sử dụng công cụ giám sát học tập (proctoring tools), hệ thống điểm danh nhận diện khuôn mặt, hay bất kỳ phương pháp thu thập dữ liệu tự động nào, phải: (i) thông báo rõ ràng trước cho sinh viên; (ii) cung cấp phương án thay thế hợp lý không ảnh hưởng đến đánh giá; (iii) giới hạn tối đa loại dữ liệu thu thập; và (iv) có đánh giá tác động quyền riêng tư trước khi triển khai.

9.5. Nội dung Chương 4: Lưu trữ và bảo mật dữ liệu

Yêu cầu về hạ tầng lưu trữ: Dữ liệu Cấp 3 và Cấp 4 phải được lưu trữ trên hệ thống do trường trực tiếp kiểm soát hoặc trên dịch vụ đám mây được phê duyệt qua quy trình đánh giá an ninh. Phải có danh sách các dịch vụ đám mây/phần mềm được phê duyệt (approved vendor list), do Trung tâm CNTT duy trì và cập nhật ít nhất hàng năm.

Yêu cầu về thời gian lưu trữ: Quy chế phải xác định thời gian lưu trữ tối thiểu và tối đa cho từng loại dữ liệu. Ví dụ tham khảo:

Loại dữ liệu	Thời gian lưu trữ tối thiểu	Thời gian lưu trữ tối đa
Hồ sơ sinh viên (bảng điểm, bằng cấp)	Vĩnh viễn	Vĩnh viễn
Dữ liệu tương tác LMS	5 năm sau tốt nghiệp	10 năm
Email nội bộ	2 năm	5 năm
Dữ liệu nghiên cứu đã công bố	10 năm sau công bố	10 năm
Log hệ thống	6 tháng	2 năm
Dữ liệu tuyển sinh không thành công	2 năm	5 năm
Video bài giảng	Theo quyết định của đơn vị	5 năm

Dữ liệu đã hết thời gian lưu trữ tối đa PHẢI được xóa theo quy trình có tài liệu hóa — trừ trường hợp đang liên quan đến tranh chấp pháp lý hoặc điều tra.

Yêu cầu về mã hóa: Dữ liệu Cấp 3 và 4 phải được mã hóa cả khi lưu trữ (at rest) và khi truyền tải (in transit). Khóa mã hóa phải được quản lý tách biệt với dữ liệu. Không được dùng thuật toán mã hóa đã lỗi thời (MD5, SHA-1).

Yêu cầu về sao lưu: Áp dụng quy tắc 3-2-1: (i) ít nhất 3 bản sao dữ liệu; (ii) trên ít nhất 2 phương tiện lưu trữ khác nhau; (iii) ít nhất 1 bản sao ở vị trí địa lý khác. Phải kiểm tra khả năng khôi phục từ backup ít nhất hàng quý.

Yêu cầu về quản lý thiết bị đầu cuối: Thiết bị cá nhân (laptop, điện thoại) khi được dùng để truy cập dữ liệu Cấp 3 hoặc 4 của trường phải: (i) cài phần mềm bảo mật được phê duyệt; (ii) sử dụng VPN khi kết nối từ xa; (iii) được đăng ký với Trung tâm CNTT; và (iv) có khả năng xóa từ xa (remote wipe) khi mất hoặc bị đánh cắp.

9.6. Nội dung Chương 5: Phân quyền và kiểm soát truy cập

Đây là chương kỹ thuật nhất nhưng cũng cực kỳ quan trọng về mặt vận hành. Nguyên tắc cốt lõi: quyền truy cập tối thiểu cần thiết (least privilege) — mỗi người chỉ có quyền truy cập đúng dữ liệu họ cần để thực hiện nhiệm vụ được giao, không hơn.

Hệ thống phân quyền theo vai trò (Role-Based Access Control — RBAC): Quy chế phải xác định các vai trò chuẩn và quyền truy cập tương ứng. Ví dụ:

- Giảng viên: Truy cập dữ liệu học tập của sinh viên trong lớp mình phụ trách (không phải toàn bộ sinh viên)
- Cố vấn học tập: Truy cập hồ sơ học tập tổng hợp của sinh viên được phân công
- Cán bộ Phòng Đào tạo: Truy cập toàn bộ dữ liệu đào tạo nhưng không có quyền sửa điểm
- Quản trị viên hệ thống: Truy cập kỹ thuật nhưng không truy cập nội dung (dữ liệu phải được mã hóa ngay cả với quản trị viên)

Phân công Data Owner và Data Steward: Mọi bộ phận quản lý dữ liệu phải được phân công rõ "chủ sở hữu dữ liệu theo nghiệp vụ" (Data Owner) — thường là trưởng đơn vị có dữ liệu đó — và "người quản lý chất lượng dữ liệu" (Data Steward) — thường là cán bộ nghiệp vụ được giao nhiệm vụ cụ thể. Data Owner chịu trách nhiệm quyết định ai được truy cập và với mục đích gì; Data Steward chịu trách nhiệm đảm bảo dữ liệu đúng, đầy đủ và cập nhật.

Phụ lục Quy chế cần có "Ma trận Sở hữu Dữ liệu" liệt kê: Tên hệ thống/bộ dữ liệu — Đơn vị quản lý — Data Owner — Data Steward — Cấp độ bảo mật — Thời gian lưu trữ.

Quản lý quyền truy cập cho nhà cung cấp bên thứ ba: Mọi nhà cung cấp dịch vụ/phần mềm có quyền truy cập dữ liệu Cấp 3 hoặc 4 của trường phải ký Thỏa thuận Xử lý Dữ liệu (Data Processing Agreement — DPA). DPA phải quy định: mục đích xử lý được phép, biện pháp bảo mật tối thiểu, nghĩa vụ thông báo vi phạm, không được chuyển giao dữ liệu cho bên thứ tư mà không có sự đồng ý, và nghĩa vụ xóa/trả lại dữ liệu khi kết thúc hợp đồng.

Ghi log và kiểm toán truy cập: Mọi truy cập vào dữ liệu Cấp 3 và 4 phải được ghi log tự động, bao gồm: ai truy cập, khi nào, từ đâu (IP, thiết bị), truy cập vào gì, và thực hiện thao tác gì. Log phải được bảo vệ khỏi sửa đổi và lưu giữ ít nhất 12 tháng. Kiểm tra log bất thường phải được thực hiện tự động và cảnh báo đến cán bộ phụ trách khi có hoạt động đáng ngờ.

9.7. Nội dung Chương 6: Chia sẻ và phân phối dữ liệu

Chia sẻ nội bộ: Chia sẻ dữ liệu giữa các đơn vị trong trường phải tuân theo nguyên tắc "cần biết" — chỉ chia sẻ khi có lý do nghiệp vụ rõ ràng. Phải có quy trình yêu cầu và phê duyệt chia sẻ dữ liệu, với người yêu cầu phải ghi rõ: loại dữ liệu cần, mục đích sử dụng, thời gian sử dụng, và biện pháp bảo mật sẽ áp dụng.

Chia sẻ với bên ngoài Trường: Phải được phê duyệt bởi Hiệu trưởng hoặc người được ủy quyền. Quy chế phải xác định các trường hợp được phép chia sẻ không cần phê duyệt từng lần (ví dụ: báo cáo định kỳ theo yêu cầu của Bộ GD&ĐT theo mẫu chuẩn đã được phê duyệt), và các trường hợp bắt buộc phải xin phê duyệt từng lần.

Chia sẻ dữ liệu nghiên cứu (Open Data): Khuyến khích nhưng không bắt buộc chia sẻ dữ liệu nghiên cứu theo nguyên tắc FAIR. Khi chia sẻ dữ liệu nghiên cứu có chứa dữ liệu cá nhân, phải được ẩn danh hóa đủ mức. Dữ liệu nghiên cứu thuộc đề tài do cơ quan nhà nước tài trợ phải tuân theo quy định của cơ quan tài trợ về chia sẻ dữ liệu.

Chia sẻ dữ liệu ra nước ngoài: Phải đáp ứng các yêu cầu của Nghị định 13/2023/NĐ-CP về chuyển dữ liệu cá nhân ra nước ngoài: đánh giá tác động, hợp đồng bảo mật, và lưu giữ một bản sao tại Việt Nam nếu thuộc diện dữ liệu quan trọng.

Yêu cầu về định dạng và chuẩn dữ liệu: Khi chia sẻ dữ liệu, ưu tiên sử dụng định dạng mở và không phụ thuộc nhà cung cấp (CSV, JSON, XML) thay vì định dạng độc quyền. Dữ liệu chia sẻ phải kèm theo metadata mô tả ít nhất: tên bộ dữ liệu, mô tả, đơn vị cung cấp, ngày tạo/cập nhật, và điều khoản sử dụng.

9.8. Nội dung Chương 7: Quyền của chủ thể dữ liệu

Đây là chương thường bị các quy chế dữ liệu Việt Nam bỏ qua hoặc xử lý quá sơ sài. Nhưng đây là chương thiết yếu nhất từ góc độ đạo đức và pháp lý — vì nó xác định mối quan hệ giữa tổ chức và cá nhân có dữ liệu.

Quyền được thông báo (Right to be Informed): Sinh viên và cán bộ phải nhận được thông báo rõ ràng về cách trường sử dụng dữ liệu của họ, không muộn hơn thời điểm thu thập dữ liệu. Thông báo phải bằng tiếng Việt, dễ hiểu, không phải ngôn ngữ pháp lý khó hiểu.

Quyền truy cập (Right of Access): Chủ thể dữ liệu có quyền yêu cầu bản sao dữ liệu cá nhân của mình mà trường đang lưu giữ. Trường phải phản hồi trong vòng 30 ngày làm việc. Quy chế phải xác định đầu mối tiếp nhận yêu cầu và quy trình xử lý.

Quyền chỉnh sửa (Right to Rectification): Chủ thể dữ liệu có quyền yêu cầu sửa dữ liệu không chính xác. Cần phân biệt: dữ liệu thực chứng có thể sai (ví dụ: ngày sinh bị ghi sai) thì phải sửa; dữ liệu đánh giá (điểm số) thì không phải "sửa theo yêu cầu" mà có quy trình phúc khảo riêng.

Quyền xóa (Right to Erasure): Có thể yêu cầu xóa dữ liệu khi: dữ liệu không còn cần thiết cho mục đích thu thập; đồng thuận bị thu hồi; hoặc dữ liệu được xử lý trái pháp luật. Tuy nhiên, quyền này có giới hạn: dữ liệu cần giữ lại để tuân thủ nghĩa vụ pháp lý (ví dụ: hồ sơ học tập theo yêu cầu Bộ GD&ĐT) không thể xóa theo yêu cầu cá nhân.

Quyền phản đối (Right to Object): Chủ thể dữ liệu có quyền phản đối một số hình thức xử lý dữ liệu nhất định, đáng chú ý là xử lý dữ liệu cho mục đích tiếp thị trực tiếp hoặc phân tích hành vi không trực tiếp phục vụ mục tiêu giáo dục.

Cơ chế thực hiện quyền: Phải có đầu mối rõ ràng để tiếp nhận yêu cầu (email, cổng thông tin hoặc văn phòng cụ thể), thời hạn phản hồi rõ ràng (đề xuất: 15 ngày làm việc cho xác nhận nhận yêu cầu, 30 ngày làm việc cho phản hồi đầy đủ), và cơ chế kháng cáo nếu yêu cầu bị từ chối.

9.9. Nội dung Chương 8: Quản lý dữ liệu nghiên cứu

Đây là chương đặc thù với môi trường đại học mà các quy chế dữ liệu doanh nghiệp không có. Quản lý dữ liệu nghiên cứu (Research Data Management — RDM) bao gồm toàn bộ vòng đời của dữ liệu nghiên cứu, từ lập kế hoạch đến lưu trữ lâu dài.

Kế hoạch Quản lý Dữ liệu (Data Management Plan — DMP): Mọi đề tài nghiên cứu có sử dụng nguồn tài trợ từ ngân sách nhà nước hoặc nguồn tài trợ bên ngoài phải có DMP như một phần bắt buộc của hồ sơ đăng ký. DMP tối thiểu phải mô tả: loại dữ liệu được thu thập/tạo ra; phương pháp thu thập và đảm bảo chất lượng; hệ thống lưu trữ và bảo mật; kế hoạch chia sẻ dữ liệu sau công bố (nếu có); và người chịu trách nhiệm quản lý dữ liệu.

Đặc thù dữ liệu nghiên cứu có liên quan đến con người: Phải có sự phê duyệt của Hội đồng Đạo đức Nghiên cứu trước khi thu thập. Phải có quy trình đảm bảo ẩn danh hóa hoặc giả danh hóa dữ liệu trước khi phân tích và lưu trữ lâu dài. Phải có quy trình xử lý khi đối tượng nghiên cứu yêu cầu rút lui và xóa dữ liệu.

Quyền sở hữu dữ liệu nghiên cứu: Cần xác định rõ: dữ liệu từ các đề tài do Trường tài trợ thuộc sở hữu của Trường; dữ liệu từ đề tài cá nhân hoặc tài trợ bên ngoài thuộc sở hữu theo quy định của hợp đồng tài trợ; khi nhà nghiên cứu rời Trường, dữ liệu nghiên cứu thu thập trong thời gian làm việc tại Trường không thể mang đi mà không có thỏa thuận cụ thể.

Lưu trữ dữ liệu nghiên cứu lâu dài: Dữ liệu nghiên cứu đã công bố phải được lưu trữ ít nhất 10 năm (hoặc theo yêu cầu của cơ quan tài trợ nếu dài hơn). Khuyến khích gửi lên kho dữ liệu nghiên cứu có uy tín (Zenodo, Figshare, hoặc kho dữ liệu chuyên ngành) để đảm bảo khả năng truy cập lâu dài.

9.10. Nội dung Chương 9: Ứng phó sự cố dữ liệu

Đây là chương thường hoàn toàn vắng mặt trong các quy chế dữ liệu của trường đại học Việt Nam, nhưng lại là chương có ý nghĩa nhất khi điều không may xảy ra.

Định nghĩa vi phạm dữ liệu: Vi phạm dữ liệu bao gồm bất kỳ sự kiện nào dẫn đến việc dữ liệu bị truy cập, tiết lộ, thay đổi, mất mát hoặc phá hủy trái phép — dù do tấn công bên ngoài, lỗi của nhân viên, hay sự cố kỹ thuật.

Quy trình ứng phó — Bốn giai đoạn:

Giai đoạn 1 — Phát hiện và kiểm tra (0–4 giờ): Nhân viên phát hiện sự cố báo cáo ngay đến Trung tâm CNTT. Trung tâm CNTT xác nhận sự cố có thực và đánh giá sơ bộ phạm vi. Kích hoạt Đội Ứng phó Sự cố (Incident Response Team — IRT) nếu sự cố được xác nhận.

Giai đoạn 2 — Kiểm soát và ngăn chặn (4–24 giờ): Cô lập hệ thống bị ảnh hưởng để ngăn lan rộng. Thu thập bằng chứng số. Đánh giá dữ liệu nào bị ảnh hưởng và phạm vi thiệt hại. Thông báo nội bộ cho lãnh đạo theo đúng thẩm quyền.

Giai đoạn 3 — Thông báo và phục hồi (24–72 giờ): Nếu sự cố liên quan đến dữ liệu cá nhân và có nguy cơ gây hại cho chủ thể dữ liệu, phải thông báo cho cơ quan chức năng có thẩm quyền (theo Nghị định 13/2023, trong vòng 72 giờ). Thông báo cho chủ thể dữ liệu bị ảnh hưởng theo hướng dẫn của cơ quan chức năng. Bắt đầu khôi phục từ backup.

Giai đoạn 4 — Học hỏi và cải thiện (sau sự cố): Điều tra nguyên nhân gốc rễ. Xác định các lỗ hổng cần vá. Cập nhật chính sách và thủ tục. Báo cáo có hệ thống về sự cố cho lãnh đạo và (nếu cần) công khai ra cộng đồng.

Phân công trách nhiệm ứng phó: Quy chế phải xác định rõ: ai có thẩm quyền kích hoạt IRT; ai có thẩm quyền quyết định thông báo ra bên ngoài; ai là người phát ngôn chính thức; và ai chịu trách nhiệm phối hợp với cơ quan chức năng.

Diễn tập ứng phó sự cố: Ít nhất mỗi năm một lần, tổ chức diễn tập mô phỏng sự cố dữ liệu để kiểm tra quy trình và nâng cao năng lực của các bên liên quan.

9.11. Nội dung Chương 10: Quản trị và trách nhiệm

Cơ cấu quản trị dữ liệu:

Đề xuất thành lập Ban Quản trị Dữ liệu (Data Governance Board — DGB) bao gồm: Hiệu trưởng (Chủ tịch); Phó Hiệu trưởng phụ trách CNTT hoặc Kế hoạch (Phó Chủ tịch); Giám đốc Trung tâm CNTT; Trưởng phòng Đào tạo; Trưởng phòng Tài chính; Trưởng phòng Nghiên cứu khoa học; đại diện cán bộ giảng viên; và đại diện sinh viên (ít nhất một thành viên).

DGB họp ít nhất hai lần mỗi năm, chịu trách nhiệm: phê duyệt chính sách dữ liệu, giải quyết tranh chấp về quyền sở hữu và truy cập dữ liệu, phê duyệt danh sách nhà cung cấp được phép, và báo cáo với Hội đồng Trường (đối với trường có cơ chế tự chủ).

Vai trò Cán bộ Bảo vệ Dữ liệu (Data Protection Officer — DPO): Đề xuất chỉ định ít nhất một cán bộ CNTT có năng lực giữ vai trò DPO, chịu trách nhiệm: tư vấn về tuân thủ pháp luật bảo vệ dữ liệu; tiếp nhận và xử lý yêu cầu từ chủ thể dữ liệu; điều phối đánh giá tác động quyền riêng tư; và là đầu mối liên lạc với cơ quan nhà nước về bảo vệ dữ liệu.

Chương trình đào tạo và nâng cao nhận thức: Tất cả nhân viên phải hoàn thành khóa đào tạo cơ bản về bảo vệ dữ liệu khi gia nhập và nhắc lại hàng năm. Nhân viên tiếp cận dữ liệu Cấp 3 và 4 phải hoàn thành khóa đào tạo nâng cao về bảo mật dữ liệu. Kết quả hoàn thành đào tạo phải được ghi vào hồ sơ nhân sự.

Kiểm tra tuân thủ định kỳ: Hàng năm, phải có báo cáo kiểm tra tuân thủ quy chế dữ liệu, do Ban Thanh tra - Pháp chế phối hợp với Trung tâm CNTT thực hiện. Báo cáo phải xác định các điểm không tuân thủ và đề xuất biện pháp khắc phục với thời hạn cụ thể.

9.12. Nội dung Chương 11: Quy định đặc thù về AI và các công nghệ mới

Đây là chương mà phần lớn các quy chế dữ liệu cũ không có nhưng ngày càng trở nên cần thiết trong bối cảnh AI thâm nhập sâu vào giáo dục.

Chan (2023) trong nghiên cứu về khung chính sách AI giáo dục tổng hợp xác định rằng chính sách AI hiệu quả phải được xây dựng trên nền tảng chính sách dữ liệu vững chắc — không thể có AI có trách nhiệm nếu dữ liệu đưa vào AI không được quản trị có trách nhiệm (Chan, 2023).

Chan, C. K. Y. (2023). "A comprehensive AI policy education framework for university teaching and learning." International Journal of Educational Technology in Higher Education, 20(1), 38. DOI: 10.1186/s41239-023-00408-3

Khung chính sách AI giáo dục tích hợp xác định quản trị dữ liệu là nền tảng, nhấn mạnh rằng chính sách AI cần được tích hợp với — không tách rời — chính sách dữ liệu của tổ chức.

Yêu cầu về sử dụng AI xử lý dữ liệu sinh viên: Mọi ứng dụng AI xử lý dữ liệu cá nhân của sinh viên phải: (i) được phê duyệt bởi DGB trước khi triển khai; (ii) kèm theo Đánh giá Tác động Thuật toán (Algorithmic Impact Assessment); (iii) có cơ chế giải thích quyết định cho sinh viên bị ảnh hưởng; và (iv) được kiểm tra định kỳ về định kiến (bias testing).

Yêu cầu về sử dụng công cụ AI tổng hợp (Generative AI): Khi sinh viên hoặc cán bộ sử dụng công cụ AI tổng hợp trong công việc, phải có hướng dẫn rõ ràng về: loại dữ liệu nào KHÔNG được đưa vào prompt của AI bên thứ ba (dữ liệu Cấp 3 và 4); cần thông báo khi nộp bài/báo cáo có sử dụng AI; và quyền sở hữu trí tuệ của kết quả tạo ra bởi AI.

Điều khoản tổng quát cho công nghệ mới: Quy chế cần có một điều khoản "bắt kịp công nghệ" quy định rằng bất kỳ công nghệ mới nào có khả năng thu thập, xử lý hoặc phân tích dữ liệu cá nhân phải được đánh giá theo quy trình DPIA trước khi triển khai, bất kể công nghệ đó đã được đề cập cụ thể trong quy chế hay chưa. Điều này tạo ra cơ chế "tương lai bằng chứng" (future-proof) cho quy chế.

10. Lộ Trình Triển Khai Quy Chế Dữ Liệu Số Đại Học

10.1. Giai đoạn 1 — Nền tảng (Tháng 1–6)

Mục tiêu: Hoàn thiện văn bản pháp lý và xây dựng bộ máy quản trị.

- Thành lập Ban Soạn thảo Quy chế gồm đại diện: Lãnh đạo Trường, CNTT, Pháp chế, Đào tạo, Nghiên cứu khoa học, và đại diện sinh viên
- Tiến hành kiểm kê dữ liệu (Data Inventory) toàn Trường: xác định tất cả hệ thống đang chứa dữ liệu, loại dữ liệu, chủ sở hữu, và trạng thái bảo mật hiện tại
- Tổ chức tham vấn các bên liên quan: lấy ý kiến cán bộ, giảng viên và sinh viên về nội dung quy chế
- Hoàn thiện và ban hành quy chế chính thức
- Bổ nhiệm DPO và thành lập DGB

Sản phẩm đầu ra: Quy chế ban hành chính thức; Ma trận Sở hữu Dữ liệu; Danh sách nhà cung cấp được phê duyệt.

10.2. Giai đoạn 2 — Triển khai kỹ thuật (Tháng 7–18)

Mục tiêu: Xây dựng hạ tầng kỹ thuật và quy trình vận hành.

- Triển khai hệ thống phân quyền theo RBAC trên tất cả hệ thống chính
- Triển khai mã hóa cho dữ liệu Cấp 3 và 4 khi lưu trữ và truyền tải
- Thiết lập hệ thống backup tuân thủ quy tắc 3-2-1 và kiểm tra định kỳ
- Xây dựng hệ thống log và giám sát truy cập dữ liệu
- Phát triển cổng thông tin để sinh viên và cán bộ thực hiện quyền đối với dữ liệu
- Triển khai chương trình đào tạo bắt buộc cho toàn bộ nhân viên

Sản phẩm đầu ra: Hệ thống kỹ thuật hoàn chỉnh; đội ngũ được đào tạo; quy trình vận hành chuẩn hóa.

10.3. Giai đoạn 3 — Hoàn thiện và vận hành ổn định (Tháng 19–36)

Mục tiêu: Đánh giá, điều chỉnh và cải thiện liên tục.

- Tiến hành kiểm tra tuân thủ chi tiết lần đầu
- Thực hiện diễn tập ứng phó sự cố
- Báo cáo đánh giá hiệu quả quy chế sau 1 năm thực thi và đề xuất điều chỉnh
- Rà soát danh sách nhà cung cấp và DPA
- Đánh giá mức độ trưởng thành quản trị dữ liệu theo mô hình trưởng thành
- Cập nhật quy chế phản ánh các thay đổi về pháp luật và công nghệ

Sản phẩm đầu ra: Báo cáo kiểm tra tuân thủ; biên bản diễn tập sự cố; bản cập nhật quy chế.

10.4. Các điều kiện thành công

Kinh nghiệm từ các tổ chức đã triển khai thành công quy chế dữ liệu chỉ ra bốn điều kiện không thể thiếu:

Cam kết từ lãnh đạo cấp cao: Quy chế dữ liệu không thể thành công nếu chỉ là sáng kiến của phòng CNTT. Phải có cam kết thực sự từ Hiệu trưởng và Ban Giám hiệu — thể hiện qua việc phân bổ nguồn lực, ưu tiên trong chương trình nghị sự, và nêu gương trong việc tuân thủ.

Nguồn lực đầy đủ: Bảo vệ dữ liệu đúng cách đòi hỏi đầu tư — vào con người (DPO, cán bộ CNTT có chuyên môn), công nghệ (hệ thống mã hóa, sao lưu, giám sát), và quy trình (kiểm tra, đào tạo, ứng phó sự cố). Không thể "làm đúng" với ngân sách bằng không.

Văn hóa tuân thủ, không phải văn hóa sợ hãi: Nếu nhân viên sợ bị phạt khi báo cáo sự cố, họ sẽ che giấu — và sự cố nhỏ trở thành thảm họa lớn. Quy chế cần tạo ra văn hóa trong đó báo cáo sự cố được khuyến khích, và trách nhiệm được phân biệt rõ giữa cố ý vi phạm và sơ suất trong thiện chí.

Tham gia của cộng đồng: Sinh viên, giảng viên và cán bộ phải hiểu quy chế, thấy ý nghĩa của nó, và cảm thấy họ là một phần của giải pháp — không chỉ là đối tượng bị quản lý. Truyền thông nội bộ và đào tạo không phải là chi phí phụ — đó là khoản đầu tư không thể bỏ qua nhất cho thành công của quy chế.

11. Thực Tiễn Áp Dụng: Từ Văn Bản Đến Văn Hóa Tổ Chức

11.1. Khoảng cách giữa chính sách và hiện thực

Một trong những thách thức lớn nhất trong quản trị dữ liệu là khoảng cách giữa văn bản chính sách và thực tiễn thực thi. Nhiều tổ chức ban hành quy chế đầy đủ trên giấy tờ nhưng thực địa không ai biết đến, không ai thực thi, và không ai bị trách nhiệm khi vi phạm.

Nghiên cứu của Labadie và Legner (2023) chỉ ra rằng tuân thủ GDPR bền vững đòi hỏi xây dựng bốn loại năng lực tổ chức: năng lực kỹ thuật (hệ thống và công cụ), năng lực quy trình (quy trình chuẩn hóa và được tuân thủ), năng lực con người (kiến thức và kỹ năng), và năng lực quản trị (cơ cấu trách nhiệm và giám sát). Thiếu bất kỳ loại nào trong số này, tuân thủ sẽ không bền vững (Labadie & Legner, 2023).

11.2. Vai trò của đào tạo và nâng cao nhận thức

Con người thường là mắt xích yếu nhất trong an ninh dữ liệu — không phải vì thiếu tốt bụng mà vì thiếu kiến thức. Phần lớn các vụ vi phạm dữ liệu không phải do hacker tinh vi mà do một nhân viên vô ý mở file đính kèm độc hại, sử dụng mật khẩu yếu, hoặc gửi email chứa dữ liệu nhạy cảm đến nhầm địa chỉ.

Chương trình đào tạo hiệu quả phải: đi vào cụ thể hơn là trừu tượng (ví dụ trong thực tiễn tốt hơn quy tắc chung chung), được lặp lại định kỳ (không phải chỉ một lần khi gia nhập), có cơ chế kiểm tra hiểu biết, và được điều chỉnh cho từng nhóm đối tượng (giảng viên có nhu cầu khác cán bộ hành chính).

11.3. Đo lường hiệu quả quản trị dữ liệu

Không thể quản lý những gì không đo lường được. Một quy chế dữ liệu hiệu quả cần có hệ thống chỉ tiêu để đo lường tiến độ và hiệu quả. Đề xuất một số chỉ tiêu chính:

- Tỷ lệ tuân thủ đào tạo: % nhân viên hoàn thành đào tạo bảo vệ dữ liệu bắt buộc (mục tiêu: ≥95%)
- Thời gian phát hiện sự cố: Từ khi sự cố xảy ra đến khi được phát hiện và báo cáo (mục tiêu: <24 giờ)
- Tỷ lệ DPA với nhà cung cấp: % nhà cung cấp có quyền truy cập dữ liệu Cấp 3/4 đã ký DPA (mục tiêu: 100%)
- Tỷ lệ dữ liệu được phân loại: % bộ dữ liệu trong kiểm kê đã được phân loại chính thức (mục tiêu: ≥90%)
- Thời gian phản hồi yêu cầu từ chủ thể dữ liệu: (mục tiêu: ≤30 ngày làm việc)
- Số lượng đề tài nghiên cứu có DMP: (mục tiêu: 100% đề tài có tài trợ từ ngân sách nhà nước)

12. Kết Luận: Quy Chế Dữ Liệu Là Đầu Tư, Không Phải Chi Phí

Khi bắt đầu bài viết này, tôi đặt ra câu hỏi: tại sao các trường đại học cần quy chế quản lý dữ liệu số? Qua hành trình phân tích các bằng chứng học thuật và thực tiễn chính sách từ nhiều quốc gia, câu trả lời hiện ra rõ ràng và đa chiều hơn ta có thể nghĩ ban đầu.

Quy chế dữ liệu không phải là gánh nặng quan liêu được áp đặt từ bên ngoài. Đó là điều kiện cần thiết để:

- Bảo vệ hàng chục nghìn con người — sinh viên, cán bộ, và gia đình họ — đã tin tưởng trao dữ liệu nhạy cảm nhất của mình cho tổ chức giáo dục
- Tuân thủ pháp luật đang ngày càng chặt chẽ và có hệ quả pháp lý thực sự nếu vi phạm
- Bảo vệ tài sản số — dữ liệu nghiên cứu, tài sản trí tuệ, và hạ tầng vận hành — khỏi các mối đe dọa an ninh mạng ngày càng tinh vi
- Tạo nền tảng cho quản trị tốt, ra quyết định dựa trên dữ liệu, và triển khai công nghệ mới có trách nhiệm
- Xây dựng niềm tin — với sinh viên, với đối tác, với cộng đồng — một tài sản vô hình nhưng vô giá với bất kỳ tổ chức giáo dục nào

Bài học từ các trường đại học tiên tiến trên thế giới nhất quán ở một điểm: những tổ chức đầu tư sớm và nghiêm túc vào quản trị dữ liệu không chỉ tránh được những thiệt hại đắt giá — họ còn xây dựng được năng lực tổ chức mạnh mẽ hơn, văn hóa số lành mạnh hơn, và vị thế cạnh tranh tốt hơn trong một thế giới mà dữ liệu ngày càng quyết định ai thành công và ai bị bỏ lại phía sau.

Đối với các trường đại học Việt Nam — nổi bật trong bối cảnh Chương trình Chuyển đổi số Quốc gia đang đặt ra những kỳ vọng lớn về giáo dục đại học — việc ban hành và thực thi một quy chế dữ liệu số đầy đủ không phải là "tùy chọn". Đó là điều kiện không thể thiếu để quá trình chuyển đổi số thực sự tạo ra giá trị và không để lại hậu quả không mong muốn.

Câu hỏi không phải là "có nên ban hành quy chế dữ liệu không?" mà là "làm thế nào để ban hành quy chế đủ tốt và đủ nhanh?"

Câu trả lời bắt đầu từ hôm nay, từ quyết tâm của lãnh đạo, từ sự tham gia của cộng đồng, và từ một văn bản chính sách được soạn thảo không phải để thỏa mãn yêu cầu hình thức — mà để thực sự bảo vệ những con người tin tưởng vào ngôi nhà chung của học thuật.

Tài Liệu Tham Khảo

Carroll, S. R., Garba, I., Figueroa-Rodríguez, O. L., & Holbrook, J. (2020). "The CARE Principles for Indigenous Data Governance." Data Science Journal, 19(1), 43. DOI: 10.5334/dsj-2020-043

Tổng luận về nguyên tắc CARE (Collective Benefit, Authority to Control, Responsibility, Ethics) trong quản trị dữ liệu cộng đồng.

Carroll, S. R., Herczog, E., & Hudson, M. (2021). "Operationalizing the CARE and FAIR Principles for Indigenous data futures." Scientific Data, 8(1), 108. DOI: 10.1038/s41597-021-00892-0

Hướng dẫn vận hành thực hành hai bộ nguyên tắc CARE và FAIR trong quản lý dữ liệu nghiên cứu.

Chan, C. K. Y. (2023). "A comprehensive AI policy education framework for university teaching and learning." International Journal of Educational Technology in Higher Education, 20(1), 38. DOI: 10.1186/s41239-023-00408-3

Khung chính sách AI giáo dục sâu rộng đặt quản trị dữ liệu như nền tảng của mọi chính sách AI trong giáo dục đại học.

Giang, N. T. H., Hai, P. T. T., & Tu, N. T. T. (2021). "Exploring the Readiness for Digital Transformation in a Higher Education Institution towards Industrial Revolution 4.0." International Journal of Engineering Pedagogy, 11(2), 4–23. DOI: 10.3991/ijep.v11i2.17515

Đánh giá mức độ sẵn sàng chuyển đổi số tại trường đại học Việt Nam, với phát hiện đáng lưu ý về khoảng cách năng lực quản trị dữ liệu.

Holmes, W., Porayska-Pomsta, K., & Holstein, K. (2022). "Ethics of AI in Education: Towards a Community-Wide Framework." International Journal of Artificial Intelligence in Education, 32(3), 504–526. DOI: 10.1007/s40593-021-00239-1

Khung đạo đức cộng đồng cho AI trong giáo dục, đặt quản trị dữ liệu như điều kiện tiên quyết của AI đạo đức.

Huang, L. (2023). "Ethics of Artificial Intelligence in Education: Student Privacy and Data Protection." Science Insights Education Frontiers, 16(2), 2577–2587. DOI: 10.15354/sief.23.re202

Phân tích đa chiều về các nguy cơ đối với quyền riêng tư sinh viên và bình đẳng giáo dục khi AI xử lý dữ liệu trong môi trường học tập.

Janssen, M., Brous, P., & Estevez, E. (2020). "Data governance: Organizing data for trustworthy Artificial Intelligence." Government Information Quarterly, 37(3), 101493. DOI: 10.1016/j.giq.2020.101493

Lập luận nền tảng về quản trị dữ liệu như điều kiện tiên quyết của AI đáng tin cậy, áp dụng cho cả khu vực công và giáo dục.

Jin, Y., Yan, L., & Echeverria, V. (2025). "Generative AI in higher education: A global perspective of institutional adoption policies and guidelines." Computers and Education: Artificial Intelligence, 6, 100348. DOI: 10.1016/j.caeai.2024.100348

Phân tích toàn cầu về chính sách AI sinh tạo trong giáo dục đại học và khoảng trống quản trị dữ liệu trong các chính sách này.

Jones, K. M. L. (2019). "Learning analytics and higher education: a proposed model for establishing informed consent mechanisms to promote student privacy and autonomy." International Journal of Educational Technology in Higher Education, 16(1), 24. DOI: 10.1186/s41239-019-0155-0

Đề xuất mô hình đồng thuận có thông tin thực chất cho hệ thống phân tích học tập, bảo vệ quyền tự quyết của sinh viên.

Labadie, C., & Legner, C. (2023). "Building data management capabilities to address data protection regulations: Learnings from EU-GDPR." Journal of Information Technology, 38(1), 67–94. DOI: 10.1177/02683962221141456

Nghiên cứu thực địa về xây dựng năng lực quản lý dữ liệu để tuân thủ GDPR, chỉ ra bốn loại năng lực tổ chức cần thiết.

Mohamed Hashim, M. A., Tlemsani, I., & Matthews, R. (2021). "Higher education strategy in digital transformation." Education and Information Technologies, 27(3), 3171–3195. DOI: 10.1007/s10639-021-10739-1

Chiến lược chuyển đổi số trong giáo dục đại học với luận điểm về quản lý dữ liệu là hạ tầng nền tảng.

Nguyen, A., Ngo, H. N., & Hong, Y. (2022). "Ethical principles for artificial intelligence in education." Education and Information Technologies, 28(4), 4221–4241. DOI: 10.1007/s10639-022-11316-w

Xác định sáu nguyên tắc đạo đức cho AI trong giáo dục và liên hệ với yêu cầu quản trị dữ liệu.

Quy, V. K., Thanh, B. T., & Chehri, A. (2023). "AI and Digital Transformation in Higher Education: Vision and Approach of a Specific University in Vietnam." Sustainability, 15(14), 11093. DOI: 10.3390/su151411093

Nghiên cứu trường hợp về AI và chuyển đổi số tại đại học Việt Nam, chỉ ra khoảng cách năng lực quản trị dữ liệu.

Romero, C., & Ventura, S. (2020). "Educational data mining and learning analytics: An updated survey." WIREs Data Mining and Knowledge Discovery, 10(3), e1355. DOI: 10.1002/widm.1355

Tổng quan đầy đủ về khai thác dữ liệu giáo dục và phân tích học tập, minh họa sự bùng nổ và tầm nổi bật của dữ liệu học tập trong hệ thống LMS.

Saraiva, J., Souza, C. de, & Soares, S. (2025). "MMAI-LGPD: A Maturity Model for Governance and Data Compliance in Information Systems Institutions." Simpósio Brasileiro de Sistemas de Informação. DOI: 10.5753/sbsi.2025.246644

Mô hình trưởng thành quản trị dữ liệu cho tổ chức giáo dục/thông tin, cung cấp lộ trình từ ad hoc đến tối ưu hóa liên tục.

Singun, A. (2025). "Unveiling the barriers to digital transformation in higher education institutions: a systematic literature review." Discover Education, 4(1), 63. DOI: 10.1007/s44217-025-00430-9

Tổng quan hệ thống về rào cản chuyển đổi số trong giáo dục đại học, xác định thiếu quản trị dữ liệu là rào cản cấu trúc hàng đầu.

Sun, J. C. (2023). "Gaps, guesswork, and ghosts lurking in technology integration: Laws and policies applicable to student privacy." British Journal of Educational Technology, 54(5), 1147–1162. DOI: 10.1111/bjet.13379

Phân tích khoảng trống pháp lý về quyền riêng tư học sinh khi công nghệ mới xuất hiện, lập luận về vai trò không thể thiếu của chính sách thể chế.

Tsai, Y.-S., Rates, D., Moreno-Marcos, P. M., & Muñoz-Merino, P. J. (2020). "Learning analytics in European higher education — Trends and barriers." Computers & Education, 155, 103933. DOI: 10.1016/j.compedu.2020.103933

Nghiên cứu xu hướng và rào cản của phân tích học tập tại châu Âu, xác định thiếu chính sách dữ liệu là rào cản hàng đầu.

Ulven, J. B., & Wangen, G. (2021). "A Systematic Review of Cybersecurity Risks in Higher Education." Future Internet, 13(2), 39. DOI: 10.3390/fi13020039

Tổng quan hệ thống về các rủi ro an ninh mạng đặc thù của giáo dục đại học và các yếu tố cấu trúc làm tăng nguy cơ tấn công.

Văn bản pháp lý tham khảo:

- Nghị định số 13/2023/NĐ-CP ngày 17/4/2023 của Chính phủ về bảo vệ dữ liệu cá nhân
- Luật An ninh mạng số 24/2018/QH14 ngày 12/6/2018
- Luật An toàn thông tin mạng số 86/2015/QH13 ngày 19/11/2015
- Luật Công nghệ thông tin số 67/2006/QH11 ngày 29/6/2006
- Quyết định số 749/QĐ-TTg ngày 3/6/2020 phê duyệt Chương trình Chuyển đổi số Quốc gia đến năm 2025, định hướng đến năm 2030
- Nghị định số 47/2020/NĐ-CP ngày 9/4/2020 về quản lý, kết nối và chia sẻ dữ liệu số của cơ quan nhà nước
- General Data Protection Regulation (EU) 2016/679 (GDPR), Nghị viện Châu Âu và Hội đồng Liên minh Châu Âu, 2018
- Family Educational Rights and Privacy Act (FERPA), Hoa Kỳ, 1974 (cập nhật)

Sự Cần Thiết Ban Hành Quy Chế Quản Lý Dữ Liệu Số Tại Trường Đại Học: Kinh Nghiệm Quốc Tế Và Khuyến Nghị Cho Việt Nam