Được công bố ngày 03/01/2026, là tập số 24, bài số 5 trên Journal of Translational Medicine (tạm dịch: “Tạp chí Y học Chuyển giao”) - một trong những tạp chí hàng đầu thế giới trong lĩnh vực nghiên cứu chuyển giao, tập trung vào việc biến các phát hiện nền tảng trong khoa học cơ bản và tiền lâm sàng thành những cải thiện cụ thể cho sức khỏe con người.

Đây là công trình của các tác giả David C. Klonoff, Agatha F. Scheideman, Mandy M. Shao, Cindy N. Ho, Alessandra T. Ayers, Johan Jendle, Henry G. Wykowski và Lutz Heinemann. Trong bối cảnh dữ liệu y tế ngày càng được tạo ra với quy mô lớn từ bệnh viện, thiết bị đeo, hồ sơ sức khỏe điện tử và các nền tảng số, nghiên cứu này đặt ra một vấn đề cốt lõi: các khuôn khổ pháp lý hiện nay đã bảo vệ quyền riêng tư dữ liệu, nhưng vẫn chưa xác lập rõ ràng ai là chủ sở hữu thực sự của dữ liệu y tế.

Bài viết xuất phát từ thực tế rằng “big data” trong y tế, hay dữ liệu lớn y tế, đang phát triển nhanh chóng và trở thành nguồn tài nguyên quan trọng cho nghiên cứu, điều trị, quản lý sức khỏe cộng đồng và phát triển sản phẩm y tế. Dữ liệu lớn y tế bao gồm nhiều loại thông tin khác nhau như hồ sơ sức khỏe điện tử, kết quả xét nghiệm, hình ảnh chẩn đoán, dữ liệu từ thiết bị đeo và các hệ thống theo dõi sức khỏe liên tục. Chẳng hạn, đối với người sống chung với bệnh tiểu đường, các thiết bị CGM (Continuous Glucose Monitoring - hệ thống theo dõi đường huyết liên tục) có thể tạo ra dữ liệu liên tục về mức đường huyết của người bệnh. Những dữ liệu này có giá trị rất lớn không chỉ với cá nhân bệnh nhân, mà còn với bác sĩ, nhà nghiên cứu, cơ quan y tế công cộng và doanh nghiệp phát triển thiết bị y tế.

Tuy nhiên, khi dữ liệu được tạo ra, thu thập, lưu trữ, phân tích và sử dụng bởi nhiều chủ thể khác nhau, câu hỏi “Ai sở hữu dữ liệu y tế?” trở nên phức tạp. Người bệnh có thể cho rằng dữ liệu về cơ thể và tình trạng sức khỏe của họ thuộc về chính họ. Bác sĩ và cơ sở y tế có thể cho rằng họ là bên thu thập, tổ chức, lưu trữ và quản lý hồ sơ y tế nên có quyền kiểm soát nhất định. Nhà nghiên cứu cần dữ liệu để phát triển tri thức y học. Cơ quan y tế công cộng cần dữ liệu để theo dõi dịch bệnh, xây dựng chính sách và bảo vệ sức khỏe cộng đồng. Trong khi đó, các công ty thiết bị y tế, nền tảng số và nhà phát triển trí tuệ nhân tạo cũng có thể tuyên bố quyền lợi đối với dữ liệu mà hệ thống của họ tạo ra hoặc xử lý.

Một điểm đáng chú ý trong nghiên cứu là sự phân biệt giữa quyền riêng tư, quyền truy cập và quyền sở hữu. Quyền riêng tư dữ liệu y tế liên quan đến việc bảo vệ thông tin cá nhân khỏi bị sử dụng, tiết lộ hoặc khai thác trái phép. Quyền truy cập là khả năng cá nhân được xem, nhận bản sao hoặc chia sẻ dữ liệu của mình. Trong khi đó, quyền sở hữu liên quan đến câu hỏi ai có quyền kiểm soát cuối cùng đối với dữ liệu, ai được phép khai thác dữ liệu, ai có quyền chuyển giao dữ liệu và ai được hưởng lợi từ giá trị kinh tế hoặc khoa học được tạo ra từ dữ liệu đó. Theo các tác giả, nhiều hệ thống pháp luật hiện nay mới chủ yếu điều chỉnh quyền riêng tư và quyền truy cập, nhưng chưa giải quyết đầy đủ quyền sở hữu dữ liệu y tế.

Tại Hoa Kỳ, khung pháp lý quan trọng nhất liên quan đến dữ liệu sức khỏe là HIPAA (Health Insurance Portability and Accountability Act - Đạo luật về khả năng chuyển đổi và trách nhiệm giải trình bảo hiểm y tế). HIPAA đặt ra các tiêu chuẩn bảo vệ PHI (Protected Health Information - thông tin sức khỏe được bảo vệ), tức những thông tin có thể nhận diện cá nhân và liên quan đến tình trạng sức khỏe, dịch vụ y tế hoặc thanh toán y tế. HIPAA bảo đảm cho bệnh nhân quyền được xem và nhận bản sao hồ sơ y tế, đồng thời giới hạn cách các tổ chức y tế được sử dụng và tiết lộ dữ liệu. Tuy nhiên, HIPAA không trao cho bệnh nhân quyền sở hữu pháp lý đối với dữ liệu y tế. Nói cách khác, bệnh nhân có quyền tiếp cận và kiểm soát ở một mức độ nhất định, nhưng không đồng nghĩa với việc họ là chủ sở hữu của hồ sơ gốc đang được bệnh viện hoặc cơ sở y tế lưu giữ.

Khoảng trống này càng trở nên rõ ràng hơn khi xét đến dữ liệu từ thiết bị đeo và ứng dụng sức khỏe thương mại. Nhiều công ty công nghệ trực tiếp cung cấp thiết bị hoặc ứng dụng cho người tiêu dùng mà không phải là nhà cung cấp dịch vụ y tế theo nghĩa truyền thống. Vì vậy, dữ liệu do các thiết bị này thu thập có thể không nằm hoàn toàn trong phạm vi bảo vệ của HIPAA. Điều này tạo ra một vùng xám pháp lý: dữ liệu có bản chất y tế hoặc có thể suy luận về sức khỏe của người dùng, nhưng lại được thu thập trong môi trường thương mại, tiêu dùng hoặc ngoài hệ thống y tế chính thức.

Ở Liên minh châu Âu, GDPR (General Data Protection Regulation - Quy định chung về bảo vệ dữ liệu) được xem là một trong những khuôn khổ pháp lý mạnh mẽ nhất về bảo vệ dữ liệu cá nhân. GDPR thừa nhận quyền riêng tư dữ liệu là một quyền cơ bản, yêu cầu sự đồng ý rõ ràng khi xử lý dữ liệu cá nhân, bao gồm cả dữ liệu sức khỏe, và trao cho cá nhân nhiều quyền như quyền truy cập, quyền chỉnh sửa, quyền xóa và quyền phản đối xử lý dữ liệu. Tuy nhiên, tương tự như HIPAA, GDPR không trực tiếp xác lập quyền sở hữu dữ liệu y tế. Quy định này tăng cường quyền kiểm soát của cá nhân đối với dữ liệu, nhưng câu hỏi ai sở hữu dữ liệu theo nghĩa pháp lý vẫn chưa được giải quyết dứt điểm.

Bài nghiên cứu cũng đề cập đến các sáng kiến mới như TEFCA tại Hoa Kỳ và EHDS tại châu Âu. TEFCA (Trusted Exchange Framework and Common Agreement - Khung trao đổi tin cậy và thỏa thuận chung) là một sáng kiến nhằm tăng cường khả năng trao đổi thông tin y tế an toàn giữa các hệ thống tại Hoa Kỳ. EHDS (European Health Data Space - Không gian dữ liệu y tế châu Âu) là một sáng kiến của Liên minh châu Âu nhằm giúp cá nhân truy cập dữ liệu sức khỏe điện tử của mình dễ dàng hơn, đồng thời tạo khuôn khổ cho việc chia sẻ dữ liệu có kiểm soát phục vụ chăm sóc sức khỏe, nghiên cứu và hoạch định chính sách. Tuy nhiên, các tác giả nhấn mạnh rằng cả TEFCA và EHDS đều tăng cường quyền truy cập, quyền kiểm soát và khả năng chia sẻ dữ liệu, nhưng chưa thiết lập quyền sở hữu dữ liệu y tế một cách rõ ràng.

Một nội dung quan trọng khác của bài viết là vai trò của dữ liệu y tế đối với translational medicine, tức y học chuyển giao. Đây là lĩnh vực nghiên cứu nhằm chuyển các phát hiện từ khoa học cơ bản, phòng thí nghiệm hoặc nghiên cứu tiền lâm sàng thành ứng dụng thực tế trong chăm sóc sức khỏe con người. Y học chuyển giao cần lượng dữ liệu lớn, đa dạng và có chất lượng để phát triển thuốc mới, thiết bị y tế mới, thuật toán trí tuệ nhân tạo, phác đồ điều trị và chính sách y tế hiệu quả hơn. Nếu dữ liệu bị phân tán, khó tiếp cận hoặc bị hạn chế bởi sự mơ hồ về quyền sở hữu, quá trình nghiên cứu chuyển giao có thể bị chậm lại.

Từ góc độ nghiên cứu, dữ liệu bệnh nhân tạo ra có thể mang lại lợi ích rất lớn cho xã hội. Dữ liệu từ thiết bị theo dõi đường huyết, hồ sơ bệnh án điện tử hoặc ứng dụng sức khỏe có thể được dùng để xây dựng RWE (Real-World Evidence - bằng chứng thực tế). Đây là loại bằng chứng được rút ra từ dữ liệu phát sinh trong đời sống và thực hành y tế thực tế, thay vì chỉ từ các thử nghiệm lâm sàng được kiểm soát chặt chẽ. RWE giúp các nhà nghiên cứu hiểu rõ hơn hiệu quả và độ an toàn của thuốc, thiết bị hoặc can thiệp y tế trong điều kiện sử dụng thường ngày. Tuy nhiên, việc sử dụng dữ liệu của bệnh nhân cho nghiên cứu thực tế cần có cơ chế pháp lý minh bạch về quyền đồng ý, quyền kiểm soát, quyền chia sẻ lợi ích và trách nhiệm của các bên liên quan.

Bài viết chỉ ra rằng sự thiếu rõ ràng về quyền sở hữu có thể làm suy giảm niềm tin của bệnh nhân đối với việc chia sẻ dữ liệu. Nhiều người có thể sẵn sàng chia sẻ dữ liệu sức khỏe với bác sĩ, gia đình hoặc nhà nghiên cứu học thuật, nhưng lại dè dặt hơn khi dữ liệu được chia sẻ với công ty thương mại, nhà sản xuất thiết bị hoặc bên thứ ba. Nếu người bệnh không biết dữ liệu của mình sẽ được dùng như thế nào, có được ẩn danh hay không, có bị bán cho bên khác hay không, hoặc có tạo ra lợi nhuận cho doanh nghiệp hay không, họ có thể từ chối tham gia các chương trình chia sẻ dữ liệu. Điều này không chỉ ảnh hưởng đến quyền lợi cá nhân mà còn hạn chế khả năng phát triển nghiên cứu y học.

Nghiên cứu cũng nêu lên một số tranh chấp và tình huống pháp lý liên quan đến dữ liệu y tế. Một ví dụ là các vụ kiện tại Hoa Kỳ liên quan đến việc bệnh viện chia sẻ dữ liệu bệnh nhân cho các công ty công nghệ hoặc bên thứ ba để phục vụ nghiên cứu học máy. Dù dữ liệu có thể đã được khử định danh, tức loại bỏ thông tin trực tiếp nhận diện cá nhân, vẫn có lo ngại rằng các siêu dữ liệu đi kèm có thể cho phép tái nhận diện bệnh nhân. Một ví dụ khác là tranh chấp giữa các doanh nghiệp trong lĩnh vực truy cập hồ sơ y tế, nơi quyền kiểm soát dữ liệu, khả năng chia sẻ thông tin và lợi ích của bệnh nhân đều trở thành vấn đề pháp lý. Những trường hợp này cho thấy khi không có quy định rõ ràng về quyền sở hữu, các xung đột về truy cập, kiểm soát và khai thác dữ liệu rất dễ phát sinh.

Trong phần thảo luận, các tác giả cũng đề cập đến federated learning (học liên kết) như một giải pháp kỹ thuật có thể hỗ trợ chia sẻ dữ liệu mà vẫn bảo vệ quyền kiểm soát tại từng tổ chức. Học liên kết là phương pháp cho phép nhiều tổ chức cùng huấn luyện thuật toán trên dữ liệu của mình mà không cần chuyển dữ liệu thô ra khỏi hệ thống nội bộ. Chỉ các kết quả tổng hợp hoặc tham số mô hình được chia sẻ. Cách tiếp cận này có thể giúp bảo vệ quyền riêng tư, giảm rủi ro chuyển dữ liệu và vẫn cho phép phát triển các mô hình phân tích mạnh hơn. Tuy nhiên, học liên kết không tự giải quyết câu hỏi quyền sở hữu; nó chỉ là một công cụ kỹ thuật cần đi kèm với khung pháp lý và quản trị phù hợp.

Một vấn đề mới nổi khác là dữ liệu y tế dùng cho phát triển AI. AI trong y tế có thể được sử dụng để phát hiện bệnh, dự báo nguy cơ, hỗ trợ chẩn đoán, cá nhân hóa điều trị hoặc vận hành thiết bị y tế thông minh. Nhưng các thuật toán AI cần lượng dữ liệu rất lớn để huấn luyện. Khi dữ liệu của bệnh nhân được dùng để tạo ra một thuật toán có giá trị thương mại, câu hỏi đặt ra là bệnh nhân có quyền được thông báo, được đồng ý, được chia sẻ lợi ích hoặc được bồi hoàn hay không. Nếu dữ liệu đã được khử định danh, quyền của người tạo dữ liệu có còn hay không? Nếu một thuật toán gây ra kết quả bất lợi, ai chịu trách nhiệm: nhà phát triển AI, cơ sở dữ liệu, bác sĩ sử dụng công cụ, hay tổ chức cung cấp dữ liệu? Đây là những câu hỏi ngày càng cấp thiết.

Bài viết cũng nhắc đến blockchain như một công nghệ có thể được sử dụng trong quản lý dữ liệu y tế. Blockchain là sổ cái phân tán, trong đó dữ liệu được ghi nhận trên nhiều nút mạng và rất khó bị sửa đổi trái phép. Trong y tế, blockchain có thể giúp tăng tính minh bạch, truy vết lịch sử truy cập và trao đổi dữ liệu. Tuy nhiên, nếu dữ liệu y tế được quản trị bằng blockchain, câu hỏi quyền sở hữu lại càng phức tạp hơn: bệnh nhân, cơ sở y tế, nhà phát triển nền tảng, tổ chức lưu trữ và người vận hành mạng lưới đều có thể có vai trò nhất định đối với dữ liệu. Do đó, công nghệ không thể thay thế nhu cầu xây dựng khung pháp lý rõ ràng.

Từ các phân tích trên, nghiên cứu đề xuất rằng các luật về quyền sở hữu dữ liệu y tế cần xác định rõ ai có quyền gì đối với từng loại dữ liệu, trong bối cảnh nào, với mục đích sử dụng nào và theo cơ chế chia sẻ lợi ích ra sao. Các tác giả nhấn mạnh tầm quan trọng của informed consent, tức đồng ý sau khi được cung cấp đầy đủ thông tin. Người bệnh cần hiểu dữ liệu của họ sẽ được thu thập, lưu trữ, sử dụng, chia sẻ và thương mại hóa như thế nào. Bên cạnh đó, các thỏa thuận sử dụng dữ liệu, thỏa thuận chuyển giao dữ liệu, nhật ký truy cập minh bạch, cơ quan giám sát độc lập và quy trình xử lý sự cố cũng là các công cụ cần thiết để tăng niềm tin và trách nhiệm giải trình.

Kết luận, bài nghiên cứu “The need for clear medical data ownership laws” khẳng định rằng việc thiếu các quy định pháp luật rõ ràng về quyền sở hữu dữ liệu y tế đang tạo ra nhiều thách thức đạo đức, kỹ thuật và pháp lý trong kỷ nguyên dữ liệu lớn và trí tuệ nhân tạo y tế. Các quy định hiện hành tại Hoa Kỳ, Liên minh châu Âu và nhiều khu vực khác đã có bước tiến quan trọng trong bảo vệ quyền riêng tư và quyền truy cập dữ liệu, nhưng vẫn chưa giải quyết đầy đủ vấn đề sở hữu. Trong khi đó, dữ liệu y tế ngày càng có giá trị đối với điều trị, nghiên cứu chuyển giao, y tế công cộng, phát triển thiết bị, dược phẩm và thuật toán AI. Vì vậy, cần có những khung pháp lý mới nhằm cân bằng quyền của bệnh nhân, nhu cầu của bác sĩ, lợi ích của nhà nghiên cứu, trách nhiệm của cơ quan y tế công cộng và động lực đổi mới của doanh nghiệp. Chỉ khi quyền sở hữu, quyền truy cập, quyền sử dụng và cơ chế chia sẻ lợi ích được xác lập minh bạch, dữ liệu y tế mới có thể được khai thác một cách an toàn, hợp pháp và có trách nhiệm để phục vụ tốt hơn cho sức khỏe con người.