Dữ liệu đang trở thành công cụ quan trọng trong huấn luyện, tuyển chọn và chăm sóc vận động viên. Nhưng phía sau những chỉ số về thể lực, nhịp tim, chấn thương và hiệu suất thi đấu là những thông tin cá nhân cần được bảo vệ. 

Khi hồ sơ được chia sẻ giữa bác sĩ, huấn luyện viên, liên đoàn, câu lạc bộ và các nền tảng công nghệ, ai có quyền truy cập, ai chịu trách nhiệm bảo mật và điều gì xảy ra nếu dữ liệu bị rò rỉ? Đây không chỉ là câu chuyện của công nghệ. Đó còn là vấn đề về quyền riêng tư, trách nhiệm quản trị và niềm tin của vận động viên trong quá trình chuyển đổi số thể thao Việt Nam.

Dữ liệu càng nhiều, trách nhiệm bảo vệ càng lớn

Trong thể thao hiện đại, đánh giá một vận động viên không còn chỉ dựa vào thành tích trên sân đấu. Các thiết bị đeo, hệ thống định vị, camera và phần mềm phân tích có thể cung cấp dữ liệu về nhịp tim, tốc độ, quãng đường di chuyển, tải lượng vận động, giấc ngủ và khả năng phục hồi. Hồ sơ y tế bổ sung thông tin về chấn thương, quá trình điều trị và tình trạng sức khỏe. Những dữ liệu này giúp bác sĩ đánh giá khả năng thi đấu, còn huấn luyện viên có thêm cơ sở điều chỉnh giáo án.

Tuy nhiên, càng có nhiều dữ liệu được thu thập, nguy cơ sử dụng sai mục đích càng cần được tính đến. Một thông tin về chấn thương có thể giúp vận động viên được điều trị đúng cách. Nhưng nếu bị tiết lộ không phù hợp, chính thông tin đó có thể ảnh hưởng đến cơ hội thi đấu, quá trình thương lượng hợp đồng hoặc quan hệ với câu lạc bộ.

Khác với dữ liệu thành tích đã được công bố, hồ sơ sức khỏe và nhiều thông tin cá nhân không phải là tài sản để mọi bộ phận trong một tổ chức tự do khai thác. Quyền tiếp cận phải gắn với nhiệm vụ cụ thể, mục đích sử dụng và căn cứ pháp lý.

Vấn đề trở nên phức tạp khi một vận động viên làm việc với nhiều đơn vị. Bác sĩ có thể lưu hồ sơ khám chữa bệnh; trung tâm huấn luyện quản lý kết quả kiểm tra thể lực; huấn luyện viên sử dụng dữ liệu tập luyện; liên đoàn nắm thông tin đăng ký thi đấu; trong khi nhà cung cấp công nghệ lưu trữ dữ liệu trên nền tảng riêng.

Nếu các hệ thống không được kết nối theo quy trình thống nhất, dữ liệu có thể bị phân tán. Nếu kết nối quá rộng mà thiếu cơ chế phân quyền, nhiều người có thể tiếp cận thông tin vượt quá nhu cầu chuyên môn.

Vì vậy, câu hỏi quan trọng không đơn thuần là thể thao Việt Nam đã số hóa được bao nhiêu hồ sơ. Đó còn là việc mỗi dữ liệu được lưu ở đâu, ai được xem, ai được phép chia sẻ và ai chịu trách nhiệm khi xảy ra sai sót.

Những câu hỏi này càng có ý nghĩa khi Việt Nam đẩy mạnh chuyển đổi số theo tinh thần Nghị quyết 57-NQ/TW. Một hệ thống thể thao hiện đại cần khai thác dữ liệu để nâng cao thành tích, nhưng cũng phải có năng lực bảo vệ dữ liệu và quyền lợi của người tạo ra chúng.

Rủi ro không chỉ đến từ tin tặc

Mức độ đáng lo ngại của an toàn dữ liệu có thể được nhìn nhận qua những con số về an ninh mạng tại Việt Nam. Theo báo cáo khảo sát năm 2024 của Hiệp hội An ninh mạng quốc gia, dựa trên 4.935 cơ quan, tổ chức và doanh nghiệp, 46,15% đơn vị tham gia khảo sát cho biết từng bị tấn công mạng ít nhất một lần. Tổng số cuộc tấn công trong năm được ước tính vượt 659.000. Đáng chú ý, chỉ 64,13% đơn vị được khảo sát cho biết đã triển khai giải pháp sao lưu và phục hồi dữ liệu.

Các số liệu này không chứng minh rằng những trung tâm huấn luyện hay liên đoàn thể thao Việt Nam đã gặp sự cố tương tự. Tuy nhiên, chúng cho thấy rủi ro an ninh mạng là vấn đề thực tế, còn năng lực sao lưu và đào tạo vẫn chưa đồng đều giữa các tổ chức.

Với thể thao, hậu quả của một sự cố cũng không chỉ nằm ở việc mất tệp dữ liệu. Nếu hồ sơ bị mã hóa hoặc hệ thống bị gián đoạn ngay trước một giải đấu, đội ngũ y tế có thể gặp khó khăn khi tra cứu lịch sử điều trị. Nếu tài khoản bị chiếm quyền, thông tin chấn thương, kết quả kiểm tra hoặc kế hoạch huấn luyện có thể bị truy cập trái phép. Nếu dữ liệu bị phát tán, vận động viên có thể chịu tổn hại về danh tiếng và quyền lợi nghề nghiệp.

Một nguy cơ khác đến từ chính quy trình nội bộ. Tài khoản dùng chung, quyền truy cập không được thu hồi khi nhân sự chuyển công tác, hồ sơ được gửi qua ứng dụng cá nhân hoặc tệp dữ liệu được lưu trên thiết bị không bảo đảm an toàn đều có thể tạo ra lỗ hổng. Trong những trường hợp này, hệ thống không nhất thiết bị tin tặc tấn công bằng kỹ thuật phức tạp. Sai sót trong quản lý cũng đủ khiến thông tin rơi vào tay người không có thẩm quyền.

Rủi ro còn xuất hiện khi đơn vị thể thao sử dụng phần mềm phân tích hoặc dịch vụ lưu trữ của bên thứ ba. Một hợp đồng chỉ quy định chức năng phần mềm mà không làm rõ quyền truy cập, thời hạn lưu giữ, nghĩa vụ bảo mật và cách xử lý dữ liệu khi chấm dứt hợp tác sẽ để lại nhiều câu hỏi. Ai có quyền tải hồ sơ về? Nhà cung cấp được phép sử dụng dữ liệu đến đâu? Nếu hệ thống gặp sự cố, đơn vị thể thao có thể khôi phục thông tin bằng cách nào?

Những vấn đề này cần được giải quyết ngay từ khâu lựa chọn công nghệ, thay vì chờ đến khi xảy ra sự cố mới xác định trách nhiệm.

Luật đã có, nhưng cơ chế bảo vệ phải đi vào thực tế

Một cơ sở quan trọng để giải quyết vấn đề là khung pháp lý về bảo vệ dữ liệu cá nhân. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 1/1/2026. Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật cũng có hiệu lực từ thời điểm này.

Luật xác lập các quyền của chủ thể dữ liệu, bao gồm quyền được biết về hoạt động xử lý dữ liệu; đồng ý hoặc rút lại sự đồng ý trong những trường hợp áp dụng; truy cập, chỉnh sửa; yêu cầu cung cấp, xóa hoặc hạn chế xử lý dữ liệu theo quy định. Luật cũng nghiêm cấm việc xử lý dữ liệu cá nhân trái pháp luật, chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu.

Đối với thể thao, những quy định này đặt ra yêu cầu cụ thể. Khi thu thập hồ sơ sức khỏe, dữ liệu thể lực hoặc thông tin cá nhân phục vụ huấn luyện, đơn vị quản lý cần xác định rõ mục đích, phạm vi và căn cứ xử lý. Vận động viên cần được thông tin về cách dữ liệu của mình được sử dụng, đồng thời có cơ chế thực hiện các quyền theo pháp luật.

Tuy nhiên, cần phân biệt giữa quyền quản lý hồ sơ phục vụ nhiệm vụ chuyên môn và quyền tự do khai thác hồ sơ. Việc một câu lạc bộ quản lý hợp đồng của vận động viên không có nghĩa mọi bộ phận trong câu lạc bộ đều được xem thông tin y tế. Tương tự, việc huấn luyện viên cần biết tình trạng sẵn sàng thi đấu không đồng nghĩa với việc họ phải được tiếp cận toàn bộ bệnh sử.

Một nguyên tắc cần được áp dụng là phân quyền theo nhiệm vụ, chỉ cung cấp lượng dữ liệu cần thiết cho công việc. Bác sĩ cần tiếp cận hồ sơ y tế phù hợp với nhiệm vụ chăm sóc sức khỏe. Huấn luyện viên cần biết những khuyến nghị chuyên môn liên quan đến tải lượng vận động và khả năng thi đấu. Bộ phận quản lý có thể cần thông tin hành chính, nhưng không mặc nhiên có quyền truy cập mọi kết quả xét nghiệm.

Bên cạnh đó, phải xác định rõ trách nhiệm giữa đơn vị quản lý vận động viên, cơ sở y tế và doanh nghiệp cung cấp công nghệ. Nếu dữ liệu được lưu trữ trên nền tảng bên ngoài, hợp đồng cần quy định quyền truy cập, nghĩa vụ bảo mật, việc chia sẻ dữ liệu, thời hạn lưu trữ và cách bàn giao hoặc xóa dữ liệu khi kết thúc hợp tác.

Luật pháp tạo ra cơ sở để bảo vệ quyền lợi của vận động viên. Nhưng để những quyền đó được thực hiện, mỗi đơn vị thể thao cần có quy trình cụ thể, người chịu trách nhiệm và phương thức kiểm tra việc tuân thủ.

Phân quyền, sao lưu và xử lý sự cố: Ba lớp bảo vệ cần thiết

Để an toàn dữ liệu trở thành một phần thực chất của chuyển đổi số thể thao, trước hết cần rà soát toàn bộ dữ liệu đang được thu thập và lưu trữ. Đơn vị quản lý phải biết mình đang giữ những loại hồ sơ nào, dữ liệu được đặt ở đâu, ai có quyền truy cập và thời hạn lưu trữ là bao lâu.

Từ đó, có thể xây dựng hệ thống phân quyền theo vai trò. Mỗi người chỉ được truy cập những dữ liệu cần thiết cho nhiệm vụ của mình. Tài khoản phải gắn với cá nhân cụ thể, có xác thực phù hợp và được thu hồi khi nhân sự nghỉ việc hoặc thay đổi vị trí. Nhật ký truy cập cũng cần được lưu giữ để phục vụ kiểm tra khi phát hiện dấu hiệu bất thường.

Đối với dữ liệu nhạy cảm, cần xem xét các biện pháp mã hóa, kiểm soát việc tải xuống và hạn chế sao chép sang thiết bị cá nhân. Dữ liệu dùng cho nghiên cứu hoặc phân tích hiệu suất nên được khử định danh khi phù hợp, nhằm giảm khả năng nhận diện vận động viên mà vẫn đáp ứng mục đích chuyên môn.

Lớp bảo vệ thứ hai là sao lưu và khôi phục dữ liệu. Những con số của Hiệp hội An ninh mạng quốc gia cho thấy không phải mọi tổ chức đều đã triển khai đầy đủ biện pháp này. Trong khi đó, sao lưu chỉ thực sự có ý nghĩa nếu dữ liệu có thể được khôi phục khi hệ thống chính gặp sự cố.

Các trung tâm huấn luyện, liên đoàn và câu lạc bộ cần xác định dữ liệu nào thiết yếu, tần suất sao lưu, người có quyền khôi phục và phương án duy trì hoạt động khi hệ thống bị gián đoạn. Bản sao lưu nên được bảo vệ độc lập, tránh nguy cơ bị xóa hoặc mã hóa cùng hệ thống chính. Việc khôi phục cũng phải được kiểm tra định kỳ, thay vì chỉ xác nhận rằng dữ liệu đã được sao lưu.

Lớp bảo vệ thứ ba là quy trình ứng phó sự cố. Khi phát hiện tài khoản bị chiếm quyền hoặc hồ sơ bị truy cập trái phép, đơn vị cần có đầu mối tiếp nhận, phương án khoanh vùng, bảo toàn bằng chứng và đánh giá mức độ ảnh hưởng. Những nghĩa vụ thông báo và xử lý tiếp theo phải được thực hiện theo quy định pháp luật áp dụng.

Quan trọng hơn, trách nhiệm không thể chỉ được giao cho một nhân viên công nghệ. Người đứng đầu đơn vị cần bảo đảm có quy chế quản trị dữ liệu, nguồn lực phù hợp và cơ chế phối hợp giữa bộ phận chuyên môn, y tế, công nghệ và pháp lý.

Với các đơn vị chưa đủ điều kiện xây dựng hệ thống bảo mật riêng, có thể sử dụng dịch vụ chuyên nghiệp. Nhưng thuê ngoài không đồng nghĩa với chuyển giao toàn bộ trách nhiệm. Hợp đồng phải quy định rõ quyền và nghĩa vụ của từng bên, cách kiểm tra việc tuân thủ và phương án xử lý khi nhà cung cấp gặp sự cố.

Bảo vệ dữ liệu là bảo vệ vận động viên

Một hệ thống dữ liệu thể thao tốt không chỉ giúp huấn luyện viên đánh giá chính xác hơn hoặc giúp bác sĩ theo dõi quá trình phục hồi. Nó còn phải bảo đảm vận động viên có thể tin tưởng rằng thông tin cá nhân sẽ không bị sử dụng vượt quá mục đích hợp pháp.

Muốn vậy, cơ quan quản lý thể thao cần nghiên cứu hướng dẫn chuyên ngành về quản trị dữ liệu vận động viên, phù hợp với pháp luật hiện hành. Các trung tâm huấn luyện và liên đoàn cần rà soát quy chế nội bộ, xác định người chịu trách nhiệm, chuẩn hóa phân quyền và tổ chức kiểm tra an toàn thông tin định kỳ. Nhà cung cấp công nghệ phải được đánh giá về năng lực bảo mật trước khi xử lý dữ liệu nhạy cảm.

Song song với đó, vận động viên cần được hướng dẫn về quyền dữ liệu của mình. Họ phải biết cách yêu cầu truy cập, chỉnh sửa thông tin sai, phản ánh việc sử dụng không phù hợp và tìm đến đầu mối nào khi nghi ngờ xảy ra sự cố. Đặc biệt, các vận động viên trẻ cần được giải thích dễ hiểu về việc thu thập và sử dụng dữ liệu, với sự tham gia của người đại diện theo quy định khi cần thiết.

Để đánh giá tiến độ, các đơn vị có thể xây dựng bộ tiêu chí tối thiểu: có quy chế quản trị dữ liệu; có danh mục dữ liệu và quyền truy cập; có hệ thống sao lưu, khôi phục; có quy trình ứng phó sự cố; có điều khoản bảo mật trong hợp đồng; và có cơ chế tiếp nhận yêu cầu của vận động viên. Việc đánh giá nên dựa trên hồ sơ, kiểm tra thực tế và thử nghiệm khôi phục, thay vì chỉ dựa vào báo cáo tự đánh giá.

Trong bối cảnh thực hiện Nghị quyết 57-NQ/TW, chuyển đổi số thể thao không nên chỉ được đo bằng số lượng hồ sơ điện tử, phần mềm hay thiết bị được đưa vào sử dụng. Một tiêu chí không kém phần quan trọng là khả năng bảo vệ dữ liệu, duy trì hoạt động khi xảy ra sự cố và bảo đảm quyền lợi của những người trực tiếp tạo ra dữ liệu.

Công nghệ có thể giúp thể thao hiểu vận động viên sâu hơn, từ thể lực đến khả năng phục hồi. Nhưng hiểu nhiều hơn không đồng nghĩa với quyền khai thác không giới hạn. Càng dựa vào dữ liệu, hệ thống càng cần những nguyên tắc quản trị rõ ràng và trách nhiệm giải trình thực chất.

Bảo vệ dữ liệu không phải là chi phí phụ của chuyển đổi số. Đó là điều kiện để chuyển đổi số thể thao phát triển an toàn, bền vững và lấy vận động viên làm trung tâm.