Mai, 36 tuổi, giáo viên tại TP.HCM, cần một giấy chuyển tuyến chuyên khoa khi nghi ngờ tiểu đường. Bệnh viện đa khoa của cô gửi giấy chuyển tuyến đến phòng khám nội tiết quận qua kênh bảo hiểm y tế (BHYT). Nhưng thứ thực sự được truyền đi không phải câu hỏi duy nhất "Mai có được BHYT chi trả và bệnh này có cần chuyên khoa không?" — mà là toàn bộ bệnh án của cô: mười năm toa thuốc, một lần tư vấn sức khỏe tâm thần năm 2019, tiền sử gia đình, thậm chí danh sách thuốc cô từng ngừng uống. Nhân viên nhận hồ sơ, hệ thống bảo hiểm và ba y tá đều có quyền đọc toàn bộ. Đây chính là vấn đề trung tâm của cuộc triển khai EMR đáng nể tại Việt Nam: số hóa đã xong, nhưng zk dữ liệu y tế — bằng chứng zero-knowledge áp dụng cho dữ liệu y tế — là tầng còn thiếu, giúp bệnh viện xác minh một khẳng định về hồ sơ mà không bao giờ phải gửi chính hồ sơ đó.
Cuộc cách mạng EMR tại Việt Nam là thật — và vấn đề chia sẻ quá mức cũng vậy
Việt Nam đã dành hai năm qua để ép một cuộc cách mạng giấy tờ. Thông tư 13/2025/TT-BYT, hiệu lực từ 21/7/2025, bắt buộc hồ sơ bệnh án điện tử (EMR) — bệnh viện trước 30/9/2025, và mọi cơ sở có khám chữa bệnh nội trú, ngoại trú hay ban ngày trước 31/12/2026. Mỗi EMR phải liên kết với tài khoản định danh điện tử của công dân, mang chữ ký số của bác sĩ, và tuân thủ toàn bộ quy định về dữ liệu cá nhân, an ninh mạng và giao dịch điện tử. Bộ Y tế, được Chỉ thị 07/CT-TTg từ tháng 3/2025 thúc đẩy, đặt mục tiêu 100% bệnh viện trao đổi hồ sơ giữa các tuyến để bệnh nhân không phải trả tiền xét nghiệm máu lần hai.
Kết quả là thật. Đến đầu 2026, Trung tâm dữ liệu y tế quốc gia báo cáo khoảng 30 triệu hồ sơ sức khỏe điện tử truy cập được qua ứng dụng VNeID tại tất cả 34 tỉnh thành, và hơn 1.000 bệnh viện đang vận hành hồ sơ điện tử. BHYT bao phủ khoảng 92% dân số, và người dùng VNeID cấp độ 2 đã có thể mở lịch sử khám chữa bệnh, thẻ bảo hiểm và đơn thuốc điện tử từ điện thoại. Các hệ thống bệnh viện và nhà cung cấp chạy đua cung cấp hạ tầng: VNPT EMR, Viettel EMR triển khai ở khoảng 50 cơ sở, FPT.EMR bên trong các tập đoàn tư nhân như Hoàn Mỹ, và hệ thống thông tin bệnh viện (HIS) từ ba nhà cung cấp này thống trị thị trường.
Điều luật không quy định là một hồ sơ được chia sẻ bao nhiêu để trả lời một câu hỏi nhỏ. Chuyển tuyến, duyệt BHYT trước và hội chẩn liên viện được triển khai như truyền file: bệnh viện trả lời "chẩn đoán này có được bảo hiểm không?" bằng cách sao chép toàn bộ EMR vào kênh. Một nghiên cứu năm 2025 trên năm bệnh viện Việt Nam cho thấy chỉ hai nơi tự tin trao đổi dữ liệu lâm sàng qua chuẩn HL7 — và không nơi nào thực sự đang chia sẻ. Thực tế hệ thống là tập hợp các silo bị cô lập, khi buộc phải giao tiếp lại chia sẻ thừa thay vì chia sẻ thiếu.
Chia sẻ một trường = toàn bộ bệnh án đi chuyến
Đi qua chuyện của Mai bằng các thuật ngữ cụ thể. Bệnh viện đa khoa phải trả lời ba câu hỏi có/không: Bệnh nhân này có BHYT không? Chẩn đoán có nằm trong gói chi trả không? Có cần chuyên khoa không? Không câu hỏi nào đòi hỏi lịch sử thuốc, ghi chú sức khỏe tâm thần trước đây, hay gia phả của Mai. Vậy mà quy trình chuyển tuyến gửi toàn bộ hồ sơ đến mọi bên chạm vào vụ việc.
Hình 1: Vấn đề chia sẻ quá mức — hỏi một trường, cả bệnh án đi chuyến
Đây là căn bệnh mà mật mã zero-knowledge chữa khỏi. Cụm từ "privacy health records" thường gợi lên mã hóa, danh sách truy cập và mật khẩu — nhưng mã hóa bảo vệ file khi lưu trữ; nó chẳng làm gì khi file bị sao chép cho bên nhận trong một quy trình hợp pháp. Hồ sơ của Mai được mã hóa trong cơ sở dữ liệu Bệnh viện A và được giải mã hoàn toàn trong cơ sở dữ liệu bảo hiểm mười phút sau. Quy tắc tối thiểu cần thiết từ luật bảo vệ dữ liệu — chỉ các trường cần cho mục đích — được ghi trên giấy và bị vi phạm bởi mọi API chuyển tuyến dạng file đang chạy trong sản xuất.
zk dữ liệu y tế thực sự chứng minh điều gì
Một bằng chứng zero-knowledge trả lời một câu hỏi với sự đảm bảo toán học và không chia sẻ gì khác. Bệnh viện A không cần gửi hồ sơ của Mai để chứng minh chẩn đoán của cô được chi trả; nó cần chứng minh một khẳng định về hồ sơ: "EMR đã ký này chứa một chẩn đoán nằm trong gói chi trả BHYT," hoặc "hồ sơ bệnh nhân này cho thấy cần khám chuyên khoa." Bằng chứng là một chuỗi ngắn mà bất kỳ verifier nào — phòng khám nhận, bảo hiểm, Bộ Y tế — có thể kiểm tra mà không thấy một trường lâm sàng nào.
Kiến trúc thực tế là bộc lộ có chọn lọc từ một verifiable credential. Khi Mai khám bác sĩ, bệnh viện phát hành một credential số — một tài liệu có chữ ký chứa các khẳng định cụ thể, không phải EMR thô — và Mai giữ nó trong ví liên kết định danh VNeID. Khi chuyên khoa hỏi "được chi trả cho chẩn đoán này không?", ví của Mai tạo một bằng chứng từ credential trả lời đúng câu hỏi đó, giữ kín chính chẩn đoán nếu câu hỏi không đòi hỏi. Đây là cơ chế tương tự dùng cho kiểm tra trạng thái tiêm chủng, sàng lọc đủ điều kiện thử nghiệm lâm sàng và duyệt bảo hiểm trước trên toàn thế giới, xây trên chuẩn như mô hình verifiable credential của W3C và chữ ký hỗ trợ bộc lộ từng phần.
Hình 2: Bộc lộ có chọn lọc — verifier kiểm tra bằng chứng, không bao giờ thấy hồ sơ
Với một circuit thực tế, khẳng định được biên dịch thành số học. Một circuit Circom hoặc tương tự nhận các trường credential làm input riêng tư và input công khai của câu hỏi — ví dụ "loại chẩn đoán = trong gói chi trả" — và xuất ra một bằng chứng về quan hệ đó. Trên một laptop khiêm tốn, tạo một bằng chứng mất vài giây; xác minh mất mili giây. Xác minh có thể chạy trên server bệnh viện, bên trong smart contract, hoặc trên một anchor blockchain nơi bằng chứng trở thành bản ghi kiểm toán được. Tính chất quyết định là tính chọn lọc: Mai quyết định — hoặc chính sách bệnh viện quyết định — bằng chứng được phép tiết lộ điều gì.
Bệnh án số blockchain thay đổi mô hình tin cậy như thế nào
Ghép các mảnh lại, bạn có một hình dạng hệ thống khác — đó là điều cụm từ bệnh án số blockchain thực sự chỉ tới. Không phải "lưu hồ sơ y tế trên blockchain" — đưa dữ liệu lâm sàng thô lên sổ cái công khai là liều lĩnh, chậm và bất hợp pháp theo luật dữ liệu Việt Nam. Thay vào đó, sổ cái mang anchor: hash của hồ sơ, credential có chữ ký, sự kiện đồng thuận và biên nhận xác minh bằng chứng. Bản thân hồ sơ nằm trong EMR VNPT hoặc Viettel của bệnh viện; chuỗi chứng minh rằng nó tồn tại, rằng một credential đã được phát hành cho nó, và rằng một verifier đã kiểm tra bằng chứng tại một thời điểm nhất định.
Đây chính xác là mô hình hệ sinh thái Cardano hội tụ về. Tài liệu ca sử dụng healthcare của chính Cardano mô tả dữ liệu y tế phân mảnh giữa các nhà cung cấp với bệnh nhân không kiểm soát quyền truy cập — và giải pháp là quyền sở hữu do bệnh nhân nắm giữ và quyền truy cập di động. Các dự án do Catalyst tài trợ như UzimaNexus đề xuất SDK anchor output HIS, PACS và LIS lên Cardano trong khi đồng thuận nằm ở khóa của bệnh nhân, và đề xuất CareBlock tại Việt Nam áp dụng cùng lập luận cho yêu cầu BHYT. Không dự án nào yêu cầu bệnh viện bỏ EMR hiện tại; chúng thêm một tầng trách nhiệm và đồng thuận lên trên. Điều đó quan trọng tại Việt Nam, nơi các nhà cung cấp HIS hiện hữu đã ăn sâu và không bệnh viện nào sẽ bỏ hệ thống để chạy theo kiến trúc mới.
Sự kiện đồng thuận là phần quan trọng nhất với Mai. Hôm nay, "đồng thuận" là một ô tick trên giấy nhập viện. Với chuỗi anchor, mỗi lần chia sẻ — mỗi chuyển tuyến, mỗi lần bảo hiểm đọc, mỗi yêu cầu nghiên cứu — là một giao dịch có chữ ký mà khóa của Mai ủy quyền, được ghi lại vĩnh viễn. Nếu tài khoản của một y tá đọc file của cô, có một dấu vết kiểm toán chính xác về những gì đã được tiết lộ. Bệnh nhân thôi hy vọng bệnh viện trung thực và bắt đầu có khả năng xác minh.
Tuân thủ: ND 13/2023, HIPAA và GDPR đã chỉ về hướng này
Nghị định 13/2023/ND-CP của Việt Nam — và Luật Bảo vệ Dữ liệu cá nhân kế thừa vào tháng 1/2026 — phân loại tình trạng sức khỏe và đời tư ghi trong bệnh án là dữ liệu cá nhân nhạy cảm, hạng mục được bảo vệ cao nhất trong hệ thống pháp luật. Xử lý nó đòi hỏi đồng thuận chặt chẽ hơn, một bộ phận bảo vệ dữ liệu đã đăng ký, và thông báo vi phạm trong 72 giờ cho Bộ Công an nếu có rò rỉ. Quy tắc "minimum necessary" của HIPAA và nguyên tắc bảo vệ dữ liệu theo thiết kế theo Điều 25 GDPR nói điều tương tự từ các hệ thống pháp lý khác: bạn chỉ được dùng dữ liệu thực sự cần cho mục đích.
Bằng chứng zero-knowledge là kỹ thuật chủ lưu duy nhất khiến "tối thiểu cần thiết" có thể thực thi thay vì chỉ là khát vọng. Khi bằng chứng thay thế hồ sơ trong giao dịch bảo hiểm, bảo hiểm không bao giờ nắm các trường lâm sàng — nên không có gì để vi phạm, không có gì để báo Bộ Công an, và không có hồ sơ nào cần bảo vệ theo chế độ dữ liệu nhạy cảm trong giao dịch đó. Cơ quan quản lý chưa viết ZK hay verifiable credential vào luật Việt Nam, nên đây là một chiến lược tuân thủ, không phải ô tick tuân thủ. Nhưng hướng của luật là rõ ràng: nó trừng phạt tiết lộ không cần thiết, và ZK là cơ chế loại bỏ nó.
Những đánh đổi trung thực: chi phí, tích hợp và quy định
Không công nghệ hữu ích nào miễn phí, và lộ trình tại Việt Nam còn sớm nên chi phí hiện rõ.
Chi phí tạo bằng chứng. Tạo bằng chứng là bước đắt — vài giây trên laptop, nặng hơn trên điện thoại, và cập nhật circuit cần kiểm toán lại. Xác minh rẻ: mili giây. Với một chuyển tuyến chuyên khoa một lần hay duyệt BHYT trước, điều này không đáng kể; với ứng dụng telehealth xác minh danh tính mỗi phiên, nó trở thành vấn đề UX. Câu trả lời là căn cỡ circuit theo câu hỏi và cache bằng chứng khi sự kiện không đổi.
Khó khăn tích hợp. Nút thắt không phải mật mã, mà là HIS. Bệnh viện Việt Nam chạy hệ thống không đồng nhất từ ba nhà cung cấp, hầu hết không trao đổi HL7/FHIR trực tiếp, và một tầng bằng chứng giả định credential có thể được phát hành từ EMR ngay từ đầu. Cách tiếp cận anchor — SDK phủ trên EMR hiện tại, credential phát hành ở biên — tồn tại chính vì nó khớp quy trình hiện tại thay vì thay thế chúng.
Sự mơ hồ quy định. Chưa có nghị định Việt Nam nào công nhận bằng chứng zero-knowledge là câu trả lời pháp lý hợp lệ cho yêu cầu dữ liệu. Bệnh viện chưa thể viện dẫn hệ thống ZK như phương thức tuân thủ theo luật, và xác minh bằng chứng xuyên biên giới có thể vấp câu hỏi đánh giá chuyển giao. Các thí điểm phải chạy song song với fallback giấy và hồ sơ có chữ ký.
Hình 3: Chia sẻ hồ sơ hiện tại so với chia sẻ bằng chứng ZK — đánh đổi là vài giây tạo bằng chứng so với lộ toàn hồ sơ
Người bệnh Việt Nam và đội ngũ health-tech có thể làm gì ngay
Với bệnh nhân như Mai, lời khuyên thực tế trước mắt là tẻ nhạt nhưng trung thực: dùng VNeID cấp độ 2, theo dõi những gì bạn đã ký, và hỏi bệnh viện một giấy chuyển tuyến thực sự gửi điều gì. Với đội ngũ health-tech, ca thí điểm cửa vào là duyệt BHYT trước — giá trị cao, bắt buộc theo luật, và chính xác là giao dịch nơi chia sẻ quá mức dễ thấy nhất hôm nay. Xây một pilot phát hành verifiable credential từ EMR hiện tại, tạo bằng chứng cho câu hỏi chi trả, và để bảo hiểm xác minh mà không nhận hồ sơ. Chạy song song với luồng dạng file hiện tại và đo chênh lệch số trường bị lộ.
Bài học sâu hơn là vai trò của blockchain không phải lưu trữ mà là bằng chứng. Một anchor blockchain làm credential phát hành, đồng thuận và xác minh có thể kiểm toán bởi tất cả — kể cả bệnh nhân — trong khi hồ sơ nằm đúng chỗ. Công cụ Cardano cho anchor và verifiable credential đủ chín muồi cho một pilot, và mô hình "anchor on-chain, lưu off-chain, chứng minh có chọn lọc" là phiên bản duy nhất của bệnh án số blockchain mà cơ quan quản lý Việt Nam có thể chấp nhận hôm nay.
Câu hỏi thường gặp
zk dữ liệu y tế có hoạt động với BHYT và VNeID hôm nay không?
Chưa trọn bộ. BHYT và VNeID đã mang lịch sử khám chữa bệnh và dữ liệu bảo hiểm điện tử, và Quyết định 31/QĐ-BYT trao giá trị pháp lý cho hồ sơ sức khỏe trên VNeID. Điều chưa tồn tại là tầng bằng chứng ZK bên trên — bệnh viện vẫn chia sẻ toàn bộ hồ sơ qua kênh chuyển tuyến và bảo hiểm. Hạ tầng phát hành (VNeID làm neo định danh) đã sẵn sàng; tầng bằng chứng là thành phần còn thiếu.Toàn bộ bệnh án có được lưu trên blockchain không?
Không, và tại Việt Nam không nên. Sổ cái công khai không phải nơi cho dữ liệu lâm sàng — hồ sơ thô nằm trong EMR mã hóa của bệnh viện. Blockchain giữ hash, credential phát hành, chữ ký đồng thuận và biên nhận bằng chứng. Đây là mô hình anchor các dự án healthcare của Cardano dùng và là thiết kế duy nhất nhất quán với luật dữ liệu Việt Nam.Ai phát hành verifiable credential trong mô hình này?
Bệnh viện điều trị, ký credential bằng chữ ký số — cùng chữ ký Thông tư 13/2025/TT-BYT đã yêu cầu trên mọi EMR. Credential chứa các khẳng định cụ thể suy ra từ hồ sơ; bệnh nhân giữ nó và kiểm soát khẳng định nào được tiết lộ qua một bằng chứng. Credential có thể được anchor để verifier xác nhận bên phát hành mà không cần liên hệ bệnh viện.Chuyện gì xảy ra nếu bệnh nhân mất ví chứa private key?
Điều tương tự khi bất kỳ ai mất private key: quyền truy cập mất. Đây là lý do thiết kế giữ bệnh viện làm nguồn sự thật — ví là kiểm soát truy cập, không phải nơi lưu trữ. Bệnh viện phải cung cấp quy trình khôi phục khóa và phát hành lại, và giáo dục bệnh nhân về self-custody là điều kiện tiên quyết để áp dụng.ZK có thể chặn mọi vi phạm dữ liệu y tế ở Việt Nam không?
Không. ZK tối thiểu hóa những gì được truyền và chia sẻ, loại bỏ phơi nhiễm hàng ngày lớn nhất — chia sẻ quá mức trong quy trình hợp pháp — và thu hẹp thiệt hại khi vi phạm. Nó không bảo vệ cơ sở dữ liệu bệnh viện, không sửa kiểm soát truy cập yếu, và không chặn nội gián độc hại đã có file. Nó là một tầng, không phải tường lửa.Thí điểm ZK y tế thực tế đầu tiên tại Việt Nam là gì?
Duyệt BHYT trước. Bệnh viện phát hành credential, ví bệnh nhân tạo bằng chứng "chẩn đoán được chi trả + cần chuyên khoa", và bảo hiểm xác minh bằng chứng mà không nhận hồ sơ. Nó nhỏ, liên quan pháp lý, và tạo ra sự giảm đo được số trường bị lộ — màn trình diễn lý tưởng trước bất kỳ lộ trình rộng hơn.Kết luận
Giấy chuyển tuyến của Mai không cần làm rò rỉ một thập kỷ bệnh sử để trả lời ba câu hỏi có/không. Việt Nam đã xây phần khó — EMR bắt buộc, trung tâm định danh quốc gia VNeID, phủ bảo hiểm gần phổ cập — và tầng còn thiếu chính xác là thứ zk dữ liệu y tế mang lại: cách xác minh một khẳng định về hồ sơ mà không gửi hồ sơ. Kết hợp với anchor on-chain cho credential, đồng thuận và biên nhận bằng chứng, nó trao cho bệnh nhân quyền kiểm soát có thể kiểm toán thay vì ô tick, và cho bệnh viện con đường đáng tin đến việc tối thiểu hóa dữ liệu mà ND 13/2023 và luật kế thừa đã yêu cầu. Công cụ — verifiable credential, circuit Groth16, anchor Cardano — đã đạt cấp độ sản xuất hôm nay. Điều Việt Nam cần là pilot trung thực đầu tiên: một bệnh viện, một nhà bảo hiểm, và một bệnh nhân chứng minh được bảo hiểm mà không ai nhìn thấy bệnh án của cô.
Quick Reference
| Thuộc tính | Chia sẻ hồ sơ hiện tại | Chia sẻ bằng chứng ZK |
|---|---|---|
| Thứ đi chuyến | Toàn bộ file EMR | Một bằng chứng ngắn về một khẳng định |
| Trường bị lộ | Tất cả — chẩn đoán, lịch sử, toa thuốc | Chỉ những gì bằng chứng tiết lộ |
| Tối thiểu hóa dữ liệu | Khát vọng (quy tắc trên giấy) | Cưỡng chế bằng mật mã |
| Rủi ro dữ liệu của bảo hiểm | Nắm hồ sơ lâm sàng đầy đủ | Chỉ nắm một bằng chứng |
| Tác động vi phạm | Toàn file mỗi sự kiện | Chỉ bằng chứng, không trường lâm sàng |
| Phù hợp luật (ND 13/2023) | Rủi ro chia sẻ quá mức; trách nhiệm báo 72h | Hỗ trợ nguyên tắc tối thiểu hóa |
| Chi phí mỗi giao dịch | ~0 (sao chép file) | Vài giây tạo bằng chứng, ms xác minh |
| Khớp VNeID | Định danh dùng làm liên kết dữ liệu | Định danh dùng làm gốc credential |
| Sản xuất hôm nay | Mọi chuyển tuyến BHYT | Pilot (thử nghiệm lâm sàng, tiêm chủng, duyệt trước) |