Theo Luật Công nghiệp công nghệ số, doanh nghiệp làm phần mềm quản lý trường học cần cam kết gì?

Phần mềm trường học xử lý dữ liệu của hàng triệu trẻ em. Bài viết liệt kê cam kết cần có và các tính năng không nên xây dựng.

Nhà cung cấp phần mềm quản lý trường học xử lý dữ liệu của hàng triệu trẻ em: điểm số, hạnh kiểm, sức khỏe, hoàn cảnh gia đình, hình ảnh, và ngày càng nhiều dữ liệu hành vi. Đây là nhóm chủ thể cần được bảo vệ ở mức cao nhất.

Nghĩa vụ nền tảng

Điều 10 Luật 71/2025/QH15 quy định: Cơ quan, tổ chức, cá nhân tham gia hoặc có liên quan đến hoạt động công nghiệp công nghệ số phải tuân thủ quy định của pháp luật về an toàn thông tin mạng, an ninh mạng, pháp luật về dữ liệu, dữ liệu cá nhân và pháp luật khác có liên quan.

Với phần mềm trường học, "pháp luật khác có liên quan" gồm pháp luật về giáo dục và về trẻ em — nhóm quy định quyết định phần mềm được làm gì.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Mười cam kết với nhà trường

• Nhà trường là chủ quản dữ liệu, nhà cung cấp là bên xử lý theo ủy quyền;
• Không truy cập dữ liệu học sinh ngoài yêu cầu hỗ trợ cụ thể;
• Mọi truy cập của nhân sự nhà cung cấp có chấp thuận, có nhật ký, có thông báo lại;
• Không sao chép dữ liệu thật ra môi trường thử nghiệm;
• Không dùng dữ liệu học sinh để huấn luyện mô hình, phân tích thương mại;
• Không bán, chia sẻ cho bên thứ ba;
• Không nhúng công cụ quảng cáo, theo dõi của bên thứ ba trong phần mềm;
• Mã hóa dữ liệu khi lưu và khi truyền;
• Danh sách nhà thầu phụ minh bạch;
• Xuất dữ liệu và xóa khi chấm dứt, có xác nhận.

Điểm thứ bảy là vi phạm phổ biến và ít bị để ý: một thư viện phân tích nhúng trong ứng dụng học sinh đang gửi dữ liệu hành vi của trẻ ra ngoài mà cả nhà trường lẫn phụ huynh đều không biết.

Điểm thứ năm là ranh giới quan trọng: dữ liệu học tập của hàng triệu học sinh là tài nguyên rất giá trị, và việc sử dụng nó cần cơ sở pháp lý rõ ràng chứ không phải một điều khoản trong hợp đồng với nhà trường — vì nhà trường không phải chủ thể dữ liệu.

Học bạ điện tử — tính toàn vẹn

Khoản 1 Điều 19 Luật 20/2023/QH15 quy định:

Nội dung của thông điệp dữ liệu được bảo đảm toàn vẹn khi nội dung đó chưa bị thay đổi, trừ những thay đổi về hình thức phát sinh trong quá trình gửi, lưu trữ hoặc hiển thị thông điệp dữ liệu.

Tám yêu cầu:

• Không sửa được điểm đã chốt, phải qua quy trình có phê duyệt;
• Nhật ký mọi thay đổi — ai, khi nào, giá trị trước và sau, lý do;
• Nhật ký không sửa được, kể cả bởi quản trị viên;
• Gắn định danh giáo viên vào từng bản ghi;
• Ký số cho học bạ phát hành;
• Khóa sổ sau khi kết thúc năm học;
• Cơ chế xác minh học bạ điện tử cho bên tiếp nhận;
• Lưu trữ lâu dài, đọc được sau nhiều năm.

Điểm thứ ba là điểm quyết định: sửa điểm là hành vi có thật trong thực tế giáo dục, và một hệ thống mà quản trị viên có thể xóa dấu vết không ngăn được gì.

Điểm thứ tám là cam kết dài hạn: học bạ cần đọc được khi học sinh đó xin việc mười lăm năm sau.

Tính năng không nên xây dựng

Đây là lựa chọn đạo đức mà nhà cung cấp phải tự đưa ra. Bảy tính năng cần cân nhắc rất kỹ:

• Nhận diện khuôn mặt điểm danh học sinh;
• Phân tích cảm xúc qua camera lớp học;
• Chấm điểm mức độ tập trung của học sinh;
• Xếp hạng công khai học sinh trong lớp;
• Thông báo tự động cho phụ huynh mỗi lỗi nhỏ;
• Theo dõi vị trí học sinh;
• Dự đoán kết quả học tập dùng để phân loại học sinh.

Điểm thứ hai và thứ ba có độ tin cậy khoa học thấp và tác động tâm lý tiêu cực rõ: một đứa trẻ biết mình bị camera chấm điểm mức độ chú ý sẽ học trong trạng thái lo lắng thường trực.

Điểm thứ tư là thực hành cũ được số hoá và khuếch đại: bảng xếp hạng cập nhật liên tục gây áp lực lớn hơn nhiều so với bảng điểm cuối kỳ.

Điểm thứ bảy là rủi ro nghiêm trọng về công bằng: một dự đoán của máy có thể trở thành lời tiên tri tự ứng nghiệm khi nó ảnh hưởng tới cách giáo viên đối xử với học sinh.

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Sổ liên lạc điện tử và phụ huynh

Bảy nguyên tắc: phụ huynh chỉ xem được thông tin của con mình; không hiển thị thông tin học sinh khác; không thu phí cho chức năng cơ bản như xem điểm; giữ kênh thay thế cho phụ huynh không dùng ứng dụng; không dùng ứng dụng gửi quảng cáo; xác minh quan hệ giám hộ; và thận trọng khi cha mẹ ly hôn có tranh chấp về quyền tiếp cận thông tin con.

Điểm thứ ba là vấn đề gây bức xúc: buộc phụ huynh trả phí hàng tháng để biết điểm của con là biến thông tin giáo dục cơ bản thành hàng hóa.

Dữ liệu nhạy cảm về học sinh

Sáu nhóm cần bảo vệ ở mức cao: tình trạng sức khỏe, khuyết tật; hoàn cảnh gia đình, diện chính sách; kết quả đánh giá tâm lý; thông tin về kỷ luật; thông tin về việc học sinh là nạn nhân của bạo lực học đường; và tôn giáo, dân tộc.

Bốn nguyên tắc: phân quyền hẹp, không phải giáo viên nào cũng cần biết; không hiển thị trên màn hình chung; không đưa vào báo cáo tổng hợp có thể suy ngược; và đặc biệt thận trọng với nhóm thứ năm — công khai danh tính nạn nhân gây tổn thương lần thứ hai.

An ninh hệ thống

Bảy biện pháp: xác thực nhiều lớp cho tài khoản giáo viên và quản trị; không dùng tài khoản chung; sao lưu có kiểm tra khôi phục và bản ngoại tuyến; cập nhật, vá lỗi kịp thời; kiểm thử bảo mật định kỳ; kênh tiếp nhận báo cáo lỗ hổng; và quy trình thông báo sự cố cho nhà trường và phụ huynh.

Trường học là mục tiêu thường xuyên của các cuộc tấn công vì hệ thống thường ít được đầu tư bảo mật trong khi dữ liệu rất giá trị.

Danh sách kiểm tra

• Có nhúng công cụ theo dõi của bên thứ ba trong ứng dụng không?
• Có dùng dữ liệu học sinh để huấn luyện mô hình không?
• Nhật ký sửa điểm có sửa được bởi quản trị viên không?
• Có tính năng phân tích cảm xúc, chấm điểm tập trung không?
• Có xếp hạng công khai học sinh không?
• Có thu phí cho chức năng xem điểm cơ bản không?
• Có sao chép dữ liệu thật sang môi trường thử nghiệm không?

Đọc thêm cùng chủ đề

• Hộ kinh doanh bắt đầu chuyển đổi số nên làm gì trước?
• Website bán hàng của doanh nghiệp cần đáp ứng những gì?
• Tự phát triển hay mua giải pháp AI — nghĩa vụ khác nhau thế nào?

Căn cứ pháp lý

• Luật 71/2025/QH15 Điều 10
• Luật 148/2025/QH15 Điều 27
• Luật 20/2023/QH15 Điều 19
• Luật 148/2025/QH15 Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.