Một phòng khám đa khoa nhận được đơn khiếu nại: một người bệnh cũ phát hiện số điện thoại và loại dịch vụ mình từng khám xuất hiện trong tin nhắn quảng cáo của một đơn vị hoàn toàn khác, không liên quan tới phòng khám. Truy lại mới biết, danh sách người bệnh từng được nhân viên marketing xuất ra file Excel để gửi cho một đối tác chạy quảng cáo, chiến dịch kết thúc nhưng file đó vẫn nằm trong hộp thư của cả hai bên. Không có ai xâm nhập hệ thống, không có mã độc, chỉ là một thao tác chia sẻ file tưởng như vô hại. Câu chuyện này cho thấy bảo vệ dữ liệu cá nhân y tế không chỉ là chuyện tường lửa hay mật khẩu: rủi ro lớn nhất với hồ sơ người bệnh thường đến từ chính quy trình nội bộ lỏng lẻo, không phải từ hacker bên ngoài.
Dữ liệu người bệnh cần được kiểm soát chặt ở mọi khâu, không chỉ ở hệ thống máy chủ
Vì sao dữ liệu người bệnh phải bảo vệ chặt hơn dữ liệu cá nhân thông thường
Một địa chỉ email hay số điện thoại bị lộ đã là rủi ro. Nhưng khi thông tin đó gắn kèm chẩn đoán, phác đồ điều trị hay kết quả xét nghiệm của một người cụ thể, mức độ tổn hại nếu bị lộ, lọt tăng lên rõ rệt: người bệnh có thể bị phân biệt đối xử khi xin việc, mua bảo hiểm, hoặc đơn giản là bị làm phiền bởi các cuộc gọi mời chào dịch vụ dựa đúng vào bệnh lý họ đang mắc. Đây là lý do thông tin về tình trạng sức khỏe thường được xếp vào nhóm dữ liệu cá nhân cần biện pháp bảo vệ ở mức cao hơn nhóm dữ liệu cơ bản như họ tên, ngày sinh, địa chỉ.
Cơ sở khám chữa bệnh không chỉ nắm một vài trường dữ liệu nhạy cảm mà nắm cả một hồ sơ khép kín: từ số định danh cá nhân lúc tiếp đón, tiền sử bệnh, kết quả cận lâm sàng, đơn thuốc, cho tới thông tin thanh toán và bảo hiểm y tế. Khối dữ liệu càng đầy đủ, giá trị khai thác trái phép càng lớn - và trách nhiệm bảo vệ của cơ sở nắm giữ nó càng nặng, bất kể quy mô là bệnh viện tuyến tỉnh hay một phòng khám vài bàn khám.
Nghị định 356/2025/NĐ-CP: khung nghĩa vụ cơ sở khám chữa bệnh phải nắm
Từ 01/01/2026, Nghị định 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân chính thức có hiệu lực, thay thế Nghị định 13/2023/NĐ-CP trước đó. Đây là văn bản áp dụng chung cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam, không riêng ngành y tế, nhưng cơ sở khám chữa bệnh thuộc nhóm phải lưu ý kỹ hơn vì tính chất dữ liệu đang xử lý.
Về bản chất, khung nghĩa vụ xoay quanh một nguyên tắc xuyên suốt: cơ sở chỉ được thu thập, sử dụng dữ liệu cá nhân của người bệnh đúng với mục đích đã thông báo, không tự ý mở rộng sang mục đích khác như marketing, bán dữ liệu cho bên thứ ba hay chia sẻ nội bộ ngoài phạm vi cần thiết cho việc khám chữa bệnh. Người bệnh có quyền được biết dữ liệu của mình đang được dùng để làm gì, và trong nhiều tình huống có quyền yêu cầu chỉnh sửa hoặc xóa dữ liệu không còn cần thiết.
Với cơ sở khám chữa bệnh, ba nhóm việc thường phát sinh trực tiếp từ khung nghĩa vụ này:
- Giới hạn mục đích sử dụng: dữ liệu thu thập lúc đăng ký khám chỉ phục vụ khám chữa bệnh, thanh toán viện phí và các nghĩa vụ báo cáo bắt buộc - không tự ý dùng cho mục đích quảng cáo, nghiên cứu thương mại nếu chưa có cơ sở hợp pháp.
- Kiểm soát chia sẻ ra ngoài: mọi trường hợp chuyển dữ liệu người bệnh cho bên thứ ba - đối tác xét nghiệm ngoài, công ty bảo hiểm, đơn vị marketing - đều cần cơ sở pháp lý rõ ràng và ràng buộc trách nhiệm với bên nhận.
- Bảo vệ tương xứng với mức độ nhạy cảm: dữ liệu sức khỏe cần biện pháp kỹ thuật và quy trình chặt hơn dữ liệu hành chính thông thường, từ khâu lưu trữ, sao lưu cho tới khâu tiêu hủy khi hết thời hạn lưu.
Lưu ý: Nghị định không quy định mức độ chi tiết theo từng loại hình cơ sở y tế. Việc cụ thể hóa thành quy trình vận hành - ai được xem gì, dữ liệu nào cần mã hóa, lưu trong bao lâu - là trách nhiệm tự xây dựng của từng bệnh viện, phòng khám dựa trên khung nguyên tắc chung.
Đừng nhầm với Nghị định 102/2025/NĐ-CP về quản lý dữ liệu y tế
Một nhầm lẫn khá phổ biến khi cơ sở y tế tìm hiểu về chủ đề này: gộp chung Nghị định 356/2025/NĐ-CP với Nghị định 102/2025/NĐ-CP, có hiệu lực từ 01/7/2025, về quản lý dữ liệu y tế. Hai văn bản có phạm vi khác nhau và không thay thế cho nhau.
Nghị định 102/2025/NĐ-CP tập trung vào việc quản lý, kết nối dữ liệu y tế trong hệ thống ngành - bao gồm cơ sở dữ liệu quốc gia về y tế, cách các cơ sở khám chữa bệnh kết nối, chia sẻ dữ liệu chuyên môn với cơ quan quản lý nhà nước. Nghị định 356/2025/NĐ-CP lại là khung pháp lý về quyền và nghĩa vụ liên quan tới dữ liệu cá nhân nói chung, áp dụng cho bất kỳ tổ chức nào xử lý dữ liệu của cá nhân, không riêng dữ liệu y tế.
Nói cách khác, một cơ sở khám chữa bệnh không thể viện dẫn việc "đã kết nối đúng chuẩn dữ liệu y tế theo Nghị định 102/2025/NĐ-CP" để coi như đã hoàn thành nghĩa vụ bảo vệ dữ liệu cá nhân theo Nghị định 356/2025/NĐ-CP. Hai bộ nghĩa vụ chạy song song, cơ sở phải đáp ứng cả hai: vừa kết nối, báo cáo dữ liệu đúng chuẩn ngành y tế, vừa bảo vệ quyền của người bệnh đối với chính dữ liệu cá nhân của họ.
Những lỗ hổng thường gặp trong vận hành phòng khám, bệnh viện
Phần lớn sự cố liên quan tới dữ liệu người bệnh không xuất phát từ tấn công mạng tinh vi, mà từ những thói quen vận hành tồn tại lâu năm mà ít cơ sở coi là rủi ro nghiêm trọng.
- Chia sẻ file danh sách người bệnh qua kênh cá nhân: xuất bảng Excel để gửi Zalo, email cá nhân cho đối tác, đồng nghiệp - không kiểm soát được file đó sẽ được lưu ở đâu sau khi việc hoàn tất.
- Tài khoản phần mềm dùng chung: nhiều nhân viên tiếp đón, thu ngân cùng đăng nhập một tài khoản để tiện thao tác, khiến không thể xác định ai đã truy cập dữ liệu nào vào thời điểm nào khi cần truy vết.
- Bảng kê, phiếu khám in ra để tại quầy hoặc bàn làm việc mở: người không có nhiệm vụ liên quan vẫn có thể đọc được tên, chẩn đoán của người bệnh khác khi đi ngang qua.
- Hợp đồng với bên cung cấp dịch vụ ngoài không có điều khoản bảo mật dữ liệu: đơn vị in ấn, đơn vị chạy tổng đài nhắc lịch, đối tác xét nghiệm nhận dữ liệu người bệnh nhưng hợp đồng không ràng buộc rõ trách nhiệm khi để lộ dữ liệu.
- Không thu hồi quyền truy cập khi nhân sự nghỉ việc, chuyển bộ phận: tài khoản cũ vẫn còn hiệu lực, vẫn xem được dữ liệu dù người dùng không còn công tác tại vị trí đó.
Sai lầm thường gặp: Coi bảo vệ dữ liệu cá nhân là việc riêng của phòng công nghệ thông tin. Trên thực tế, phần lớn lỗ hổng kể trên xảy ra ở khâu nghiệp vụ - tiếp đón, thu ngân, marketing - nơi phòng công nghệ thông tin không trực tiếp kiểm soát thao tác hằng ngày.
Việc cần chuẩn bị để tuân thủ
Tuân thủ quy định bảo vệ dữ liệu cá nhân y tế không phải một lần ký văn bản rồi xong, mà là một hệ thống việc cần duy trì liên tục.
- Rà soát toàn bộ luồng dữ liệu đang xử lý. Liệt kê dữ liệu người bệnh được thu thập ở đâu (tiếp đón, khám bệnh, thanh toán, chăm sóc sau khám), lưu trên hệ thống nào, ai có quyền truy cập, chia sẻ cho bên nào.
- Ban hành quy chế nội bộ về bảo vệ dữ liệu cá nhân. Văn bản này quy định rõ ai được xem gì, quy trình xử lý khi có yêu cầu từ người bệnh, quy trình xử lý khi phát hiện sự cố lộ, lọt dữ liệu.
- Rà soát hợp đồng với các bên nhận dữ liệu. Đối tác xét nghiệm ngoài, đơn vị chạy quảng cáo, tổng đài nhắc lịch cần có điều khoản ràng buộc bảo mật dữ liệu, không phải hợp đồng dịch vụ thông thường không nhắc gì tới dữ liệu người bệnh.
- Phân quyền truy cập theo vai trò trên hệ thống phần mềm. Giới hạn đúng phạm vi công việc, thu hồi quyền ngay khi nhân sự thay đổi vị trí - đây là biện pháp kỹ thuật cụ thể hóa nguyên tắc bảo vệ dữ liệu vào vận hành hằng ngày, chi tiết trong bài phân quyền truy cập hồ sơ bệnh án điện tử.
- Đào tạo nhân sự tuyến đầu. Người tiếp đón, thu ngân, marketing là nhóm tiếp xúc dữ liệu nhiều nhất nhưng thường ít được đào tạo về bảo vệ dữ liệu cá nhân so với nhóm công nghệ thông tin.
Rủi ro lộ dữ liệu thường bắt đầu từ khâu nhập liệu và chia sẻ thủ công, không chỉ ở tầng hệ thống
Vai trò của phần mềm HIS/EMR trong việc thực thi nghĩa vụ bảo vệ dữ liệu
Quy chế nội bộ chỉ có tác dụng khi được thực thi được trên hệ thống đang dùng hằng ngày. Một hệ thống bệnh án điện tử thiết kế đúng cần đáp ứng ba yêu cầu tối thiểu để hỗ trợ cơ sở tuân thủ: phân quyền theo vai trò thay vì một tài khoản dùng chung, ghi nhật ký chi tiết cho từng thao tác xem, sửa, xuất dữ liệu, và kiểm soát được việc xuất dữ liệu ra khỏi hệ thống - ví dụ giới hạn quyền xuất file Excel danh sách người bệnh chỉ cho vị trí thực sự cần.
Ma trận phân quyền trên phần mềm là công cụ để chính sách bảo vệ dữ liệu cá nhân không chỉ nằm trên giấy
Hồ sơ bệnh án bằng giọng nói - một hình thức nhập liệu đang được nhiều cơ sở áp dụng để giảm thời gian ghi chép của bác sĩ - cũng phải tuân thủ cùng nguyên tắc bảo mật này ngay từ khâu thu âm, lưu trữ file ghi âm cho tới khi chuyển thành văn bản trong hồ sơ, như phân tích trong bài giá trị pháp lý và bảo mật dữ liệu của bệnh án giọng nói. Dữ liệu ở dạng nào - văn bản, hình ảnh, âm thanh - cũng đều là dữ liệu cá nhân cần bảo vệ như nhau, không có ngoại lệ vì hình thức lưu trữ khác nhau.
MyHospital là phần mềm quản lý bệnh viện có phân hệ bệnh án điện tử với phân quyền truy cập theo vai trò, ghi nhật ký thao tác chi tiết và kiểm soát xuất dữ liệu ra ngoài hệ thống. Liên hệ đội ngũ MyHospital để được tư vấn cấu hình bảo mật phù hợp với quy mô và cơ cấu nhân sự của cơ sở.
Bắt đầu từ đâu nếu cơ sở chưa có gì trong tay
Với cơ sở chưa từng rà soát vấn đề này, việc thực tế nhất không phải soạn ngay một bộ quy chế dài, mà là ba việc làm được trong tuần đầu: liệt kê lại toàn bộ điểm chạm dữ liệu người bệnh đang có, tắt các tài khoản phần mềm dùng chung để chuyển sang tài khoản cá nhân theo vai trò, và rà lại danh sách các bên ngoài đang nhận dữ liệu người bệnh xem hợp đồng có điều khoản bảo mật hay chưa. Ba việc này không đòi hỏi đầu tư lớn, nhưng loại bỏ được phần lớn rủi ro thực tế đã xảy ra tại các cơ sở khám chữa bệnh - không phải từ tấn công mạng, mà từ chính quy trình nội bộ chưa được siết lại.
