Hồ sơ bệnh án điện tử, kết quả xét nghiệm di truyền và đơn thuốc là dữ liệu cá nhân nhạy cảm. Khi bị lộ, thông tin về bệnh tật của một người rất khó thu hồi. Vì vậy, bảo vệ dữ liệu hồ sơ bệnh án chịu các yêu cầu chặt hơn dữ liệu thông thường theo Luật PDPD. Với bệnh viện, phòng khám và ứng dụng MedTech, ba việc cần thiết kế ngay từ kiến trúc phần mềm là: lấy sự đồng ý của bệnh nhân, phân quyền truy cập theo vai trò và mã hóa dữ liệu. Các biện pháp này cũng là nội dung chính của hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA).
1. Dữ liệu sức khỏe là dữ liệu cá nhân nhạy cảm#
Tình trạng sức khỏe và đặc điểm di truyền nằm trong danh mục dữ liệu cá nhân nhạy cảm (điểm d, điểm đ khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Luật 91/2025 còn có một điều riêng cho thông tin sức khỏe (Điều 26). Khoản 3 Điều này yêu cầu tổ chức, cá nhân phát triển ứng dụng y tế tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân.
Ứng dụng đặt lịch khám, xét nghiệm tại nhà và tư vấn bác sĩ từ xa thu thập loại dữ liệu này hằng ngày. Một sự cố rò rỉ hồ sơ bệnh án ảnh hưởng trực tiếp đến đời tư của người bệnh và uy tín của cơ sở y tế.
2. 3 yêu cầu bảo vệ dữ liệu hồ sơ bệnh án bắt buộc đối với cơ sở y tế và ứng dụng MedTech#
- Sự đồng ý của bệnh nhân (Explicit Consent): Việc thu thập, xử lý thông tin sức khỏe phải có sự đồng ý của bệnh nhân, trừ trường hợp quy định tại khoản 1 Điều 19 (điểm a khoản 1 Điều 26 Luật 91/2025). Bệnh nhân phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm (khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP). Chia sẻ giữa các bác sĩ trong cùng cơ sở để điều trị là chia sẻ nội bộ đúng mục đích đã xác lập (điểm b khoản 1 Điều 17 Luật). Còn cung cấp dữ liệu cho một cơ sở chăm sóc sức khỏe khác thì cần yêu cầu bằng văn bản của bệnh nhân, trừ trường hợp tại khoản 1 Điều 19 (khoản 2 Điều 26 Luật).
- Mã hóa dữ liệu y tế: Dữ liệu cá nhân trên điện toán đám mây phải được mã hóa ở trạng thái nghỉ và khi truyền (khoản 4 Điều 12 Nghị định 356/2025/NĐ-CP). Việc chuyển giao dữ liệu nhạy cảm phải có biện pháp mã hóa (khoản 2 Điều 7). Pháp luật không chỉ định thuật toán; nên mã hóa hồ sơ bệnh án điện tử EMR, kết quả xét nghiệm và hình ảnh chẩn đoán X-quang/MRI bằng thuật toán mạnh như AES-256.
- Phân quyền truy cập theo vai trò (RBAC): Khi xử lý dữ liệu cá nhân nhạy cảm, tổ chức phải thiết lập quy định phân quyền giới hạn truy cập (khoản 2 Điều 4 Nghị định 356/2025/NĐ-CP). Thực tiễn tốt là chỉ bác sĩ trực tiếp điều trị mới xem được hồ sơ của bệnh nhân đó trong thời gian điều trị. Ứng dụng y tế, nền tảng chăm sóc sức khỏe trực tuyến thu thập dữ liệu nhạy cảm mà không phân quyền, không có biện pháp bảo mật có thể bị phạt từ 50 đến 70 triệu đồng đối với tổ chức (điểm b khoản 1 Điều 62 Nghị định 330/2026/NĐ-CP).
3. Khử nhận dạng dữ liệu y tế phục vụ nghiên cứu khoa học#
Cơ sở y tế có thể dùng dữ liệu bệnh án cho nghiên cứu lâm sàng, đề tài khoa học hoặc huấn luyện mô hình AI chẩn đoán hình ảnh. Nếu bệnh nhân không đồng ý cho mục đích đó, cơ sở nên khử nhận dạng dữ liệu trước khi sử dụng. Dữ liệu sau khi khử nhận dạng không còn là dữ liệu cá nhân (khoản 1 Điều 2 Luật 91/2025):
- Tách bỏ họ tên, số điện thoại, số CCCD, địa chỉ khỏi hình ảnh và kết quả xét nghiệm.
- Gán mã nghiên cứu ngẫu nhiên (Research ID) và không đưa bảng đối chiếu mã với danh tính vào bộ dữ liệu nghiên cứu.
Lưu ý: nếu cơ sở vẫn giữ bảng đối chiếu cho phép truy ngược danh tính, dữ liệu vẫn có thể giúp xác định bệnh nhân. Khi đó nhiều khả năng dữ liệu chưa đạt mức khử nhận dạng theo khoản 11 Điều 2 Luật và vẫn phải được bảo vệ như dữ liệu cá nhân.
4. Liên thông dữ liệu y tế số và thanh toán bảo hiểm#
Các cổng API truyền dữ liệu giữa bệnh viện và công ty bảo hiểm thường xây dựng theo chuẩn trao đổi dữ liệu y tế HL7/FHIR. Với bảo vệ dữ liệu hồ sơ bệnh án, điểm cần kiểm soát là căn cứ để mở luồng dữ liệu.
Khoản 2 Điều 26 Luật 91/2025 không cho phép cơ sở hoạt động trong lĩnh vực sức khỏe cung cấp dữ liệu cá nhân cho tổ chức cung cấp dịch vụ bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ khi bệnh nhân yêu cầu bằng văn bản hoặc thuộc trường hợp tại khoản 1 Điều 19. Vì vậy, chỉ mở luồng API khi đã có yêu cầu bằng văn bản của bệnh nhân. Chỉ truyền các trường cần cho hồ sơ bồi thường, không truyền toàn bộ lịch sử bệnh lý. Hành vi cung cấp khi chưa có yêu cầu bằng văn bản có thể bị phạt từ 70 đến 100 triệu đồng đối với tổ chức (khoản 2 Điều 62 Nghị định 330/2026/NĐ-CP).
5. Checklist bảo vệ dữ liệu hồ sơ bệnh án cho giám đốc bệnh viện và CTO MedTech#
- Ban hành quy chế bảo mật hồ sơ bệnh án điện tử EMR nội bộ.
- Ghi nhật ký truy cập (audit log) của từng bác sĩ, nhân viên y tế khi xem bệnh án.
- Lập hoặc cập nhật hồ sơ DPIA của đơn vị để bao gồm hệ thống khám chữa bệnh từ xa, nộp Cục A05 trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (khoản 1 Điều 21 Luật 91/2025). Cơ sở trực tiếp xử lý dữ liệu sức khỏe không thuộc diện được miễn hoặc được lựa chọn tại khoản 2, khoản 3 Điều 38 Luật.
- Diễn tập quy trình ứng phó sự cố rò rỉ dữ liệu y tế và ký cam kết bảo mật với nhân viên y tế.
6. Bảo vệ dữ liệu hồ sơ bệnh án khi hệ thống đã vận hành: ba việc làm trước#
Nếu hệ thống EMR hoặc ứng dụng đã chạy, hãy bắt đầu từ ba việc. Thứ nhất, đối chiếu quyền truy cập hiện có với danh sách bác sĩ đang điều trị và thu hồi quyền thừa. Thứ hai, liệt kê mọi luồng dữ liệu ra ngoài (bảo hiểm, phòng xét nghiệm, cơ sở y tế khác) và kiểm tra luồng nào chưa có yêu cầu bằng văn bản của bệnh nhân. Thứ ba, đối chiếu ngày bắt đầu xử lý với hạn nộp DPIA.
Nghĩa vụ theo luật chuyên ngành và checklist đầy đủ cho cơ sở y tế có tại trang Bảo vệ dữ liệu cá nhân ngành y tế.
