Nghị định 13 và phần mềm quản lý phòng khám: bảo vệ dữ liệu cá nhân bệnh nhân đúng cách

Một bệnh nhân đến khám da liễu, để lại số điện thoại, ảnh vùng tổn thương và tiền sử dị ứng thuốc. Ba tháng sau, người đó nhận tin nhắn quảng cáo từ một cơ sở khác với đúng tình trạng của mình. Dữ liệu rò rỉ ở đâu, ai chịu trách nhiệm, cơ sở khám ban đầu có phải giải trình không? Từ ngày 1/7/2023, câu trả lời không còn nằm ở vùng cảm tính: Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã đặt ra khung pháp lý cụ thể, và phòng khám tư — dù chỉ có một bác sĩ và một lễ tân — vẫn nằm trong phạm vi điều chỉnh.

Dữ liệu sức khỏe là dữ liệu nhạy cảm, và vì sao điều đó liên quan trực tiếp đến phòng khám

Nghị định 13 chia dữ liệu cá nhân thành hai nhóm: cơ bản và nhạy cảm. Nhóm cơ bản gồm họ tên, ngày sinh, số điện thoại, địa chỉ. Nhóm nhạy cảm là nơi phòng khám cần chú ý, bởi thông tin về tình trạng sức khỏe ghi trong hồ sơ bệnh án được xếp vào đây (riêng nhóm máu thì không), cùng với dữ liệu di truyền, đặc điểm sinh học, đời sống và xu hướng tình dục — những trường mà một cơ sở da liễu, sản phụ khoa hay xét nghiệm hoàn toàn có thể chạm tới.

Với dữ liệu nhạy cảm, mức độ yêu cầu về sự đồng ý, biện pháp bảo vệ và trách nhiệm giải trình đều cao hơn. Một tiệm bán lẻ lưu số điện thoại khách và một phòng khám lưu chẩn đoán bệnh vì thế không đứng cùng vạch xuất phát về nghĩa vụ, dù cả hai đều có hoạt động xử lý thông tin cá nhân. Phạm vi điều chỉnh dựa trên việc bạn có xử lý dữ liệu cá nhân hay không, không dựa trên chuyện lớn hay nhỏ — một cơ sở ba nhân sự lưu hồ sơ của vài nghìn lượt khám mỗi năm đã là chủ thể có nghĩa vụ đầy đủ.

Ai là bên kiểm soát, ai là bên xử lý khi phòng khám dùng phần mềm SaaS

Đây là chỗ dễ hiểu sai nhất, và cũng là chỗ quyết định trách nhiệm rơi vào ai. Nghị định 13 phân vai rõ: Bên Kiểm soát dữ liệu quyết định mục đích và cách thức xử lý, còn Bên Xử lý dữ liệu thực hiện theo ủy quyền của bên kiểm soát.

Khi phòng khám quyết định thu thập thông tin gì, dùng vào việc gì — khám chữa bệnh, nhắc tái khám, chăm sóc sau điều trị — thì phòng khám là bên kiểm soát. Nhà cung cấp lưu trữ và vận hành hệ thống trên hạ tầng đám mây thường đóng vai bên xử lý, làm theo phạm vi cơ sở cho phép. Hệ quả thực tế là bạn không thể "khoán trắng" trách nhiệm: thuê một phần mềm quản lý phòng khám không xóa đi nghĩa vụ của cơ sở với tư cách bên kiểm soát, mà chỉ chuyển một phần công việc kỹ thuật sang bên xử lý, kèm yêu cầu ràng buộc trách nhiệm bằng thỏa thuận.

Sự đồng ý của bệnh nhân: điều kiện, không phải thủ tục cho có

Nền tảng của toàn bộ nghị định là sự đồng ý của chủ thể dữ liệu. Đồng ý phải rõ ràng, cụ thể cho từng mục đích; bệnh nhân phải biết mình đang đồng ý cho ai, xử lý dữ liệu gì, dùng vào việc gì. Im lặng hay không phản hồi không được mặc nhiên coi là đồng ý.

Điều này va chạm với vài thói quen ở phòng khám tư. Lấy số Zalo của khách để gửi kết quả xét nghiệm là một mục đích; dùng chính số đó bắn tin khuyến mãi gói dịch vụ, hay đăng ảnh trước — sau điều trị lên mạng xã hội, lại là những mục đích khác, về nguyên tắc cần cơ sở hợp lệ riêng chứ không gộp làm một.

Quan trọng không kém, bệnh nhân có quyền rút lại đồng ý bất cứ lúc nào mà không làm mất tính hợp pháp của những gì đã xử lý hợp lệ trước đó. Cơ sở vì thế phải lưu được dấu vết: ai đã đồng ý, cho việc gì, vào lúc nào, đã rút chưa. Một cuốn sổ giấy hay vài dòng ghi chú rời rạc rất khó đáp ứng yêu cầu này khi có khiếu nại.

Mười một quyền của bệnh nhân mà cơ sở phải sẵn sàng đáp ứng

Nghị định 13 trao cho chủ thể dữ liệu một tập hợp quyền khá rộng. Không cần thuộc lòng, nhưng nên nhớ những quyền dễ phát sinh yêu cầu trên thực tế:

• Được biết dữ liệu của mình đang bị xử lý ra sao — lưu gì, dùng làm gì.
• Truy cập, xem và yêu cầu chỉnh sửa khi thông tin sai, ví dụ sai năm sinh hay ghi nhầm tiền sử.
• Rút lại đồng ý và yêu cầu xóa dữ liệu trong những trường hợp luật cho phép.
• Yêu cầu hạn chế hoặc phản đối một hoạt động xử lý, chẳng hạn không muốn tiếp tục nhận tin chăm sóc.
• Khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường khi quyền lợi bị xâm phạm.

Điểm mấu chốt là đây không phải khái niệm treo trên giấy. Khi bệnh nhân đòi xem toàn bộ thông tin đang được giữ hoặc yêu cầu xóa, cơ sở cần cách tiếp nhận, xác minh danh tính và phản hồi trong thời hạn hợp lý. Dữ liệu càng tản mát giữa sổ giấy, tin nhắn Zalo và file Excel trên máy lễ tân thì việc đáp ứng càng bất khả thi.

Bốn năng lực của phần mềm quản lý phòng khám soi theo từng nghĩa vụ

Không phần mềm nào giúp cơ sở "tuân thủ Nghị định 13" chỉ bằng việc cài đặt — tuân thủ là trách nhiệm của con người và quy trình. Nhưng một hệ thống thiết kế tử tế sẽ tạo điều kiện để làm đúng thay vì ép người dùng lách, ở bốn nhóm năng lực dưới đây.

Cơ chế ghi nhận và quản lý đồng ý

Phần mềm nên gắn trạng thái đồng ý vào từng hồ sơ bệnh nhân theo từng mục đích riêng — nhận kết quả qua Zalo, nhận thông tin chăm sóc, sử dụng hình ảnh — kèm thời điểm chấp thuận và trạng thái rút lại nếu có. Khi lễ tân gửi một đợt nhắc tái khám, hệ thống lý tưởng tự loại người chưa đồng ý hoặc đã rút, chứ không phó mặc cho trí nhớ nhân viên.

Nhật ký truy cập

Đây là năng lực mà sổ sách giấy không bao giờ có: một hệ thống nghiêm túc ghi lại ai đã mở hồ sơ nào, sửa gì, xuất dữ liệu khi nào. Nhật ký phục vụ hai việc: chứng minh cơ sở có kiểm soát khi cơ quan chức năng hỏi, và truy nguồn khi nghi ngờ rò rỉ nội bộ — chẳng hạn một nhân viên tải toàn bộ danh sách khách trước khi nghỉ.

Phân quyền theo vai trò

Không phải ai trong phòng khám cũng cần thấy mọi thứ: bác sĩ cần bệnh án, lễ tân cần lịch hẹn và liên hệ, kế toán cần dữ liệu thu chi. Càng ít người chạm vào dữ liệu nhạy cảm, khả năng lộ lọt càng thấp. Nên cấu hình được từng vai trò xem, sửa, xóa, xuất nhóm dữ liệu nào, thay vì một tài khoản dùng chung cho cả cơ sở.

Lưu trữ, sao lưu và vị trí dữ liệu

Bên kiểm soát có nghĩa vụ áp dụng biện pháp bảo vệ tương xứng. Về hạ tầng, đó là dữ liệu được mã hóa khi truyền và khi lưu, sao lưu định kỳ để không mất trắng lúc máy hỏng, và bạn biết rõ nó đặt ở đâu. Với dịch vụ SaaS, hãy hỏi thẳng nơi đặt máy chủ, chính sách sao lưu, và khả năng trích xuất toàn bộ dữ liệu khi muốn rời đi — dữ liệu là của phòng khám, không phải con tin của nhà cung cấp.

Checklist tuân thủ cho người phụ trách dữ liệu

Bảng dưới đây gợi ý những việc cần rà, tách phần thuộc quy trình con người khỏi phần dựa vào công cụ. Đây là danh mục để tự kiểm, không thay thế tư vấn pháp lý.

Riêng dòng cuối bảng: nghị định đặt ra nghĩa vụ lập và lưu Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, nêu mục đích, loại dữ liệu, biện pháp bảo vệ và đánh giá rủi ro. Nếu chưa rõ mức độ áp dụng với mình, hãy hỏi người tư vấn pháp lý.

Bốn ngộ nhận khiến cơ sở chủ quan

Vài quan niệm phổ biến khiến chủ phòng khám đi lệch, và làm rõ chúng hữu ích hơn liệt kê thêm điều luật.

Thứ nhất, tưởng dùng phần mềm quản lý phòng khám của một hãng lớn thì tự khắc "an toàn pháp lý". Công cụ tốt hỗ trợ bạn làm đúng, nhưng trách nhiệm bên kiểm soát vẫn thuộc về phòng khám.

Thứ hai, đánh đồng bảo mật kỹ thuật với tuân thủ. Mã hóa mạnh và mật khẩu phức tạp là cần thiết, song không thay được việc xin đồng ý đúng mục đích hay đáp ứng quyền của bệnh nhân — một hệ thống bảo mật hoàn hảo mà thu thập dữ liệu thiếu cơ sở hợp lệ thì vẫn vi phạm.

Thứ ba, xoay quanh dữ liệu cũ. Nhiều cơ sở tưởng nghị định chỉ áp dụng cho khách mới, còn hồ sơ tích lũy từ trước thì "để yên là xong". Kỳ thực, tiếp tục lưu trữ và sử dụng kho dữ liệu đó cũng là một hoạt động xử lý.

Cuối cùng, tin rằng cơ sở quá nhỏ nên "không ai để ý". Bị chú ý hay không là chuyện xác suất, còn nghĩa vụ thì không co giãn theo quy mô. Suy cho cùng, việc bảo vệ dữ liệu bệnh nhân không chỉ để tránh phạt mà còn là cách giữ lòng tin — thứ khách hàng trao đi cùng lúc với triệu chứng và nỗi lo của họ.

Nếu bạn muốn một nền tảng có sẵn cơ chế đồng ý, nhật ký truy cập và phân quyền theo vai trò để làm nền cho việc tuân thủ, Clinisto (by Microads) là phần mềm quản lý phòng khám và nha khoa được xây cho bối cảnh Việt Nam, có bản dùng thử miễn phí 15 ngày. Cần trao đổi kỹ hơn về nơi lưu dữ liệu và ai chạm được vào đó, gọi hotline 0919 788 815.