Đặt lịch
Trong kỷ nguyên y tế số, mỗi bệnh nhân bước vào cơ sở y tế không chỉ để lại chi phí khám chữa bệnh, mà còn để lại một “dấu chân dữ liệu” khổng lồ. Từ thông tin nhân khẩu học trên Hệ thống quản lý bệnh viện (HIS), ảnh chụp cắt lớp trên Hệ thống lưu trữ và truyền tải hình ảnh (PACS), kết quả máu trên Hệ thống thông tin xét nghiệm (LIS), cho đến Bệnh án điện tử (EMR) và Sổ sức khỏe cá nhân. Dữ liệu y tế là loại dữ liệu nhạy cảm nhất, mang tính định danh cao nhất và đối mặt với rủi ro rò rỉ lớn nhất.
Sau khi tiến hành kiểm chứng chéo hệ thống văn bản quy phạm pháp luật hiện hành (tính đến tháng 8/2026), chúng ta có thể khẳng định cách đặt vấn đề về sự liên quan giữa Nghị định 356/2025/NĐ-CP và Nghị định 330/2026/NĐ-CP là hoàn toàn có cơ sở và không hề có sự chồng chéo. Tuy nhiên, để hiểu đúng bản chất, chúng ta phải đặt chúng dưới chiếc ô pháp lý lớn nhất: Luật Bảo vệ dữ liệu cá nhân 2025.
Dưới đây là bức tranh toàn cảnh và chuyên sâu về cách các quy định mới định hình lại hoàn toàn luồng dữ liệu tại các cơ sở khám chữa bệnh.
Kiểm chứng pháp lý – Khi câu chữ của luật đi vào bệnh án điện tử
Đối với người làm nghề y, bảo vệ dữ liệu người bệnh không chỉ là một vấn đề của bộ phận công nghệ thông tin hay pháp chế. Một bác sĩ mở bệnh án điện tử, một kỹ thuật viên xem kết quả xét nghiệm trên LIS, một nhân viên chẩn đoán hình ảnh truy cập PACS hay một sinh viên được cấp tài khoản HIS đều đang tiếp xúc với dữ liệu thuộc phạm vi pháp luật bảo vệ.
Để hiểu trách nhiệm của mình, trước hết cần đọc từ chính câu chữ của các văn bản pháp luật.
1. Luật Bảo vệ dữ liệu cá nhân 2025: Người bệnh không chỉ là “người cung cấp thông tin”
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026.
Điểm quan trọng đối với ngành y nằm ở cách pháp luật nhìn nhận dữ liệu cá nhân. Luật không chỉ đặt ra nghĩa vụ cho bệnh viện hay phòng khám, mà còn ghi nhận quyền của chính chủ thể dữ liệu đối với thông tin của mình.
Đặc biệt, Điều 26 của Luật dành quy định riêng cho “thông tin sức khỏe”. Đây là điểm rất đáng chú ý khi áp dụng vào môi trường y tế: bệnh án, thông tin chẩn đoán, điều trị và các thông tin liên quan đến sức khỏe không nên được nhìn đơn thuần như những trường dữ liệu trong phần mềm quản lý bệnh nhân.
Chúng gắn với quyền của một cá nhân cụ thể.
Nói cách khác, khi một nhân viên y tế mở hồ sơ của người bệnh trên EMR, HIS hoặc PACS, câu hỏi pháp lý không chỉ là “hệ thống có cho phép tôi truy cập hay không?”, mà còn là:
Tôi có căn cứ và mục đích hợp pháp để xử lý dữ liệu này hay không?
Đây là sự thay đổi rất quan trọng về tư duy đối với những người bắt đầu làm việc trong môi trường y tế số.
2. “Tình trạng sức khỏe” được xác định là dữ liệu cá nhân nhạy cảm
Nghị định 356/2025/NĐ-CP được Chính phủ ban hành ngày 31/12/2025 và có hiệu lực từ 01/01/2026. Tên đầy đủ của nghị định là “Quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân”.
Đáng chú ý, Điều 4 Nghị định 356/2025/NĐ-CP quy định danh mục dữ liệu cá nhân nhạy cảm, trong đó có:
“Tình trạng sức khỏe.”
Một câu rất ngắn nhưng có ý nghĩa thực tế rất lớn đối với người làm nghề y.
Bởi khi đặt quy định này vào hệ thống y tế hiện đại, “tình trạng sức khỏe” không chỉ nằm trên một tờ bệnh án giấy.
Nó có thể xuất hiện đồng thời ở:
- hồ sơ bệnh án điện tử (EMR);
- thông tin hành chính trên HIS;
- hình ảnh X-quang, CT, MRI trên PACS;
- kết quả xét nghiệm trên LIS;
- đơn thuốc và lịch sử sử dụng thuốc;
- kết quả khám sức khỏe;
- thông tin bệnh sử;
- dữ liệu theo dõi điều trị;
- thông tin sức khỏe được kết nối với các hệ thống chăm sóc sức khỏe khác.
Vì vậy, một bức ảnh chụp màn hình PACS có tên bệnh nhân, một file PDF kết quả xét nghiệm hay một ảnh chụp bệnh án gửi qua ứng dụng nhắn tin đều có thể trở thành vấn đề bảo vệ dữ liệu cá nhân, nếu trong đó còn thông tin có khả năng xác định người bệnh.
Đây là lý do sinh viên y khoa cần học về bảo vệ dữ liệu không chỉ như một kiến thức “luật”, mà như một phần của năng lực hành nghề.
3. Có phải cứ được cấp tài khoản HIS/PACS là được xem hồ sơ bệnh nhân?
Không.
Pháp luật về bảo vệ dữ liệu cá nhân đặt trọng tâm vào mục đích, phạm vi và căn cứ xử lý dữ liệu, chứ không đơn thuần dựa vào việc một người có kỹ thuật đăng nhập được vào hệ thống hay không.
Hãy hình dung một sinh viên thực tập được cấp tài khoản HIS.
Tài khoản đó có thể cho phép sinh viên truy cập một số hồ sơ phục vụ quá trình học tập. Nhưng điều đó không có nghĩa sinh viên có quyền:
- tìm hồ sơ của người nổi tiếng vì tò mò;
- xem bệnh án của người quen;
- mở kết quả xét nghiệm của một bệnh nhân không thuộc phạm vi công việc;
- chụp màn hình hồ sơ để lưu vào điện thoại cá nhân;
- tải dữ liệu lên nhóm chat của lớp.
Quyền truy cập kỹ thuật không đồng nghĩa với quyền sử dụng dữ liệu cho mọi mục đích.
Đây là một nguyên tắc mà sinh viên y khoa nên hình thành ngay từ khi bắt đầu đi lâm sàng.
4. Còn sự đồng ý của người bệnh thì sao?
Đây là một trong những phần cần đọc rất kỹ trong Luật Bảo vệ dữ liệu cá nhân.
Theo quy định về sự đồng ý, pháp luật không coi một sự đồng ý mơ hồ là đủ cho mọi hoạt động xử lý dữ liệu. Việc đồng ý phải gắn với thông tin và mục đích xử lý cụ thể; đặc biệt, sự im lặng hoặc không phản hồi không được coi là sự đồng ý theo cơ chế đồng ý của Luật.
Điều này có ý nghĩa rất thực tế.
Ví dụ, một biểu mẫu ghi:
“Tôi đồng ý cho cơ sở y tế sử dụng thông tin của tôi.”
vẫn chưa phải là cách diễn đạt mà người làm nghề y nên mặc nhiên hiểu rằng cơ sở y tế có thể sử dụng dữ liệu đó cho mọi mục đích.
Khám chữa bệnh, chăm sóc người bệnh, nghiên cứu khoa học, chia sẻ cho một bên thứ ba hay sử dụng hình ảnh cho truyền thông là những hoạt động có bản chất và mục đích khác nhau.
Vì vậy, khi tham gia nghiên cứu hoặc truyền thông y tế, sinh viên cần đặc biệt chú ý đến mục đích sử dụng dữ liệu và căn cứ pháp lý tương ứng, thay vì chỉ hỏi “bệnh nhân đã ký đồng ý chưa?”.
5. Nghị định 356 và Nghị định 330 có phải là hai văn bản “chồng chéo”?
Cách hiểu chính xác hơn là hai nghị định có chức năng pháp lý khác nhau nhưng cùng nằm trong hệ thống thực thi pháp luật về bảo vệ dữ liệu cá nhân.
Nghị định 356/2025/NĐ-CP có tên gọi là:
“Quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.”
Nghị định này có hiệu lực từ ngày 01/01/2026.
Trong khi đó, Nghị định 330/2026/NĐ-CP có tên gọi:
“Quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.”
Nghị định 330 được ban hành ngày 19/08/2026 và cũng có hiệu lực từ chính ngày 19/08/2026.
Đáng chú ý, phần căn cứ ban hành Nghị định 330 trực tiếp dẫn Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Điều này cho thấy Nghị định 330 không phải là một “luật mới” thay thế Nghị định 356, mà là văn bản quy định về xử phạt vi phạm hành chính trong lĩnh vực mà Luật 91/2025/QH15 điều chỉnh.
Do đó, thay vì nói đơn giản:
“Nghị định 356 là luật chơi, Nghị định 330 là hình phạt.”
có thể diễn đạt chính xác hơn:
Luật Bảo vệ dữ liệu cá nhân đặt ra khuôn khổ pháp lý; Nghị định 356 quy định chi tiết một số nội dung và biện pháp thi hành Luật; còn Nghị định 330 quy định cơ chế xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Cách diễn đạt này vừa dễ hiểu đối với sinh viên, vừa bám sát chức năng được thể hiện ngay trong tên gọi của từng văn bản.
6. Tại sao người học ngành Y cần biết đến Nghị định 330?
Bởi từ ngày 19/08/2026, vi phạm về bảo vệ dữ liệu cá nhân không còn chỉ là câu chuyện “quy trình nội bộ” của bệnh viện hay phòng khám.
Nghị định 330/2026/NĐ-CP đã chính thức thiết lập hệ thống xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Tuy nhiên, sinh viên cần tránh một cách hiểu đơn giản rằng “mỗi lần làm lộ dữ liệu bệnh nhân là bị phạt X triệu đồng”.
Trách nhiệm pháp lý phải được xác định dựa trên hành vi cụ thể, chủ thể thực hiện, vai trò của các bên, mức độ vi phạm và quy định tương ứng trong nghị định.
Điều quan trọng hơn đối với người đang học nghề y là hiểu rằng:
Một thao tác tưởng như rất nhỏ trên điện thoại hoặc máy tính — chụp ảnh bệnh án, tải file xét nghiệm, gửi hình ảnh PACS, chia sẻ thông tin bệnh nhân — cũng có thể trở thành một hành vi xử lý dữ liệu cá nhân.
Và từ đó, câu hỏi về dữ liệu không còn nằm ngoài chuyên môn y khoa.
Nó trở thành một phần của đạo đức nghề nghiệp, quy trình hành nghề và trách nhiệm pháp lý của người làm y tế trong thời đại số.
Từ một bệnh án đến một “dấu chân dữ liệu”
Đây cũng là lý do khi người bệnh đến một cơ sở y tế hiện đại, dữ liệu không chỉ xuất hiện trong một cuốn bệnh án.
Một lần khám có thể tạo ra dữ liệu trên nhiều hệ thống: thông tin hành chính trên HIS, hình ảnh trên PACS, kết quả xét nghiệm trên LIS, hồ sơ bệnh án điện tử, đơn thuốc và lịch sử khám chữa bệnh.
Câu chuyện chuyển đổi số vì vậy không chỉ là đưa bệnh án từ giấy lên máy tính.
Nó còn đặt ra một yêu cầu lớn hơn: dữ liệu được tạo ra trong quá trình chăm sóc người bệnh phải được quản lý đúng mục đích, đúng phạm vi và phù hợp với các yêu cầu pháp luật hiện hành.
Đối với sinh viên y khoa, đây có lẽ là bài học quan trọng nhất:
Hãy coi dữ liệu người bệnh như một phần của hồ sơ người bệnh — không phải như một loại “tài liệu học tập miễn phí” mà bất kỳ ai cũng có thể sao chép và chia sẻ.
“Lỗ hổng” quy trình dữ liệu trong Y tế số
Trong ngành y tế, dữ liệu sức khỏe (Health Data) bao gồm tình trạng thể chất, tâm thần, lịch sử khám chữa bệnh, thông tin di truyền sinh trắc học và hồ sơ bệnh án. Vì sao chúng nhạy cảm? Vì nếu lộ lọt, chúng có thể gây tổn hại sâu sắc đến danh dự, cơ hội việc làm, bảo hiểm và an toàn tài chính của bệnh nhân.
Khi đối chiếu với tiêu chuẩn mới của Luật 91/2025/QH15 và Nghị định 356, các hệ thống công nghệ thông tin y tế bộc lộ nhiều điểm mù cần khắc phục:
Vấn đề “Đồng ý gộp” tại quầy tiếp đón (Blanket Consent):
- Tình huống thực tế: Bệnh nhân đến khám thường được yêu cầu ký vào một tờ khai hoặc xác nhận trên máy tính bảng (tablet) với nội dung kiểu: “Tôi đồng ý để bệnh viện sử dụng thông tin cá nhân cho mục đích khám chữa bệnh và nghiên cứu.”
- Rủi ro pháp lý: Cách thiết kế này có thể không đáp ứng yêu cầu về sự đồng ý nếu gộp nhiều mục đích xử lý khác nhau vào một lựa chọn duy nhất. Điều 16 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định:
“Sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm các nguyên tắc sau đây: a) Thể hiện sự đồng ý đối với từng mục đích; b) Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận; … d) Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.”
Luật cũng yêu cầu sự đồng ý phải dựa trên việc người bệnh biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu và các quyền, nghĩa vụ của mình.
Đáng chú ý, Điều 43 Nghị định 330/2026/NĐ-CP quy định phạt 30–50 triệu đồng đối với hành vi “thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý”; đồng thời áp dụng cùng mức phạt đối với trường hợp hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu được đồng ý với từng mục đích xử lý dữ liệu cá nhân.
→ Vì vậy, về mặt thiết kế quy trình, nên tách tối thiểu các mục đích có bản chất khác nhau, chẳng hạn: khám chữa bệnh / nghiên cứu / các mục đích khác, thay vì sử dụng một nút “Tôi đồng ý” cho tất cả.
2. Chia sẻ dữ liệu qua PACS, HIS, LIS và các ứng dụng nhắn tin
- Tình huống thực tế: Bác sĩ chụp màn hình kết quả X-quang từ PACS, kết quả xét nghiệm từ LIS hoặc thông tin bệnh án từ HIS rồi gửi vào nhóm Zalo/Viber để hội chẩn, nhưng hình ảnh vẫn hiển thị họ tên, mã bệnh nhân hoặc các thông tin có thể xác định người bệnh.
- Rủi ro pháp lý: Vấn đề không đơn thuần nằm ở việc “dùng Zalo/Viber” mà nằm ở cách thức cung cấp, chuyển giao, truy cập và bảo vệ dữ liệu cá nhân. Hồ sơ bệnh án theo Luật Khám bệnh, chữa bệnh 2023 bao gồm cả thông tin cá nhân và các kết quả khám, cận lâm sàng, chẩn đoán, điều trị, chăm sóc của người bệnh.
Luật Khám bệnh, chữa bệnh cũng quy định tại khoản 5 Điều 69 rằng các đối tượng khai thác hồ sơ bệnh án “phải giữ bí mật và chỉ được sử dụng đúng mục đích như đã đề nghị với cơ sở khám bệnh, chữa bệnh.”
Vì vậy, việc đưa ảnh chụp màn hình có thông tin nhận diện người bệnh lên một kênh trao đổi không được kiểm soát phù hợp có thể tạo ra rủi ro về tiết lộ, truy cập hoặc sử dụng dữ liệu cá nhân ngoài phạm vi cần thiết.
→ Về thực tiễn tuân thủ, nên ưu tiên hội chẩn ngay trên PACS/HIS/LIS hoặc nền tảng được bệnh viện kiểm soát, phân quyền người dùng, kiểm soát truy cập và hạn chế tối đa việc tải dữ liệu bệnh nhân ra các ứng dụng nhắn tin cá nhân.
3. “Quyền được xóa” và hồ sơ bệnh án điện tử (EMR)
- Tình huống thực tế: Người bệnh yêu cầu bệnh viện “xóa toàn bộ dữ liệu cá nhân”. Trong khi đó, bệnh viện vẫn phải duy trì một số hồ sơ, chứng từ hoặc dữ liệu theo nghĩa vụ pháp lý và nghiệp vụ chuyên môn.
- Rủi ro pháp lý: Không nên hiểu quyền yêu cầu xóa dữ liệu là quyền mặc nhiên yêu cầu bệnh viện xóa toàn bộ hồ sơ bệnh án.
Luật Bảo vệ dữ liệu cá nhân quy định về việc xóa, hủy dữ liệu cá nhân, nhưng việc thực hiện quyền này phải được đặt trong mối quan hệ với các trường hợp pháp luật yêu cầu hoặc cho phép tiếp tục lưu giữ dữ liệu. Nghị định 330/2026/NĐ-CP cũng quy định riêng về các hành vi vi phạm liên quan đến xóa, hủy dữ liệu tại Điều 51.
Đặc biệt, Điều 69 Luật Khám bệnh, chữa bệnh số 15/2023/QH15 quy định:
“Hồ sơ bệnh án phải được lưu giữ và giữ bí mật theo quy định của pháp luật; … Việc lưu trữ hồ sơ bệnh án được thực hiện theo quy định của pháp luật về lưu trữ.”
Luật này không còn quy định một mốc “tối thiểu 10 năm” ngay tại Điều 69 như Luật Khám bệnh, chữa bệnh năm 2009 trước đây.
→ Vì vậy, cách tiếp cận an toàn hơn là phân loại dữ liệu: dữ liệu thuộc hồ sơ bệnh án và phải lưu giữ theo nghĩa vụ pháp lý; dữ liệu được lưu cho các mục đích khác; và dữ liệu không còn căn cứ lưu giữ. Khi người bệnh yêu cầu xóa, bệnh viện cần xác định căn cứ pháp lý của từng nhóm dữ liệu thay vì mặc định “xóa tất cả” hoặc “không xóa gì cả”.
Sự chuyển mình của các cơ sở y tế
Để không bị tụt hậu trước các “chế tài tiền tỷ” và xây dựng niềm tin số với bệnh nhân, nhiều cơ sở khám chữa bệnh đã tiên phong nâng cấp hạ tầng công nghệ. Phòng khám Đa khoa Olympia (Tây Nha Trang, Khánh Hòa) là một ví dụ điển hình về việc chủ động chuyển giao và ứng dụng y tế số bảo mật vào vận hành.
Thông qua thông tin công khai, có thể thấy Olympia đang vận hành hệ thống bám sát các tiêu chuẩn pháp lý mới:
Lõi vận hành bằng phần mềm HIS chuyên nghiệp: Thay vì quản lý dữ liệu rời rạc, phòng khám đã triển khai hệ thống quản lý phần mềm HIS tiên tiến [cite: 2.1.1]. Hệ thống này giúp lưu trữ, quản lý thông tin bệnh án tập trung, không chỉ đảm bảo tính chính xác cho lâm sàng mà còn thiết lập hàng rào bảo mật kỹ thuật để chống lại việc truy cập trái phép [2.1.1].
Cam kết quyền riêng tư (Privacy by Design): Ngay trong quy chế hoạt động, Olympia định rõ quyền lợi của bệnh nhân là “Được bảo vệ về quyền riêng tư và các nhu cầu cá nhân” cũng như “đảm bảo bảo mật thông tin cá nhân và thông tin y tế” [ 2.1.3]. Riêng với Khoa Xét nghiệm, dữ liệu đầu ra được quy định là “bảo mật tuyệt đối”, phối hợp nội bộ khép kín trực tiếp với bác sĩ lâm sàng mà không qua các khâu trung gian [2.1.2].
Chính sự đầu tư nghiêm túc vào hệ thống HIS và cam kết quyền riêng tư rõ ràng đã biến Olympia thành một trong những địa chỉ khám chữa bệnh y tế số an toàn, minh bạch.
Bạn có thể tự mình đặt lịch hẹn an toàn qua nền tảng chính thức olympiamedic.com.
Lời khuyên dành cho Doanh nghiệp Y tế & Người bệnh
Dành cho các Bệnh viện / Phòng khám / Đơn vị cung cấp giải pháp Y tế (như OSHVN):
Chấm dứt “sự im lặng là đồng ý”: Rà soát lại toàn bộ màn hình giao diện (UI/UX) của các Sổ sức khỏe cá nhân, App đặt lịch khám. Không được để các ô checkbox được tích sẵn (Pre-ticked box) xin thu thập dữ liệu. Vi phạm điều này sẽ bị phạt ngay theo Nghị định 330.
Đánh giá khoảng trống tuân thủ (Gap Analysis): Các đơn vị tư vấn tuân thủ cần dựa vào Nghị định 356 để thiết kế lại quy trình mã hóa cho hệ thống LIS/PACS, đảm bảo dữ liệu di chuyển trong mạng nội bộ bệnh viện (Intranet) được giám sát chặt chẽ.
Dành cho Người bệnh:
Khi giao dữ liệu sức khỏe của mình, hãy tập thói quen đặt câu hỏi: “Hồ sơ bệnh án điện tử này của tôi sẽ được chia sẻ cho những ai? Nếu tôi muốn rút lại sự đồng ý chia sẻ thông tin cho các bên bảo hiểm nhân thọ thì thao tác trên ứng dụng như thế nào?”. Pháp luật hiện hành đã trao cho bạn công cụ (Luật Bảo vệ dữ liệu cá nhân 2026), việc còn lại là thực thi quyền đó.
Sinh viên ngành Y cần biết gì về pháp luật bảo vệ dữ liệu người bệnh?
1. Sinh viên y khoa có được chụp ảnh bệnh án hoặc kết quả xét nghiệm của người bệnh để học tập không?
Không nên mặc định rằng “phục vụ học tập” thì được phép chụp. Bệnh án, kết quả xét nghiệm, hình ảnh X-quang, CT, MRI, thông tin chẩn đoán và điều trị có thể gắn với một cá nhân cụ thể và thuộc phạm vi dữ liệu cá nhân được pháp luật bảo vệ. Luật Bảo vệ dữ liệu cá nhân 2025 xác định việc thu thập, cung cấp, công khai, chuyển giao… đều có thể là hoạt động “xử lý dữ liệu cá nhân”.
Đặc biệt, Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 quy định việc bảo vệ thông tin sức khỏe phải tuân thủ các quy định về bảo vệ dữ liệu cá nhân và về nguyên tắc phải có sự đồng ý của chủ thể dữ liệu, trừ các trường hợp luật định.
Vì vậy, nếu sinh viên muốn sử dụng một bệnh án hoặc hình ảnh có thể nhận diện người bệnh cho bài thuyết trình, nghiên cứu hay bài tập, cần tuân thủ quy định của cơ sở đào tạo và cơ sở khám chữa bệnh, đồng thời xác định rõ căn cứ pháp lý cho việc sử dụng dữ liệu.
2. Tôi có được dùng điện thoại chụp màn hình PACS để mang về học không?
Không nên thực hiện nếu chưa được phép.
Một hình ảnh CT hoặc X-quang nhìn có vẻ “chỉ là hình ảnh y khoa”, nhưng nếu hình ảnh hoặc thông tin đi kèm có thể xác định người bệnh thì việc chụp, lưu giữ và gửi sang thiết bị cá nhân đã làm phát sinh thêm một hoạt động xử lý dữ liệu.
Điều 3 Luật 91/2025/QH15 yêu cầu dữ liệu cá nhân chỉ được thu thập, xử lý trong phạm vi và mục đích cụ thể, rõ ràng, đồng thời phải áp dụng các biện pháp phù hợp về thể chế, kỹ thuật và con người để bảo vệ dữ liệu.
Do đó, nguyên tắc thực hành an toàn cho sinh viên là: không tự ý chụp màn hình PACS, EMR hoặc LIS bằng điện thoại cá nhân; không tự ý lưu bệnh án lên Google Drive, iCloud, Zalo, Messenger hoặc các nền tảng cá nhân.
3. Nếu tôi chỉ gửi bệnh án vào nhóm Zalo của nhóm học tập thì có vi phạm không?
Việc “chỉ gửi trong nhóm kín” không đồng nghĩa với việc dữ liệu đã được sử dụng hợp pháp.
Luật 91/2025/QH15 coi cung cấp, công khai và chuyển giao dữ liệu là các hoạt động xử lý dữ liệu cá nhân. Luật cũng nghiêm cấm xử lý dữ liệu cá nhân trái quy định pháp luật và hành vi cố ý làm lộ, làm mất dữ liệu cá nhân.
Vì vậy, trước khi chia sẻ một ca bệnh cho nhóm học tập, sinh viên cần đặt câu hỏi:
- Có được cơ sở khám chữa bệnh hoặc người có thẩm quyền cho phép sử dụng dữ liệu này không?
- Dữ liệu có còn tên, mã bệnh nhân, số hồ sơ, ngày sinh, số điện thoại hoặc thông tin nhận diện khác không?
- Mục đích sử dụng có đúng với mục đích ban đầu không?
- Có thể sử dụng dữ liệu đã khử nhận dạng thay cho dữ liệu định danh hay không?
“Nhóm kín” không phải là một căn cứ pháp lý để tự động được phép chia sẻ dữ liệu.
4. Nếu tôi đã được cấp tài khoản HIS/PACS thì tôi có thể xem bất kỳ hồ sơ nào không?
Không. Quyền truy cập hệ thống không đồng nghĩa với quyền xem mọi hồ sơ.
Đây là một nguyên tắc rất quan trọng đối với sinh viên thực tập. Việc được cấp tài khoản HIS hoặc PACS chỉ nhằm phục vụ phạm vi công việc/học tập được phân quyền. Sinh viên không nên tò mò mở hồ sơ của người nổi tiếng, người quen, bạn bè hoặc những bệnh nhân không liên quan đến nhiệm vụ của mình.
Luật Bảo vệ dữ liệu cá nhân yêu cầu việc xử lý phải đúng phạm vi và mục đích cụ thể, rõ ràng; đồng thời yêu cầu áp dụng các biện pháp kỹ thuật và con người để bảo vệ dữ liệu.
Về mặt nghề nghiệp, có thể ghi nhớ một nguyên tắc đơn giản:
Có quyền truy cập hệ thống ≠ có quyền truy cập mọi dữ liệu trong hệ thống.
5. Người bệnh có quyền biết dữ liệu của họ đang được sử dụng như thế nào không?
Có. Điều 4 Luật Bảo vệ dữ liệu cá nhân 2025 ghi nhận quyền của chủ thể dữ liệu, trong đó có quyền được biết về hoạt động xử lý dữ liệu cá nhân; đồng ý hoặc không đồng ý, yêu cầu rút lại sự đồng ý; xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu; yêu cầu cung cấp, xóa, hạn chế xử lý và phản đối xử lý trong những trường hợp luật định.
Điều này có ý nghĩa trực tiếp với người làm nghề y: khi người bệnh hỏi “Thông tin bệnh án của tôi được dùng để làm gì?”, đây không đơn thuần là một câu hỏi về quy trình hành chính mà liên quan đến quyền của chủ thể dữ liệu được pháp luật bảo vệ.
6. Sinh viên có thể xin người bệnh đồng ý bằng cách nói “Em chụp để làm bài tập” không?
Không nên hiểu sự đồng ý theo cách đơn giản như vậy.
Điều 9 Luật 91/2025/QH15 quy định sự đồng ý chỉ có hiệu lực khi dựa trên sự tự nguyện và người bệnh biết rõ loại dữ liệu được xử lý, mục đích xử lý, bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu cùng các quyền, nghĩa vụ liên quan. Sự đồng ý phải được thể hiện rõ ràng, cụ thể và đối với từng mục đích; im lặng hoặc không phản hồi không được coi là đồng ý.
Do đó, trong môi trường bệnh viện/phòng khám, sinh viên không nên tự đứng ra thiết lập một cơ chế thu thập dữ liệu riêng nếu chưa được cơ sở y tế và nhà trường cho phép.
7. Nếu tôi xóa tên bệnh nhân khỏi ảnh thì có được dùng không?
Khử tên không phải lúc nào cũng đồng nghĩa với khử nhận dạng.
Một hồ sơ vẫn có thể chứa nhiều thông tin kết hợp giúp nhận ra người bệnh, chẳng hạn ngày sinh, giới tính, ngày nhập viện, mã hồ sơ, hình ảnh khuôn mặt, thông tin bệnh hiếm hoặc các dữ kiện đặc thù.
Luật 91/2025/QH15 định nghĩa “khử nhận dạng dữ liệu cá nhân” là quá trình thay đổi hoặc xóa thông tin để tạo ra dữ liệu mới không thể xác định hoặc không thể giúp xác định một con người cụ thể.
Vì vậy, trong học tập và nghiên cứu, mục tiêu không đơn giản là “xóa tên”, mà phải xem dữ liệu sau khi xử lý còn khả năng nhận diện người bệnh hay không.
8. Nếu người bệnh đồng ý cho tôi sử dụng bệnh án để làm bài nghiên cứu thì tôi có thể sử dụng cho mục đích khác không?
Không nên.
Một trong những nguyên tắc quan trọng của Luật 91/2025/QH15 là sự đồng ý phải được thể hiện đối với từng mục đích. Người bệnh đồng ý cho sử dụng dữ liệu vào một mục đích không có nghĩa là dữ liệu đó mặc nhiên được sử dụng cho tất cả mục đích khác.
Ví dụ, việc đồng ý sử dụng một ca bệnh cho nghiên cứu khoa học không mặc nhiên đồng nghĩa với việc đồng ý đăng ca bệnh đó lên Facebook, TikTok hoặc sử dụng trong một hoạt động quảng cáo.
Đây là ranh giới mà sinh viên y khoa cần đặc biệt chú ý khi bắt đầu tham gia nghiên cứu khoa học và truyền thông y tế.
9. Nếu vô tình làm lộ dữ liệu người bệnh thì sinh viên có thể bị xử lý không?
Có thể. Luật 91/2025/QH15 quy định hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân, tùy tính chất, mức độ và hậu quả, có thể dẫn đến xử phạt hành chính, trách nhiệm hình sự hoặc trách nhiệm bồi thường nếu gây thiệt hại. Luật cũng nghiêm cấm hành vi cố ý làm lộ, làm mất dữ liệu cá nhân.
Đáng chú ý, từ ngày 19/08/2026, Nghị định 330/2026/NĐ-CP đã quy định cụ thể các hành vi vi phạm hành chính và mức xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Tuy nhiên, khi xảy ra sự cố, việc xác định trách nhiệm của sinh viên không nên được hiểu đơn giản là “cứ làm lộ dữ liệu là bị phạt một mức tiền cố định”. Cần xem xét hành vi cụ thể, chủ thể vi phạm, vai trò của cơ sở y tế, quy trình phân quyền, mức độ lỗi và các tình tiết liên quan.
10. Sinh viên ngành Y cần nhớ điều gì nhất khi tiếp xúc với EMR, HIS, PACS và LIS?
Có thể ghi nhớ 5 nguyên tắc:
Đúng người – Đúng dữ liệu – Đúng mục đích – Đúng phạm vi – Đúng quyền truy cập.
Bạn không cần trở thành chuyên gia pháp lý để bắt đầu thực hành đúng. Nhưng ngay từ khi còn là sinh viên, việc hình thành thói quen không tò mò hồ sơ, không tự ý chụp bệnh án, không chia sẻ dữ liệu qua kênh cá nhân và luôn kiểm tra quyền truy cập trước khi sử dụng thông tin người bệnh sẽ trở thành một phần quan trọng của đạo đức nghề nghiệp trong y tế số.
Bởi trong một bệnh viện hay phòng khám hiện đại, người làm nghề y không chỉ chịu trách nhiệm trước người bệnh về một quyết định chuyên môn, mà còn phải có ý thức với dữ liệu mà người bệnh đã tin tưởng giao cho mình.
Nguồn tham khảo pháp lý & Thực tiễn:
Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) có hiệu lực 01/01/2026.
Nghị định 356/2025/NĐ-CP (Quy định về quản lý, bảo vệ dữ liệu cá nhân).
Nghị định 330/2026/NĐ-CP (Xử phạt vi phạm hành chính an ninh mạng và bảo vệ dữ liệu cá nhân).
Cổng thông tin chính thức của Phòng khám Đa khoa Olympia: olympiamedic.com.
