Chủ động bảo vệ thông tin cá nhân của bệnh nhân cùng NPLaw

Bảo vệ thông tin cá nhân của bệnh nhân là một nguyên tắc đạo đức và pháp lý quan trọng, đảm bảo quyền riêng tư và sự tin tưởng của người bệnh đối với cơ sở y tế. Tuy nhiên, thực tế cho thấy, tình trạng vi phạm bảo vệ thông tin cá nhân vẫn còn diễn ra, gây ảnh hưởng tiêu cực đến người bệnh và uy tín của ngành y tế. Bài viết này của NPLaw sẽ phân tích thực trạng, khái niệm, tầm quan trọng, quy định pháp luật liên quan và giải đáp các thắc mắc thường gặp về bảo vệ thông tin cá nhân của bệnh nhân, giúp cơ sở y tế xây dựng quy trình quản lý thông tin chặt chẽ, tuân thủ pháp luật và an tâm cung cấp dịch vụ khám chữa bệnh chất lượng cao.

I. Thực trạng hiện nay của bảo vệ thông tin cá nhân của bệnh nhân

Trong thời đại công nghệ số, thông tin cá nhân của bệnh nhân được thu thập, lưu trữ và chia sẻ rộng rãi thông qua các hệ thống thông tin y tế. Tuy nhiên, việc bảo vệ thông tin cá nhân này còn nhiều bất cập, thể hiện qua các vụ việc:

• Rò rỉ dữ liệu bệnh án: Thông tin về bệnh sử, kết quả xét nghiệm, chẩn đoán… của bệnh nhân bị lộ ra ngoài do hệ thống bảo mật yếu kém hoặc do nhân viên y tế thiếu ý thức.
• Sử dụng thông tin không đúng mục đích: Thông tin cá nhân của bệnh nhân bị sử dụng cho mục đích quảng cáo, tiếp thị, hoặc bán cho bên thứ ba mà không được sự đồng ý của người bệnh.
• Truy cập trái phép vào hồ sơ bệnh án: Người không có thẩm quyền truy cập vào hồ sơ bệnh án điện tử để xem thông tin hoặc sửa đổi, xóa bỏ dữ liệu.
• Lưu trữ thông tin không an toàn: Thông tin được lưu trữ trên các thiết bị không được bảo mật, dễ bị đánh cắp hoặc truy cập trái phép.

Tình trạng này gây ảnh hưởng nghiêm trọng đến quyền riêng tư của người bệnh, làm xói mòn lòng tin vào ngành y tế và có thể dẫn đến những hậu quả pháp lý khôn lường.

II. Bảo vệ thông tin cá nhân của bệnh nhân là gì?

1. Tầm quan trọng của bảo vệ thông tin cá nhân của bệnh nhân

Bảo vệ thông tin cá nhân của bệnh nhân là việc áp dụng các biện pháp pháp lý, kỹ thuật và tổ chức để ngăn chặn việc truy cập, sử dụng, tiết lộ, sửa đổi hoặc phá hủy trái phép thông tin cá nhân của người bệnh. Điều này có ý nghĩa vô cùng quan trọng trong việc:

• Bảo vệ quyền riêng tư: Đảm bảo quyền được giữ kín thông tin cá nhân, bệnh tật của người bệnh.
• Xây dựng lòng tin: Tạo dựng lòng tin giữa người bệnh và cơ sở y tế, khuyến khích người bệnh cung cấp thông tin đầy đủ và trung thực để được chẩn đoán và điều trị hiệu quả.
• Nâng cao chất lượng dịch vụ: Khi thông tin được bảo mật tốt, các bác sĩ và nhân viên y tế có thể tập trung vào việc cung cấp dịch vụ tốt nhất cho người bệnh, mà không phải lo lắng về việc thông tin bị lộ lọt.
• Tuân thủ pháp luật: Các cơ sở y tế có trách nhiệm tuân thủ các quy định của pháp luật về bảo vệ thông tin cá nhân, tránh bị xử phạt hoặc bồi thường thiệt hại.

2. Những điều cần lưu ý về bảo vệ thông tin cá nhân của bệnh nhân

Để thực hiện tốt việc bảo vệ thông tin cá nhân, các cơ sở y tế cần lưu ý:

• Xây dựng quy trình bảo mật: Xây dựng quy trình thu thập, lưu trữ, sử dụng và chia sẻ thông tin cá nhân một cách rõ ràng, minh bạch và tuân thủ pháp luật.
• Hạn chế truy cập: Chỉ cho phép những người có trách nhiệm và được ủy quyền truy cập vào thông tin cá nhân của bệnh nhân.
• Sử dụng các biện pháp kỹ thuật: Áp dụng các công nghệ bảo mật hiện đại để bảo vệ thông tin khỏi các nguy cơ xâm nhập trái phép (mã hóa, tường lửa, kiểm soát truy cập…).
• Đào tạo nhân viên: Tổ chức đào tạo, tập huấn cho nhân viên về các quy định về bảo mật thông tin và cách thức thực hiện các biện pháp bảo vệ.
• Giám sát và kiểm tra thường xuyên: Thực hiện kiểm tra, giám sát định kỳ để phát hiện và khắc phục kịp thời các lỗ hổng bảo mật.
• Xử lý nghiêm các hành vi vi phạm: Xử lý nghiêm các hành vi vi phạm quy định về bảo mật thông tin, nhằm răn đe và phòng ngừa tái phạm.

III. Quy định pháp luật liên quan đến bảo vệ thông tin cá nhân của bệnh nhân

1. Quy định cần lưu ý liên quan đến bảo vệ thông tin cá nhân của bệnh nhân

Việc bảo vệ thông tin cá nhân của bệnh nhân được điều chỉnh bởi nhiều văn bản pháp luật khác nhau, trong đó quan trọng nhất là:

• Hiến pháp 2013: Bảo vệ quyền bí mật đời tư, bí mật cá nhân và bí mật gia đình (Điều 21).
• Luật Khám bệnh, chữa bệnh 2023: Quy định về quyền được tôn trọng danh dự, bảo vệ sức khỏe và tôn trọng bí mật riêng tư trong khám bệnh, chữa bệnh (Điều 10).
• Luật An toàn thông tin mạng 2015: Quy định về các biện pháp bảo vệ an toàn thông tin mạng, phòng ngừa và xử lý các hành vi xâm phạm an toàn thông tin mạng.
• Luật An ninh mạng 2018: Quy định về các hoạt động bảo vệ an ninh quốc gia trên không gian mạng, phòng ngừa và xử lý các hành vi xâm phạm an ninh mạng, bao gồm cả các hành vi liên quan đến thông tin cá nhân.
• Bộ luật Dân sự 2015: Quy định về quyền bí mật đời tư, quyền bảo vệ thông tin cá nhân (Điều 38).
• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: Quy định chi tiết về các biện pháp bảo vệ dữ liệu cá nhân, trách nhiệm của tổ chức, cá nhân xử lý dữ liệu cá nhân và quyền của chủ thể dữ liệu.

2. Những vi phạm liên quan đến bảo vệ thông tin cá nhân của bệnh nhân

Các hành vi vi phạm quy định về bảo vệ thông tin cá nhân của bệnh nhân có thể bao gồm:

• Thu thập, sử dụng, tiết lộ thông tin cá nhân của bệnh nhân mà không được sự đồng ý của người bệnh (trừ một số trường hợp được pháp luật cho phép).
• Không áp dụng các biện pháp bảo mật phù hợp để bảo vệ thông tin cá nhân của bệnh nhân.
• Lưu trữ thông tin cá nhân của bệnh nhân quá thời hạn quy định.
• Không thông báo cho bệnh nhân về việc thu thập, sử dụng và chia sẻ thông tin cá nhân của họ.
• Mua bán, trao đổi trái phép thông tin cá nhân của bệnh nhân.

IV. Giải đáp các thắc mắc về bảo vệ thông tin cá nhân của bệnh nhân

1. Mức độ xử lý pháp lý đối với các vi phạm liên quan đến bảo vệ thông tin cá nhân của bệnh nhân là gì?

Các hành vi vi phạm quy định về bảo vệ thông tin cá nhân của bệnh nhân có thể bị xử lý bằng nhiều hình thức khác nhau, tùy thuộc vào tính chất và mức độ nghiêm trọng của vi phạm, bao gồm:

Xử phạt hành chính: 

• Phạt tiền từ 1.000.000 đồng đến 3.000.000 đồng đối với cá nhân có  hành vi làm lộ tình trạng bệnh, thông tin mà người bệnh đã cung cấp và hồ sơ bệnh án, còn tổ chức bằng 02 lần mức phạt tiền đối với cá nhân (điểm c khoản 3 Điều 38 Nghị định 117/2020/NĐ-CP) 
• Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với hành vi  thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác và buộc hủy bỏ thông tin cá nhân do thực hiện hành vi vi phạm (điểm c khoản 2 Điều 84 Nghị định 15/2020/NĐ-CP được sửa đổi bởi Nghị định 14/2022/NĐ-CP). 
• Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với tổ chức  hành vi mua bán hoặc trao đổi trái phép thông tin riêng của người sử dụng dịch vụ viễn thông, bị tước quyền sử dụng Giấy phép thiết lập mạng xã hội từ 22 tháng đến 24 tháng, buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm. Nếu cá nhân có hành vi vi phạm thì mức phạt tiền bằng 1/2 mức phạt tiền trên (điểm a khoản 5 khoản 8, khoản 9 Điều 102 Nghị định 15/2020/NĐ-CP).

Truy cứu trách nhiệm hình sự: Nếu hành vi vi phạm gây hậu quả nghiêm trọng (ví dụ: gây thiệt hại lớn về tài sản, gây ảnh hưởng đến sức khỏe, tính mạng của nhiều người), người vi phạm có thể bị truy cứu trách nhiệm hình sự theo các tội danh như: Tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín, hoặc hình thức trao đổi thông tin riêng tư khác của người khác (Điều 159 Bộ luật Hình sự 2015, sửa đổi 2017), Tội thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin riêng tư, thông tin cá nhân trên mạng máy tính, mạng viễn thông (Điều 288 Bộ luật Hình sự 2015, sửa đổi 2017)…

2. Khi thông tin cá nhân của bệnh nhân bị rò rỉ thì cơ sở y tế sẽ chịu trách nhiệm pháp lý như thế nào? Và cách khắc phục ra sao?

Như trên đề cập về các biện pháp xử lý vi phạm khi rò rỉ thông tin cá nhân của bệnh nhân, theo đó, cơ sở y tế có thể phải chịu trách nhiệm pháp lý, bao gồm:

• Xử phạt hành chính: Bị phạt tiền theo quy định của pháp luật về xử lý vi phạm hành chính trong lĩnh vực an toàn thông tin mạng, y tế.
• Bồi thường thiệt hại: Bồi thường các thiệt hại thực tế cho người bệnh (thiệt hại về tài sản, chi phí khám chữa bệnh, thu nhập bị mất, tổn thất tinh thần…).
• Chịu trách nhiệm hình sự: Nếu hành vi rò rỉ thông tin có dấu hiệu tội phạm, người có trách nhiệm có thể bị truy cứu trách nhiệm hình sự.

Để khắc phục tình huống này, cơ sở y tế cần thực hiện ngay các biện pháp sau:

• Ngăn chặn rò rỉ: Ngay lập tức ngăn chặn luồng thông tin bị rò rỉ, khóa các tài khoản bị xâm nhập, cô lập các thiết bị nhiễm mã độc.
• Đánh giá thiệt hại: Xác định phạm vi thông tin bị rò rỉ, số lượng người bệnh bị ảnh hưởng và mức độ thiệt hại.
• Thông báo cho người bệnh: Thông báo cho người bệnh về việc thông tin của họ bị rò rỉ và các biện pháp mà cơ sở y tế đang thực hiện để khắc phục hậu quả.
• Khắc phục hệ thống: Rà soát, vá các lỗ hổng bảo mật, tăng cường các biện pháp an toàn thông tin cho hệ thống.
• Bồi thường thiệt hại: Thỏa thuận với người bệnh về mức bồi thường thiệt hại hợp lý (nếu có).
• Báo cáo cho cơ quan chức năng: Báo cáo sự việc cho cơ quan công an, Sở Y tế và các cơ quan chức năng khác để được hỗ trợ điều tra và xử lý.

3. Có thể khởi kiện cơ sở y tế nếu quyền lợi bảo vệ thông tin cá nhân của bệnh nhân bị xâm phạm không?

Bệnh nhân có quyền khởi kiện cơ sở y tế nếu thông tin cá nhân bị xâm phạm, theo quy định của pháp luật dân sự, cụ thể người bị xâm phạm quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình có quyền khởi kiện yêu cầu bồi thường thiệt hại (Điều 38, 584 Bộ luật Dân sự 2015).

4. Hệ thống lưu trữ thông tin cá nhân của bệnh nhân cần tuân theo những tiêu chuẩn bảo mật nào?

Hệ thống lưu trữ thông tin cá nhân của bệnh nhân cần tuân thủ các tiêu chuẩn sau:

• Mã hóa dữ liệu: Sử dụng công nghệ mã hóa (như AES-256) để bảo vệ thông tin bệnh án điện tử.
• Kiểm soát truy cập: Chỉ nhân viên được ủy quyền mới có quyền truy cập dữ liệu, sử dụng mật khẩu mạnh và xác thực hai yếu tố.
• Tường lửa và an ninh mạng: Áp dụng tường lửa, phần mềm chống virus và hệ thống phát hiện xâm nhập (IDS) để ngăn chặn truy cập trái phép.
• Sao lưu dữ liệu: Lưu trữ dữ liệu dự phòng tại hệ thống an toàn, tuân thủ Thông tư 54/2017/TT-BYT về quản lý hồ sơ sức khỏe điện tử.
• Đào tạo nhân viên: Đảm bảo nhân viên y tế được đào tạo về quy định bảo mật và trách nhiệm pháp lý.

5. Quyền của bệnh nhân trong việc yêu cầu xóa hoặc chỉnh sửa thông tin cá nhân của họ được quy định như thế nào?

Quyền của bệnh nhân trong việc yêu cầu xóa hoặc chỉnh sửa thông tin cá nhân của họ được quy định tại Điều 12, Điều 14 Luật Khám bệnh, chữa bệnh 2023 và Điều 9 Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, theo đó, bệnh nhân có quyền:

• Yêu cầu đọc, xem xét, cập nhật, sửa đổi thông tin cá nhân: Bệnh nhân có quyền yêu cầu cơ sở y tế cung cấp thông tin về dữ liệu cá nhân của mình đã được thu thập, lưu trữ và yêu cầu chỉnh sửa nếu phát hiện thông tin không chính xác.
• kiến nghị về xóa dữ liệu cá nhân: Bệnh nhân có thể kiến nghị cầu cơ sở y tế xóa bỏ thông tin cá nhân của họ nếu tồn tại, bất cập, khó khăn, vướng mắc và vấn đề khác trong quá trình khám bệnh, chữa bệnh.

V. Vấn đề liên quan đến bảo vệ thông tin cá nhân của bệnh nhân có nên liên hệ luật sư không? Liên hệ như thế nào?

Việc liên hệ với luật sư tư vấn có chuyên môn về lĩnh vực y tế và bảo vệ thông tin cá nhân là vô cùng hữu ích khi bạn:

• Không chắc chắn về quyền và nghĩa vụ của mình liên quan đến thông tin cá nhân trong lĩnh vực y tế.
• Cần được tư vấn về các quy định pháp luật mới nhất về bảo vệ dữ liệu cá nhân.
• Bị xâm phạm quyền riêng tư hoặc phát hiện hành vi vi phạm bảo mật thông tin cá nhân của mình.
• Muốn khởi kiện cơ sở y tế hoặc tổ chức, cá nhân khác có hành vi vi phạm pháp luật.

Bạn có thể liên hệ với NPLaw, chúng tôi có đội ngũ luật sư giàu kinh nghiệm và am hiểu sâu sắc về pháp luật y tế và bảo vệ dữ liệu cá nhân, sẵn sàng tư vấn và hỗ trợ bạn trong mọi vấn đề liên quan.