Chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là xu thế tất yếu nhưng cũng đầy thách thức pháp lý. Bài viết này sẽ phân tích quy định pháp luật và giải đáp các thắc mắc thường gặp, giúp các tổ chức y tế đảm bảo an toàn thông tin và nâng cao hiệu quả hoạt động.

I. Thực trạng liên quan đến chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Trong bối cảnh công nghệ thông tin phát triển mạnh mẽ và nhu cầu cá nhân hóa dịch vụ y tế ngày càng cao, việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe đã trở thành một xu thế tất yếu. Từ việc chuyển hồ sơ bệnh án điện tử giữa các bệnh viện, chia sẻ thông tin để hội chẩn chuyên sâu, đến tích hợp dữ liệu từ các thiết bị đeo tay thông minh vào hệ thống quản lý sức khỏe, tất cả đều đòi hỏi sự lưu thông của dữ liệu.

Tuy nhiên, thực trạng tại Việt Nam cho thấy, quá trình này vẫn còn đối mặt với nhiều thách thức. Các cơ sở y tế vẫn còn lúng túng trong việc xây dựng quy trình chuyển giao chuẩn mực, đảm bảo tính pháp lý và an toàn bảo mật. Không ít trường hợp xảy ra rò rỉ thông tin cá nhân của bệnh nhân, sử dụng dữ liệu sai mục đích, hoặc chuyển giao không đúng đối tượng, gây ra những hệ lụy nghiêm trọng về quyền riêng tư và uy tín. 

Vấn đề thiếu một khung pháp lý rõ ràng, chi tiết, cùng với nhận thức chưa đầy đủ về quyền và nghĩa vụ của cả người bệnh lẫn cơ sở y tế, đã tạo ra những lỗ hổng đáng kể.

Chính vì vậy, việc làm rõ các khía cạnh pháp lý, quy trình và biện pháp bảo mật liên quan đến chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là vô cùng cấp thiết, không chỉ giúp các cơ sở y tế tuân thủ pháp luật mà còn góp phần nâng cao chất lượng dịch vụ và niềm tin của người bệnh.

II. Khái niệm về chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Để tuân thủ đúng quy định, trước hết cần nắm rõ các khái niệm cơ bản. Phần này, NPLaw sẽ định nghĩa và làm rõ vai trò của việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe.

1. Chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là gì?

Chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe được hiểu là quá trình di chuyển, chia sẻ hoặc cung cấp các thông tin liên quan đến sức khỏe cá nhân (như tiền sử bệnh, kết quả xét nghiệm, chẩn đoán, phác đồ điều trị, thông tin cá nhân của người bệnh) từ một tổ chức, cá nhân này sang một tổ chức, cá nhân khác trong hệ thống chăm sóc sức khỏe hoặc các bên có liên quan hợp pháp. 

Quá trình này có thể diễn ra dưới nhiều hình thức, từ thủ công đến điện tử, và thường nhằm mục đích hỗ trợ chẩn đoán, điều trị, nghiên cứu khoa học hoặc quản lý y tế.

Như vậy, chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là hoạt động thiết yếu, nhưng đòi hỏi sự cẩn trọng cao độ do tính nhạy cảm của thông tin.

2. Các hình thức phổ biến để thực hiện chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Trong thực tiễn, việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe được thực hiện qua nhiều hình thức phổ biến, bao gồm:

  • Chuyển giao thủ công (vật lý): Đây là hình thức truyền thống, bao gồm việc chuyển giao hồ sơ bệnh án giấy, phim chụp X-quang, kết quả xét nghiệm in ra... giữa các cơ sở y tế hoặc từ cơ sở y tế đến bệnh nhân.
  • Chuyển giao điện tử trực tiếp:
    • Qua hệ thống thông tin y tế (HIS/EMR/EHR): Dữ liệu được chuyển trực tiếp giữa các hệ thống hồ sơ bệnh án điện tử, hệ thống thông tin bệnh viện thông qua các tiêu chuẩn kết nối và giao thức bảo mật.
    • Qua email bảo mật hoặc nền tảng chia sẻ dữ liệu an toàn: Sử dụng các dịch vụ email có mã hóa hoặc các nền tảng đám mây được cấp phép, có tính năng bảo mật cao để gửi tài liệu y tế.
    • Qua các thiết bị lưu trữ di động có mã hóa: Sử dụng USB, ổ cứng di động đã được mã hóa để di chuyển dữ liệu trong trường hợp cần thiết, hạn chế rủi ro thất thoát.
  • Chuyển giao thông qua cổng thông tin hoặc ứng dụng y tế: Bệnh nhân hoặc người nhà có thể truy cập, tải xuống dữ liệu sức khỏe của mình thông qua các cổng thông tin bệnh viện, ứng dụng di động có xác thực mạnh.
  • Chuyển giao cho mục đích nghiên cứu, thống kê: Dữ liệu được ẩn danh hoặc mã hóa để phục vụ các dự án nghiên cứu khoa học, phân tích thống kê y tế.

Các hình thức chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe ngày càng đa dạng, nhưng đều phải tuân thủ nghiêm ngặt các nguyên tắc bảo mật và quyền riêng tư.

3. Vai trò của chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe đóng vai trò cực kỳ quan trọng, mang lại nhiều lợi ích to lớn như:

  • Nâng cao chất lượng chẩn đoán và điều trị: Bác sĩ có thể truy cập đầy đủ tiền sử bệnh án, kết quả xét nghiệm, hình ảnh y tế từ các cơ sở khác, giúp đưa ra chẩn đoán chính xác hơn và phác đồ điều trị tối ưu, tránh lặp lại các xét nghiệm không cần thiết.
  • Tăng cường sự phối hợp giữa các cơ sở y tế: Giúp việc chuyển tuyến, hội chẩn liên viện, và theo dõi sức khỏe liên tục trở nên liền mạch và hiệu quả hơn.
  • Hỗ trợ nghiên cứu khoa học và phát triển y học: Dữ liệu y tế tổng hợp, được ẩn danh/mã hóa, là nguồn tài nguyên quý giá cho các nghiên cứu dịch tễ học, phát triển thuốc mới, phương pháp điều trị tiên tiến.
  • Cải thiện trải nghiệm và quyền lợi người bệnh: Người bệnh có thể dễ dàng tiếp cận hồ sơ sức khỏe của mình, chủ động quản lý thông tin và chia sẻ với các nhà cung cấp dịch vụ y tế khác khi cần.
  • Hỗ trợ quản lý và hoạch định chính sách y tế: Dữ liệu tổng hợp giúp các nhà quản lý đưa ra quyết định chính sách y tế dựa trên bằng chứng, tối ưu hóa nguồn lực và phòng chống dịch bệnh hiệu quả hơn.

Chính vì vậy, chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là động lực thúc đẩy sự phát triển của ngành y tế, mang lại lợi ích toàn diện cho cả người bệnh, các nhà cung cấp dịch vụ và cộng đồng.

III. Quy định của pháp luật liên quan đến chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Do tính chất đặc biệt và nhạy cảm của dữ liệu y tế, việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe chịu sự điều chỉnh chặt chẽ của nhiều văn bản pháp luật. Hãy cùng NPLaw tìm hiểu các quy định cốt lõi tại đây.

1. Có những văn bản pháp luật nào điều chỉnh việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe tại Việt Nam?

Việc chuyển giao dữ liệu y tế tại Việt Nam không chỉ là vấn đề kỹ thuật mà còn là vấn đề pháp lý phức tạp, chịu sự điều chỉnh chặt chẽ bởi kiềng ba chân gồm: Luật chuyên ngành y tế, Pháp luật về bảo vệ dữ liệu cá nhân và Pháp luật về giao dịch điện tử. Cụ thể như sau:

Đầu tiên và quan trọng nhất là Luật Khám bệnh, chữa bệnh 2023. Đây là văn bản gốc quy định về quyền và giới hạn trong việc chia sẻ thông tin y tế. Căn cứ Điều 10, người bệnh có quyền được giữ bí mật thông tin về tình trạng sức khỏe và đời tư. Việc chuyển giao/chia sẻ dữ liệu hồ sơ bệnh án được quy định rất chặt chẽ tại Điều 69 về hồ sơ bệnh án và Điều 70 về trực khám bệnh, chữa bệnh của Luật này. Theo đó, bệnh án điện tử có giá trị pháp lý như bệnh án giấy; việc khai thác, cung cấp hồ sơ bệnh án cho bên thứ ba (như cơ quan bảo hiểm, cơ quan điều tra, hoặc cơ sở đào tạo) chỉ được phép thực hiện khi có sự đồng ý của người bệnh hoặc theo yêu cầu của cơ quan nhà nước có thẩm quyền trong các trường hợp luật định cụ thể.

Thứ hai là Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Theo khoản 4 Điều 2, thông tin về tình trạng sức khỏe và đời sống riêng tư trong hồ sơ bệnh án được xếp vào nhóm Dữ liệu cá nhân nhạy cảm. Do đó, khi chuyển giao loại dữ liệu này, tổ chức y tế phải tuân thủ quy trình bảo vệ nghiêm ngặt hơn so với dữ liệu thông thường theo Điều 28 về bảo vệ dữ liệu cá nhân nhạy cảm, bao gồm: chỉ định bộ phận/nhân sự bảo vệ dữ liệu, thông báo cho chủ thể dữ liệu biết việc dữ liệu của họ đang được xử lý, và phải có sự đồng ý rõ ràng (Consent) của chủ thể dữ liệu (trừ trường hợp khẩn cấp đe dọa đến tính mạng quy định tại Điều 17).

Thứ ba là Luật Giao dịch điện tử 2023. Luật này tạo hành lang pháp lý cho việc chuyển giao dữ liệu y tế trên môi trường số. Căn cứ Điều 10 về thông điệp dữ liệu có giá trị như bản gốc và Điều 12 về chuyển đổi hình thức giữa văn bản giấy và thông điệp dữ liệu, thông điệp dữ liệu (hồ sơ bệnh án điện tử, đơn thuốc điện tử) có giá trị pháp lý và giá trị dùng làm chứng cứ tương đương văn bản giấy nếu đảm bảo tính toàn vẹn và có thể truy cập được. Điều này cho phép việc chuyển giao dữ liệu giữa các bệnh viện (liên thông xét nghiệm) hoặc chuyển lên cơ quan Bảo hiểm xã hội được thực hiện hoàn toàn trên môi trường mạng mà vẫn đảm bảo tính pháp lý.

Ngoài ra, về mặt kỹ thuật, việc chuyển giao còn phải tuân thủ các tiêu chuẩn trong Thông tư 13/2025/TT-BYT của Bộ Y tế quy định về hồ sơ bệnh án điện tử, đảm bảo khả năng tương thích và an toàn bảo mật giữa các hệ thống phần mềm y tế.

Tóm lại, việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe đòi hỏi tuân thủ một khung pháp lý đa tầng, từ luật chuyên ngành y tế đến các luật về bảo vệ dữ liệu và an toàn thông tin.

2. Quy định về quyền truy cập, phân quyền và kiểm soát dữ liệu khi chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Trong lĩnh vực y tế, dữ liệu sức khỏe được xác định là Dữ liệu cá nhân nhạy cảm (theo khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP), do đó quy định về quyền truy cập và kiểm soát được thắt chặt hơn so với dữ liệu thông thường.

Về phía chủ thể dữ liệu (người bệnh), quyền truy cập và kiểm soát của họ được bảo đảm kép bởi hai văn bản luật. Theo Điều 9 Nghị định 13/2023/NĐ-CP, người bệnh có quyền được biết, đồng ý, truy cập, chỉnh sửa và yêu cầu xóa dữ liệu của mình. Đặc biệt, theo khoản 1 Điều 14 Luật Khám bệnh, chữa bệnh 2023, người bệnh có quyền được cung cấp tóm tắt hồ sơ bệnh án và giải thích chi tiết về tình trạng sức khỏe. Khi chuyển giao dữ liệu, cơ sở y tế phải đảm bảo các quyền này không bị gián đoạn.

Về phía cơ sở y tế, việc phân quyền phải tuân thủ nguyên tắc quyền tối thiểu và cần thiết. Căn cứ Điều 26 về biện pháp bảo vệ dữ liệu cá nhân và Điều 28 về bảo vệ dữ liệu cá nhân nhạy cảm của Nghị định 13/2023/NĐ-CP, đơn vị phải áp dụng biện pháp quản lý và kỹ thuật, cụ thể là phải chỉ định bộ phận/nhân sự bảo vệ dữ liệu cá nhân. Hệ thống phải có chức năng ghi nhật ký (log) để lưu vết toàn bộ quá trình ai truy cập, vào lúc nào và làm gì với dữ liệu bệnh án điện tử, nhằm phục vụ công tác điều tra khi cần thiết theo quy định về bảo vệ bí mật thông tin người bệnh tại khoản 2 Điều 10 Luật Khám bệnh, chữa bệnh 2023.

Như vậy, quyền truy cập, phân quyền và kiểm soát là những trụ cột pháp lý và kỹ thuật quan trọng để đảm bảo an toàn thông tin trong quá trình chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe.

3. Quy trình lưu trữ dữ liệu trước và sau khi chuyển giao trong lĩnh vực chăm sóc sức khỏe nên thực hiện ra sao?

Để đảm bảo tính toàn vẹn và tuân thủ pháp luật, quy trình lưu trữ gắn liền với hoạt động chuyển giao dữ liệu y tế cần tuân thủ các bước sau:

Trước khi chuyển giao, cơ sở y tế phải rà soát tính hợp pháp và an toàn của dữ liệu. Căn cứ Điều 26 Nghị định 13/2023/NĐ-CP, dữ liệu phải được áp dụng các biện pháp kỹ thuật như mã hóa hoặc ẩn danh hóa (nếu dùng cho nghiên cứu). Quan trọng nhất, phải xác lập biên bản hoặc hợp đồng chuyển giao rõ ràng trách nhiệm bảo mật giữa các bên.

Sau khi chuyển giao, trách nhiệm lưu trữ của cơ sở y tế không chấm dứt ngay lập tức. Căn cứ khoản 2 Điều 69 Luật Khám bệnh, chữa bệnh 2023, hồ sơ bệnh án phải được lưu giữ và giữ bí mật theo quy định của pháp luật; trường hợp hồ sơ bệnh án thuộc phạm vi bí mật nhà nước thì thực hiện theo quy định của pháp luật về bảo vệ bí mật nhà nước. Việc lưu trữ hồ sơ bệnh án được thực hiện theo quy định của pháp luật về lưu trữ.

Trong suốt thời gian này, hệ thống lưu trữ phải được bảo vệ nghiêm ngặt (tường lửa, kiểm soát truy cập vật lý) theo tiêu chuẩn an toàn thông tin mạng. Khi hết thời hạn lưu trữ, quy trình hủy hồ sơ, xóa dữ liệu phải được thực hiện theo quy định pháp luật để đảm bảo dữ liệu không thể phục hồi, tránh rò rỉ thông tin người bệnh cũ.

Như vậy, quy trình lưu trữ trước và sau khi chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là một phần không thể thiếu trong chuỗi bảo mật thông tin, đòi hỏi sự tuân thủ nghiêm ngặt từ cơ sở y tế.

4. Cơ sở y tế có được phép chuyển dữ liệu  trong lĩnh vực chăm sóc sức khỏe ra nước ngoài không, và phải tuân thủ điều kiện gì?

Cơ sở y tế được phép chuyển dữ liệu sức khỏe ra nước ngoài không nhưng điều kiện thực hiện vô cùng khắt khe vì đây là dữ liệu nhạy cảm. Lưu ý quan trọng là cơ quan tiếp nhận hồ sơ báo cáo không phải là Bộ Khoa học và Công nghệ, mà là Bộ Công an.

Căn cứ Điều 25 Nghị định 13/2023/NĐ-CP, để chuyển dữ liệu y tế ra nước ngoài, cơ sở y tế (Bên chuyển dữ liệu) phải đáp ứng đủ 02 điều kiện tiên quyết:

Thứ nhất, phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài (TIA) (khoản 2 Điều 25). Hồ sơ này bao gồm thông tin chi tiết về bên gửi, bên nhận, mô tả loại dữ liệu, và quan trọng nhất là văn bản đánh giá mức độ đáp ứng quy định bảo vệ dữ liệu cá nhân tại nơi dữ liệu được chuyển đến. Hồ sơ này phải luôn có sẵn để phục vụ kiểm tra và phải gửi 01 bản chính về Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong vòng 60 ngày kể từ ngày bắt đầu xử lý (khoản 3 Điều 25).

Thứ hai, phải có sự đồng ý của chủ thể dữ liệu (người bệnh), trừ các trường hợp đặc biệt. Bên cạnh đó, phải có văn bản cam kết hoặc hợp đồng ràng buộc trách nhiệm pháp lý giữa cơ sở y tế Việt Nam và đối tác nước ngoài về việc bảo mật dữ liệu (điểm g, h khoản 2 Điều 25).

Ngoài ra, sau khi chuyển dữ liệu thành công, cơ sở y tế phải có văn bản thông báo gửi Bộ Công an về việc đã hoàn thành chuyển dữ liệu và thông tin liên hệ của tổ chức, cá nhân chịu trách nhiệm (khoản 4, 5 Điều 25). Việc vi phạm quy định này có thể bị đình chỉ việc chuyển dữ liệu ra nước ngoài.

Như vậy, việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe ra nước ngoài là một quy trình phức tạp, đòi hỏi sự đồng ý của người bệnh, cam kết bảo vệ dữ liệu từ các bên và tuân thủ đầy đủ các thủ tục đánh giá tác động theo quy định của Nghị định 13/2023/NĐ-CP.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

NPLaw đã tổng hợp và sẽ giải đáp những câu hỏi thực tế mà khách hàng thường gặp phải khi thực hiện chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe.

1. Việc từ chối chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe có vi phạm pháp luật không?

Việc từ chối chuyển giao dữ liệu y tế không thể khẳng định ngay là vi phạm hay không, mà phụ thuộc hoàn toàn vào đối tượng yêu cầu và sự đồng ý của người bệnh. Cụ thể:

Trường hợp từ chối là đúng luật. Cơ sở y tế có quyền và nghĩa vụ từ chối chuyển giao dữ liệu nếu không có sự đồng ý của người bệnh. Căn cứ khoản 1 Điều 10 Luật Khám bệnh, chữa bệnh 2023, người bệnh có quyền được tôn trọng danh dự, bảo vệ sức khỏe và bí mật thông tin về tình trạng sức khỏe. Đồng thời, theo khoản 1 Điều 38 Nghị định 13/2023/NĐ-CP, bên kiểm soát dữ liệu có trách nhiệm bảo mật và ngăn chặn việc truy cập trái phép. Do đó, nếu bên thứ ba (không phải cơ quan chức năng) yêu cầu cung cấp mà không có văn bản đồng ý của bệnh nhân, việc từ chối là hành động tuân thủ pháp luật để bảo vệ dữ liệu cá nhân nhạy cảm.

Trường hợp từ chối là vi phạm pháp luật. Cơ sở y tế sẽ vi phạm nếu từ chối trong hai tình huống sau:

  • Thứ nhất: Từ chối cung cấp cho chính người bệnh hoặc đại diện hợp pháp của họ. Theo khoản 1 Điều 13 Luật Khám bệnh, chữa bệnh 2023, người bệnh có quyền được cung cấp tóm tắt hồ sơ bệnh án.
  • Thứ hai: Từ chối yêu cầu của cơ quan quản lý nhà nước, cơ quan bảo hiểm xã hội hoặc cơ quan điều tra. Căn cứ khoản 3 và khoản 4 Điều 69 Luật Khám bệnh, chữa bệnh 2023 về hồ sơ bệnh án, cơ sở y tế bắt buộc phải cung cấp hồ sơ bệnh án cho cơ quan bảo hiểm để thanh toán chi phí, hoặc cho cơ quan tiến hành tố tụng, thanh tra để phục vụ công vụ. Việc từ chối trong trường hợp này là cản trở người thi hành công vụ.

Tóm lại, việc từ chối chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe cần được xem xét cẩn trọng dựa trên căn cứ pháp lý, mục đích yêu cầu và sự đồng ý của người bệnh.

2. Có cần xin phép bệnh nhân trước khi chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe không?

Trước khi chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe, việc xin phép bệnh nhân là nguyên tắc bắt buộc hàng đầu, bởi dữ liệu sức khỏe được xếp vào nhóm Dữ liệu cá nhân nhạy cảm cần bảo vệ nghiêm ngặt.

Theo khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP, thông tin liên quan đến tình trạng sức khỏe, đời sống tình dục, hồ sơ y tế là dữ liệu cá nhân nhạy cảm. Do đó, khi chuyển giao dữ liệu này, cơ sở y tế phải tuân thủ khoản 3 Điều 11 Nghị định 13/2023/NĐ-CP, yêu cầu sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể bằng văn bản, giọng nói, đánh dấu vào ô đồng ý, cú pháp đồng ý qua tin nhắn, chọn các thiết lập kỹ thuật đồng ý hoặc qua một hành động khác thể hiện được điều này.. Đặc biệt, theo khoản 3 Điều 28 Nghị định này, đối với dữ liệu nhạy cảm, bên xử lý còn phải thông báo cho chủ thể biết việc dữ liệu của họ đang được xử lý.

Tuy nhiên, pháp luật quy định 5 trường hợp ngoại lệ không cần sự đồng ý của bệnh nhân tại Điều 17 Nghị định 13/2023/NĐ-CP, bao gồm: bảo vệ tính mạng, sức khỏe trong tình huống khẩn cấp, công khai theo quy định luật, phục vụ an ninh quốc phòng, phục vụ điều tra, truy tố, xét xử và hoạt động của cơ quan nhà nước theo luật định. Ngoài 5 trường hợp này, mọi hành vi chuyển giao dữ liệu y tế mà quên xin phép bệnh nhân đều là vi phạm pháp luật.

Có thể thấy, sự đồng ý của bệnh nhân là yếu tố then chốt để hợp pháp hóa việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe, trừ các trường hợp ngoại lệ được pháp luật quy định rõ ràng.

3. Có thể chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe giữa các cơ sở y tế khác nhau không?

Việc chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe giữa các cơ sở y tế hoàn toàn hợp pháp và cần thiết, nhưng phải tuân thủ nghiêm ngặt quy chế về bảo vệ Dữ liệu cá nhân nhạy cảm.

Căn cứ khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP, dữ liệu về tình trạng sức khỏe, đời sống tình dục được xếp vào nhóm dữ liệu nhạy cảm, đòi hỏi mức độ bảo vệ cao nhất. Theo Điều 93 Luật Khám bệnh, chữa bệnh 2023 về điều kiện áp dụng kỹ thuật mới, phương pháp mới trong khám bệnh, chữa bệnh, pháp luật cho phép các cơ sở y tế kết nối hệ thống thông tin để chia sẻ số liệu và hồ sơ bệnh án nhằm phục vụ công tác chẩn đoán, điều trị liên tuyến.

Tuy nhiên, điều kiện tiên quyết để thực hiện việc này là phải có sự đồng ý của chủ thể dữ liệu (người bệnh) theo Điều 11 Nghị định 13/2023/NĐ-CP. Pháp luật chỉ cho phép ngoại lệ (chuyển giao không cần đồng ý) trong các trường hợp cấp bách để bảo vệ tính mạng, sức khỏe của chủ thể dữ liệu (Điều 17 Nghị định 13/2023/NĐ-CP) hoặc để thực hiện nghĩa vụ theo quy định của luật chuyên ngành. 

Do đó, việc chuyển giao phải đảm bảo đúng mục đích khám chữa bệnh và bảo mật tuyệt đối.

4. Làm thế nào để đảm bảo an toàn thông tin khi chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe?

Để đảm bảo an toàn cho dữ liệu y tế (dữ liệu nhạy cảm), các cơ sở y tế phải áp dụng đồng bộ các biện pháp kỹ thuật và quản lý theo quy định tại Điều 26 và Điều 28 Nghị định 13/2023/NĐ-CP.

Về biện pháp quản lý, căn cứ khoản 2 Điều 28, cơ sở y tế bắt buộc phải chỉ định bộ phận/nhân sự phụ trách bảo vệ dữ liệu cá nhân và trao đổi thông tin của bộ phận này với Cơ quan chuyên trách bảo vệ dữ liệu (Bộ Công an). Đồng thời, phải thông báo cho bệnh nhân biết về việc dữ liệu của họ đang được xử lý/chuyển giao.

Về biện pháp kỹ thuật, căn cứ Điều 26 Nghị định này, hệ thống chuyển giao phải áp dụng công nghệ mã hóa dữ liệu (cả khi lưu trữ và truyền tải), thiết lập tường lửa và kiểm soát quyền truy cập theo nguyên tắc quyền tối thiểu. Đặc biệt, trước khi xử lý hoặc chuyển giao, hệ thống phải được kiểm tra an ninh mạng theo quy định tại khoản 4 Điều 27 để loại bỏ các lỗ hổng bảo mật. Việc ẩn danh hóa dữ liệu cũng được khuyến khích khi sử dụng cho mục đích nghiên cứu.

Như vậy, đảm bảo an toàn thông tin khi chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe là một quá trình liên tục, đòi hỏi sự kết hợp chặt chẽ giữa công nghệ, quy trình và yếu tố con người.

5. Có cần giám sát định kỳ quá trình chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe không?

Việc giám sát định kỳ là yêu cầu bắt buộc và phải được thực hiện liên tục.

Căn cứ khoản 1 Điều 26 Nghị định 13/2023/NĐ-CP, các biện pháp bảo vệ dữ liệu phải được áp dụng ngay từ khi bắt đầu và trong suốt quá trình xử lý. Điều này đồng nghĩa với việc cơ sở y tế không chỉ thiết lập hệ thống an toàn một lần mà phải liên tục giám sát, ghi nhật ký hoạt động (log) để phát hiện các truy cập bất thường.

Ngoài ra, Luật An toàn thông tin mạng 2015 và các quy định ngành y tế cũng yêu cầu hệ thống thông tin y tế phải được giám sát để đảm bảo tính toàn vẹn và sẵn sàng. Việc giám sát giúp phát hiện kịp thời các sự cố rò rỉ dữ liệu nhạy cảm, từ đó thực hiện nghĩa vụ thông báo vi phạm cho Bộ Công an chậm nhất trong 72 giờ theo quy định tại khoản 1 Điều 23 Nghị định 13/2023/NĐ-CP.

Tóm lại, giám sát định kỳ là một biện pháp quản lý và kỹ thuật không thể thiếu để duy trì tính an toàn, bảo mật và tuân thủ pháp luật trong hoạt trình chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe.

V. Tại sao nên tìm luật sư tư vấn ở NPLAW khi có vấn đề về chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe

Việc tuân thủ đúng các quy định về chuyển giao dữ liệu trong lĩnh vực chăm sóc sức khỏe không chỉ giúp các cơ sở y tế và công ty công nghệ tránh được các khoản phạt nặng mà còn xây dựng được niềm tin với bệnh nhân và đối tác. Tuy nhiên, với những quy định phức tạp và yêu cầu kỹ thuật cao, việc tự mình tìm hiểu và thực hiện có thể gặp nhiều khó khăn.

Nếu bạn đang gặp vướng mắc trong việc xây dựng quy trình chuyển giao dữ liệu an toàn, soạn thảo hợp đồng xử lý dữ liệu, đánh giá tác động hoặc cần tư vấn về việc chuyển dữ liệu ra nước ngoài, hãy liên hệ với NPLaw ngay hôm nay.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.