Bảo vệ dữ liệu bệnh nhân tại phòng khám và cơ sở y tế

Chỉ một sơ suất nhỏ trong việc quản lý bệnh án điện tử, gửi nhầm kết quả xét nghiệm hoặc chia sẻ danh sách người bệnh cho đối tác bảo hiểm, dược phẩm khi chưa có văn bản chấp thuận cũng có thể khiến cơ sở khám chữa bệnh đối mặt với mức phạt hành chính lên tới hàng tỷ đồng hoặc bị đình chỉ hoạt động từ năm 2026. Khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP chính thức có hiệu lực từ ngày 01/01/2026, công tác bảo vệ dữ liệu bệnh nhân tại phòng khám và cơ sở y tế đã trở thành nghĩa vụ pháp lý bắt buộc với các tiêu chuẩn kiểm soát khắt khe. Qua bài viết dưới đây, Luật Việt An sẽ phân tích toàn diện các quy định hiện hành và cung cấp giải pháp tư vấn pháp lý xử lý dữ liệu cá nhân chuyên sâu để giúp Quý khách hàng xây dựng quy trình tuân thủ an toàn, hiệu quả nhất.

 Nhận diện và phân loại dữ liệu bệnh nhân tại phòng khám và cơ sở y tế

Trong hoạt động khám chữa bệnh, phòng khám và bệnh viện thường đóng vai trò là bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân theo Điều 2 Luật Bảo vệ dữ liệu cá nhân đối với hai nhóm dữ liệu:.

• Nhóm dữ liệu cá nhân cơ bản: họ tên, ngày sinh, giới tính; nơi thường trú, tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ, quốc tịch; hình ảnh cá nhân, số điện thoại, số định danh cá nhân, số hộ chiếu, tình trạng hôn nhân và thông tin quan hệ gia đình (cha mẹ, con, vợ, chồng) để liên hệ người nhà.
• Nhóm dữ liệu cá nhân nhạy cảm: Hầu hết thông tin chuyên môn y tế đều thuộc nhóm này, gồm:
  • Tình trạng sức khỏe: Tiền sử bệnh lý, kết quả khám lâm sàng, cận lâm sàng, xét nghiệm, chẩn đoán hình ảnh, phác đồ điều trị và hồ sơ bệnh án.
  • Dữ liệu sinh trắc học và đặc điểm di truyền: Mẫu ADN, kết quả xét nghiệm di truyền, dấu vân tay, khuôn mặt phục vụ định danh bệnh nhân.
  • Thông tin đời sống riêng tư, tình dục và tài chính: Bí mật cá nhân, gia đình; đời sống, xu hướng tình dục phục vụ khám chuyên khoa; hình ảnh thẻ căn cước, CMND; thông tin thẻ ngân hàng, lịch sử giao dịch tài chính, bảo hiểm.

Khi xử lý dữ liệu cá nhân nhạy cảm, cơ sở y tế bắt buộc phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và các biện pháp bảo mật chặt chẽ (khoản 2 Điều 4 Nghị định số 356/2025/NĐ-CP).

Quy định pháp lý về bảo vệ dữ liệu bệnh nhân tại phòng khám và cơ sở y tế

Để đảm bảo nguyên tắc chỉ thu thập, xử lý dữ liệu đúng phạm vi, mục đích cụ thể (khoản 2 Điều 3 Luật Bảo vệ dữ liệu cá nhân), cơ sở y tế cần thực hiện nghiêm túc các quy định sau:

Quy tắc xin sự đồng ý của chủ thể dữ liệu cá nhân khi khám bệnh, chữa bệnh

Căn cứ điểm a khoản 1 Điều 26 và khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân, cơ sở y tế phải có sự đồng ý của người bệnh trước và trong quá trình thu thập, xử lý thông tin sức khỏe, trừ trường hợp luật định:

• Điều kiện có hiệu lực: Dựa trên sự tự nguyện và người bệnh biết rõ loại dữ liệu xử lý (phải thông báo rõ là dữ liệu cá nhân nhạy cảm), mục đích xử lý cụ thể, bên kiểm soát/xử lý dữ liệu cùng các quyền, nghĩa vụ của mình.
• Phương thức xác lập và lưu trữ: Thể hiện bằng phương thức rõ ràng, kiểm chứng được (văn bản, cuộc gọi ghi âm, tin nhắn điện thoại, hoặc thiết lập kỹ thuật trên web, ứng dụng y tế). Phòng khám phải lưu trữ sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp.
• Nghiêm cấm thiết lập mặc định đồng ý: Sự im lặng hoặc không phản hồi không được coi là đồng ý; không được thiết lập mặc định đồng ý hoặc buộc người bệnh phải đồng ý với các mục đích khác ngoài khám chữa bệnh.

Các trường hợp xử lý dữ liệu không cần sự đồng ý và quy định đối với bệnh nhi

• Trường hợp cấp cứu, khẩn cấp: Không cần sự đồng ý nhưng cơ sở y tế phải chứng minh tình trạng cấp bách và thiết lập cơ chế giám sát nội bộ.
• Đối với bệnh nhi và người mất, hạn chế năng lực hành vi dân sự: Người đại diện theo pháp luật thay mặt thực hiện các quyền của chủ thể dữ liệu; nếu công bố, tiết lộ thông tin đời sống riêng tư, bí mật cá nhân của trẻ từ đủ 07 tuổi trở lên thì phải có sự đồng ý của cả trẻ em và người đại diện.

Kiểm soát việc chia sẻ, chuyển giao thông tin sức khỏe cho doanh nghiệp bảo hiểm và bên thứ ba

• Không tự ý cung cấp cho bên thứ ba: Cơ sở y tế không được cung cấp dữ liệu bệnh nhân cho tổ chức chăm sóc sức khỏe khác hoặc doanh nghiệp bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ khi có yêu cầu bằng văn bản của người bệnh hoặc thuộc trường hợp tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân).
• Thỏa thuận chuyển giao và bảo mật vật lý: Khi chuyển giao dữ liệu, phải lập thỏa thuận nêu rõ mục đích, loại dữ liệu, thời hạn xử lý, yêu cầu xóa hủy và trách nhiệm bảo vệ. Khi chuyển giao dữ liệu nhạy cảm bắt buộc phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ, truyền tải và mã hóa, ẩn danh dữ liệu.
• Kiểm soát chia sẻ nội bộ giữa các khoa, phòng: Phải xây dựng quy trình kiểm soát việc chia sẻ phục vụ điều trị và có biện pháp ngăn chặn nhân sự nội bộ chia sẻ trái phép cho bên thứ ba.

Bảo mật khi ghi âm, ghi hình và ứng dụng công nghệ y tế, điện toán đám mây

• Ghi âm, ghi hình tại khu vực công cộng (sảnh đón tiếp, hành lang): Được thực hiện để bảo đảm trật tự, an toàn và bảo vệ quyền lợi hợp pháp mà không cần sự đồng ý của người bệnh, nhưng phải thông báo để người bệnh biết và chỉ lưu trữ trong thời gian cần thiết.
• Ứng dụng công nghệ y tế, AI và điện toán đám mây: Tổ chức phát triển ứng dụng y tế phải tuân thủ đầy đủ quy định bảo vệ dữ liệu cá nhân. Khi lưu trữ bệnh án điện tử trên đám mây hoặc ứng dụng AI, dữ liệu lớn, cơ sở y tế phải mã hóa dữ liệu ở trạng thái nghỉ và truyền, xác thực đa yếu tố, phân quyền truy cập nghiêm ngặt và ký hợp đồng ràng buộc trách nhiệm với nhà cung cấp dịch vụ.

Bảng so sánh cơ chế bảo vệ dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm của bệnh nhân

Để Quý khách hàng dễ dàng đối chiếu khi thực hiện bảo vệ dữ liệu bệnh nhân tại phòng khám và cơ sở y tế, Luật Việt An tổng hợp bảng so sánh các yêu cầu pháp lý giữa hai nhóm dữ liệu như sau:

Thủ tục lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và cấp Giấy chứng nhận đủ điều kiện

Lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân:

Căn cứ Điều 21 Luật Bảo vệ dữ liệu cá nhân và Điều 19 Nghị định số 356/2025/NĐ-CP, thủ tục được tiến hành như sau:

• Chuẩn bị hồ sơ:
  • Thông báo xử lý dữ liệu cá nhân
  • Báo cáo đánh giá tác động
  • Bản sao hợp đồng/thỏa thuận xử lý dữ liệu và các chính sách, quy trình, biểu mẫu nội bộ
• Nộp hồ sơ: Trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân, cơ sở y tế phải nộp 01 bản chính tại Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.
• Cơ quan chuyên trách sẽ đánh giá và trả kết quả trong 15 ngày, nếu hồ sơ chưa đầy đủ thì phải hoàn thiện trong thời hạn 30 ngày.

Lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (nếu có):

Căn cứ Điều 20 Luật Bảo vệ dữ liệu cá nhân và Điều 17, Điều 18 Nghị định số 356/2025/NĐ-CP, trường hợp phòng khám, cơ sở y tế lưu trữ dữ liệu bệnh nhân trên máy chủ hoặc dịch vụ điện toán đám mây đặt ở nước ngoài, hoặc chuyển hồ sơ bệnh án cho tổ chức, cá nhân ở nước ngoài (trừ trường hợp khẩn cấp để bảo vệ tính mạng, sức khỏe của cá nhân theo điểm c khoản 3 Điều 17 Nghị định số 356/2025/NĐ-CP), thủ tục được tiến hành như sau:

• Chuẩn bị hồ sơ:
  • Thông báo gửi hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
  • Báo cáo đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
  • Bản sao hợp đồng hoặc văn bản chuyển giao dữ liệu cá nhân thể hiện sự ràng buộc, trách nhiệm giữa các tổ chức, cá nhân chuyển và nhận dữ liệu cá nhân xuyên biên giới.
  • Chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác có liên quan về bảo vệ dữ liệu cá nhân của cơ sở y tế có hoạt động chuyển dữ liệu cá nhân xuyên biên giới.
• Nộp hồ sơ: Trong thời hạn 60 ngày kể từ ngày tiến hành chuyển dữ liệu cá nhân xuyên biên giới, cơ sở y tế phải nộp 01 bản chính hồ sơ đầy đủ bằng phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.
• Cơ quan chuyên trách sẽ đánh giá và trả kết quả trong thời hạn 15 ngày, nếu hồ sơ chưa đầy đủ và đúng quy định thì cơ sở y tế phải hoàn thiện trong thời hạn 30 ngày.

Cập nhật hồ sơ đánh giá tác động định kỳ hoặc ngay khi có thay đổi:

Căn cứ Điều 22 Luật Bảo vệ dữ liệu cá nhân và Điều 20 Nghị định số 356/2025/NĐ-CP, thủ tục cập nhật đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới được tiến hành như sau:

• Chuẩn bị hồ sơ:
  • Thông báo thay đổi nội dung hồ sơ đánh giá tác động xử lý dữ liệu cá nhân hoặc hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
  • Hồ sơ đánh giá tác động đã được cập nhật, bổ sung nội dung thay đổi kèm theo các tài liệu chứng minh nội dung thay đổi tương ứng.
• Nộp hồ sơ: Cơ sở y tế nộp hồ sơ cập nhật bằng phương thức trực tuyến (trên Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân), trực tiếp hoặc qua dịch vụ bưu chính về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an theo thời hạn sau:
  • Cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ khi phát sinh mục đích xử lý, mục đích chuyển dữ liệu cá nhân mới hoặc khi phát sinh, thay đổi bên kiểm soát, bên kiểm soát và xử lý, bên xử lý dữ liệu cá nhân, bên thứ ba.
  • Cập nhật ngay trong thời hạn 10 ngày khi cơ sở y tế được tổ chức lại, chấm dứt hoạt động, giải thể, phá sản; khi có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; hoặc khi phát sinh, thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ

Xin cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân:

Căn cứ Điều 26, Điều 33 Luật Bảo vệ dữ liệu cá nhân và Điều 21, Điều 22, Điều 24, Điều 25 Nghị định số 356/2025/NĐ-CP, trường hợp phòng khám, cơ sở y tế kinh doanh dịch vụ thu thập, xử lý dữ liệu cá nhân qua trang web, ứng dụng, phần mềm chăm sóc sức khỏe, theo dõi sức khỏe, dịch vụ y tế, đơn vị phải đáp ứng các điều kiện về pháp nhân, nhân sự, hạ tầng, công nghệ và có kết quả đạt yêu cầu đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (nếu có) theo Điều 22 Nghị định số 356/2025/NĐ-CP, đồng thời thủ tục đề nghị cấp Giấy chứng nhận được tiến hành như sau:

• Chuẩn bị hồ sơ:
  • Đơn đề nghị cấp Chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
  • Bản sao Giấy chứng nhận đăng ký doanh nghiệp (không phải nộp trong trường hợp cơ quan nhà nước khai thác được trên cơ sở dữ liệu).
  • Văn bản chỉ định bộ phận bảo vệ dữ liệu cá nhân hoặc hợp đồng sử dụng dịch vụ bảo vệ dữ liệu cá nhân theo quy định.
  • Đề án đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.
  • Bằng cấp và các giấy tờ chứng minh khác của tối thiểu 03 nhân sự đủ điều kiện năng lực bảo vệ dữ liệu cá nhân.
• Nộp hồ sơ: Cơ sở y tế nộp 01 bộ hồ sơ đề nghị cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân bằng phương thức trực tuyến, trực tiếp hoặc qua dịch vụ bưu chính về Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an.
• Đánh giá, thẩm định và trả kết quả:
  • Cơ quan chuyên trách sẽ đánh giá hồ sơ đạt yêu cầu hoặc không đạt yêu cầu trong thời hạn 10 ngày, nếu hồ sơ chưa đầy đủ và đúng quy định thì cơ sở y tế phải bổ sung, hoàn thiện trong thời hạn 15 ngày.
  • Trong thời hạn 30 ngày kể từ ngày nhận đầy đủ hồ sơ hợp lệ, Cơ quan chuyên trách sẽ thẩm định, xem xét, quyết định cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân; trường hợp không cấp sẽ thông báo bằng văn bản và nêu rõ lý do

Câu hỏi thường gặp về bảo vệ dữ liệu bệnh nhân tại phòng khám và cơ sở y tế

Phòng khám tư nhân hoạt động dưới mô hình hộ kinh doanh hoặc doanh nghiệp siêu nhỏ có được miễn lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân không?

Theo khoản 3 Điều 38 Luật Bảo vệ dữ liệu cá nhân và khoản 2 Điều 41 Nghị định số 356/2025/NĐ-CP, hộ kinh doanh và doanh nghiệp siêu nhỏ không được miễn trừ nghĩa vụ lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và chỉ định nhân sự bảo vệ dữ liệu nếu trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Do thông tin tình trạng sức khỏe của bệnh nhân là dữ liệu cá nhân nhạy cảm, mọi phòng khám đều bắt buộc phải lập và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày bắt đầu xử lý dữ liệu.

Cơ sở y tế có được cung cấp hồ sơ bệnh án của người bệnh cho doanh nghiệp bảo hiểm sức khỏe, bảo hiểm nhân thọ khi chưa có văn bản yêu cầu của người bệnh không?

Căn cứ khoản 2 Điều 26 Luật Bảo vệ dữ liệu cá nhân, cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không được cung cấp dữ liệu cá nhân của người bệnh cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe hoặc dịch vụ bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ trường hợp có yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân hoặc thuộc trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân.

Phòng khám sử dụng thông tin bệnh nhân đã từng khám để nhắn tin, gọi điện quảng cáo dịch vụ mới khi bệnh nhân chưa đồng ý cho mục đích quảng cáo có hợp pháp không?

Theo Điều 9 và Điều 28 Luật Bảo vệ dữ liệu cá nhân, sự đồng ý của chủ thể dữ liệu phải được thể hiện đối với từng mục đích và việc xử lý dữ liệu cá nhân của khách hàng để kinh doanh dịch vụ quảng cáo phải được sự đồng ý của khách hàng trên cơ sở khách hàng biết rõ nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm, đồng thời phải cung cấp phương thức để khách hàng từ chối nhận thông tin quảng cáo.

Cơ sở y tế đã nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo Nghị định số 13/2023/NĐ-CP trước ngày 01/01/2026 thì có phải lập lại hồ sơ mới không?

Theo khoản 2 Điều 39 Luật Bảo vệ dữ liệu cá nhân, hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài đã được cơ quan chuyên trách tiếp nhận trước ngày 01/01/2026 thì tiếp tục được sử dụng mà không phải lập lại hồ sơ mới theo quy định của Luật này.

Trường hợp nào doanh nghiệp hoạt động trong lĩnh vực y tế phải thực hiện thủ tục xin cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân?

Theo Điều 21 và Điều 25 Nghị định số 356/2025/NĐ-CP, các tổ chức, doanh nghiệp kinh doanh dịch vụ thu thập, xử lý dữ liệu cá nhân qua trang web, ứng dụng, phần mềm chăm sóc sức khỏe, theo dõi sức khỏe, dịch vụ y tế hoặc cung cấp, vận hành hệ thống phần mềm tự động để thay mặt cơ sở y tế xử lý dữ liệu cá nhân thì bắt buộc phải thực hiện thủ tục xin Bộ Công an cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân.

Trên đây là bài viết phân tích của Luật Việt An về quy định bảo vệ dữ liệu bệnh nhân tại phòng khám và cơ sở y tế. Nếu Quý khách hàng có nhu cầu tư vấn giấy phép hoặc sử dụng dịch vụ tư vấn pháp lý xử lý dữ liệu cá nhân, vui lòng liên hệ ngay Luật Việt An để được hỗ trợ kịp thời.