Phòng khám, nha khoa và dữ liệu bệnh nhân: luật mới đòi gì?

Phòng khám nhỏ có được miễn không?

Câu hay nghe: "Phòng khám tôi có sáu người, luật này chắc dành cho bệnh viện." Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) có hiệu lực từ 1/1/2026, và Điều 38 có miễn trừ cho doanh nghiệp nhỏ:

Nhưng Điều 38 không miễn cho bên trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Phòng khám ghi bệnh án, chụp X-quang, kê đơn mỗi ngày. Theo cách đọc thận trọng của chúng tôi, phòng khám khó dựa vào miễn trừ này. Chưa có hướng dẫn chi tiết cho riêng phòng khám, nên đây là câu nên hỏi luật sư.

Nếu không được miễn, phòng khám cần:

• lập hồ sơ đánh giá tác động, gửi cơ quan chuyên trách trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (Điều 21), và cập nhật khi có thay đổi (Điều 22);
• chỉ định bộ phận, nhân sự đủ năng lực bảo vệ dữ liệu, hoặc thuê dịch vụ bên ngoài (Điều 33 khoản 2).

Không lập, không gửi đúng hạn hay không cập nhật hồ sơ bị phạt 20–30 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 55 khoản 1). Xem hồ sơ đánh giá tác động: ai phải lập.

Dữ liệu bệnh nhân nằm ở đâu

Lấy một nha khoa tưởng tượng có sáu nhân viên. Website có form đặt lịch và gắn Facebook Pixel. Phòng khám nhắc lịch qua Zalo. Bệnh án và ảnh X-quang nằm trong một phần mềm quản lý phòng khám. Các bác sĩ có nhóm Zalo "Ca khó" để gửi ảnh hỏi ý kiến nhau.

Hai dòng cuối bảng hay bị bỏ qua.

Nhà cung cấp phần mềm thường là bên xử lý dữ liệu cho phòng khám. Nếu máy chủ của họ ở nước ngoài, việc này có thể là chuyển dữ liệu cá nhân xuyên biên giới (Luật 91/2025/QH15, Điều 20), kéo theo hồ sơ riêng. Điều 38 không nhắc tới Điều 20. Xem dùng nền tảng nước ngoài có phải chuyển dữ liệu ra nước ngoài. Dán bệnh án vào công cụ AI cũng có câu hỏi tương tự: xem dán dữ liệu khách vào ChatGPT, công cụ AI.

Mã quảng cáo như Pixel gửi việc khách đang xem trang dịch vụ nào cho Meta. Nghị định 356, Điều 4 khoản 1 điểm l xếp dữ liệu theo dõi hành vi trên không gian mạng vào nhóm nhạy cảm; việc Pixel thuộc điểm này là cách hiểu thận trọng, chưa có hướng dẫn chi tiết. Với phòng khám, trang khách xem còn có thể gợi ra vấn đề sức khoẻ của họ, nên càng nên chặn mã tới khi khách đồng ý.

Câu báo dữ liệu nhạy cảm

Khi xin đồng ý xử lý dữ liệu nhạy cảm, phải báo cho người đó biết đây là dữ liệu cá nhân nhạy cảm (Nghị định 356/2025/NĐ-CP, Điều 6 khoản 4). Không báo bị phạt 30–50 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 43 khoản 1 điểm h).

Câu tham khảo cho form đặt lịch hoặc phiếu khám (chờ luật sư duyệt):

Thông tin về tình trạng răng miệng anh/chị cung cấp là dữ liệu cá nhân nhạy cảm. Phòng khám chỉ dùng thông tin này để xếp lịch và chuẩn bị buổi khám; chỉ bác sĩ và lễ tân phụ trách được xem.

Mẫu ô đồng ý đầy đủ cho form đặt lịch có ở bài ô đồng ý trên form website. Phiếu giấy tại quầy xem mẫu văn bản đồng ý.

Khi bệnh nhân yêu cầu

Bệnh nhân là chủ thể dữ liệu, có quyền xem, yêu cầu cung cấp, chỉnh sửa, xoá dữ liệu của mình (Luật 91/2025/QH15, Điều 4). Theo Nghị định 356/2025/NĐ-CP, Điều 5, mọi yêu cầu phải được phản hồi trong 02 ngày làm việc; xem, cung cấp thực hiện trong 10 ngày; xoá trong 20 ngày.

Hồ sơ bệnh án có thể phải lưu theo luật về khám bệnh, chữa bệnh; bài này chưa đối chiếu thời hạn đó. Nếu phòng khám từ chối xoá vì lý do này, phải báo lý do cho bệnh nhân: không báo bị phạt 10–20 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 44 khoản 1).

Khi lộ dữ liệu

Lộ hồ sơ bệnh nhân dễ ảnh hưởng tới danh dự, nhân phẩm của người bệnh. Khi vi phạm có thể gây tổn hại như vậy, phòng khám phải báo cơ quan chuyên trách chậm nhất 72 giờ kể từ khi phát hiện (Luật 91/2025/QH15, Điều 23). Chậm báo bị phạt 40–60 triệu đồng với tổ chức (Nghị định 330/2026/NĐ-CP, Điều 54 khoản 3). Xem lộ dữ liệu khách hàng: làm gì trong 72 giờ.

Bạn cần làm gì

• Hỏi luật sư phòng khám có còn được miễn theo Điều 38 không; nếu không, lập hồ sơ đánh giá tác động.
• Thêm câu báo dữ liệu nhạy cảm vào form đặt lịch, phiếu khám.
• Phân quyền phần mềm: ai cần xem bệnh án nào.
• Hỏi nhà cung cấp phần mềm máy chủ đặt ở đâu, và ký thoả thuận về dữ liệu.
• Đặt quy tắc cho nhóm Zalo nội bộ: che tên, xoá khi xong ca.
• Tách nhắc lịch khỏi gửi khuyến mãi.
• Chặn mã quảng cáo trên website tới khi khách đồng ý.
• Giao một người nhận yêu cầu của bệnh nhân và viết sẵn kế hoạch 72 giờ.

Form đặt lịch và mã quảng cáo là chỗ dễ kiểm tra nhất: dán địa chỉ website của phòng khám vào máy quét miễn phí của DuLieuCaNhan.vn ở trang chủ để xem mã nào chạy trước khi bệnh nhân đồng ý. Trang dành cho phòng khám, nha khoa tóm tắt các việc theo ngành.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15: Điều 4, 20, 21, 22, 23, 26, 33, 38.
• Nghị định 356/2025/NĐ-CP: Điều 4 (dữ liệu nhạy cảm), Điều 5 (thời hạn trả lời yêu cầu), Điều 6 khoản 4.
• Nghị định 330/2026/NĐ-CP: Điều 43, 44, 54, 55: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.