Bảo mật thông tin bệnh nhân trong chuyển đổi số y tế: Trường hợp hồ sơ bệnh án điện tử

Chia sẻ: Tưởng Trì Hoài | Ngày: | Loại File: PDF | Số trang:11

Thêm vào BST

Báo xấu

10
lượt xem 3
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Bài viết "Bảo mật thông tin bệnh nhân trong chuyển đổi số y tế: Trường hợp hồ sơ bệnh án điện tử" phân tích nghĩa vụ của các bên trong việc bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử, các trường hợp ngoại lệ, hệ quả pháp lý của việc vi phạm nghĩa vụ bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử và một số kiến nghị. Mời các bạn cùng tham khảo!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Bảo mật thông tin bệnh nhân trong chuyển đổi số y tế: Trường hợp hồ sơ bệnh án điện tử

BẢO MẬT THÔNG TIN BỆNH NHÂN TRONG CHUYỂN ĐỔI SỐ Y TẾ: TRƯỜNG HỢP HỒ SƠ BỆNH ÁN ĐIỆN TỬ Trương Ứng Minh Học viên Cao học Đại học Kinh tế Tp.HCM Tóm tắt: Một trong những mục tiêu của chuyển đổi số y tế ở Việt Nam đến năm 2028 là toàn bộ các cơ sở khám, chữa bệnh phải hoàn thành triển khai hồ sơ bệnh án điện tử. Việc áp dụng hồ sơ bệnh án điện tử hứa hẹn mang lại nhiều thuận lợi cho người dân và các cơ sở khám, chữa bệnh. Từ góc độ khoa học pháp lý, sự thay thế hồ sơ bệnh án giấy bằng hồ sơ bệnh án điện tử tạo ra ít nhiều thay đổi trong quyền và nghĩa vụ của các bên, trong đó có nghĩa vụ bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử. Quy định của pháp luật Việt Nam điều chỉnh các nghĩa vụ này đang hoàn thiện và còn một số điểm chưa rõ ràng. Bài viết phân tích nghĩa vụ của các bên trong việc bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử, các trường hợp ngoại lệ, hệ quả pháp lý của việc vi phạm nghĩa vụ bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử và một số kiến nghị. Từ khóa: Chuyển đổi số, hồ sơ bệnh án điện tử, y tế. Abstract: One of the goals of medical digital transformation in Vietnam by 2028 is that all medical examination and treatment establishments must complete the implementation of electronic medical records. Therefore, the electronic medical record application will bring many advantages to patients, medical examinations, and treatment establishments. From the perspective of legal science, replacing traditional medical records with electronic medical records creates changes in the rights and obligations of the parties, including the responsibility to keep patient information confidential in electronic medical records. Regulations and laws of Vietnam currently govern these obligations are being completed, and there are still some points that need to be clarified. This article analyzes the parties' obligations in keeping patient information confidential in electronic medical records, the exceptions, the legal consequences of violating that obligation, and some recommendations. Keywords: Digital transformation, electronic medical record, medical. 369
Đặt vấn đề Chuyển đổi số y tế là xu hướng chung trên thế giới, đặc biệt được đẩy mạnh trong công cuộc cách mạng công nghiệp 4.0. Các tiến bộ công nghệ trong lĩnh vực chăm sóc sức khỏe dựa trên Internet vạn vật (IoT), Dữ liệu lớn (Big Data), trí thông minh nhân tạo (AI) và thực tế ảo (VR) đã xuất hiện. Sự vận hành của y tế trong cách mạng công nghiệp 4.0 xoay quanh việc sử dụng dữ liệu quy mô lớn đặt ra nhiều thách thức đối với chính phủ các nước về quản lý y tế thời chuyển đổi số (Castro E Melo & Faria Araújo, 2020), trong đó bảo mật thông tin sức khỏe bệnh nhân là vấn đề đáng quan tâm. So với trước đây, thông tin sức khỏe bệnh nhân ngày nay không chỉ thể hiện trên hồ sơ giấy – các bệnh án bằng giấy lưu trữ tại từng cơ sở khám chữa bệnh, mà còn là các hồ sơ bệnh án điện tử dựa trên nền tảng công nghệ số. Những thay đổi theo hướng tích hợp hồ sơ bệnh án nội trú, hồ sơ bệnh án ngoại trú và các loại hồ sơ bệnh án khác vào một hồ sơ bệnh án điện tử duy nhất; thay đổi về hình thức lưu trữ; sự liên quan của bên thứ ba (tổ chức cung cấp dịch vụ lưu trữ dữ liệu) đối với dữ liệu của hồ sơ bệnh án điện tử; phổ tiếp cận hồ sơ bệnh án điện tử rộng hơn,…đặt ra câu hỏi về quyền riêng tư của bệnh nhân được bảo vệ như thế nào trong chuyển đổi số y tế? Sự riêng tư của bệnh nhân vốn là trong những giá trị cốt lõi của đạo đức lâm sàng y khoa, bắt đầu từ Lời thề Hipprocrates. Sự riêng tư là giá trị có lẽ được rất nhiều nền văn hóa quan tâm. Khoa học pháp lý hiện đại đề cập đến sự riêng tư như thuật ngữ pháp lý từ năm 1890 trong Harvard Law Review, theo đó, sự riêng tư nghĩa là không ai có quyền công khai suy nghĩ, tuyên bố hoặc cảm xúc của một người nào đó mà chưa được sự đồng ý của họ (Walsh và c.s., 2008, tr 313). Người ta cần có các biện pháp an ninh nhất định để bảo vệ sự riêng tư. Chúng thường là biện pháp mang tính kỹ thuật. Song biện pháp về pháp lý như các chính sách, quy định nên là nền tảng để trên khuôn khổ pháp lý đó, việc triển khai các biện pháp kỹ thuật được suôn sẻ, đảm bảo bảo vệ được sự riêng tư của người dùng mà ít tốn kém chi phí xã hội nhất. Bài viết sau đây góp phần tìm hiểu nghĩa vụ của các bên đối với việc bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử, các trường hợp ngoại lệ và hệ quả pháp lý khi nghĩa vụ ấy bị vi phạm. Bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử Hồ sơ bệnh án điện tử ra đời vào thập niên 1970 trên thế giới và là một tiến bộ lớn trong lĩnh vực y tế, cho phép thông tin về bệnh lưu chuyển nhanh chóng, thuận tiện trong giới nghiên cứu và giảm thiểu sai sót y tế thông qua đánh giá tương tác thuốc và các cơ chế tự động ngăn chặn lỗi khác. Một nghiên cứu ở Hoa Kỳ cho thấy việc áp dụng hồ sơ bệnh án điện tử tiết kiệm khoảng 34 tỷ USD cho hệ thống chăm sóc sức khỏe toàn dân (Miller & Tucker, 2009, tr 1077). 370
Hệ thống sổ sức khỏe điện tử đang triển khai ở Việt Nam với cốt lõi là hồ sơ bệnh án điện tử trong tương lai có khả năng cung cấp lượng lớn thông tin y tế, nhất là về dịch tễ học cho các chuyên gia y tế và cơ quan quản lý dịch bệnh trong trường hợp khẩn cấp. Việc cập nhật chính xác và đồng bộ hồ sơ bệnh án điện tử còn đảm bảo bệnh nhân được điều trị và chăm sóc phù hợp trong các cơ sở khám, chữa bệnh khác nhau. Đi kèm với lợi ích là những rủi ro tiềm ẩn, trong đó có vấn đề bảo mật thông tin bệnh nhân. Ở nước ta, pháp luật đòi hỏi người hành nghề y cùng với cơ sở khám, chữa bệnh phải có nghĩa vụ tôn trọng danh dự, nhân phẩm bệnh nhân và bảo mật thông tin của bệnh nhân. Theo Luật Khám, chữa bệnh năm 2009, hồ sơ bệnh án là một loại tài liệu y học, y tế và pháp lý và mỗi người bệnh chỉ có một hồ sơ bệnh án trong mỗi lần khám bệnh, chữa bệnh tại cơ sở khám bệnh, chữa bệnh (Khoản 1 Điều 59). Định nghĩa này chưa xác định nội hàm thế nào là tài liệu y học và y tế, hay nói cách khác, luật đã nhường việc xác định nội dung khái niệm y học, y tế cho các văn bản pháp luật khác. Do đó, đến Luật Khám, chữa bệnh năm 2023 (có hiệu lực thi hành từ 01/01/2024), thuật ngữ hồ sơ bệnh án được định rõ: hồ sơ bệnh án là tập hợp dữ liệu, bao gồm thông tin cá nhân, kết quả khám bệnh, kết quả cận lâm sàng, kết quả thăm dò chức năng, quá trình chẩn đoán, điều trị, chăm sóc và những thông tin khác có liên quan trong quá trình chữa bệnh của người bệnh tại cơ sở khám bệnh, chữa bệnh (Khoản 17 Điều 2). Song, cách hiểu của Luật khám, chữa bệnh năm 2023 vẫn còn bỏ ngỏ ở việc xác định đâu là những thông tin khác có liên quan trong quá trình chữa bệnh của người bệnh tại cơ sở khám bệnh, chữa bệnh. Ví dụ, thông tin về thanh toán chi phí khám, chữa bệnh, thông tin về thân nhân thăm nuôi bệnh có thuộc hồ sơ bệnh án hay không? Ở Hoa Kỳ, Luật Trách nhiệm giải trình và cung cấp thông tin bảo hiểm y tế năm 1996 (Health Insurance Portability and Accountability Act – HIPAA) đặt ra những quy định bảo vệ thông tin sức khỏe của bệnh nhân. Cách tiếp cận của HIPAA khi bảo vệ quyền riêng tư của bệnh nhân là tạo ra một khuôn khổ cho phép cá nhân loại trừ việc người khác truy cập thông tin của bản thân, nhờ vậy chỉ tiết lộ thông tin cá nhân một cách có chọn lọc (Dunlop, 2007). Bộ Y tế và dịch vụ nhân sinh Hoa Kỳ còn ban hành “Các tiêu chuẩn về quyền riêng tư của thông tin sức khỏe cá nhân có thể nhận dạng” (The Standards for Privacy of Individually Identifiable Health Information (Privacy Rule)) để thi hành đạo luật này. Theo đó, thông tin sức khỏe được chính phủ Hoa Kỳ bảo vệ gồm: (1) Thông tin về sức khỏe hoặc tình trạng sức khỏe thể chất hoặc tinh thần trong quá khứ, hiện tại hoặc tương lai; (2) Thông tin về cung cấp dịch vụ chăm sóc sức khỏe cho cá nhân; (3) Thông tin thanh toán trong quá khứ, hiện tại hoặc tương lai cho việc cung cấp dịch vụ chăm sóc sức khỏe cho cá nhân; Và 18 loại thông tin nhận dạng khác (Thảo, 371
2020). Đây cũng có thể xem là một nguồn tham khảo hữu ích vì mức độ uy tín của HIPAA trong thông lệ pháp lý ngành y tế thế giới. Cùng với sự phát triển của công nghệ trong ngành y tế, hồ sơ bệnh án điện tử đã phát triển nhanh chóng từ thập niên cuối của thế kỷ XX. Hồ sơ bệnh án điện tử thể hiện như là một diễn đàn kết nối các dữ liệu của người bệnh từ nhiều nguồn và đưa ra những trình ứng dụng, rồi dùng các dữ liệu đó để giúp người bệnh hiểu rõ và cải thiện sức khỏe cũng như giúp bác sĩ tiếp cận, theo dõi thông tin bệnh nhân một cách nhanh nhất, tham khảo lịch sử chẩn đoán, điều trị của các bác sĩ khác, và truy trách nhiệm khi phát sinh vấn đề từ việc điều trị nào đó (Văn Thành, 2014). Hiện tại theo quy định của Luật Khám bệnh, chữa bệnh năm 2009, hồ sơ bệnh án điện tử và hồ sơ bệnh án giấy có giá trị pháp lý như nhau (điểm b Khoản 2 Điều 59) nên các quy định về quyền và nghĩa vụ của các bên đối với hồ sơ bệnh án giấy đồng thời áp dụng cho hồ sơ bệnh án điện tử. Bản chất của việc bảo mật thông tin bệnh nhân trong hồ sơ bệnh án nói chung, hồ sơ bệnh án điện tử nói riêng có thể xem là một bộ phận của bảo mật quyền riêng tư, là quyền của mỗi người được bảo toàn trước mọi sự tọc mạch, bảo đảm mỗi hành động của cá nhân hay là việc riêng không bị phơi bày trước công chúng (Dung & Duy, 2017, tr 34). Quyền riêng tư của cá nhân là cơ sở cho nghĩa vụ bảo mật thông tin vì chúng phản ánh trực tiếp nhu cầu, sức khỏe thể chất, tài chính, thông tin nhân khẩu học… của cá nhân trong giao dịch dân sự. Những thông tin này được cơ sở khám chữa bệnh thu thập, lưu trữ và sử dụng nhằm thực hiện hoạt động cung cấp dịch vụ công, hoặc hoạt động kinh doanh y tế của mình. Với tư cách là một bên trong quan hệ pháp luật, các cơ sở khám chữa bệnh khi yêu cầu người bệnh kê khai thông tin phải có nghĩa vụ bảo mật thông tin cho người bệnh và trong chừng mực nào đó phải ngăn chặn việc tiết lộ thông tin bệnh nhân để bảo vệ người bệnh khỏi sự quấy rầy, hay con mắt tọc mạch của công chúng. Ở Việt Nam, chịu ảnh hưởng của từ hệ thống dân luật, pháp luật nước ta ghi nhận nghĩa vụ bảo mật thông tin người bệnh như quyền con người trong Hiến pháp năm 2013. Hiến pháp năm 2013 quy định: mọi người có quyền bí mật thư tín, điện thoại, điện tín và các hình thức trao đổi thông tin riêng tư khác. Đây còn là nghĩa vụ pháp lý phát sinh trong hoạt động nghề nghiệp của cơ sở khám, chữa bệnh trong luật chung và luật chuyên ngành. Bộ Luật Dân sự năm 2015 quy định trong Điều 38: đời sống riêng tư, bí mật cá nhân, bí mật gia đình là bất khả xâm phạm và được pháp luật bảo vệ. Bảo mật thông tin cũng là một nghĩa vụ trong hợp đồng, vì các bên trong hợp đồng mà các bên phải đảm bảo giữ bí mật trong suốt quá trình xác lập, thực hiện hợp đồng, trừ trường hợp có thỏa thuận khác (Khoản 4 Điều 38, Điều 387, Khoản 5 Điều 517, Khoản 4 Điều 565 BLDS năm 2015). Đây là cơ sở pháp lý cho việc xây dựng 372
những quy định về bảo mật thông tin đối với các loại chủ thể trong từng lĩnh vực khác nhau của đời sống xã hội, trong đó có hoạt động khám, chữa bệnh. Luật Khám bệnh, chữa bệnh năm 2009 xác định quyền và nghĩa vụ của các bên trong bảo mật thông tin người bệnh. Theo đó, người bệnh có quyền được tôn trọng bí mật riêng tư (Điều 8), được giữ bí mật thông tin về tình trạng sức khỏe và đời tư ghi trong hồ sơ bệnh án (Khoản 2 Điều 3). Về phía mình, người hành nghề có nghĩa vụ tôn trọng các quyền của người bệnh, trong đó có quyền được tôn trọng bí mật riêng tư (Khoản 2 Điều 36). Cơ sở khám, chữa bệnh lưu trữ hồ sơ bệnh án theo các cấp độ mật của pháp luật về bảo vệ bí mật nhà nước (điểm a Khoản 3 Điều 59). Cơ sở khám, chữa bệnh còn có 4 nghĩa vụ bảo vệ thông tin người bệnh trong hồ sơ bệnh án điện tử, thể hiện như: (1) Kiểm soát truy cập của người dùng gồm xác thực người dùng, (2) Bảo vệ, ngăn chặn việc truy cập trái phép vào hồ sơ bệnh án điện tử, (3) Phương án hoặc quy trình phục hồi dữ liệu trong trường hợp có sự cố, (4) Phương án phòng ngừa, phát hiện, ngăn chặn và loại bỏ phần mềm độc hại (khoản 2 Điều 10 Thông tư 46/2018/TT-BYT). Cơ sở khám, chữa bệnh phải ban hành Quy chế về bảo mật thông tin và quyền riêng tư của người bệnh (khoản 6 Điều 10 Thông tư 46/2018/TT-BYT). Chủ thể mới xuất hiện trong quản trị hồ sơ bệnh án điện tử là tổ chức cung cấp dịch vụ lưu trữ dữ liệu để lưu trữ dự phòng hồ sơ bệnh án điện tử khoản 3 Điều 6, tuy nhiên, chủ thể này lại không được quy định rõ quyền và nghĩa vụ cụ thể. Luật Khám bệnh, chữa bệnh năm 2023 (có hiệu lực từ 01/01/2024) về cơ bản kế thừa quy định về quyền và nghĩa vụ của các bên với bảo mật thông tin hồ sơ bệnh án của người bệnh. Song, đối với nghĩa vụ của người hành nghề đã chi tiết hơn: Người hành nghề có nghĩa vụ giữ bí mật tình trạng bệnh của người bệnh, những thông tin mà người bệnh đã cung cấp và hồ sơ bệnh án (Khoản 5 Điều 45). Hồ sơ bệnh án không nhất thiết phải hoàn toàn lưu giữ theo các cấp độ mật của pháp luật bảo vệ bí mật nhà nước, mà chỉ áp dụng pháp luật về bảo vệ bí mật nhà nước đối với hồ sơ bệnh án thuộc phạm vi bí mật nhà nước (Khoản 2 Điều 69). Một chủ thể mới xuất hiện trong Luật khám bệnh, chữa bệnh năm 2023 được pháp luật bảo vệ bí mật thông tin là người tham gia thử nghiệm lâm sàng (điểm c Khoản 1 Điều 96). Như vậy, theo quy định của pháp luật Việt Nam, bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử là nghĩa vụ luật định buộc các bên liên quan phải thực hiện nghiêm chỉnh. Trường hợp ngoại lệ bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử Bên cạnh nghĩa vụ bảo mật thông tin hồ sơ bệnh án điện tử cho bệnh nhân, pháp luật nước ta cho phép trong một số trường hợp, các bên có thể khai thác thông tin bệnh nhân trong hồ sơ 373
bệnh án điện tử. Quy định này thể hiện đồng nhất tại Khoản 4 Điều 59 Luật Khám bệnh, chữa bệnh năm 2009 và khoản 1 Điều 7 Thông tư 46/2018/TT-BYT quy định Hồ sơ bệnh án điện tử. Có 3 trường hợp được phép khai thác hồ sơ bệnh án phân loại theo mục đích là: Nhóm 1: Phục vụ công việc nghiên cứu hoặc công tác chuyên môn kỹ thuật. Hình thức khai thác là đọc tại chỗ hoặc sao chép. Chủ thể có quyền này là sinh viên thực tập, nghiên cứu viên, người hành nghề trong cơ sở khám, chữa bệnh được sự đồng ý của người đứng đầu cơ sở khám, chữa bệnh; Nhóm 2: Phục vụ nhiệm vụ được giao theo thẩm quyền cho phép. Hình thức khai thác cũng tương tự nhóm 1 (được đọc hồ sơ bệnh án điện tử tại chỗ, hoặc sao chép điện tử, hoặc sao chép giấy có xác nhận). Chủ thể có quyền này là đại diện cơ quan quản lý nhà nước về y tế trực tiếp quản lý cơ sở khám bệnh, chữa bệnh, cơ quan điều tra, viện kiểm sát, tòa án, thanh tra chuyên ngành y tế, cơ quan bảo hiểm, tổ chức giám định pháp y, pháp y tâm thần, luật sư; Nhóm 3: Sử dụng quyền được cung cấp thông tin về hồ sơ bệnh án và chi phí khám bệnh, chữa bệnh. Chủ thể có quyền này là người bệnh hoặc người đại diện của người bệnh. Tuy nhiên họ chỉ được cung cấp bản tóm tắt hồ sơ bệnh án. Tất cả các chủ thể vừa nêu buộc phải giữ bí mật về thông tin trong hồ sơ bệnh án và chỉ được sử dụng đúng mục đích như đã đề nghị với người đứng đầu cơ sở khám bệnh, chữa bệnh (khoản 5 Điều 59 Luật Khám bệnh, chữa bệnh năm 2009). Ở đây liệu có một sự “mất cân đối” về quyền tiếp cận thông tin giữa nhóm đối tượng 1&2 với nhóm 3? Tại sao nhà làm luật vừa cho người bệnh có đầy đủ khả năng cho phép công bố, chia sẻ bí mật riêng tư (Điều 8 Luật Khám bệnh, chữa bệnh năm 2009) lại vừa giới hạn lượng thông tin cung cấp (ở mức độ tối thiểu) về hồ sơ bệnh án của chính họ? Phải chăng điều này để tránh trường hợp xảy ra xung đột, thắc mắc không đáng có trong quá trình điều trị y khoa? Ví dụ bệnh nhân thắc mắc lý do chọn phương pháp điều trị này thay vì phương pháp điều trị khác, hay họ đặt ra câu hỏi tại sao kết luận bệnh lại khác chẩn đoán ban đầu, v.v..? Đến Luật Khám bệnh, chữa bệnh năm 2023, vấn đề trên được giải quyết khi nhà làm luật cho rằng người bệnh và đại diện người bệnh được quyền đọc, xem, sao chụp, ghi chép hồ sơ bệnh án và được cung cấp bản tóm tắt hồ sơ bệnh án khi có yêu cầu bằng văn bản (điểm d và đ, Khoản 4 Điều 69) sau khi họ hoàn tất quá trình điều trị. Ở luật mới, ngoài việc duy trì tiếp tục nghĩa vụ luật định bảo mật thông tin, việc phân chia ra giai đoạn trong và sau quá trình điều trị là cơ sở để xem xét cấp quyền khai thác hồ sơ bệnh án cho các đối tượng. 374
Giai đoạn trong quá trình điều trị: Chủ thể có quyền khai thác hồ sơ bệnh án ngoài nhóm đối tượng ở nhóm 1 nêu trên thì bổ sung thêm 2 chủ thể mới là học sinh và người hành nghề của cơ sở khác. Họ được phép đọc nhưng chỉ được sao chép khi có sự đồng ý của cơ sở khám, chữa bệnh. Riêng đối với người hành nghề của cơ sở khác, chỉ được đọc, sao chép khi có sự đồng ý của cơ sở khám, chữa bệnh Giai đoạn sau khi hoàn thành quá trình điều trị và chuyển lưu trữ hồ sơ bệnh án: tương tự như quy định đã nêu ở Luật Khám bệnh, chữa bệnh năm 2009. Quy định bảo mật thông tin trong pháp luật chuyên ngành y tế là một nghĩa vụ luật định hơn là nghĩa vụ hợp đồng vì phía bệnh nhân không có quyền từ chối loại trừ hồ sơ bệnh án điện tử của mình khỏi trường hợp cho phép khai thác hồ sơ bệnh án, hay loại trừ một số thông tin khỏi sự tiếp cận của bác sĩ điều trị, hay giới hạn chỉ một số ít đối tượng có quyền khai thác hồ sơ bệnh án của mình. Trên thực tế, ở các nước phát triển, đa số bệnh nhân không muốn chia sẻ toàn bộ thông tin của bản thân trong hồ sơ bệnh án điện tử cho bất kỳ ai khác ngoài nhân viên y tế điều trị cho mình bởi vì họ mong muốn kiểm soát quyền riêng tư (Caine & Hanania, 2013, tr 12). Trong tiến trình phát triển của xã hội, chắc hẳn sẽ có trường hợp những người nổi tiếng, có vị thế xã hội cao mong muốn không cho phép bất kỳ ai ngoài cơ quan quản lý nhà nước và nhân viên y tế điều trị cho mình, tiếp cận hồ sơ bệnh án điện tử. Họ không thuộc đối tượng mà hồ sơ bệnh án điện tử được bảo mật theo quy định pháp luật bảo vệ bí mật nhà nước, vậy họ có thể thỏa thuận với cơ sở khám, chữa bệnh bảo mật nghiêm ngặt hồ sơ bệnh án điện tử không? Hậu quả pháp lý khi vi phạm nghĩa vụ bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử Hành vi vi phạm nghĩa vụ bảo mật thông tin bệnh nhân trong hồ sơ bệnh án điện tử có thể đưa đến những thiệt hại khác nhau cho bệnh nhân và cơ sở khám, chữa bệnh, từ đó phát sinh vấn đề xác định mức độ thiệt hại, trách nhiệm bồi thường thiệt hại và khắc phục hậu quả. Vì vậy pháp luật nước ta quy định một số chế tài nhằm điều chỉnh các hành vi vi phạm ấy. Về trách nhiệm dân sự, trong luật chung, Bộ Luật Dân sự năm 2015 xác định bên có nghĩa vụ mà vi phạm nghĩa vụ thì phải chịu trách nhiệm dân sự đối với bên có quyền (Điều 351), và bên có nghĩa vụ phải bồi thường thiệt hại do vi phạm nghĩa vụ gây ra trừ trường hợp có thỏa thuận khác (Điều 360). Các thiệt hại có thể là thiệt hại về vật chất hay thiệt hại về tinh thần (Điều 361)… Ngoài ra, bên yêu cầu bồi thường cần chứng minh 3 điều kiện sau để phát sinh trách nhiệm bồi thường thiệt hại: Có thiệt hại thực tế xảy ra, hành vi trái pháp luật xâm phạm quyền 375
riêng tư, có mối quan hệ nhân quả giữa hành vi trái pháp luật xâm phạm quyền riêng tư đối với thiệt hại xảy ra (Hợi, 2020, tr 61). Hành vi vi phạm nghĩa vụ bảo mật thông tin có thể bị xử phạt vi phạm hành chính, căn cứ theo Nghị định 117/2020/NĐ-CP ngày 28/9/2020 quy định xử phạt vi phạm hành chính trong lĩnh vực y tế. Có thể kể đến một số hành vi vi phạm như tiết lộ cho người khác biết việc một người bị nhiễm HIV khi chưa được sự đồng ý của người đó (điểm c Khoản 3 Điều 19); tiết lộ bí mật kết quả xét nghiệm HIV dương tính trong trường hợp pháp luật quy định phải giữ bí mật (Điểm đ Khoản 3 Điều 20); làm lộ tình trạng bệnh, thông tin mà người bệnh đã cung cấp và hồ sơ bệnh án (điểm c Khoản 3 Điều 38); tẩy xóa, sửa chữa hồ sơ bệnh án nhằm làm sai lệch thông tin về khám bệnh, chữa bệnh (điểm e Khoản 5 Điều 38)… ngoài việc bị xử phạt vi phạm hành chính dưới hình thức phạt tiền, người thực hiện hành vi vi phạm còn có thể bị buộc phải cải chính thông tin. Ngoài trách nhiệm hành chính, một số hành vi vi phạm còn có thể bị chuyển hồ sơ đến cơ quan tiến hành tố tụng hình sự để truy cứu trách nhiệm hình sự (Khoản 4 Điều 1). Việc quy định theo dạng thức liệt kê hành vi vi phạm và mức phạt tương ứng, tương đối thuận tiện cho công tác áp dụng pháp luật. Song mặt hạn chế của việc liệt kê này là chưa bao quát và lường trước được hết những trường hợp có thể xảy ra. Đơn cử, tại khoản 2 Điều 7 Thông tư 46/2018 yêu cầu “các đối tượng quy định tại khoản 1 Điều này khi sử dụng thông tin trong hồ sơ bệnh án điện tử phải giữ bí mật và chỉ được sử dụng đúng mục đích như đã yêu cầu và được người đứng đầu cơ sở khám bệnh, chữa bệnh cho phép”. Quy định này đồng nhất với Khoản 5 Điều 59 Luật khám bệnh, chữa bệnh năm 2009 song vấn đề đặt ra là nếu một cá nhân không tuân thủ quy định trên sẽ dẫn đến biện pháp chế tài gì và cơ quan/chủ thể nào thực hiện chế tài đó với người có hành vi vi phạm? Dẫn chiếu Nghị định 15/2020/NĐ-CP ngày 03/02/2020 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, công nghệ thông tin, an toàn thông tin mạng và giao dịch điện tử, dường như không thỏa đáng vì lĩnh vực y tế mặc dù sử dụng công nghệ thông tin nhưng không thuộc đối tượng điều chỉnh của Nghị định vừa nêu. Nghị định 117/2020/NĐ-CP cũng chưa liệt kê các hành vi khai thác hồ sơ bệnh án điện tử sai mục đích của nhóm đối tượng là sinh viên thực tập, nghiên cứu viên, người hành nghề trong cơ sở khám bệnh, chữa bệnh. Vì điểm c khoản 1 Điều 7 Thông tư 46/2018 lẫn Khoản 5 Điều 49 Luật khám bệnh, chữa bệnh năm 2009 đều gộp đối tượng “người bệnh” vào danh sách được “trao quyền” tiếp cận hồ sơ bệnh án/hồ sơ bệnh án điện tử, nên ta không thể loại trừ giả định sau: Nếu chính bản thân người bệnh yêu cầu nhận bản tóm tắt hồ sơ bệnh án điện tử, sau đó họ tiết lộ bí mật thông tin bệnh án của mình, như vậy 376
có thể xem là họ đang công khai bí mật đời tư, hay xem họ đang vi phạm nghĩa vụ bảo mật thông tin? Ranh giới giữa hành vi vi phạm và hành vi chuẩn mực không phải lúc nào cũng rõ ràng. Thực tế xảy ra, thông tin bệnh nhân trong hồ sơ bệnh án không phải luôn hữu ích trọn vẹn đối với công việc của một người khai thác hồ sơ bệnh án. Ví dụ, nhân viên y tế với mục đích thanh toán hoặc quản trị phải có một số quyền truy cập vào hồ sơ bệnh án, điều này trái ngược với lý tưởng là chỉ có một bác sĩ duy nhất là bên có quyền xem thông tin sức khỏe bệnh nhân. Việc có quá nhiều bên cùng san sẻ quyền truy cập hồ sơ bệnh án điện tử làm tăng nguy cơ rủi ro lộ, lọt thông tin bệnh nhân. Ta có thể giả định rằng một người có quyền khai thác hồ sơ bệnh án điện tử hoàn toàn có thể lợi dụng quyền truy cập của họ để xem dữ liệu cho các mục đích khác ngoài mục đích chăm sóc, điều trị y tế, hoặc nghiên cứu như thỏa mãn trí mò mò (Shenoy & Appel, 2017, tr 337). Trong trường hợp như vậy họ có vi phạm nghĩa vụ bảo mật thông tin không? Giả định này cho thấy sự tế nhị của thực thi nghĩa vụ bảo mật thông tin nói chung, do đó, bên cạnh các biện pháp chế tài đã được luật pháp quy định, cần có những cách tiếp cận liên ngành ngõ hầu giúp giảm thiểu hành vi xâm phạm thông tin bảo mật. Đó có thể là giáo dục về quyền riêng tư của bệnh nhân, hoặc thiết lập thêm các rào cản kỹ thuật hợp lý. Tuy nhiên, nếu ban hành các quy định bảo vệ quyền riêng tư bệnh nhân quá ngặt nghèo sẽ dẫn đến giảm thiểu tốc độ áp dụng hồ sơ bệnh án điện tử, như một nghiên cứu ở Hoa Kỳ từng chứng tỏ (Miller & Tucker, 2009, tr 1091). Các quy định pháp luật nước ta về bảo mật thông tin trong thời kỳ chuyển đổi số ở các lĩnh vực nói chung và y tế nói riêng đang thay đổi để bắt kịp thực tiễn xã hội, do đó không tránh khỏi những hạn chế nhất định. Một số quy phạm điều chỉnh việc bảo vệ quyền riêng tư, bí mật cá nhân rõ ràng là rất mới so với quan niệm truyền thống pháp luật Việt Nam, lại đặt trong bối cảnh ý thức tuân thủ pháp luật chưa cao, như một số tác giả nhận định, dẫn đến tình trạng khó thực hiện quy định pháp luật ấy trên thực tế (Dung & Duy, 2017, tr 39). Một số kiến nghị Trong phạm vi bài viết, tác giả chỉ xin kiến nghị hai vấn đề nhỏ, mang tính áp dụng pháp luật. Một là, đối với chủ thể có quyền tiếp cận hồ sơ bệnh án điện tử, nên có hướng dẫn cụ thể hơn về chế tài khi người khai thác hồ sơ bệnh án điện tử khai thác nhằm mục đích cá nhân, khác với mục đích đã thông báo đến cơ sở khám, chữa bệnh. Trong Luật Khám bệnh, chữa bệnh năm 2023 bổ sung thêm đối tượng được quyền tiếp cận hồ sơ bệnh án điện tử là học sinh. Thiết nghĩ, với kiến thức của chương trình giáo dục Trung học Phổ thông chưa đủ để các em tiếp cận 377
và khai thác hồ sơ bệnh án điện tử và nên điều chỉnh theo hướng hạn chế tối đối tượng này. Đồng thời Bộ Y tế nên xác định thẩm quyền của người đứng đầu cơ sở khám, chữa bệnh trong việc quản lý thu thập, sử dụng, lưu trữ, cấp quyền tiếp cận và xử lý vi phạm trong hoạt động bảo mật hồ sơ bệnh án điện tử. Hai là, người bệnh có quyền đối với thông tin bí mật của chính họ do đó cũng có quyền yêu cầu cơ sở khám, chữa bệnh cung cấp hồ sơ bệnh án. Tuy nhiên họ không nên được nhìn nhận là đối tượng phải giữ bí mật hồ sơ bệnh án của chính họ: nên xem hành động tiết lộ bí mật của chính họ là hành vi công khai thông tin riêng tư, do đó nên điều chỉnh khoản 5 Điều 69 Luật Khám bệnh, chữa bệnh năm 2023 theo hướng chủ thể người bệnh không phải là đối tượng bắt buộc giữ bí mật hồ sơ bệnh án của chính họ. Kết luận Hồ sơ bệnh án điện tử là thành tố rất quan trọng trong chuyển đổi số y tế ở Việt Nam vì giúp lưu trữ và truy cập thông tin bệnh án nhanh chóng, chính xác, hạn chế sai sót, sự cố y khoa. Đi kèm với lợi ích của công nghệ số là rủi ro và bảo mật quyền riêng tư của bệnh nhân. Bài viết đã phân tích một số nghĩa vụ của các chủ thể trong bảo mật thông tin, trong đó nhấn mạnh nghĩa vụ của người hành nghề và cơ sở khám, chữa bệnh. Một số trường hợp ngoại lệ, cho phép các đối tượng nằm ngoài công tác quản lý và điều trị bệnh nhân được tiếp cận hồ sơ bệnh án điện tử như sinh viên thực tập, nhà nghiên cứu, người hành nghề của cơ sở khám, chữa bệnh khác, hay đại diện cơ quan nhà nước thực hiện nhiệm vụ được giao…Hệ quả pháp lý của việc vi phạm nghĩa vụ bảo mật thông tin là trách hiệm hành chính và trách nhiệm hình sự. Song việc xác định thế nào là vi phạm và chế tài trong một số trường hợp là chưa rõ. Do vậy cần hoàn thiện thêm quy định trong lĩnh vực bảo mật thông tin hồ sơ bệnh án điện tử để vừa bảo đảm quyền riêng tư của bệnh nhân, vừa giúp công cuộc chuyển đổi số y tế thành công. Tài liệu tham khảo Caine, K., & Hanania, R. (2013). Patients want granular privacy control over health information in electronic medical records. Journal of the American Medical Informatics Association, 20(1), 7–15. https://doi.org/10.1136/amiajnl-2012-001023 Castro E Melo, J. A. G. de M. E., & Faria Araújo, N. M. (2020). Impact of the Fourth Industrial Revolution on the Health Sector: A Qualitative Study. Healthcare Informatics Research, 26(4), 328–334. https://doi.org/10.4258/hir.2020.26.4.328 378
Dung N. Đ., & Duy N. Đ. (2017). Quyền riêng tư trên thế giới và ở Việt Nam. Tạp chí Khoa học Đại học Quốc gia Hà Nội: Luật học, 33(3), 33–41. https://doi.org/10.25073/2588- 1167/vnuls.4115 Dunlop, L. (2007). Electronic Health Records: Interoperability Challenges Patients’ Right to Privacy. Electronic Health Records, 16(3). https://digitalcommons.law.uw.edu/wjlta/vol3/iss4/4/ Hợi N. V. (2020). Một số vấn đề về bồi thường thiệt hại do xâm phạm quyền riêng tư, quyền của cá nhân đối với hình ảnh. Tạp chí Khoa học Kiểm sát, 1, 60–68. Miller, A. R., & Tucker, C. (2009). Privacy Protection and Technology Diffusion: The Case of Electronic Medical Records. Management Science, 55(7), 1077–1093. https://doi.org/10.1287/mnsc.1090.1014 Shenoy, A., & Appel, J. M. (2017). Safeguarding Confidentiality in Electronic Health Records. Cambridge Quarterly of Healthcare Ethics, 26(2), 337–341. https://doi.org/10.1017/S0963180116000931 Thảo, N. P. (2020). Quyền giữ bí mật thông tin sức khỏe của người bệnh. https://tapchitoaan.vn/quyen-giu-bi-mat-thong-tin-suc-khoe-cua-nguoi-benh Văn Thành, L. (2014). Bệnh án điện tử và ứng dụng trong y tế [Luận văn Thạc sĩ, Viện Công nghệ thông tin - Đại học Quốc gia Hà Nội]. https://repository.vnu.edu.vn/handle/VNU_123/43365 Walsh, D., Passerini, K., Varshney, U., & Fjermestad, J. (2008). Safeguarding patient privacy in electronic healthcare in the USA: The legal view. International Journal of Electronic Healthcare, 4(3/4), 311. https://doi.org/10.1504/IJEH.2008.022668 379