Xử lý và bảo vệ dữ liệu cá nhân về sức khỏe theo GDPR tại Liên minh châu Âu và một số khuyến nghị cho Việt Nam

Chia sẻ: Tưởng Trì Hoài | Ngày: | Loại File: PDF | Số trang:16

Thêm vào BST

Báo xấu

5
lượt xem 2
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Mục đích của bài viết "Xử lý và bảo vệ dữ liệu cá nhân về sức khỏe theo GDPR tại Liên minh châu Âu và một số khuyến nghị cho Việt Nam" là phân tích các yêu cầu được đề ra bởi GDPR đối với việc xử lý dữ liệu cá nhân liên quan đến sức khỏe và cách bảo vệ dữ liệu cá nhân của chủ thể dữ liệu. Kết quả nghiên cứu đạt được là một số khuyến nghị được đưa ra cho việc bảo vệ dữ liệu cá nhân liên quan đến sức khỏe tại Việt Nam. Mời các bạn cùng tham khảo!

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Xử lý và bảo vệ dữ liệu cá nhân về sức khỏe theo GDPR tại Liên minh châu Âu và một số khuyến nghị cho Việt Nam

XỬ LÝ VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN VỀ SỨC KHỎE THEO GDPR TẠI LIÊN MINH CHÂU ÂU VÀ MỘT SỐ KHUYẾN NGHỊ CHO VIỆT NAM ThS. Trần Nguyễn Phước Thông Học viện Tư pháp Email: trngphuocthong.cltit.ja@gmail.com; SĐT: 0326184413 Tóm tắt Quá trình toàn cầu hóa và sự phát triển mạnh mẽ của kỷ nguyên kỹ thuật số mang đến sự bùng nổ về công nghệ thông tin với mức độ xử lý dữ liệu cao. Xu hướng này đặt ra một số thách thức đối với việc bảo vệ dữ liệu cá nhân. Do đó, tại Liên minh Châu Âu, các nhà lập pháp đã chủ trương áp dụng nhất quán và đồng nhất các quy định pháp lý nhằm bảo vệ dữ liệu cá nhân với hệ thống giám sát và đảm bảo tuân thủ các quy tắc chung đã được ban hành. Mục tiêu chung của Liên minh Châu Âu là loại bỏ các trở ngại đối với các luồng dữ liệu cá nhân và tạo ra một cơ chế hiệu quả với mục đích bảo vệ quyền của thể nhân liên quan đến việc xử lý dữ liệu. Mục tiêu này đã được đáp ứng thông Quy định (EU) 2016/679 của Nghị viện và Hội đồng Châu Âu về bảo vệ thể nhân liên quan đến việc xử lý dữ liệu cá nhân và sự dịch chuyển của dữ liệu đó (GDPR). Đặt trong bối cảnh của các hệ thống chăm sóc sức khỏe gắn liền với công nghệ, có thể thấy nhiều dữ liệu cá nhân của bệnh nhân có thể bị rò rỉ thông qua việc số hóa lịch sử khám bệnh và xây dựng hệ thống hồ sơ sức khỏe điện tử, việc sử dụng đơn thuốc điện tử. Mục đích của bài viết là phân tích các yêu cầu được đề ra bởi GDPR đối với việc xử lý dữ liệu cá nhân liên quan đến sức khỏe và cách bảo vệ dữ liệu cá nhân của chủ thể dữ liệu. Kết quả nghiên cứu đạt được là một số khuyến nghị được đưa ra cho việc bảo vệ dữ liệu cá nhân liên quan đến sức khỏe tại Việt Nam. Từ khóa: Bảo vệ dữ liệu, dữ liệu cá nhân, dữ liệu về sức khỏe, GDPR Abstract The process of globalization and the strong development of the digital era bring about a boom in information technology with high levels of data processing. This trend poses a number of 740
challenges to the protection of personal data. Therefore, in the European Union, legislators have advocated consistent and uniform application of legal regulations to protect personal data with monitoring systems and ensuring compliance with promulgated general rules. The overall objective of the European Union is to remove obstacles to personal data flows and create an effective mechanism with the aim of protecting the rights of natural persons with regard to data processing. This objective has been met through Regulation (EU) 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and the movement of such data (GDPR). Placed in the context of technology- embedded healthcare systems, it can be seen that many patients' personal data can be leaked through the digitization of medical history and the construction of electronic health record systems and the use of electronic prescriptions. The purpose of the article is to analyze the requirements set out by the GDPR for the processing of personal data related to health and how to protect the personal data of data subjects. The results of the study are a number of recommendations given for the protection of health-related personal data in Vietnam. Từ khóa: Data protection, personal data, health data, GDPR 1. Đặt vấn đề Tại Liên minh Châu Âu, việc bảo vệ dữ liệu cá nhân được coi là quyền cơ bản. Hiến chương về các quyền cơ bản của Liên minh Châu Âu quy định tại Điều 7 về sự tôn trọng quyền riêng tư trong cuộc sống và gia đình và quy định tại Điều 8 về việc bảo vệ dữ liệu cá nhân, thiết lập các chỉ thị để thu thập, xử lý và truy cập dữ liệu cá nhân. Theo đó, dữ liệu cá nhân phải được xử lý một cách công bằng cho các mục đích cụ thể và phải có sự đồng ý của người liên quan. Thêm vào đó, mọi người đều có quyền truy cập vào dữ liệu đã được thu thập liên quan đến mình và có quyền yêu cầu chỉnh sửa dữ liệu đó. Ngoài ra, Điều 16 Hiệp ước Lisbon cũng tạo cơ sở quyền bảo vệ dữ liệu cá nhân. Chỉ thị 95/46/EC của Nghị viện và Hội đồng Châu Âu đã cố gắng hài hòa hóa các quy định xử lý dữ liệu cá nhân ở Liên minh Châu Âu nhằm đảm bảo hai mục đích. Mục đích thứ nhất là việc bảo vệ dữ liệu cá nhân phải được nhìn nhận như một quyền cơ bản và mục đích thứ hai là để đảm bảo luồng dữ liệu cá nhân được tự do dịch chuyển giữa các Quốc gia Thành viên và sự phát triển của thị trường nội bộ. Để theo đuổi các mục tiêu về luồng dữ liệu tự do và bảo vệ dữ liệu hiệu quả, Chỉ thị 95/46/EC đã hài hòa hóa việc xử lý dữ liệu cá nhân trong Liên minh trên cơ sở các nguyên tắc minh bạch, mục đích hợp pháp và tính tương xứng (Castro, 2005). Việc bảo vệ dữ liệu cá nhân và quyền riêng tư liên quan đến việc xử lý dữ liệu có sự khác biệt giữa 741
các quốc gia (Svantesson, 2013). Ngay cả ở Liên minh Châu Âu, mặc dù có sự hài hòa hóa được cung cấp bởi Chỉ thị 95/46/EC, sự tồn tại các mức độ về bảo vệ dữ liệu cá nhân vẫn có sự khác biệt, thậm chí là một số vấn đề được để trống cho luật pháp quốc gia tự quy định. Chẳng hạn như công ty đa quốc gia có một số cơ sở ở EU đã triển khai một hệ thống bản đồ trực tuyến trên khắp châu Âu, thu thập hình ảnh của tất cả các tòa nhà tư nhân và công cộng, đồng thời chụp ảnh người dân trên đường phố. Trong bối cảnh này, việc đưa những bức ảnh không bị làm mờ của những người không biết rằng họ đang bị chụp ảnh được coi là bất hợp pháp ở một quốc gia thành viên nhưng ở các quốc gia khác thì lại hợp pháp (European Commission, 2012). Điều này dẫn đến sự cát cứ trong việc thực thi chính sách bảo vệ dữ liệu ở Liên minh Châu Âu và gây nguy hiểm cho luồng dữ liệu cá nhân và tạo ra trở ngại cho việc mở rộng các hoạt động kinh tế. Ngày 27/4/2016, Quy định 2016/679 về bảo vệ thể nhân liên quan đến việc xử lý dữ liệu cá nhân và sự di chuyển tự do của dữ liệu (GDPR) đã được ban hành. Mục tiêu của GDPR là giải quyết những thách thức gây cản trở cho việc bảo vệ dữ liệu. Tiền đề của GDPR là để đảm bảo mức độ bảo vệ nhất quán cho các thể nhân trên toàn Liên minh và để ngăn chặn sự khác biệt cản trở sự tự do của dữ liệu cá nhân trong thị trường nội bộ, Liên minh cần phải có các quy định để cung cấp sự chắc chắn và minh bạch về mặt pháp lý cho các thương nhân, đồng thời cung cấp cho các thể nhân ở tất cả các quốc gia thành viên những quyền và trách nhiệm như nhau trong các hoạt động xử lý dữ liệu cá nhân và các biện pháp trừng phạt tương đương ở tất cả các quốc gia thành viên cũng như sự hợp tác hiệu quả giữa các cơ quan giám sát. Bên cạnh đó, công nghệ đã trở thành một phần của hệ thống chăm sóc sức khỏe cũng như mối quan hệ hàng ngày giữa bác sĩ và bệnh nhân. Mối quan hệ giữa bệnh nhân và các dịch vụ chăm sóc y tế ngày nay thường gắn liền với việc số hóa lịch sử khám chữa bệnh và tạo ra hệ thống thông tin điện tử, hệ thống hồ sơ sức khỏe (EHR), việc sử dụng đơn thuốc điện tử. Do đó, đặt trong bối cảnh áp dụng GDPR ở Liên minh Châu Âu, việc xử lý dữ liệu cá nhân liên quan đến sức khỏe và cách thức thực hiện dữ liệu cá nhân của bệnh nhân được bảo vệ một cách khá chặt chẽ. Việc phân tích cách thức áp dụng GDPR sẽ đưa ra một số kinh nghiệm tham khảo trong việc bảo vệ dữ liệu cá nhân nói chung và dữ liệu sức khỏe nói riêng ở các quốc gia khác, trong đó có Việt Nam. 2. Nội dung nghiên cứu 2.1. Phạm vi và cách thức áp dụng GDPR đối với việc xử lý dữ liệu cá nhân 742
Về phạm vi áp dụng GDPR, Điều 2, Mục 1 xác định rằng GDPR có thể áp dụng cho việc xử lý toàn bộ hoặc một phần dữ liệu cá nhân bằng các phương tiện tự động hoặc không phải bằng các phương tiện tự động nhưng tạo thành một phần của hệ thống lưu trữ dữ liệu hoặc nhằm mục đích tạo thành một phần của hệ thống lưu trữ. Về khái niệm, Điều 4 (1) định nghĩa dữ liệu cá nhân là thông tin liên quan đến một thể nhân được xác định cho mục đích nhận dạng, chẳng hạn như tên, số định danh, các yếu tố thể chất, tâm lý, kinh tế, di truyền, văn hóa hoặc xã hội liên quan đến thể nhân đó. Về ngoại lệ, GDPR chỉ bảo vệ dữ liệu của thể nhân và loại trừ phạm vi áp dụng đối với một số trường hợp nhất định. Theo đó, GDPR sẽ không áp dụng cho dữ liệu của pháp nhân (Điều 1, Mục 1 của GDPR), các hoạt động liên quan đến an ninh quốc gia và an ninh chung (Điều 2, Mục 1 (d) và Điều 16 của GDPR), đến các hoạt động cá nhân hoặc hộ gia đình (Điều 2, Mục 1 (a) và Điều 18 của GDPR), truy tố hình sự (Điều 2, Mục 1 (d)), dữ liệu của người đã chết (Điều 27 của GDPR). Một trong những dữ liệu dễ nhận biết nhất của một thể nhân là tên, số căn cước, mã số thuế, số hệ thống y tế quốc gia, số an sinh xã hội, số hộ chiếu, số điện thoại, số thẻ tín dụng, biển số xe, dữ liệu tài khoản, số giấy phép lái xe, địa chỉ email, địa chỉ cư trú, dữ liệu sinh trắc học như dấu vân tay, hình ảnh khuôn mặt và các đặc điểm giải phẫu khác... Nhìn chung, có thể hiểu dữ liệu cá nhân là tất cả các yếu tố cho phép định danh một người, bao gồm cả tất cả các khả năng nhận dạng và theo GDPR, phải bao gồm các mã định danh trực tuyến được sử dụng để lập hồ sơ và nhận dạng. Điều 30 liệt kê một số yếu tố định danh trực tuyến có thể được liên kết với các thể nhân, chẳng hạn như số định danh được cung cấp bởi các thiết bị, ứng dụng, công cụ bắt nguồn từ địa chỉ internet, số định danh cookie và các số định danh khác dưới dạng thẻ tần số vô tuyến. Những thông tin nhận dạng trực tuyến có thể được coi là dữ liệu cá nhân nếu chúng giúp định danh một thể nhân. Theo Điều 29, các tệp có đăng ký dữ liệu cá nhân thường gắn một mã định danh duy nhất để tránh nhầm lẫn giữa hai người trong cùng một tệp. Việc giải thích dữ liệu cá nhân theo cách này là dựa theo quan điểm của Tòa án Công lý Liên minh Châu Âu (ECJ) trong vụ “Lindqvist” vào năm 2003, theo đó thì dữ liệu cá nhân được coi là việc xử lý thông tin liên quan đến điều kiện làm việc và sở thích dưới dạng dữ liệu. Từ định nghĩa của Điều 4 (1) về dữ liệu cá nhân, có thể nhận thấy GDPR chỉ áp dụng cho dữ liệu của thể nhân có thể xác định hoặc có thể nhận dạng. Do đó, GDPR sẽ không áp dụng cho các loại dữ liệu ẩn danh. Điều này đồng nghĩa với việc danh tính của chủ thể dữ liệu sẽ không thể xác định qua quá trình xử lý dữ liệu ẩn danh, dù nhằm mục đích thống kê hay nghiên cứu thì đều nằm ngoài phạm vi của GDPR. Bên cạnh đó, Điều 4 (5) của GDPR cũng đưa ra khái niệm bút danh để xác định điều kiện khi nào khi một bút danh được xem là dữ liệu cá nhân. 743
Điều 26 giải thích rằng dữ liệu gắn liền với bút danh của một người và có thêm một số thông tin nhận dạng một thể nhân thì được nhìn nhận là dữ liệu liên quan đến một thể nhân và thuộc phạm vi của GDPR. Về khái niệm “xử lý”, theo Điều 4 (2) của GDPR, xử lý dữ liệu cá nhân được định nghĩa là bất kỳ hoạt động hoặc tập hợp hoạt động nào được thực hiện trên dữ liệu cá nhân, chẳng hạn như thu thập, ghi âm, lưu trữ, điều chỉnh hoặc thay đổi, truy xuất, tư vấn, sử dụng, tiết lộ bằng cách truyền, phổ biến, căn chỉnh, chặn, xóa hoặc phá hủy dữ liệu. Trong vụ “Lindqvist”, ECJ kết luận rằng hoạt động tải dữ liệu cá nhân trên một trang internet sẽ được coi là xử lý dữ liệu cá nhân cho các mục đích được quy định tại Điều 2 (b) của Chỉ thị bảo vệ dữ liệu. Tương tự, trong vụ “Google Spain SL” vào năm 2014, xử lý dữ liệu là khi “nhà điều hành công cụ tìm kiếm 'thu thập' dữ liệu mà sau đó thực hiện các hành vi như 'truy xuất', 'ghi lại' và 'tổ chức' trong khuôn khổ các chương trình lập chỉ mục của mình, 'lưu trữ' trên các máy chủ và tùy từng trường hợp có thể 'tiết lộ' và 'cung cấp' cho người dùng dưới dạng danh sách kết quả tìm kiếm”. Thêm vào đó, ngay cả khi công cụ tìm kiếm thực hiện một cách tương tự với các loại thông tin khác nhau và không phân biệt giữa những dữ liệu chung và dữ liệu cá nhân thì vẫn được xem là quá trình xử lý dữ liệu cá nhân. Trong quá trình xử lý dữ liệu cá nhân, Điều 15 của GDPR quy định rằng để tránh mối đe dọa vượt quá hệ thống bảo vệ dữ liệu, việc bảo vệ thể nhân là trung lập về mặt công nghệ và không phụ thuộc vào các kỹ thuật được sử dụng. Do đó, GDPR áp dụng cho việc xử lý dữ liệu cá nhân bằng phương tiện tự động cũng như xử lý thủ công, miễn là dữ liệu được chứa hoặc sẽ được chứa trong hệ thống và được cấu trúc theo các tiêu chí cụ thể. Về không gian áp dụng của GDPR, Điều 3 quy định quy tắc xung đột pháp luật cho việc xử lý dữ liệu cá nhân trong bối cảnh các hoạt động của cơ quan kiểm soát, bất kể việc xử lý có diễn ra trong Liên minh Châu Âu hay không. Theo Điều 4 (7) của GDPR, người kiểm soát là cá nhân hoặc tổ chức hợp pháp, tự mình hoặc cùng với người khác đưa ra quyết định xử lý dữ liệu cá nhân và phương tiện được sử dụng cho mục đích đó; đồng thời, người xử lý là người xử lý dữ liệu cá nhân thay mặt cho người kiểm soát. Vì vậy, việc áp dụng GDPR phải đặc biệt chú ý đến chủ thể kinh doanh có liên quan đến việc xử lý dữ liệu và tính chất hoạt động của chủ thể này. Khái niệm thành lập chủ thể kinh doanh được định nghĩa là sự sắp xếp ổn định để một hoạt động được thực hiện bất kể dưới hình thức nào, chẳng hạn như chi nhánh hay công ty con (Điều 22 của GDPR). Ngoài ra, GDPR áp dụng cho việc xử lý dữ liệu cá nhân của các chủ thể dữ liệu bởi một bên kiểm soát hoặc một bên xử lý không được thành lập trong Liên minh, miễn là các hoạt động xử lý có liên quan đến: 744
(i) Việc cung cấp hàng hóa hoặc dịch vụ cho các chủ thể dữ liệu cư trú trong Liên minh, bất kể chủ thể dữ liệu có cần phải thanh toán hay không; hoặc (ii) Giám sát hành vi của chủ thể dữ liệu diễn ra trong Liên minh. Điều khoản này áp dụng ngay cả khi bên kiểm soát hoặc bên xử lý được thành lập ở quốc gia thứ ba, miễn là đáp ứng các yêu cầu đặt ra trong Điều 4, Mục 2 của GDPR. 2.2. Dữ liệu nhạy cảm Có một số loại dữ liệu được nhìn nhận là nhạy cảm theo đặc tính của thông tin có thể tiết lộ những điều mà chủ thể dữ liệu không muốn cho người khác biết. Điều 9, Mục 1 của GDPR nghiêm cấm việc xử lý các loại dữ liệu cá nhân mang tính chất nhạy cảm vì chúng có thể tiết lộ nguồn gốc chủng tộc, sắc tộc, quan điểm chính trị, niềm tin tôn giáo, tư cách thành viên công đoàn, dữ liệu di truyền, dữ liệu sinh trắc học nhằm mục đích nhận dạng một thể nhân, dữ liệu liên quan đến sức khỏe hoặc dữ liệu liên quan đến đời sống tình dục hoặc khuynh hướng tình dục của một thể nhân. Nhìn chung, đây là những dữ liệu có mức độ nhận dạng cao về thể nhân cũng như các đặc điểm của thể nhân đó. Trong các loại dữ liệu nhạy cảm được liệt kê ở trên, dữ liệu liên quan đến sức khỏe là loại dữ liệu nhạy cảm cần phải bàn luận kỹ lưỡng vì nằm ngoài quan điểm và suy nghĩ của một số học giả. Theo Điều 4 (15) của GDPR, dữ liệu liên quan đến sức khỏe bao gồm tất cả dữ liệu cung cấp thông tin về sức khỏe thể chất và tinh thần của một cá nhân. Đây là một cách định nghĩa khá rộng vì có thể bao gồm tất cả các đặc điểm nhận dạng liên quan đến sức khỏe. Trong vụ “Lindqvist”, ECJ cho rằng việc ám chỉ đến quá trình bị thương ở chân của một cá nhân và phải nghỉ giữa hiệp vì lý do y tế là dữ liệu liên quan đến sức khỏe. Điều 35 liệt kê một tập hợp các yếu tố cấu thành các dữ liệu liên quan đến sức khỏe. Chẳng hạn như thông tin sức khỏe được đề cập trong Chỉ thị 2011/24/EU của Nghị viện và Hội đồng Châu Âu vào năm 2011 về việc áp dụng quyền của bệnh nhân trong lĩnh vực chăm sóc sức khỏe xuyên biên giới; một con số, ký hiệu hoặc thông tin cụ thể gắn liền với một thể nhân để nhận dạng vì mục đích sức khỏe; thông tin thu được từ việc xét nghiệm hoặc kiểm tra một bộ phận cơ thể, bao gồm dữ liệu di truyền và mẫu sinh học; và bất kỳ thông tin nào về bệnh tật, khuyết tật, nguy cơ mắc bệnh, tiền sử bệnh, điều trị lâm sàng hoặc trạng thái sinh lý hoặc y sinh của chủ thể dữ liệu từ bác sĩ hoặc chuyên gia y tế khác, bệnh viện, cơ sở y tế hoặc cơ sở xét nghiệm chẩn đoán trong ống nghiệm. Liên quan đến dữ liệu di truyền, theo Điều 4 (13) của GDPR, dữ liệu này có thể là kết quả của bất kỳ cuộc kiểm tra y tế nào, chẳng hạn như phân tích lâm sàng mẫu sinh học và cung cấp 745
thông tin về các đặc điểm sức khỏe được di truyền hoặc mắc phải của một người. Theo Điều 33 của GDPR, dữ liệu di truyền có thể thu được từ phân tích nhiễm sắc thể, axit deoxyribonucleic (DNA) hoặc axit ribonucleic (RNA), hoặc từ phân tích một nguyên tố khác có thể cung cấp thông tin tương đương. Theo Điều 7 của Chỉ thị Bảo vệ Dữ liệu trước đây, dữ liệu di truyền không được liệt kê là dữ liệu nhạy cảm nhưng bản chất của chúng là dữ liệu nhạy cảm do tính chất có thể nhận dạng được (Anabela, 2016). Dữ liệu di truyền có thể xác định mã di truyền của con người, cung cấp thông tin về các đặc điểm di truyền, chẳng hạn như cha mẹ, bệnh tật, nguồn gốc chủng tộc hoặc dân tộc của người đó. Thêm vào đó, dữ liệu di truyền có thể chỉ ra tình trạng sức khỏe hoặc chẩn đoán về các bối cảnh bệnh lý có thể xảy ra như sự phát triển của một số bệnh di truyền hoặc sự lây truyền của các bệnh đó. GDPR đã giải quyết mọi nghi ngờ còn sót lại và đưa dữ liệu di truyền vào danh mục dữ liệu nhạy cảm đặc biệt, được quy định tại Điều 9. Đây là một quy định tiến bộ của GDPR nhằm bảo vệ một cách hữu hiệu hơn các dữ liệu liên quan đến sức khỏe của một cá nhân. 2.3. Các nguyên tắc chính của GDPR trong việc xử lý dữ liệu cá nhân Điều 5 (1) của GDPR quy định việc xử lý dữ liệu cá nhân phải được thực hiện một cách hợp pháp, công bằng và minh bạch. Nguyên tắc xử lý dữ liệu một cách công bằng có nghĩa là mối quan hệ giữa bên kiểm soát và chủ thể dữ liệu phải được thực hiện theo nguyên tắc thiện chí (Castro, 2005). Theo đó, quá trình xử lý dữ liệu cá nhân phải được thực hiện một cách cởi mở và chủ thể dữ liệu phải được thông báo về những rủi ro cũng như tác động tích cực và tiêu cực của quá trình xử lý. Đặc biệt, phải có sự đồng ý của chủ thể dữ liệu và bên kiểm soát phải tuân thủ các yêu cầu của chủ thể dữ liệu (Council of Europe, 2018). Việc xử lý dữ liệu cá nhân cũng phải được thực hiện một cách minh bạch. Theo đó, chủ thể dữ liệu có quyền được thông báo về danh tính của người kiểm soát, mục đích xử lý và các thông tin khác được quy định tại Điều 13 của GDPR và phải có quyền truy cập vào dữ liệu đã thu thập theo quy định tại Điều 15 của GDPR. Ngoài ra, theo Điều 12, thông tin liên quan đến mục đích xử lý, khoảng thời gian lưu trữ dữ liệu, quyền của chủ thể dữ liệu như quyền xóa hoặc chỉnh sửa dữ liệu cá nhân hoặc quyền hạn chế hoặc phản đối việc xử lý hoặc quyền chuyển dữ liệu, quyền khiếu nại với cơ quan giám sát cùng nhiều quyền khác phải được cung cấp một cách ngắn gọn, minh bạch, dễ hiểu ở dạng có thể truy cập được. Thông tin mà bên kiểm soát có nghĩa vụ cung cấp cho chủ thể dữ liệu có thể được cung cấp trước khi quá trình xử lý dữ liệu bắt đầu (Điều 12, 13 và 14 của GDPR) và cho phép chủ thể dữ liệu có quyền truy cập để đọc một cách dễ dàng (Điều 15 của GDPR) (European Commission, 2017). 746
Một nguyên tắc quan trọng khác được đề cập tại Điều 5, Mục 1 (b) của GDPR nhằm giới hạn mục đích của việc xử lý dữ liệu. Theo đó, các mục đích thu thập dữ liệu cá nhân phải được nêu rõ ràng và hợp pháp. Thêm vào đó, dữ liệu không được xử lý theo cách không phù hợp với các mục đích đã nêu. Điều này đồng nghĩa với sự nhất quán giữa mục đích xử lý dữ liệu được nêu tại thời điểm thu thập và việc xử lý dữ liệu phải được thực hiện phù hợp với mục đích đó để đảm bảo sự tin cậy và chắc chắn về mặt pháp lý. Do đó, trước tiên, mục đích phải được xác định một cách đầy đủ để nêu rõ phạm vi và biện pháp bảo vệ trong quá trình xử lý dữ liệu cá nhân (European Commission, 2013). Tiếp theo, quá trình xử lý dữ liệu phải thực hiện một cách rõ ràng sao cho chủ thể dữ liệu có thể hiểu được tình trạng xử lý. Cuối cùng, xuyên suốt quá trình xử lý phải hợp pháp và dựa theo các cơ sở pháp lý thể hiện trong GDPR. Bất kỳ mục đích bổ sung nào được thêm vào ở giai đoạn sau đều phải tương thích với mục đích ban đầu được nêu. Vì vậy, sau khi đã đáp ứng tất cả các yêu cầu về tính hợp pháp của quá trình xử lý ban đầu, người kiểm soát phải xem xét đến những yếu tố khác như: bất kỳ liên kết nào giữa các mục đích chính và phụ của quá trình xử lý tiếp theo; bối cảnh dữ liệu cá nhân được thu thập, đặc biệt là những kỳ vọng hợp lý của chủ thể dữ liệu dựa trên mối quan hệ của họ với bên kiểm soát đối với việc sử dụng dữ liệu sau này; bản chất của dữ liệu cá nhân; hậu quả của việc xử lý tiếp theo đối với các chủ thể dữ liệu. Nguyên tắc về độ chính xác của dữ liệu cũng phải được áp dụng trong tất cả các giai đoạn xử lý và dữ liệu phải được kiểm tra thường xuyên và cập nhật khi cần thiết theo Điều 5, Mục 1 (d) của GDPR. Dữ liệu không chính xác cần được xóa hoặc chỉnh sửa. Theo ECJ, quyền riêng tư có nghĩa là chủ thể dữ liệu có thể chắc chắn rằng dữ liệu cá nhân của mình được xử lý một cách chính xác và hợp pháp, cụ thể là dữ liệu cơ bản về một thể nhân phải chính xác và được tiết lộ cho người nhận được ủy quyền (ECJ, 2009). Tuy nhiên, nếu mục đích của quá trình xử lý là ghi lại các sự kiện thì dữ liệu không được thay đổi do những phát hiện mới mà chỉ có thể thêm thông tin mới (Council of Europe, 2018). Một nguyên tắc khác trong xử lý dữ liệu là nguyên tắc giới hạn lưu trữ. Theo đó, dữ liệu cá nhân phải bị xóa hoặc ẩn danh ngay khi thông tin nhận dạng không còn cần thiết cho mục đích xử lý dữ liệu. Vì vậy, việc lưu trữ dữ liệu cá nhân phải trong khoảng thời gian tối thiểu cần thiết để hoàn thành mục đích xử lý và để đạt được mục đích đó, bộ điều khiển sẽ thiết lập các giới hạn thời gian để xóa hoặc thực hiện đánh giá định kỳ (Điều 39 của GDPR). Được phép lưu trữ trong thời gian dài hơn để xử lý dữ liệu cho mục đích lưu trữ vì lợi ích công cộng, mục đích nghiên cứu khoa học, lịch sử hoặc mục đích thống kê. 747
Nguyên tắc bảo mật dữ liệu là một nguyên tắc quan trọng khác trong việc xử lý dữ liệu cá nhân, được quy định tại Điều 5, Mục 1 (f) của GDPR. Cần thực hiện các biện pháp bảo mật mang tính chất kỹ thuật để đảm bảo tính bảo mật và tính toàn vẹn của dữ liệu. Bảo mật dữ liệu có thể thực hiện thông qua các biện pháp ngăn chặn việc truy cập, sử dụng, sửa đổi, tiết lộ, xử lý trái phép hoặc bất hợp pháp và chống lại sự mất mát, phá hủy hoặc thiệt hại do tai nạn. Các biện pháp an ninh kỹ thuật phải tính đến tình trạng dữ liệu, chi phí thực hiện, tính chất, phạm vi, bối cảnh và mục đích xử lý cũng như rủi ro về khả năng và mức độ nghiêm trọng đối với các quyền lợi và sự tự do của thể nhân theo Điều 32, Mục 1 của GDPR. Biện pháp bảo mật dữ liệu cũng có thể là việc mã hóa dữ liệu cá nhân, thiết lập một hệ thống để thường xuyên kiểm tra, đánh giá hiệu quả của các biện pháp kỹ thuật nhằm đảm bảo an ninh cho quá trình xử lý, lưu giữ dữ liệu trong môi trường vật lý bảo mật, kiểm soát xâm nhập cấp cao và quyền truy cập nghiêm ngặt, bảo vệ việc liên lạc dữ liệu bằng mật mã (Council of Europe, 2016). Trong trường hợp vi phạm dữ liệu cá nhân có khả năng gây rủi ro cho quyền lợi và sự tự do của thể nhân, đơn vị kiểm soát phải thông báo ngay cho cơ quan giám sát (Điều 33, Mục 1 của GDPR). Khi rủi ro này cao, bên kiểm soát cũng sẽ thông báo về hành vi vi phạm dữ liệu cá nhân cho chủ thể dữ liệu, theo Điều 34, Mục 1 của GDPR. Nguyên tắc cuối cùng trong xử lý dữ liệu cá nhân là trách nhiệm giải trình (Điều 5, Mục 2 của GDPR). Người kiểm soát và người xử lý có trách nhiệm tuân thủ luật bảo vệ dữ liệu trong hoạt động xử lý và có thể chứng minh sự tuân thủ đó đối với chủ thể dữ liệu, công chúng và cơ quan giám sát vào bất kỳ lúc nào. Mặc dù Điều 5, Mục 2 của GDPR chỉ thiết lập nguyên tắc trách nhiệm giải trình đối với bên kiểm soát nhưng thực tế cho thấy các yêu cầu tương tự về trách nhiệm giải trình cũng tồn tại đối với bên xử lý mà theo đó, việc xử lý được thực hiện thay mặt cho bên kiểm soát (Điều 28 của GDPR). Để chứng minh quá trình xử lý được thực hiện theo GDPR, bên kiểm soát phải triển khai các biện pháp kỹ thuật phù hợp với sự cập nhật và xem xét thường xuyên (Điều 24, Mục 1 của GDPR). Các biện pháp cụ thể sẽ khác nhau tùy theo rủi ro mà quá trình xử lý gây ra và tính chất của dữ liệu (European Commission, 2010). Điều 29 của GDPR khuyến nghị thiết lập các thủ tục nội bộ liên quan đến hoạt động xử lý, thiết lập các chính sách bảo vệ dữ liệu bằng văn bản và ràng buộc dành cho chủ thể dữ liệu. Ngoài ra, bên kiểm soát có thể lập sơ đồ các quy trình để đảm bảo sự nhận dạng của từng hoạt động xử lý dữ liệu, chẳng hạn như duy trì hồ sơ về các hoạt động xử lý (Điều 30 của GDPR), chỉ định nhân viên bảo vệ dữ liệu (Điều 37 đến 39 của GDPR), cung cấp đào tạo cho nhân viên, thiết lập các quy trình để xử lý các yêu cầu truy cập, chỉnh sửa và xóa dữ liệu cũng như các quy trình khác để chủ thể dữ liệu có thể thực hiện các quyền của mình và các quy trình này phải rõ ràng đối 748
với chủ thể dữ liệu (Điều 25 của GDPR), có quy trình nội bộ để báo cáo và xử lý hiệu quả các vi phạm an ninh, thực hiện đánh giá bảo vệ tác động dữ liệu trong các tình huống cụ thể mà loại hình xử lý có thể gây ra rủi ro cao đối với quyền lợi và sự tự do của thể nhân (Điều 35 của GDPR); tiến hành kiểm toán nội bộ hoặc thuê dịch vụ kiểm toán từ bên ngoài để đảm bảo rằng tất cả các biện pháp đều được thực hiện, chấp nhận các quy tắc ứng xử và cơ chế chứng nhận đã được phê duyệt (Điều 40 đến 42 của GDPR). 2.4. Xử lý và bảo vệ dữ liệu cá nhân liên quan đến sức khỏe theo GDPR Dữ liệu sức khỏe được coi là dữ liệu nhạy cảm vì tính chất của thông tin có thể tiết lộ về danh tính một người. Dữ liệu cá nhân liên quan đến sức khỏe cũng được bảo vệ theo mức độ nâng cao trong GDPR. Điều 9, Mục 1 của GDPR ngăn chặn việc xử lý các loại dữ liệu cá nhân đặc biệt này. Tuy nhiên, Mục 2 của cùng điều khoản cũng đưa ra một số trường hợp ngoại lệ với các điều kiện chặt chẽ hơn để hợp pháp hóa việc xử lý loại dữ liệu này. Ngoại lệ đầu tiên là có sự đồng ý rõ ràng của chủ thể dữ liệu. Sự đồng ý này phải được đưa ra bởi sự tự do ý chí, được cung cấp thông tin cụ thể, rõ ràng và có thể rút lại bất cứ lúc nào. Theo Điều 29 của GDPR, trong bối cảnh thực hiện các dịch vụ của chính phủ như y tế, sự đồng ý tự nguyện phải được thực hiện cẩn thận vì có nguy cơ gây ra hậu quả tiêu cực nếu chủ thể dữ liệu không đồng ý (European Commission, 2011). Trên thực tế, bất kỳ sự đồng ý nào được đưa ra dưới sự đe dọa rằng bệnh nhân sẽ không được điều trị hoặc điều trị chất lượng thấp không thể được coi là tự do ý chí. Sự đồng ý được xem là hợp pháp nếu chủ thể dữ liệu được tự do đưa ra quyết định và có thể thu hồi sự đồng ý mà không gặp bất kỳ trở ngại nào (European Commission, 2007). Chẳng hạn như việc tạo ra bản tóm tắt điện tử về hồ sơ sức khỏe của bệnh nhân nhằm cung cấp cho các nhà cung ứng dịch vụ chăm sóc sức khỏe có thể truy cập thông tin trong trường hợp bệnh nhân cần điều trị chỉ có thể được thực hiện nếu bệnh nhân không chịu bất kỳ cản trở nào khi đồng ý hoặc đưa ra quyết định rút lại sự đồng ý (European Commission, 2011). Nếu bệnh nhân phải chịu thêm chi phí, chất lượng điều trị thấp hơn hoặc những trở ngại khác khi từ chối hệ thống y tế điện tử thì không được coi là sự đồng ý thực sự. Từ cơ sở này, có thể nhìn nhận các thỏa thuận chung về dữ liệu, ví dụ như thỏa thuận chung về thu thập dữ liệu y tế cho hệ thống EHR hoặc chuyển dữ liệu y tế cho các chuyên gia y tế tham gia điều trị cũng là không hợp pháp bởi vì không không tuân thủ yêu cầu bắt buộc phải có một sự đồng ý cụ thể. Ngoài ra, bệnh nhân cần được cung cấp thông tin một cách rõ ràng, chính xác và đầy đủ về bản chất của dữ liệu được xử lý, mục đích của việc xử lý, hậu quả của việc từ chối hoặc chấp nhận 749
sự đồng ý, người nhận chuyển giao dữ liệu và các quyền của chủ thể dữ liệu. Ngoài tất cả các yêu cầu về sự đồng ý xuất phát từ quy định chung, sự đồng ý về quá trình xử lý dữ liệu nhạy cảm phải rõ ràng theo quy định tại Điều 9, Mục 2 (a) của GDPR. Chẳng hạn như một phòng khám thông báo với bệnh nhân rằng hồ sơ y tế của người bệnh sẽ được chuyển cho nhà nghiên cứu trừ khi người bệnh phản đối (bằng cách gọi đến đường dây nóng); thông báo này sẽ không đáp ứng yêu cầu về tính rõ ràng bởi bệnh nhân không có nghĩa vụ tự mình gọi điện thoại để thực hiện sự phản đối và sự đồng ý trong trường hợp này mang tính bắt buộc. Sự đồng ý theo phương pháp suy lý nghịch sẽ không có giá trị vì trái với yêu cầu về tính rõ ràng. Tuy nhiên, người kiểm soát dữ liệu, trong một số trường hợp, phải chứng minh được đã có sự đồng ý rõ ràng và có tính phí đối với bệnh nhân và được thông báo đầy đủ cho bệnh nhân. Trong môi trường trực tuyến, sự đồng ý rõ ràng sẽ phải được ghi lại, theo cách có thể truy cập được để tham khảo (European Commission, 2011). Chẳng hạn như để mở một hồ sơ y tế trực tuyến được cá nhân hóa, bệnh nhân phải đồng ý đánh dấu vào một ô cụ thể hoặc sử dụng chữ ký điện tử vì những phương thức này được nhìn nhận là bằng chứng mạnh mẽ. Ngoại lệ thứ hai là khi việc xử lý dữ liệu cá nhân là cần thiết để bảo vệ lợi ích thiết yếu của chủ thể dữ liệu hoặc của người khác nếu chủ thể dữ liệu không thể đồng ý do không đủ năng lực hành vi hoặc năng lực pháp luật (Điều 9, Mục 2 (c) của GDPR). Chẳng hạn như khi không thể yêu cầu sự đồng ý của chủ thể dữ liệu vì người này đang bất tỉnh (do tai nạn hoặc tình trạng bệnh lý khác) hoặc yêu cầu sự đồng ý của cha mẹ và việc xử lý là điều cần thiết để đảm bảo tính mạng cho một người. Trong bối cảnh của các hệ thống EHR, GDPR sẽ cho phép chuyên gia y tế truy cập vào thông tin được lưu trữ trong EHR để lấy thông tin chi tiết về các bệnh dị ứng đã biết của chủ thể dữ liệu vì chúng có thể mang tính quyết định đối với quá trình điều trị khi chủ thể dữ liệu đang bất tỉnh. Một ngoại lệ khác là khi việc xử lý dữ liệu là cần thiết để thiết lập, thực hiện hoặc bảo vệ các khiếu nại trong thủ tục tố tụng tại tòa án, thủ tục hành chính hoặc thủ tục ngoài tòa án và việc xử lý là quan trọng đối với một cơ quan (Điều 9, Mục 2 (f) của GDPR). Trong trường hợp này, phải có yêu cầu của một trong các bên. Một tình huống khác là khi tòa án xử lý dữ liệu di truyền để xác định nguồn gốc hoặc tình trạng sức khỏe khi một phần bằng chứng liên quan đến chi tiết về thương tích mà nạn nhân phải chịu (Council of Europe, 2018). Do đó, việc xử lý dữ liệu của các tòa án có thẩm quyền xét xử được xem là ngoại lệ trong việc xử lý dữ liệu về sức khỏe. Bên cạnh đó, việc xử lý dữ liệu liên quan đến sức khỏe vì lợi ích cộng đồng cũng là một ngoại lệ. Miễn là được luật pháp chung của châu Âu hoặc luật pháp của các quốc gia thành viên có 750
các quy định tương xứng, tôn trọng quyền bảo vệ dữ liệu và có các biện pháp bảo vệ cụ thể và phù hợp để đảm bảo quyền và lợi ích của chủ thể dữ liệu thì có thể áp dụng ngoại lệ về lợi ích cộng đồng (Điều 9, Mục 2 (g) của GDPR). Chẳng hạn như việc tạo ra các hệ thống EHR có thể tạo điều kiện tốt hơn để đảm bảo quyền được bảo vệ sức khỏe, bởi vì hành vi này nhằm mục đích thu thập dữ liệu sức khỏe của thể nhân có tầm quan trọng đối với quá trình chữa bệnh ở hiện tại và về lâu về dài và có liên quan đến việc thiết lập dịch vụ chăm sóc sức khỏe mà bệnh nhân có thể cần. Tất nhiên, hệ thống EHR cần có các biện pháp bảo vệ cụ thể và phù hợp để đảm bảo quyền và lợi ích của chủ thể dữ liệu vì chúng tạo ra các rủi ro với việc bảo vệ dữ liệu khi chúng lưu trữ tài liệu và thông tin về sức khỏe y tế và các phương pháp điều trị của một người (European Commission, 2007). Chúng có thể bao gồm các bài kiểm tra, kết quả xét nghiệm, tiền sử bệnh lý gia đình và bệnh sử của đối tượng dữ liệu, các bệnh mãn tính, thuốc được kê đơn và phương pháp điều trị. Do đó, những thông tin này có thể gây ra những rủi ro và thách thức mới đối với việc bảo vệ dữ liệu cá nhân, nên cần có những biện pháp bảo vệ dữ liệu cao hơn so với các yêu cầu tự bảo vệ thông thường. Thêm vào đó, Điều 9, Mục 2 (i) của GDPR liệt kê một số ví dụ về lý do khiến công chúng quan tâm đến lĩnh vực y tế công cộng như: bảo vệ chống lại các mối đe dọa xuyên biên giới nghiêm trọng đối với sức khỏe; đảm bảo các tiêu chuẩn cao về chất lượng và an toàn trong chăm sóc sức khoẻ và các sản phẩm thuốc hoặc thiết bị y tế. Điều khoản này được giải thích một cách hạn chế vì việc xử lý chỉ được phép thực hiện cho một mục đích cụ thể vì lợi ích công cộng trong lĩnh vực y tế công cộng chứ không nhằm bất kỳ mục đích nào khác. Theo đó, y tế công cộng bao gồm tất cả các yếu tố liên quan đến sức khỏe, bao gồm tỷ lệ mắc bệnh và khuyết tật, các yếu tố quyết định có ảnh hưởng đến tình trạng sức khỏe, nhu cầu chăm sóc sức khỏe, nguồn lực phân bổ cho chăm sóc sức khỏe, việc cung cấp và khả năng tiếp cận phổ cập tới dịch vụ chăm sóc sức khỏe cũng như chi tiêu và tài chính cho chăm sóc sức khỏe và nguyên nhân tử vong. Điều 9, Mục 2 (h) của GDPR cũng đặt ra ngoại lệ để cho phép xử lý dữ liệu vì mục đích y tế dự phòng hoặc lao động để đánh giá năng lực làm việc của nhân viên, chẩn đoán y tế, cung cấp dịch vụ y tế hoặc dịch vụ chăm sóc xã hội hoặc quản lý các hệ thống và dịch vụ y tế với chuyên gia y tế. Quá trình xử lý này tuân theo các điều kiện và biện pháp bảo vệ như người xử lý hoặc người chịu trách nhiệm xử lý phải tuân theo nghĩa vụ giữ bí mật nghề nghiệp theo luật. Ngoại lệ này được hiểu theo một cách khá hạn chế vì việc xử lý dữ liệu phải có mục đích cụ thể về y tế dự phòng hoặc lao động. Ví dụ khác cho việc áp dụng ngoại lệ này là quản lý hệ thống chăm sóc sức khỏe để đảm bảo chất lượng và hiệu quả chi phí của các thủ tục nhằm giải quyết các yêu cầu về quyền lợi và dịch vụ trong hệ thống bảo hiểm y tế. Quá trình xử lý khác không liên 751
quan trực tiếp đến các dịch vụ đó nằm ngoài phạm vi áp dụng của ngoại lệ. Chẳng hạn như việc hoàn trả chi phí theo chương trình bảo hiểm ốm đau hoặc theo đuổi các yêu cầu bồi thường bằng tiền sẽ không thuộc phạm vi áp dụng của ngoại lệ này. Một cách để đảm bảo quyền lợi của bệnh nhân và đáp ứng yêu cầu về khoa học là đặt biệt danh cho dữ liệu và dữ liệu không nên được lưu giữ lâu hơn mức cần thiết theo luật định (Council of Europe, 2018). Ngoại lệ cuối cùng được quy định tại Điều 9, Mục 2 (j) của GDPR. Ngoại lệ này liên quan đến mục đích lưu trữ vì lợi ích công cộng hoặc các mục đích nghiên cứu thống kê, lịch sử, khoa học với điều kiện là phải tuân thủ các biện pháp bảo vệ dữ liệu được quy định tại Điều 89 (1) của GDPR. GDPR công nhận tầm quan trọng của nghiên cứu trong lĩnh vực y tế và nhu cầu xử lý dữ liệu cá nhân cho mục đích nghiên cứu khoa học như một cách để đạt được những đột phá quan trọng trong lĩnh vực y tế. Các quốc gia thành viên được phép thiết lập các điều kiện và biện pháp cụ thể nhằm đảm bảo quyền của chủ thể dữ liệu, cụ thể là các biện pháp kỹ thuật nhằm tôn trọng nguyên tắc giảm thiểu ảnh hưởng tiêu cực dữ liệu, có tính đến các nguyên tắc tương xứng và cần thiết như bút danh, quyền truy cập có kiểm soát hoặc các mô hình truy cập được quản lý để kiểm soát việc sử dụng cơ sở dữ liệu nghiên cứu, xử lý dữ liệu ở nơi trú ẩn an toàn, mã hóa và quản lý khóa… Một số biện pháp có thể được áp dụng nhằm bảo vệ dữ liệu một cách thích hợp như: thông số kỹ thuật và vi phạm liên quan đến thông tin; các điều kiện liên quan đến quyền cải chính, xóa bỏ hoặc quyền được lãng quên; giới hạn hoặc phản đối việc xử lý; hạn chế về khả năng chuyển dữ liệu. GDPR đã áp dụng cách giải thích rộng rãi về nghiên cứu khoa học bao gồm việc xử lý dữ liệu cá nhân cho nghiên cứu cơ bản và ứng dụng cũng như nghiên cứu được tài trợ bởi khu vực công và khu vực tư nhân. Việc xuất bản hoặc tiết lộ dữ liệu cá nhân cho mục đích nghiên cứu khoa học phải tuân thủ các điều kiện cụ thể. 3. Kết luận và khuyến nghị Bài viết này tìm hiểu một số yêu cầu của GDPR về việc xử lý và bảo vệ dữ liệu cá nhân liên quan đến sức khỏe và một số cách thức bảo vệ chủ thể dữ liệu. Trước GDPR, Chỉ thị về Bảo vệ Dữ liệu Cá nhân của Liên minh Châu Âu đã có sự hài hòa hóa nhất định nhưng các mức độ bảo vệ lại có sự khác biệt giữa các quốc gia thành viên. Tình trạng này đã dẫn đến sự phân mảnh trong việc thực hiện chính sách bảo vệ dữ liệu cá nhân trong Liên minh Châu Âu, bóp méo sự cạnh tranh trên thị trường nội bộ và gây trở ngại cho sự phát triển của một số hoạt động kinh tế. Do đó, GDPR được ban hành để thống nhất quá trình xử lý và bảo vệ dữ liệu cá nhân, đặc biệt là các dữ liệu liên quan đến sức khỏe vì đây được xem là dữ liệu nhạy cảm và tính định danh cao. Tương tự như dữ liệu liên quan đến sức khỏe, dữ liệu di truyền cũng là một loại dữ 752
liệu nhạy cảm theo GDPR. Tuy vậy, các quy định cấm xử lý những loại dữ liệu nhạy cảm sẽ được miễn trừ khi đáp ứng một số trường hợp ngoại lệ. Từ việc khám phá một số quy định về xử lý và bảo vệ dữ liệu nói chung và dữ liệu cá nhân về sức khỏe trong GDPR, một số khuyến nghị được đề xuất cho Việt Nam như sau: Thứ nhất, Việt Nam cần ban hành một bộ tiêu chuẩn để xử lý dữ liệu liên quan đến sức khỏe để áp dụng nhất quán và đồng nhất nhằm bảo vệ những dữ liệu cá nhân đang gặp nguy hiểm. Bộ tiêu chuẩn cần phân định rõ hai quy trình khác biệt trong việc xử lý dữ liệu di truyền và dữ liệu liên quan đến sức khỏe nói chung. Điều này sẽ tạo điều kiện thuận lợi cho bệnh viện, các cơ sở y tế trong việc xử lý các dữ liệu của bệnh nhân, không bị nhầm lẫn giữa các dữ liệu thông thường về sức khỏe và dữ liệu di truyền. Thêm vào đó, việc áp dụng thống nhất một bộ tiêu chuẩn cũng giúp nước ta tránh được sự phân mảnh trong việc áp dụng nhiều mức độ bảo vệ dữ liệu khác nhau. Kinh nghiệm từ Liên minh Châu Âu cho thấy nguy cơ phân mảnh trong quá trình xử lý loại dữ liệu về sức khỏe thường dễ xảy ra nếu không áp dụng thống nhất các quy định. Sự ra đời của GDPR là nhằm thống nhất những quy định, quy trình về xử lý và bảo vệ dữ liệu nói chung, dữ liệu liên quan đến sức khỏe nói riêng. Do đó, Việt Nam cần tránh tình trạng phân mảnh trong quá trình áp dụng pháp luật về xử lý dữ liệu sức khỏe và tránh tình trạng đối xử bất bình đẳng giữa các cơ sở y tế đối với các chủ thể dữ liệu trong lĩnh vực dữ liệu liên quan đến sức khỏe. Thứ hai, Việt Nam có thể đưa ra các điều kiện và giới hạn đối với việc xử lý dữ liệu di truyền hoặc dữ liệu liên quan đến sức khỏe. Như đã phân tích ở trên, loại thông tin liên quan đến sức khỏe, đặc biệt là thông tin di truyền, có khả năng định danh cao và tiết lộ những thông tin mà chủ thể dữ liệu không muốn công khai. Do đó, cần tăng mức độ bảo vệ trong quá trình xử lý các loại dữ liệu này và khắc phục tình trạng phân mảnh do các mức độ bảo vệ dữ liệu nằm trong các văn bản quy phạm pháp luật khác nhau. Để tránh tình trạng chồng chéo, mâu thuẫn trong áp dụng các điều kiện và giới hạn đối với dữ liệu sức khỏe, chính phủ cần thiết lập các điều kiện chung chung về bảo vệ dữ liệu cá nhân một cách thống nhất. Theo đó, cần xác định dữ liệu sức khỏe nào thuộc phạm vi của dữ liệu nhạy cảm và cần được bảo vệ. Đồng thời, cần có quy định xác định rõ những ngoại lệ trong việc bảo vệ dữ liệu về sức khỏe. Có thể tham khảo các quy định trong GDPR về các ngoại lệ như vì lợi ích cộng đồng, vì lợi ích của y tế công cộng, lợi ích quốc gia hay vì chính lợi ích của bệnh nhân. Danh mục tài liệu tham khảo 753
1. Anabela, S.S.G. (2016), Dados pessoais de natureza genética – a base de dados genéticos para fins de identificação civil e a recolha e tratamento de dados genéticos para fins de saúde, André Piton e Ana Teresa Carneiro, Rei dos Livros, tr. 161-182. 2. Castro, C.S. (2005), Direito da Informática, Privacidade e Dados Pessoais, Almedina, Coimbra, tr. 65-275. 3. Council of Europe (2018), European Union Agency for Fundamental Rights, Handbook on European Protection Law, Publication Office of the European Union, Luxemburg, tr. 118. 4. Council of Europe (2016), Consultative Committee of the Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data (T-PD), Opinion on the Data protection implications of the processing of Passenger Name Records, Strasbourg, tr. 9. 5. ECR (2014), Google Spain SL, Google Inc. v Agencia Española de Protección de Datos (AEPD), Mario Costeja González, Case C131/12, 317, §28. 6. ECR (2008), Tietosuojavaltuutettu v. Satakunnan Markkinapörssi Oy and Satamedia Oy, Case C-73/07, I-09831, § 49. 7. ECR (2003), Criminal proceedings against Bodil Lindqvist, Case C-101/01, 6 November 2003, ECR 2003 I-12971, §25 và §27. 8. ECJ (2009), College van burgemeester en wethouders van Rotterdam v. M.E.E. Rijkeboer, Case C553/07, ECLI:EU:C:2009:293, § 49. 9. European Commission, (2017), Data Protection Working Party, Opinion 2/2017 on data processing at work, 17/EN WP 249, tr. 23. 10. European Commission, (2013), Data Protection Working Party, Opinion 03/2013 on purpose limitation, 00569/13/EN WP 203, tr. 12. 11. European Commission, (2011), Data Protection Working Party, Opinion 15/2011 on the definition of consent, 01197/11/EN WP187, tr. 12. 12. European Commission (2010), Data Protection Working Party, Opinion 3/2010 on the principle of accountability, 00062/10/EN WP 173, tr. 5. 13. European Commission (2007), Data Protection Working Party, Working Document on the processing of personal data relating to health in electronic health records (EHR), 00323/07/EN WP 131, tr. 8. 754
14. European Commission (2012), Safeguarding Privacy in a Connected World. A European Data Protection Framework for the 21st Century, Communication from the Commission to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions, COM 9 final, Brussels, tr. 7. 15. Svantesson, D. J. B. (2013), Extraterritoriality in Data Privacy Law, Ex Tuto Publishing, Copenhagen, tr. 39-45. 755