Quản trị dữ liệu y tế và hồ sơ bệnh án điện tử: Xây dựng bằng chứng theo Nghị định 102

Các nhóm y tế thường tổ chức quản trị dữ liệu theo từng ứng dụng. Cách làm này dễ hiểu: ứng dụng có hợp đồng, quản trị viên, người phụ trách kỹ thuật và giao diện cụ thể.

Dữ liệu y tế lại không nằm gọn trong các ranh giới đó.

Hành trình của bệnh nhân có thể đi qua khâu đăng ký, ghi chép lâm sàng, chẩn đoán, dược, thanh toán, bảo hiểm, chuyển tuyến, nghiên cứu, báo cáo và dịch vụ dành cho người bệnh. Thông tin có thể di chuyển giữa cơ sở dữ liệu y tế quốc gia, chuyên ngành và dùng chung. Nhà cung cấp công nghệ y tế hoặc dịch vụ ứng dụng sức khỏe có thể tạo hay tiếp nhận thông tin bên ngoài hồ sơ lâm sàng cốt lõi.

Nếu quản trị chỉ bắt đầu và kết thúc ở tên ứng dụng, những câu hỏi quan trọng vẫn chưa được trả lời:

• Thông tin thuộc lĩnh vực dữ liệu y tế nào?
• Đơn vị nào chịu trách nhiệm giải trình về hồ sơ?
• Nguồn dữ liệu, bên nhận và nơi lưu trữ là gì?
• Quyết định truy cập và sử dụng nào đã được phê duyệt?
• Thông tin được chuyển qua cơ chế kết nối hoặc chia sẻ nào?
• Biện pháp bảo vệ an ninh nào áp dụng cho cơ chế đó?
• Bằng chứng nào về bảo vệ dữ liệu cá nhân, quản trị dữ liệu và an ninh mạng cũng hỗ trợ hoạt động này?

Danh mục ứng dụng giúp trả lời các câu hỏi trên nhưng không thể thay thế câu trả lời. Quản trị dữ liệu y tế phải mô tả thông tin trong bối cảnh lâm sàng và tổ chức, thay vì chỉ nêu phần mềm lưu giữ thông tin.

Nghị định 102/2025/NĐ-CP là điểm tựa chuyên ngành y tế. Lớp bảo vệ dữ liệu cá nhân được hỗ trợ gồm Luật số 91/2025/QH15, Nghị định 356/2025/NĐ-CP và thủ tục hành chính có liên quan trong Quyết định 778/QĐ-BCA-A05. Danh mục dữ liệu bệnh nhân, xử lý yêu cầu quyền, đánh giá tác động xử lý, bằng chứng chuyển dữ liệu và quyết định lưu giữ cần nối với hồ sơ y tế tương ứng. Một hồ sơ theo Nghị định 102 không tự xác định được căn cứ bảo vệ dữ liệu cá nhân cho việc truy cập, chia sẻ hay tiếp tục lưu giữ.

Lớp dữ liệu rộng hơn gồm Luật Dữ liệu, Nghị định 165/2025/NĐ-CP và Quyết định 20/2025/QĐ-TTg về dữ liệu quan trọng, dữ liệu cốt lõi. Với tổ chức cung cấp sản phẩm hoặc dịch vụ dữ liệu thuộc diện điều chỉnh, cần đọc Nghị định 169/2025/NĐ-CP cùng nội dung sửa đổi tại Nghị định 347/2026/NĐ-CP. Nghị định 314/2026/NĐ-CP điều chỉnh hoạt động sàn dữ liệu, không mặc nhiên áp dụng cho mọi ứng dụng lâm sàng được gọi là “nền tảng” trong thương mại. Việc xử lý dữ liệu bệnh nhân thông thường không tự làm phát sinh một trong hai vai trò chuyên biệt này.

Nếu tổ chức vận hành, duy trì hoặc tham gia hạ tầng cơ sở dữ liệu quốc gia, chuyên ngành hay khu vực công, cần xác định riêng phạm vi áp dụng của khung cơ sở dữ liệu quốc gia và chia sẻ dữ liệu được hỗ trợ.

Lớp an ninh gồm Luật An ninh mạng số 116/2025/QH15, Nghị định 333/2026/NĐ-CP hướng dẫn thi hành, Nghị định 331/2026/NĐ-CP về bảo vệ hệ thống thông tin và Nghị định 330/2026/NĐ-CP về xử phạt trong lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân. Cần đánh giá phạm vi Nghị định 331: diện bắt buộc liên quan đến hệ thống phục vụ hoạt động cơ quan nhà nước và cung cấp dịch vụ trực tuyến cho người dân, doanh nghiệp; các chủ thể khác được khuyến khích áp dụng. Phải giữ đúng quy định chuyển tiếp liên quan đến hồ sơ phê duyệt cấp độ hệ thống đã có. Nghị định 363/2026/NĐ-CP về xử phạt trong lĩnh vực dữ liệu được hỗ trợ ở trạng thái sắp có hiệu lực đến ngày 11 tháng 11 năm 2026, không được dùng làm căn cứ xử phạt hiện hành trước thời điểm đó.

Dữ liệu y tế liên quan đến bí mật nhà nước phải được xem xét riêng. Nghị định 102 loại trừ dữ liệu y tế liên quan đến bí mật nhà nước khỏi phạm vi điều chỉnh. Nếu có phân loại này, cần đánh giá Luật Bảo vệ bí mật nhà nước và Nghị định 63/2026/NĐ-CP áp dụng, thay vì coi hồ sơ theo Nghị định 102 là khung điều chỉnh.

Hồ sơ điện tử, chữ ký và định danh cần bằng chứng riêng. Nội dung được hỗ trợ về Luật Giao dịch điện tử và Nghị định 23/2025/NĐ-CP về dịch vụ tin cậy có thể hỗ trợ rà soát hồ sơ đã ký. Khung căn cước, định danh gồm Luật Căn cước số 26/2023/QH15, Nghị định 69/2024/NĐ-CP và Nghị định 320/2026/NĐ-CP. Liên kết tới những nội dung này không có nghĩa ComplianceOne ký hồ sơ lâm sàng, xác minh căn cước quốc gia hoặc kết nối với hệ thống EHR hay dịch vụ định danh đang vận hành.

AI trong y tế cần một hồ sơ quyết định riêng. Luật Trí tuệ nhân tạo, Nghị định 142/2026/NĐ-CP, Thông tư 05/2026 và Quyết định 33/2026/QĐ-TTg hỗ trợ việc đánh giá riêng hệ thống được triển khai, nhóm phân loại, điều kiện, trường hợp loại trừ và kết quả phân loại do con người phê duyệt. Môi trường y tế không tự làm mọi hệ thống AI trở thành hệ thống rủi ro cao. Bằng chứng về phân loại, giám sát và sự cố cần truy vết được về hoạt động dữ liệu y tế liên quan.

Hồ sơ y tế cung cấp bối cảnh chuyên ngành; mỗi khung áp dụng vẫn giữ người phụ trách, quyết định và bằng chứng riêng. Không một phê duyệt, mẫu đánh giá mức độ sẵn sàng hay tệp đính kèm dùng chung nào chứng minh được việc tuân thủ toàn bộ các khung.

Một mô hình vận hành hữu ích kết nối sáu nhóm công việc: kiểm kê, ánh xạ lĩnh vực dữ liệu, xác định trách nhiệm đối với cơ sở dữ liệu, phê duyệt truy cập và sử dụng, bằng chứng kết nối và chia sẻ, cùng khả năng truy vết giữa các khung pháp lý.

Các nhóm công việc cần hỗ trợ lẫn nhau. Danh mục cho biết những gì đang có. Ánh xạ lĩnh vực bổ sung bối cảnh y tế. Quản trị cơ sở dữ liệu xác định trách nhiệm kiểm soát. Hồ sơ truy cập giải thích việc sử dụng được cho phép. Hồ sơ chia sẻ giải thích việc chuyển thông tin ra bên ngoài. Liên kết giữa các khung giúp tránh lập đi lập lại tài liệu cho cùng một biện pháp bảo vệ.

Nghị định 102 đặt ra nghĩa vụ cụ thể về kết nối, chia sẻ và liên thông dữ liệu y tế của cơ sở y tế hoạt động hợp pháp tại Việt Nam với sổ sức khỏe điện tử tích hợp trên ứng dụng định danh quốc gia. ComplianceOne không thực hiện việc tích hợp vào hệ thống đang vận hành. Nền tảng quản trị bằng chứng quanh nghĩa vụ đó: người chịu trách nhiệm, phạm vi, hệ thống nguồn, bằng chứng triển khai, rà soát kỹ thuật và an ninh, khoảng trống chưa giải quyết, phê duyệt và lịch sử rà soát.

Bằng chứng có thể đến từ kiểm thử kỹ thuật, kiến trúc, rà soát an ninh, nghiệm thu vận hành và phê duyệt quản trị. Nền tảng tổ chức và liên kết tài liệu; tổ chức chịu trách nhiệm quyết định tài liệu chứng minh được điều gì.

Một đợt rà soát hữu ích cần kiểm tra mối liên hệ và mức độ cập nhật, thay vì chỉ kiểm tra tài liệu có tồn tại hay không.

Người rà soát có thể hỏi:

1. Mỗi hoạt động dữ liệu y tế quan trọng đã có người chịu trách nhiệm và ngày rà soát còn phù hợp chưa?
2. Nguồn, bên nhận và nơi lưu trữ có khớp luồng dữ liệu thực tế không?
3. Cơ sở dữ liệu quốc gia, chuyên ngành và dùng chung có hồ sơ kiểm soát riêng không?
4. Quyết định truy cập và sử dụng có nối được với cả phê duyệt lẫn bằng chứng kỹ thuật không?
5. Thỏa thuận chia sẻ có nêu bên nhận và biện pháp bảo vệ đang dùng không?
6. Bằng chứng tích hợp EHR và VNeID có được phân biệt rõ với chức năng lâm sàng hay việc tích hợp đã hoàn tất không?
7. Hồ sơ y tế có nối với bằng chứng liên quan về bảo vệ dữ liệu cá nhân, dữ liệu và an ninh mạng mà không sao chép trùng lặp không?

Tổ chức cũng cần thận trọng khi gọi một tài liệu là biểu mẫu chính thức. Trong phạm vi văn bản Công báo của Nghị định 102, phụ lục và tài liệu thủ tục của Bộ Y tế được dẫn chiếu đã kiểm tra, chưa xác minh được biểu mẫu chính thức. Chín mẫu trong ComplianceOne là tài liệu làm việc nội bộ để tổ chức bằng chứng, không phải biểu mẫu của cơ quan nhà nước.

Phân biệt này bảo vệ tính toàn vẹn của bộ hồ sơ bằng chứng. Việc dùng lặp đi lặp lại một mẫu nội bộ hữu ích không khiến mẫu đó có giá trị chính thức. Có thể tìm hiểu thêm tại mô-đun Biểu mẫu tuân thủ.

Sự thận trọng tương tự áp dụng cho mức phạt tiền. ComplianceOne không ghi nhận mức tiền phạt cho văn bản này. Tổ chức cần xác nhận vấn đề xử phạt bằng nguồn pháp luật có thẩm quyền và tư vấn chuyên môn phù hợp, thay vì lấy một con số không có nguồn từ bản tóm tắt tuân thủ.