Rò rỉ dữ liệu bệnh án: quyền yêu cầu xử lý của người bệnh

Cơ sở pháp lý điều chỉnh việc bảo mật bệnh án

Hồ sơ bệnh án chứa thông tin về tình trạng sức khỏe, chẩn đoán, điều trị, lịch sử bệnh và nhiều dữ liệu cá nhân khác của người bệnh. Theo khoản 2 Điều 69 Luật Khám bệnh, chữa bệnh 2023, hồ sơ bệnh án phải được lưu giữ và giữ bí mật theo quy định của pháp luật; trường hợp thuộc phạm vi bí mật nhà nước thì áp dụng pháp luật về bảo vệ bí mật nhà nước. Quy định này đặt ra nghĩa vụ pháp lý trực tiếp đối với cơ sở khám bệnh, chữa bệnh, người hành nghề và các chủ thể có liên quan trong quá trình tiếp cận, lưu trữ, khai thác hồ sơ.

Đồng thời, theo khoản 2 Điều 35 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân được bảo vệ bằng các nguyên tắc chặt chẽ về mục đích, phạm vi xử lý, tính chính xác, an toàn và giới hạn chia sẻ. Dữ liệu sức khỏe thuộc nhóm dữ liệu cá nhân nhạy cảm, nên việc thu thập, sử dụng, cung cấp hoặc để lộ dữ liệu này phải tuân thủ điều kiện pháp luật nghiêm ngặt hơn so với dữ liệu thông thường. Từ 01/01/2026, Nghị định 356/2025/NĐ-CP là văn bản hướng dẫn quan trọng để triển khai Luật Bảo vệ dữ liệu cá nhân 2025.

Khi nào được coi là rò rỉ dữ liệu bệnh án

Rò rỉ dữ liệu bệnh án là việc thông tin bệnh án bị tiết lộ, truyền đưa, công khai, chuyển giao hoặc để bên không có thẩm quyền tiếp cận trái phép. Tình trạng này bao gồm cả việc đăng tải nhầm hồ sơ lên hệ thống công khai, gửi sai người nhận, để lộ dữ liệu do lỗ hổng bảo mật, hoặc nhân viên y tế tự ý cung cấp thông tin cho bên thứ ba không được phép. Hành vi vi phạm không phụ thuộc vào việc cơ sở y tế có chủ ý gây hại hay không, mà chủ yếu được xác định trên hậu quả và việc không tuân thủ nghĩa vụ bảo mật.

Trong thực tiễn, nhiều vụ việc không dừng ở việc “mất dữ liệu” mà còn dẫn đến xâm phạm danh dự, bị kỳ thị, bị quấy rối hoặc ảnh hưởng đến quan hệ lao động, gia đình, bảo hiểm và giao dịch dân sự của người bệnh. Vì vậy, khi phát hiện dấu hiệu rò rỉ, cần coi đây là sự kiện pháp lý nghiêm trọng, không phải sai sót kỹ thuật thông thường. Cách ứng xử pháp lý phải dựa trên quyền yêu cầu xử lý vi phạm và quyền yêu cầu bồi thường thiệt hại.

Người bệnh có thể yêu cầu cơ sở y tế thực hiện những gì

1. Chấm dứt hành vi vi phạm và bảo toàn chứng cứ

Người bệnh có quyền yêu cầu cơ sở y tế ngay lập tức dừng việc khai thác, chia sẻ hoặc phát tán dữ liệu bệnh án trái phép, đồng thời áp dụng biện pháp ngăn chặn hậu quả lan rộng. Cơ sở y tế phải rà soát nguyên nhân, khóa quyền truy cập, thu hồi dữ liệu đã chia sẻ sai phạm vi và thông báo biện pháp khắc phục bằng văn bản. Việc yêu cầu bảo toàn nhật ký hệ thống, email, tin nhắn, tệp lưu trữ và danh sách người đã truy cập là cần thiết để phục vụ xử lý sau đó.

2. Xác định trách nhiệm và thông báo cho người bị ảnh hưởng

Theo các nguyên tắc bảo vệ dữ liệu cá nhân, bên kiểm soát dữ liệu phải thông báo sự cố khi có vi phạm gây rủi ro cho chủ thể dữ liệu. Người bệnh có quyền yêu cầu cơ sở y tế cho biết thời điểm xảy ra sự cố, loại dữ liệu bị lộ, phạm vi người nhận dữ liệu, nguyên nhân và biện pháp đã thực hiện. Việc minh bạch thông tin giúp người bệnh đánh giá mức độ nguy hại và chuẩn bị các yêu cầu pháp lý tiếp theo.

3. Xin lỗi, cải chính và xin gỡ bỏ dữ liệu

Nếu dữ liệu bệnh án bị công khai sai hoặc cung cấp sai đối tượng, người bệnh có quyền yêu cầu gỡ bỏ, thu hồi và cải chính nội dung. Trong trường hợp việc công khai gây ảnh hưởng danh dự, nhân phẩm, cơ sở y tế phải thực hiện xin lỗi, cải chính theo yêu cầu hợp pháp của người bị xâm phạm. Đây là biện pháp khắc phục phi tài sản có ý nghĩa quan trọng, đặc biệt khi thông tin y tế đã lan truyền trên môi trường số.

4. Bồi thường thiệt hại

Theo Điều 584 và Điều 592 Bộ luật Dân sự 2015, người gây thiệt hại do xâm phạm danh dự, nhân phẩm, uy tín phải bồi thường thiệt hại vật chất và bù đắp tổn thất tinh thần theo luật định. Nếu rò rỉ bệnh án làm phát sinh chi phí điều trị, chi phí khắc phục hậu quả, chi phí thuê luật sư, thiệt hại thu nhập hoặc ảnh hưởng danh dự, người bệnh có thể yêu cầu bồi thường tương ứng. Cơ sở y tế phải chịu trách nhiệm dân sự nếu chứng minh được hành vi vi phạm, thiệt hại thực tế và mối quan hệ nhân quả.

Người bệnh nên gửi yêu cầu đến cơ quan nào

Trước hết, người bệnh nên gửi yêu cầu bằng văn bản đến người đứng đầu cơ sở khám bệnh, chữa bệnh để yêu cầu giải trình và khắc phục. Văn bản cần nêu rõ dữ liệu bị lộ, thời điểm phát hiện, thiệt hại đã xảy ra và yêu cầu cụ thể như gỡ bỏ, xin lỗi, bảo toàn chứng cứ, bồi thường hoặc cung cấp thông tin điều tra nội bộ. Cách làm này vừa tạo dấu vết pháp lý vừa giúp xác định rõ thái độ xử lý của cơ sở y tế.

Nếu cơ sở y tế không xử lý thỏa đáng, người bệnh có thể khiếu nại đến cơ quan quản lý nhà nước về y tế hoặc đề nghị cơ quan có thẩm quyền về bảo vệ dữ liệu cá nhân xem xét hành vi vi phạm. Trường hợp có dấu hiệu xâm phạm nghiêm trọng danh dự, quyền riêng tư hoặc chiếm đoạt, tiết lộ trái phép dữ liệu, người bệnh có quyền tố giác để xem xét trách nhiệm hành chính, dân sự hoặc hình sự tùy tính chất vụ việc. Việc lựa chọn kênh xử lý nên căn cứ vào mức độ thiệt hại và khả năng chứng minh.

Trách nhiệm pháp lý của cơ sở y tế và cá nhân liên quan

Cơ sở y tế phải tổ chức hệ thống bảo mật, phân quyền truy cập, kiểm soát sao chép và quản lý hồ sơ bệnh án theo đúng nghĩa vụ bảo vệ thông tin người bệnh. Theo khoản 5 Điều 69 Luật Khám bệnh, chữa bệnh 2023, người hành nghề và các chủ thể sử dụng thông tin trong hồ sơ bệnh án chỉ được sử dụng đúng mục đích đã đề nghị với cơ sở khám bệnh, chữa bệnh và phải giữ bí mật thông tin. Nếu để xảy ra vi phạm, cơ sở y tế không thể viện dẫn lý do kỹ thuật chung chung để loại trừ trách nhiệm.

Tùy tính chất hành vi, cá nhân hoặc tổ chức vi phạm còn có thể bị xử phạt vi phạm hành chính theo pháp luật về bảo vệ dữ liệu cá nhân và an ninh mạng, nhất là đối với hành vi thu thập, sử dụng, tiết lộ dữ liệu cá nhân trái phép. Nếu hành vi đủ yếu tố cấu thành tội phạm, cơ quan tiến hành tố tụng có thể xem xét trách nhiệm hình sự theo Bộ luật Hình sự 2015, sửa đổi 2017, trong các trường hợp xâm phạm bí mật thư tín, đời tư hoặc sử dụng mạng máy tính, mạng viễn thông để chiếm đoạt, công khai trái phép thông tin. Việc xử lý theo nhiều tầng trách nhiệm không loại trừ lẫn nhau.

Người bệnh cần chuẩn bị những gì khi yêu cầu xử lý

Người bệnh nên lưu giữ toàn bộ chứng cứ gồm ảnh chụp màn hình, đường dẫn, email, tin nhắn, thông báo từ cơ sở y tế, bản sao bệnh án, hóa đơn chi phí phát sinh và lời khai của người biết sự việc. Nên lập mốc thời gian phát hiện, thời gian lan truyền và tác động cụ thể đối với đời sống, công việc hoặc sức khỏe tinh thần. Chứng cứ càng đầy đủ thì khả năng được xử lý càng cao và yêu cầu bồi thường càng có cơ sở.

Trong đơn yêu cầu, cần nêu rõ căn cứ pháp lý, hành vi bị phản ánh, hậu quả, yêu cầu giải quyết và thời hạn trả lời. Nếu vụ việc phức tạp, nên yêu cầu cơ sở y tế lập biên bản sự cố dữ liệu, thông báo phạm vi ảnh hưởng và cung cấp đầu mối phụ trách xử lý khiếu nại. Việc trình bày ngắn gọn, chính xác, có hệ thống sẽ tăng hiệu quả của quá trình giải quyết.

Kết luận

Rò rỉ dữ liệu bệnh án không chỉ là lỗi vận hành mà là hành vi xâm phạm nghĩa vụ bảo mật được pháp luật bảo vệ nghiêm ngặt. Người bệnh có quyền yêu cầu chấm dứt vi phạm, gỡ bỏ dữ liệu, xin lỗi, bồi thường và đề nghị cơ quan có thẩm quyền xử lý theo đúng tính chất vụ việc. Trong bối cảnh dữ liệu sức khỏe được xếp vào nhóm dữ liệu nhạy cảm, việc chủ động bảo vệ quyền riêng tư và theo đuổi trách nhiệm pháp lý là biện pháp cần thiết để bảo đảm công bằng cho người bệnh.

Tài liệu tham khảo

• Luật Khám bệnh, chữa bệnh số 15/2023/QH15.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
• Nghị định số 356/2025/NĐ-CP quy định chi tiết thi hành Luật Bảo vệ dữ liệu cá nhân.
• Bộ luật Dân sự năm 2015.
• Bộ luật Hình sự năm 2015, sửa đổi, bổ sung năm 2017.
• Nghị định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân áp dụng từ năm 2026.