HIS (quản lý bệnh viện), LIS (xét nghiệm), PACS (hình ảnh) là “bộ ba” số hóa bệnh viện — nhưng đa số tranh chấp CNTT y tế không nằm ở công nghệ, mà ở hợp đồng ký ẩu.
Triển khai bệnh án điện tử cần gì?
Ngoài hạ tầng và phần mềm, bệnh viện cần hợp đồng triển khai ghi rõ: phạm vi công việc (phân hệ nào, tích hợp với hệ thống cũ ra sao), mốc nghiệm thu đo được (không phải “chạy thử ổn định”), thời gian bảo hành, hỗ trợ vận hành, và điều khoản bàn giao mã nguồn/tài liệu khi chấm dứt. Nhiều bệnh viện “mắc kẹt” với nhà cung cấp vì hợp đồng không quy định quyền khai thác dữ liệu và điều kiện chuyển đổi nhà cung cấp (exit plan).
Thuê ngoài vận hành hệ thống CNTT bệnh viện?
Được — nhưng dữ liệu bệnh nhân không được “thuê ngoài” trách nhiệm. Hợp đồng dịch vụ CNTT phải có điều khoản bảo mật: nhà thầu chỉ được truy cập dữ liệu ở mức cần thiết, cấm sao chép ra ngoài, chịu trách nhiệm khi rò rỉ. Theo Luật Khám bệnh, chữa bệnh 2023 và Nghị định 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân (hiệu lực 01/01/2026), bệnh viện là bên kiểm soát dữ liệu — rò rỉ hồ sơ bệnh án do lỗi nhà thầu, bệnh viện vẫn phải chịu trách nhiệm trước người bệnh rồi mới đòi bồi thường nhà thầu.
Bảo mật dữ liệu bệnh viện: nghĩa vụ gì
Bệnh viện phải áp dụng biện pháp bảo vệ dữ liệu cá nhân tương xứng với mức độ nhạy cảm của dữ liệu sức khỏe: phân quyền truy cập, mã hóa, nhật ký truy cập, đánh giá an ninh định kỳ. Rò rỉ dữ liệu bệnh nhân quy mô lớn vừa bị xử phạt hành chính vừa phát sinh trách nhiệm bồi thường — và mất niềm tin thì không có bảo hiểm nào đền được.
Câu hỏi thường gặp
Nhà cung cấp phần mềm giữ dữ liệu bệnh viện để 'tống tiền' phí duy trì?
Dữ liệu thuộc về bệnh viện. Hợp đồng phải quy định rõ quyền sở hữu dữ liệu và nghĩa vụ bàn giao khi chấm dứt; giữ dữ liệu để ép giá là vi phạm hợp đồng, bệnh viện có thể khởi kiện và yêu cầu bồi thường.
HIS bị sập làm mất dữ liệu khám bệnh thì ai chịu?
Nhà cung cấp chịu trách nhiệm theo cam kết về độ sẵn sàng (SLA) và sao lưu trong hợp đồng; bệnh viện chịu trách nhiệm với người bệnh về việc mất hồ sơ. Hợp đồng tốt phải có điều khoản sao lưu, khôi phục thảm họa (DR).
Bác sĩ truy cập hồ sơ bệnh nhân không phải của mình có vi phạm?
Có. Truy cập dữ liệu sức khỏe ngoài phạm vi công việc là vi phạm nghĩa vụ bảo mật; bệnh viện phải xử lý kỷ luật và có thể phải báo cáo vi phạm dữ liệu theo quy định.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng