Pháp luật về khoa học giáo dục
TÌNH HUỐNG SỐ 545: X-QUANG PHỔI CỦA BỆNH NHÂN NHIỄM LAO BỊ SỬ DỤNG ĐỂ QUẢNG CÁO: RANH GIỚI GIỮA QUẢN TRỊ DỮ LIỆU Y TẾ VÀ KHAI THÁC THƯƠNG MẠI
Th9
TÌNH HUỐNG SỐ 545: X-QUANG PHỔI CỦA BỆNH NHÂN NHIỄM LAO BỊ SỬ DỤNG ĐỂ QUẢNG CÁO: RANH GIỚI GIỮA QUẢN TRỊ DỮ LIỆU Y TẾ VÀ KHAI THÁC THƯƠNG MẠI
I. TÓM TẮT TÌNH HUỐNG THỰC TẾ
Một bệnh nhân đến khám tại bệnh viện đa khoa quốc tế và được chỉ định chụp X-quang phổi. Kết quả chuyên môn cho thấy người bệnh nhiễm lao. Hình ảnh X-quang được lưu giữ trong hồ sơ bệnh án và hệ thống dữ liệu của bệnh viện.
Sau đó, bộ phận truyền thông – marketing của bệnh viện lấy chính hình ảnh X-quang này làm tư liệu minh họa cho chiến dịch quảng cáo gói tầm soát sức khỏe trên mạng xã hội.
Người bệnh phát hiện hình ảnh của mình xuất hiện trong quảng cáo nhưng không được thông báo, không được hỏi ý kiến và không đồng ý cho bệnh viện sử dụng hình ảnh hoặc thông tin sức khỏe vào mục đích quảng cáo thương mại.
Vấn đề pháp lý cốt lõi không nằm ở việc bệnh viện có quyền lưu giữ hình ảnh X-quang hay không, mà nằm ở câu hỏi:
Quyền lưu giữ và khai thác hồ sơ bệnh án phục vụ khám, chữa bệnh có đồng nghĩa với quyền sử dụng dữ liệu sức khỏe của người bệnh cho mục đích quảng cáo thương mại hay không?
Câu trả lời cần được phân tích theo từng lớp pháp luật. Về nguyên tắc, không thể mặc nhiên đồng nhất hai mục đích này.
Điều 69 Luật Khám bệnh, chữa bệnh 2023 yêu cầu hồ sơ bệnh án phải được lưu giữ và giữ bí mật; người được khai thác hồ sơ cũng phải giữ bí mật và sử dụng đúng mục đích đã đề nghị.
II. GÓC NHÌN PHÁP LÝ – “LÁ CHẮN VỮNG CHẮC”
- Xác định hình ảnh X-quang là dữ liệu có liên quan đến người bệnh
Hình ảnh X-quang tự thân có thể không luôn luôn trực tiếp xác định danh tính một cá nhân. Tuy nhiên, khi hình ảnh được lưu trong hồ sơ bệnh án và có thể liên kết với tên, mã hồ sơ, thời gian khám, kết quả chẩn đoán hoặc các thông tin khác của người bệnh thì phải xem xét nó trong tổng thể dữ liệu về người bệnh.
Đặc biệt, khi hình ảnh được sử dụng cùng thông tin “bệnh nhân nhiễm lao”, mức độ nhạy cảm của thông tin tăng lên đáng kể.
Theo Nghị định 13/2023/NĐ-CP, dữ liệu về sức khỏe thuộc nhóm dữ liệu cá nhân nhạy cảm. Vì vậy, việc đưa dữ liệu sức khỏe từ môi trường khám chữa bệnh sang môi trường quảng cáo phải được kiểm soát nghiêm ngặt
- Quyền được giữ bí mật thông tin của người bệnh
Luật Khám bệnh, chữa bệnh 2023 dành riêng một nhóm quyền cho người bệnh. Trong đó, người bệnh được tôn trọng bí mật riêng tư và được giữ bí mật thông tin trong hồ sơ bệnh án cũng như thông tin khác về đời tư đã cung cấp trong quá trình khám bệnh, chữa bệnh, trừ những trường hợp luật cho phép hoặc người bệnh đồng ý. Đây là căn cứ trực tiếp và quan trọng nhất đối với tình huống.
Bên cạnh đó, Điều 69 Luật Khám bệnh, chữa bệnh 2023 quy định hồ sơ bệnh án phải được lưu giữ và giữ bí mật; các chủ thể được khai thác hồ sơ phải giữ bí mật và sử dụng đúng mục đích đã đề nghị.
Do đó:Bệnh viện có quyền quản lý hồ sơ bệnh án để thực hiện chức năng khám chữa bệnh không có nghĩa bệnh viện có quyền tự do khai thác thương mại mọi thông tin chứa trong hồ sơ. Đây chính là ranh giới pháp lý quan trọng của tình huống.
- Quyền đối với hình ảnh theo Điều 32 Bộ luật Dân sự 2015
Điều 32 Bộ luật Dân sự 2015 xác lập quyền của cá nhân đối với hình ảnh.Về nguyên tắc, việc sử dụng hình ảnh của cá nhân phải được người đó đồng ý, trừ trường hợp pháp luật có quy định khác.
Trong tình huống này cần phân biệt hai sự đồng ý: Một là, người bệnh đồng ý chụp X-quang để phục vụ chẩn đoán; Hai là, người bệnh đồng ý cho sử dụng hình ảnh X-quang để quảng cáo.
Hai mục đích này không mặc nhiên đồng nhất. Nếu bệnh viện không chứng minh được người bệnh đã đồng ý sử dụng hình ảnh cho mục đích quảng cáo, việc lấy hình ảnh từ hồ sơ bệnh án để phục vụ hoạt động marketing có thể bị xem xét là sử dụng hình ảnh vượt quá phạm vi được phép.
Đặc biệt, nếu quảng cáo nhằm trực tiếp thu hút khách hàng mua gói tầm soát, yếu tố mục đích thương mại càng cần được xem xét.
- Quyền về đời sống riêng tư và bí mật cá nhân
Điều 38 Bộ luật Dân sự 2015 bảo vệ đời sống riêng tư, bí mật cá nhân và bí mật gia đình. Trong trường hợp này, thông tin về việc một người mắc bệnh lao là thông tin sức khỏe có mức độ riêng tư cao. Ngay cả khi bệnh viện không đăng tên người bệnh, vẫn cần xem xét khả năng nhận diện trực tiếp hoặc gián tiếp thông qua:
- hình ảnh X-quang;
- mã bệnh án;
- thời gian khám;
- nội dung bài viết;
- thông tin đi kèm;
- bình luận của người dùng;
- các dữ liệu khác mà bệnh viện hoặc bên thứ ba đang nắm giữ.
Vì vậy, lập luận “không ghi tên nên không vi phạm” là chưa đủ cơ sở.
- Nghị định 13/2023/NĐ-CP và nguyên tắc giới hạn mục đích
Một điểm đặc biệt quan trọng của tình huống là chuyển mục đích sử dụng dữ liệu.
Ban đầu, dữ liệu được thu thập trong quá trình: khám bệnh → chẩn đoán → điều trị.
Sau đó, bệnh viện chuyển dữ liệu sang:marketing → quảng cáo → thu hút khách hàng → mục đích thương mại.
Đây là sự thay đổi mục đích xử lý dữ liệu cần được đánh giá độc lập. Nghị định 13/2023/NĐ-CP đặt ra các nguyên tắc về xử lý dữ liệu cá nhân, trong đó có yêu cầu xử lý đúng quy định, đúng mục đích và bảo đảm quyền của chủ thể dữ liệu.
Do đó, bệnh viện phải chứng minh được căn cứ hợp pháp cho việc xử lý và sử dụng dữ liệu vào mục đích quảng cáo, thay vì chỉ chứng minh rằng mình đã hợp pháp có được dữ liệu từ hoạt động khám chữa bệnh. Đây là hai vấn đề pháp lý hoàn toàn khác nhau.
- Điều khoản hợp đồng – “lá chắn” nhưng không phải “giấy phép tuyệt đối”
Để quản trị rủi ro, hợp đồng hoặc điều kiện sử dụng dịch vụ của bệnh viện nên có điều khoản riêng về dữ liệu. Điều khoản đề xuất điều khoản bảo mật và sử dụng hình ảnh người bệnh
Bệnh viện có trách nhiệm bảo mật thông tin cá nhân, thông tin sức khỏe, hình ảnh, kết quả xét nghiệm, kết quả chẩn đoán và hồ sơ bệnh án của người bệnh theo quy định pháp luật.
Việc người bệnh cung cấp thông tin và hình ảnh cho bệnh viện nhằm mục đích khám bệnh, chữa bệnh không được mặc nhiên hiểu là sự đồng ý cho bệnh viện sử dụng các thông tin, hình ảnh đó vào mục đích quảng cáo, truyền thông hoặc thương mại.
Trường hợp sử dụng hình ảnh hoặc thông tin của người bệnh cho mục đích quảng cáo, bệnh viện phải xác lập căn cứ pháp lý phù hợp và thực hiện việc thông báo, xin sự đồng ý hoặc các thủ tục cần thiết theo quy định pháp luật hiện hành.
Đơn vị quảng cáo, truyền thông hoặc bên thứ ba được tiếp cận dữ liệu người bệnh chỉ được xử lý dữ liệu trong phạm vi công việc được bệnh viện phê duyệt và phải bảo đảm nghĩa vụ bảo mật, bảo vệ dữ liệu.
Ý nghĩa pháp lý điều khoản này giúp xác lập rõ ranh giới giữa: khám chữa bệnh – nghiên cứu – đào tạo – quảng cáo – thương mại.
Đồng thời, hợp đồng với công ty marketing cần quy định rõ:
- mục đích xử lý;
- phạm vi dữ liệu;
- người được quyền truy cập;
- thời hạn lưu trữ;
- cấm sử dụng lại;
- cấm chuyển giao;
- nghĩa vụ xóa/hoàn trả dữ liệu;
- trách nhiệm khi xảy ra sự cố;
- cơ chế bồi thường.
Tuy nhiên, không thể dùng một điều khoản hợp đồng chung chung để hợp pháp hóa hành vi trái với quy định bắt buộc của pháp luật.
- Trách nhiệm dân sự và bồi thường
Nếu có hành vi xâm phạm quyền đối với hình ảnh, đời sống riêng tư, danh dự, nhân phẩm hoặc uy tín và đáp ứng các điều kiện phát sinh trách nhiệm dân sự, người bệnh có thể yêu cầu bảo vệ quyền lợi theo Bộ luật Dân sự.
- Các căn cứ trọng tâm gồm:
Điều 32 – quyền đối với hình ảnh;
Điều 38 – quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
Điều 584 – căn cứ phát sinh trách nhiệm bồi thường thiệt hại;
Điều 585 – nguyên tắc bồi thường;
Điều 592 – thiệt hại do danh dự, nhân phẩm, uy tín bị xâm phạm.
- Thiệt hại có thể được xem xét ở hai nhóm:
Thiệt hại vật chất: Nếu có căn cứ chứng minh:
- chi phí hợp lý để khắc phục hậu quả;
- tổn thất thu nhập;
- chi phí phát sinh trực tiếp do hành vi vi phạm;
- các thiệt hại vật chất khác theo quy định.
Tổn thất tinh thần: Đây là điểm đặc biệt đáng chú ý đối với người bệnh nhiễm lao. Việc thông tin sức khỏe bị đưa lên mạng xã hội có thể tạo nguy cơ:
- kỳ thị;
- xa lánh;
- ảnh hưởng quan hệ xã hội;
- ảnh hưởng công việc;
- tổn thương danh dự;
- lo lắng, mặc cảm.
Tuy nhiên, không nên mặc nhiên kết luận một mức bồi thường cụ thể. Mức bồi thường phải dựa trên chứng cứ, mức độ xâm phạm và quy định pháp luật áp dụng.
III. GÓC NHÌN TÂM LÝ – GIÁO DỤC – QUẢN TRỊ – “CHÌA KHÓA NHÂN VĂN”
- Người bệnh không phải là “nguồn tài nguyên marketing”
Đây là vấn đề sâu hơn một tranh chấp về dữ liệu. Người bệnh đến bệnh viện trong trạng thái cần được bảo vệ. Họ trao cho bệnh viện những thông tin mà trong nhiều trường hợp không muốn công khai với người khác. Vì vậy, quan hệ bệnh viện – người bệnh được xây dựng trên nền tảng niềm tin.
Khi dữ liệu bệnh án bị chuyển thành công cụ quảng cáo mà không có sự đồng ý phù hợp, người bệnh có thể cảm nhận rằng: Thông tin được trao để chữa bệnh đã bị chuyển thành tài sản phục vụ hoạt động kinh doanh. Đây là nguy cơ rất lớn đối với niềm tin vào cơ sở y tế.
- Đặc biệt phải chú ý nguy cơ kỳ thị đối với bệnh nhân lao
Bệnh lao không chỉ là vấn đề chuyên môn y tế. Việc tiết lộ tình trạng nhiễm lao có thể tác động đến:
- tâm lý người bệnh;
- quan hệ gia đình;
- quan hệ xã hội;
- môi trường làm việc;
- quyền kiểm soát thông tin cá nhân.
Do đó, việc sử dụng hình ảnh X-quang của người bệnh lao trong quảng cáo phải được đánh giá thận trọng hơn việc sử dụng một hình ảnh y tế thông thường.
- Lỗ hổng quản trị nằm ở đâu?
Một sự cố như trên thường không chỉ xuất phát từ một cá nhân.
Nó có thể cho thấy sự thiếu hụt trong cả chuỗi quản trị: Hồ sơ bệnh án🡪Phân quyền truy cập🡪Nhân viên y tế🡪Marketing_--> Đơn vị quảng cáo🡪Mạng xã hội
Nếu không có “điểm kiểm soát” pháp lý ở giữa, dữ liệu y tế có thể từ một hệ thống chuyên môn chuyển sang hệ thống thương mại chỉ bằng vài thao tác.
- Mô hình quản trị 5 lớp đề xuất
Lớp 1 – Phân quyền
Không phải nhân viên bệnh viện nào cũng được truy cập hình ảnh bệnh án.
Lớp 2 – Phê duyệt
Mọi hình ảnh có nguồn từ hồ sơ bệnh án phải được pháp chế kiểm tra trước khi sử dụng truyền thông.
Lớp 3 – Đồng ý
Nếu cần sự đồng ý của người bệnh, phải có cơ chế thu thập và lưu trữ chứng cứ về sự đồng ý.
Lớp 4 – Kiểm soát bên thứ ba
Công ty marketing chỉ được nhận dữ liệu tối thiểu cần thiết và bị ràng buộc bởi nghĩa vụ bảo mật.
Lớp 5 – Kiểm toán
Định kỳ kiểm tra:
- ai truy cập dữ liệu;
- ai tải xuống;
- ai chuyển dữ liệu;
- dữ liệu được sử dụng ở đâu;
- khi nào dữ liệu bị xóa.
IV. GIẢI PHÁP TOÀN DIỆN CỦA CHUYÊN GIA NGUYỄN HỮU LONG
- Quy trình dành cho người bệnh
Bước 1 – Bảo toàn chứng cứ
Người bệnh cần lưu:
- ảnh chụp màn hình;
- đường dẫn bài quảng cáo;
- thời điểm đăng;
- tên tài khoản;
- nội dung quảng cáo;
- hình ảnh X-quang;
- lượt chia sẻ/bình luận nếu có.
Bước 2 – Yêu cầu bệnh viện gỡ bỏ
Gửi văn bản yêu cầu:
- Ngừng sử dụng hình ảnh.
- Gỡ bài quảng cáo.
- Dừng quảng cáo trả phí.
- Yêu cầu đối tác marketing gỡ nội dung.
- Không tiếp tục sao chép hoặc sử dụng hình ảnh.
Bước 3 – Yêu cầu giải trình
Đề nghị bệnh viện trả lời:
- Ai đã lấy hình ảnh?
- Ai phê duyệt?
- Căn cứ nào cho phép sử dụng?
- Có sự đồng ý của người bệnh không?
- Hình ảnh đã được cung cấp cho bên thứ ba nào?
- Đã đăng trên những nền tảng nào?
- Có bao nhiêu phiên bản quảng cáo?
- Biện pháp khắc phục là gì?
Bước 4 – Yêu cầu xin lỗi và bồi thường
Nếu có căn cứ, người bệnh có thể yêu cầu:
- chấm dứt hành vi;
- gỡ bỏ;
- cải chính;
- xin lỗi;
- bồi thường thiệt hại vật chất;
- bồi thường tổn thất tinh thần.
Bước 5 – Khiếu nại hoặc khởi kiện
Nếu thương lượng không đạt kết quả, người bệnh có thể sử dụng các cơ chế khiếu nại, phản ánh tới cơ quan có thẩm quyền hoặc khởi kiện dân sự để bảo vệ quyền, lợi ích hợp pháp của mình.
Luật Khám bệnh, chữa bệnh 2023 cũng dành riêng Điều 79 cho khiếu nại, tố cáo và tranh chấp trong khám bệnh, chữa bệnh.
- Quy trình xử lý sự cố của bệnh viện
Giai đoạn 1 – 24 giờ đầu
- Dừng quảng cáo.
- Gỡ nội dung.
- Khóa quyền truy cập không cần thiết.
- Bảo toàn nhật ký hệ thống.
- Xác định người phụ trách xử lý.
Giai đoạn 2 – xác minh
Thành lập nhóm gồm:
Pháp chế + chuyên môn + CNTT + bảo vệ dữ liệu + truyền thông.
Xác định:
- nguồn dữ liệu;
- người truy cập;
- người phê duyệt;
- mục đích sử dụng;
- bên thứ ba;
- phạm vi phát tán;
- hậu quả thực tế.
Giai đoạn 3 – khắc phục
- Gỡ bỏ toàn bộ nội dung thuộc phạm vi kiểm soát.
- Yêu cầu đối tác quảng cáo dừng sử dụng.
- Thông báo và làm việc với người bệnh.
- Xem xét trách nhiệm cá nhân.
- Xem xét trách nhiệm quản lý.
- Rà soát quy trình bảo mật.
- Giải pháp cho bộ phận marketing
Thiết lập nguyên tắc: “Không có căn cứ pháp lý – không sử dụng.”
Marketing không được tự ý lấy:
- X-quang;
- CT;
- MRI;
- kết quả xét nghiệm;
- ảnh trước/sau điều trị;
- hồ sơ bệnh án;
- thông tin bệnh lý
để làm tài liệu quảng cáo chỉ vì dữ liệu đó đang nằm trong hệ thống của bệnh viện.
Thay vào đó, bệnh viện nên sử dụng:
- hình ảnh minh họa được cấp phép;
- hình ảnh mô phỏng;
- hình ảnh do bệnh viện tự sản xuất;
- dữ liệu đã được xử lý phù hợp khi pháp luật cho phép;
- hình ảnh của người đã có sự đồng ý phù hợp cho mục đích quảng cáo.
- Giải pháp giáo dục đạo đức nghề nghiệp
Bệnh viện cần đào tạo nhân viên bằng những nguyên tắc rất đơn giản: Không phải dữ liệu mình có quyền truy cập thì mình có quyền sử dụng. Không phải dữ liệu đã được ẩn tên thì đương nhiên được công khai. Không phải bệnh viện sở hữu hệ thống lưu trữ thì bệnh viện được tự do khai thác thương mại dữ liệu. Không phải mục đích quảng cáo là “tốt cho sức khỏe cộng đồng” thì đương nhiên hợp pháp. Đây phải trở thành một phần của văn hóa tuân thủ trong bệnh viện.
KẾT LUẬN
Tình huống bệnh viện sử dụng hình ảnh X-quang phổi của bệnh nhân nhiễm lao để quảng cáo không nên được nhìn nhận đơn thuần là một “sự cố marketing”.
Đó là vấn đề giao thoa giữa quyền riêng tư, quyền đối với hình ảnh, bảo mật hồ sơ bệnh án, bảo vệ dữ liệu cá nhân, trách nhiệm dân sự và quản trị đạo đức trong bệnh viện.
Điểm mấu chốt là phải phân biệt rõ:Quyền thu thập dữ liệu để khám chữa bệnh ≠ quyền sử dụng dữ liệu để quảng cáo thương mại.
Luật Khám bệnh, chữa bệnh 2023 yêu cầu hồ sơ bệnh án phải được giữ bí mật và đặt ra quyền của người bệnh đối với thông tin sức khỏe, đời tư; trong khi Bộ luật Dân sự bảo vệ quyền đối với hình ảnh và đời sống riêng tư. Nghị định 13/2023/NĐ-CP tiếp tục đặt dữ liệu sức khỏe vào nhóm dữ liệu cá nhân nhạy cảm cần được bảo vệ.
Vì vậy, khi xảy ra sự cố, giải pháp không nên dừng ở việc “xóa bài quảng cáo”. Một bệnh viện có hệ thống quản trị tốt phải đồng thời thực hiện bốn việc: Gỡ bỏ – Giải trình – Khắc phục – Phòng ngừa.
Và trên hết: Người bệnh trao thông tin sức khỏe cho bệnh viện để được chữa bệnh, không phải để trở thành nguyên liệu cho hoạt động thương mại. Bảo vệ dữ liệu y tế vì thế không chỉ là nghĩa vụ pháp lý mà còn là thước đo của đạo đức nghề nghiệp và chất lượng quản trị bệnh viện. — Chuyên gia Nguyễn Hữu Long