TÌNH HUỐNG 585: BỆNH VIỆN ĐA KHOA TƯ THỤC TỰ Ý LẤY THÔNG TIN BỆNH ÁN NHIỄM HIV CỦA KHÁCH HÀNG MANG BÁN CHO CÔNG TY BẢO HIỂM NHÂN THỌ ĐỂ TỪ CHỐI BỒI THƯỜNG: NGƯỜI BỆNH CÓ THỂ BẢO VỆ QUYỀN CỦA MÌNH THẾ NÀO?

BỆNH VIỆN ĐA KHOA TƯ THỤC TỰ Ý LẤY THÔNG TIN BỆNH ÁN NHIỄM HIV CỦA KHÁCH HÀNG MANG BÁN CHO CÔNG TY BẢO HIỂM NHÂN THỌ ĐỂ TỪ CHỐI BỒI THƯỜNG: NGƯỜI BỆNH CÓ THỂ BẢO VỆ QUYỀN CỦA MÌNH THẾ NÀO?

Một người đi khám bệnh, giao thông tin sức khỏe cho cơ sở y tế với một niềm tin rất cơ bản: những gì mình cung cấp để phục vụ chẩn đoán và điều trị phải được bảo mật.

Nhưng nếu một bệnh viện tự ý lấy hồ sơ bệnh án, trong đó có thông tin người bệnh nhiễm HIV, rồi chuyển hoặc bán thông tin đó cho một doanh nghiệp bảo hiểm để phục vụ việc từ chối chi trả theo hợp đồng, vấn đề pháp lý không còn nằm ở câu chuyện “chia sẻ dữ liệu” thông thường.

Đây là tình huống cần được xem xét đồng thời dưới góc độ quyền riêng tư, bí mật bệnh án, bảo vệ thông tin liên quan đến HIV/AIDS, trách nhiệm của cơ sở khám bệnh, chữa bệnh và trách nhiệm bồi thường thiệt hại nếu hành vi làm phát sinh tổn thất thực tế cho người bệnh.

1. BỐI CẢNH THỰC TẾ

Giả định một khách hàng tham gia bảo hiểm nhân thọ và sau đó đến một bệnh viện đa khoa tư nhân để khám bệnh. Trong quá trình khám, người bệnh được xét nghiệm và hồ sơ bệnh án ghi nhận tình trạng nhiễm HIV.

Thông tin này vốn được cung cấp cho cơ sở y tế nhằm phục vụ việc khám, chẩn đoán, điều trị. Người bệnh không đồng ý cho bệnh viện cung cấp hồ sơ bệnh án cho một doanh nghiệp bảo hiểm.

Sau đó, bệnh viện lại chuyển dữ liệu liên quan đến tình trạng HIV của người bệnh cho công ty bảo hiểm. Doanh nghiệp bảo hiểm sử dụng thông tin này để xem xét hồ sơ và từ chối thực hiện nghĩa vụ chi trả theo hợp đồng.

Ở đây cần tách hai vấn đề.

Thứ nhất, công ty bảo hiểm có quyền kiểm tra điều kiện chi trả theo hợp đồng hay không. Có. Trong những trường hợp pháp luật và hợp đồng cho phép, doanh nghiệp bảo hiểm có thể yêu cầu hoặc kiểm tra thông tin cần thiết để xác định quyền lợi bảo hiểm.

Nhưng thứ hai mới là vấn đề trọng tâm: bệnh viện có quyền tự ý lấy và cung cấp thông tin bệnh án, đặc biệt là thông tin về HIV, cho một doanh nghiệp bên ngoài hay không?

Câu trả lời không thể chỉ dựa vào việc bệnh viện cho rằng “thông tin này cần thiết cho bảo hiểm”. Việc tiếp cận, sử dụng và cung cấp thông tin sức khỏe phải có căn cứ pháp luật hoặc sự đồng ý hợp lệ của người bệnh trong trường hợp pháp luật yêu cầu.

Đặc biệt, pháp luật về phòng, chống HIV/AIDS đặt ra cơ chế bảo vệ riêng đối với thông tin về người nhiễm HIV.

1. GÓC NHÌN PHÁP LÝ

Luật Khám bệnh, chữa bệnh năm 2023, hiện hành từ ngày 01/01/2024, xác lập nguyên tắc tôn trọng quyền của người bệnh và giữ bí mật thông tin về tình trạng sức khỏe, đời tư được ghi trong hồ sơ bệnh án. Điều 69 của Luật quy định hồ sơ bệnh án phải được lưu giữ và giữ bí mật theo quy định của pháp luật.

Đây là điểm rất quan trọng.

Hồ sơ bệnh án không phải là một “kho dữ liệu thương mại” mà cơ sở y tế có thể tự do khai thác để phục vụ các mục đích kinh doanh khác. Việc một bệnh viện đang quản lý hồ sơ không có nghĩa bệnh viện trở thành chủ sở hữu tuyệt đối đối với mọi thông tin về người bệnh.

Điều 38 Bộ luật Dân sự năm 2015 cũng bảo vệ đời sống riêng tư, bí mật cá nhân và bí mật gia đình. Việc thu thập, lưu giữ, sử dụng hoặc công khai thông tin liên quan đến đời sống riêng tư, bí mật cá nhân về nguyên tắc phải có sự đồng ý của người đó, trừ trường hợp luật có quy định khác.

Trong tình huống này, thông tin một người nhiễm HIV rõ ràng là loại thông tin sức khỏe có tính riêng tư cao. Việc đưa thông tin đó cho một bên thứ ba để phục vụ mục đích thương mại cần được xem xét rất thận trọng về căn cứ pháp lý, phạm vi thông tin được cung cấp và sự đồng ý của người bệnh.

Đáng chú ý hơn, Luật Phòng, chống nhiễm vi rút gây ra hội chứng suy giảm miễn dịch mắc phải ở người (HIV/AIDS) quy định riêng về bảo mật thông tin. Điều 8 nghiêm cấm việc công khai tên, địa chỉ, hình ảnh của người nhiễm HIV hoặc tiết lộ cho người khác biết việc một người nhiễm HIV khi chưa được sự đồng ý của người đó, trừ trường hợp pháp luật quy định. Luật cũng ghi nhận quyền được giữ bí mật riêng tư liên quan đến HIV/AIDS của người nhiễm HIV.

Như vậy, nếu bệnh viện tự ý cung cấp cho công ty bảo hiểm thông tin xác định một người cụ thể đang nhiễm HIV mà không có sự đồng ý hoặc căn cứ pháp luật phù hợp, hành vi này có thể đặt ra trách nhiệm pháp lý theo nhiều quy định khác nhau.

Cần lưu ý một điểm: không phải mọi việc cung cấp thông tin giữa bệnh viện và doanh nghiệp bảo hiểm đều đương nhiên trái pháp luật. Chẳng hạn, nếu người tham gia bảo hiểm đã có thỏa thuận hợp lệ cho phép doanh nghiệp bảo hiểm xác minh thông tin y tế trong phạm vi cần thiết và việc bệnh viện cung cấp thông tin được thực hiện trên cơ sở pháp lý phù hợp thì phải đánh giá khác.

Vấn đề nằm ở “căn cứ và phạm vi”. Cung cấp đúng căn cứ, đúng mục đích, đúng phạm vi là một chuyện. Tự ý lấy toàn bộ hồ sơ bệnh án rồi bán dữ liệu cho bên thứ ba là chuyện hoàn toàn khác.

Đối với Luật An ninh mạng, cần hiểu đúng vai trò của đạo luật này. Nếu thông tin được thu thập, lưu trữ, truyền đưa hoặc xử lý trên hệ thống mạng, các quy định về bảo vệ thông tin cá nhân và an toàn thông tin trên môi trường mạng có thể được đặt ra. Luật An ninh mạng số 24/2018/QH14 có hiệu lực từ ngày 01/01/2019.

Tuy nhiên, trong vụ việc giả định này, căn cứ pháp lý trực tiếp và quan trọng hơn vẫn là pháp luật về khám bệnh, chữa bệnh, quyền riêng tư và đặc biệt là pháp luật chuyên ngành về HIV/AIDS. Không nên chỉ nhìn vụ việc như một “vụ rò rỉ dữ liệu trên mạng”.

III. NẾU THÔNG TIN BỊ BÁN ĐỂ TỪ CHỐI BẢO HIỂM THÌ SAO?

Đây là điểm có thể phát sinh tranh chấp phức tạp.

Giả sử công ty bảo hiểm sau khi nhận thông tin về HIV đã gửi văn bản từ chối chi trả quyền lợi bảo hiểm. Người bệnh cho rằng nếu bệnh viện không cung cấp thông tin trái phép thì doanh nghiệp bảo hiểm không thể biết được thông tin này.

Trong trường hợp đó, người bệnh có thể phải làm rõ đồng thời hai quan hệ pháp lý.

Một là quan hệ giữa người bệnh và bệnh viện. Nếu việc tiết lộ thông tin trái pháp luật gây thiệt hại về danh dự, nhân phẩm, đời sống riêng tư hoặc các lợi ích hợp pháp khác thì có thể đặt vấn đề yêu cầu chấm dứt hành vi vi phạm và bồi thường thiệt hại theo quy định của pháp luật dân sự.

Hai là quan hệ hợp đồng bảo hiểm. Việc doanh nghiệp bảo hiểm từ chối chi trả có hợp pháp hay không phải căn cứ vào hợp đồng bảo hiểm, điều khoản loại trừ, nghĩa vụ cung cấp thông tin của bên mua bảo hiểm và các quy định pháp luật về kinh doanh bảo hiểm.

Không thể mặc nhiên nói rằng “bệnh viện tiết lộ thông tin nên công ty bảo hiểm chắc chắn phải trả tiền”. Hai vấn đề này có liên quan về mặt thực tế nhưng không đồng nhất về mặt pháp lý.

Nếu người bệnh chứng minh được việc bệnh viện cung cấp thông tin trái pháp luật làm phát sinh thiệt hại cụ thể, trách nhiệm bồi thường có thể được xem xét theo quy định của Bộ luật Dân sự. Mức bồi thường và loại thiệt hại được chấp nhận sẽ phụ thuộc vào chứng cứ và căn cứ pháp luật cụ thể.

Đặc biệt, tổn thất tinh thần trong những vụ việc liên quan đến HIV có thể không đơn giản. Người bệnh có thể phải đối diện với nguy cơ bị kỳ thị, ảnh hưởng đến quan hệ gia đình, công việc hoặc đời sống xã hội. Nhưng khi yêu cầu bồi thường, những thiệt hại này vẫn cần được chứng minh và xác định theo quy định của pháp luật chứ không thể chỉ dựa trên cảm nhận chủ quan.

1. GÓC NHÌN TÂM LÝ – GIÁO DỤC – QUẢN TRỊ

Từ góc nhìn tâm lý, điều đáng lo nhất của việc tiết lộ thông tin HIV không chỉ nằm ở một dòng dữ liệu bị lộ.

Đằng sau dòng chữ trong hồ sơ bệnh án là một con người.

Một người có thể lo sợ gia đình biết bệnh. Một người khác có thể sợ mất việc. Có người lại lo bị bạn bè, đồng nghiệp hoặc cộng đồng xa lánh. Vì vậy, bảo mật thông tin HIV không chỉ là yêu cầu kỹ thuật của ngành y mà còn là một hàng rào giúp giảm kỳ thị và bảo vệ khả năng hòa nhập xã hội của người bệnh.

Tôi cho rằng một bệnh viện có hệ thống quản trị tốt phải coi dữ liệu sức khỏe là một tài sản cần được bảo vệ, nhưng không phải theo nghĩa tài sản thương mại. Đó là trách nhiệm gắn với quyền con người và đạo đức nghề nghiệp.

Một nhân viên có quyền truy cập hồ sơ bệnh án không đồng nghĩa với việc họ có quyền tải xuống, gửi cho người ngoài, chụp màn hình hoặc sử dụng dữ liệu đó cho một mục đích khác.

Ví dụ, một nhân viên phòng bảo hiểm của bệnh viện có thể cần kiểm tra một số thông tin để thực hiện thủ tục thanh toán. Điều đó không có nghĩa người này được quyền gửi toàn bộ hồ sơ bệnh án của người bệnh cho một doanh nghiệp bảo hiểm qua tài khoản cá nhân.

Quản trị dữ liệu y tế vì vậy phải dựa trên nguyên tắc “ai cần biết thì được tiếp cận trong phạm vi cần thiết”, thay vì “ai có quyền truy cập hệ thống thì có thể xem mọi thứ”.

Đây cũng là bài học dành cho các bệnh viện tư nhân đang chuyển đổi số. Công nghệ giúp xử lý hồ sơ nhanh hơn, nhưng nếu phân quyền lỏng lẻo thì một thao tác sao chép dữ liệu có thể tạo ra hậu quả lớn hơn rất nhiều so với một hồ sơ giấy bị đặt nhầm vị trí.

1. KHUYẾN NGHỊ TỪ CHUYÊN GIA NGUYỄN HỮU LONG

Theo quan điểm của tôi, trong những vụ việc liên quan đến thông tin sức khỏe nhạy cảm, người bệnh không nên vội vàng tranh luận trên mạng xã hội. Việc đầu tiên là bảo toàn chứng cứ.

Nếu nghi ngờ thông tin bệnh án đã bị cung cấp trái phép, người bệnh nên lưu giữ các tài liệu liên quan như hồ sơ bệnh án, giấy xét nghiệm, thông báo của công ty bảo hiểm, thư từ trao đổi, tin nhắn, email, lịch sử cuộc gọi và các tài liệu thể hiện việc doanh nghiệp bảo hiểm đã biết thông tin sức khỏe từ đâu nếu có.

Nếu có căn cứ cho rằng bệnh viện đã cung cấp thông tin trái phép, người bệnh có thể gửi yêu cầu bằng văn bản để bệnh viện giải trình về nguồn dữ liệu, mục đích sử dụng, phạm vi thông tin đã cung cấp và căn cứ pháp lý của việc cung cấp.

Khi tranh chấp không được giải quyết, tùy tính chất vụ việc, người bệnh có thể cân nhắc khiếu nại, tố cáo đến cơ quan có thẩm quyền hoặc khởi kiện để yêu cầu bảo vệ quyền và lợi ích hợp pháp của mình.

Đối với cơ sở y tế, bài học không nên dừng ở việc “không được làm lộ hồ sơ”. Cần xây dựng quy trình quản trị dữ liệu cụ thể: phân quyền truy cập, ghi nhận lịch sử truy cập, kiểm soát việc sao chép dữ liệu, đào tạo nhân viên và có cơ chế xử lý khi phát hiện truy cập hoặc chia sẻ thông tin trái phép.

Một bệnh viện chuyên nghiệp không chỉ cần bác sĩ giỏi. Bệnh viện còn phải có hệ thống quản trị đủ tốt để bảo vệ bệnh nhân ngay cả khi dữ liệu của họ được lưu trữ trên hàng nghìn máy tính.

THÔNG ĐIỆP

Thông tin sức khỏe của một con người không phải là món hàng để đem trao đổi vì lợi ích thương mại.

Đặc biệt với thông tin liên quan đến HIV, pháp luật Việt Nam đã đặt ra cơ chế bảo vệ riêng nhằm hạn chế kỳ thị và bảo vệ quyền riêng tư của người nhiễm HIV.

Một cơ sở y tế được người bệnh tin tưởng giao hồ sơ bệnh án phải hiểu rằng sự tin tưởng đó đi kèm trách nhiệm pháp lý. Khi thông tin bị sử dụng sai mục đích, hậu quả không chỉ nằm ở một dữ liệu bị chuyển từ hệ thống này sang hệ thống khác. Nó có thể ảnh hưởng trực tiếp đến danh dự, tâm lý, quan hệ xã hội và quyền lợi hợp pháp của một con người.

Pháp luật bảo vệ quyền riêng tư không phải để cản trở hoạt động khám chữa bệnh hay hoạt động bảo hiểm. Mục tiêu là tạo ra một ranh giới rõ ràng: thông tin nào được sử dụng, ai được sử dụng, sử dụng vào mục đích gì và dựa trên căn cứ pháp lý nào.

Bài viết này được xây dựng dựa trên sự tham vấn, tư vấn chuyên môn của ThS. Nguyễn Hữu Long – Chuyên gia Lãnh đạo, Pháp lý, Tâm lý & Giáo dục. Với tư duy tích hợp đa ngành, chúng tôi không chỉ mang lại lá chắn pháp lý vững chắc mà còn cung cấp giải pháp quản trị rủi ro và thấu cảm tâm lý toàn diện vì sự phát triển bền vững của cộng đồng.

Nếu bạn hoặc tổ chức của bạn đang gặp phải những vướng mắc về pháp lý hãy liên hệ ngay với chúng tôi qua hotline hoặc để lại câu hỏi cho chuyên gia tại: https://tuvanphapluattamlygiaoduc.vn/gui-cau-hoi-den-chuyen-gia/ hoặc qua số hotline: 0898.627.762 để được hỗ trợ kịp thời.