Tin tức và góc nhìn

Quy định mới về bảo vệ dữ liệu tại Việt Nam: điều phòng khám cần biết năm 2026

Bà Robyn Kirk, 20/10/2026

Từ ngày 01/01/2026, mọi phòng khám, dịch vụ điều dưỡng tại nhà và bệnh viện tại Việt Nam lưu giữ hồ sơ bệnh nhân đều có nghĩa vụ pháp lý mới, và từ ngày 19/8/2026 các mức phạt đã được áp dụng. Dưới đây là những gì đã thay đổi, chi phí có thể phát sinh và việc cần làm tiếp theo.

Những thay đổi trong năm 2026

Bốn văn bản luật và nghị định mới hiện quy định cách thu thập, lưu trữ và bảo vệ dữ liệu bệnh nhân tại Việt Nam. Các văn bản này thay thế nghị định năm 2023 mà phần lớn doanh nghiệp đang áp dụng.

Thay đổi lớn nhất là bảo vệ dữ liệu giờ đây là một đạo luật do Quốc hội ban hành, không chỉ là nghị định của Chính phủ. Với Nghị định 330 có hiệu lực, các quy định nay đi kèm chế tài thực sự.

Vì sao dữ liệu bệnh nhân khác biệt

Thông tin sức khỏe được xếp vào dữ liệu cá nhân nhạy cảm, chịu các quy định nghiêm ngặt nhất của luật [1], [2]. Với phòng khám hoặc cơ sở chăm sóc, ba quy định quan trọng nhất là:

• Sự đồng ý là trên hết. Bạn cần có sự đồng ý của bệnh nhân để xử lý dữ liệu sức khỏe, trừ một số ngoại lệ hạn chế [1]. Sự đồng ý phải rõ ràng và riêng cho từng mục đích; ô đánh dấu sẵn hoặc coi im lặng là đồng ý có thể bị xử phạt [3], [8].
• Cho bệnh nhân biết bạn lưu giữ gì. Bệnh nhân phải được thông báo khi dữ liệu nhạy cảm của họ đang được xử lý [3].
• Không chia sẻ khi chưa có yêu cầu bằng văn bản. Cơ sở y tế không được chuyển dữ liệu bệnh nhân cho cơ sở y tế khác hoặc doanh nghiệp bảo hiểm sức khỏe, nhân thọ, trừ khi bệnh nhân yêu cầu bằng văn bản hoặc thuộc trường hợp ngoại lệ [1], [7].

Phần lớn tổ chức cũng phải chỉ định người hoặc bộ phận phụ trách bảo vệ dữ liệu và đánh giá rủi ro trong quá trình xử lý dữ liệu. Một số doanh nghiệp nhỏ có thể hoãn yêu cầu thứ nhất, nhưng không áp dụng cho đơn vị xử lý dữ liệu nhạy cảm với quy mô lớn [7].

Vi phạm có thể gây thiệt hại bao nhiêu

Chỉ một sai sót về sự đồng ý có thể khiến phòng khám bị phạt tới 70 triệu đồng, và chia sẻ dữ liệu bệnh nhân khi chưa được phép có thể bị phạt tới 100 triệu đồng [9], [10]. Các ví dụ sau từ Nghị định 330/2026/NĐ-CP cho thấy mức độ:

Mức phạt tối đa đối với phần lớn vi phạm về bảo vệ dữ liệu là 3 tỷ đồng. Vi phạm quy định về chuyển dữ liệu cá nhân ra nước ngoài có thể bị phạt tới 5% doanh thu năm, và mua bán dữ liệu cá nhân có thể bị phạt tới 10 lần khoản thu có được [6]. Ngoài tiền phạt, vi phạm còn có thể buộc phải công khai xin lỗi bệnh nhân và gây tổn hại lâu dài đến uy tín [3].

Thời hạn triển khai hồ sơ bệnh án điện tử

Phòng khám và các cơ sở không phải bệnh viện có điều trị nội trú, ban ngày hoặc ngoại trú phải triển khai hồ sơ bệnh án điện tử trước ngày 31/12/2026 [5], [11]. Các bệnh viện đã phải chuyển đổi trước ngày 30/9/2025.

Thời gian không còn nhiều. Chuyển sang hồ sơ điện tử cũng khiến hệ thống của bạn chịu sự điều chỉnh của các quy định bảo vệ dữ liệu nêu trên, vì vậy nên thực hiện hai việc cùng lúc: chọn hệ thống hồ sơ bảo mật ngay từ đầu, thay vì bổ sung bảo mật về sau. Nếu cơ sở của bạn được gia hạn, hãy kiểm tra điều kiện và lên kế hoạch ngay.

Năm bước thiết thực cho phòng khám của bạn

Bạn không cần giải quyết mọi việc cùng lúc. Hãy bắt đầu từ đây:

1. Lập bản đồ dữ liệu bệnh nhân. Liệt kê những gì bạn thu thập, nơi lưu trữ (kể cả điện thoại, bảng tính và ứng dụng nhắn tin) và ai có thể xem.
2. Hoàn thiện mẫu đồng ý. Xin sự đồng ý riêng cho từng mục đích, không đánh dấu sẵn, và lưu lại lựa chọn của từng bệnh nhân.
3. Biết dữ liệu của bạn nằm ở đâu. Nếu hồ sơ được lưu trên máy chủ ngoài Việt Nam, hãy tìm hiểu điều đó có ý nghĩa gì với bạn theo quy định về chuyển dữ liệu và lưu trữ dữ liệu trong nước [4], [12].
4. Chỉ định người chịu trách nhiệm. Chọn người hoặc bộ phận phụ trách bảo vệ dữ liệu và thống nhất cách xử lý khi xảy ra vi phạm.
5. Lên kế hoạch chuyển sang hồ sơ điện tử. Chọn hệ thống đáp ứng Thông tư 13 và bảo mật dữ liệu bệnh nhân, và đặt mốc hoàn thành trước ngày 31/12/2026.

Bài viết này là thông tin chung, không phải tư vấn pháp lý. Để được tư vấn cho trường hợp cụ thể, vui lòng liên hệ luật sư tại Việt Nam.

Nguồn tham khảo

1. [1] Quốc hội, “Luật Bảo vệ dữ liệu cá nhân”, Luật số 91/2025/QH15, ngày 26/6/2025. [Trực tuyến]. Truy cập tại: thuvienphapluat.vn. Ngày truy cập: 20/10/2026.
2. [2] Chính phủ, “Nghị định quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân”, Nghị định số 356/2025/NĐ-CP, ngày 31/12/2025. [Trực tuyến]. Truy cập tại: vbpl.moj.gov.vn. Ngày truy cập: 20/10/2026.
3. [3] Chính phủ, “Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân”, Nghị định số 330/2026/NĐ-CP, ngày 19/8/2026. [Trực tuyến]. Truy cập tại: pbgdpl.cantho.gov.vn. Ngày truy cập: 20/10/2026.
4. [4] Quốc hội, “Luật An ninh mạng”, Luật số 116/2025/QH15, ngày 10/12/2025. [Trực tuyến]. Truy cập tại: thuvienphapluat.vn. Ngày truy cập: 20/10/2026.
5. [5] Bộ Y tế, “Thông tư hướng dẫn triển khai hồ sơ bệnh án điện tử”, Thông tư số 13/2025/TT-BYT, ngày 06/6/2025. [Trực tuyến]. Truy cập tại: LuatVietnam. Ngày truy cập: 20/10/2026.
6. [6] Conventus Law, “Vietnam’s new Personal Data Protection Law imposes administrative fines up to 5% of annual revenue for non-compliance”, không ghi ngày. [Trực tuyến]. Truy cập tại: conventuslaw.com. Ngày truy cập: 20/10/2026.
7. [7] Conventus Law, “Vietnam’s new Personal Data Protection Law: what businesses need to know”, không ghi ngày. [Trực tuyến]. Truy cập tại: conventuslaw.com. Ngày truy cập: 20/10/2026.
8. [8] Tilleke & Gibbins, “Vietnam issues cybersecurity and personal data protection sanctions decree”, 2026. [Trực tuyến]. Truy cập tại: tilleke.com. Ngày truy cập: 20/10/2026.
9. [9] Luật sư Việt Nam (LSVN), “Phạt đến 100.000.000 đồng với hành vi cung cấp, chia sẻ dữ liệu cá nhân của bệnh nhân cho bên thứ ba khi chưa có sự đồng ý”, 2026. [Trực tuyến]. Truy cập tại: lsvn.vn. Ngày truy cập: 20/10/2026.
10. [10] Luật sư Việt Nam (LSVN), “Phạt đến 70 triệu đồng với các vi phạm về xử lý dữ liệu cá nhân”, ngày 13/9/2026. [Trực tuyến]. Truy cập tại: lsvn.vn. Ngày truy cập: 20/10/2026.
11. [11] VnEconomy, “Các bệnh viện triển khai hồ sơ bệnh án điện tử chậm nhất vào ngày 30/9/2025”, 2025. [Trực tuyến]. Truy cập tại: vneconomy.vn. Ngày truy cập: 20/10/2026.
12. [12] Le & Tran Law, “Data localization rules for tech companies operating in Vietnam”, 2026. [Trực tuyến]. Truy cập tại: letranlaw.com. Ngày truy cập: 20/10/2026.
13. [13] Conventus Law, “Vietnam – no longer a draft: Decree 330 officially brings personal data protection into the enforcement phase”, 2026. [Trực tuyến]. Truy cập tại: conventuslaw.com. Ngày truy cập: 20/10/2026.