Bài 3. Cơ sở pháp lý khi lắp đặt camera trong bệnh viện tại Việt Nam

Trong bệnh viện, lắp đặt camera giám sát không chỉ là một quyết định kỹ thuật hay một giải pháp an ninh đơn thuần. Đây là hoạt động có liên quan trực tiếp đến quyền riêng tư, bí mật thông tin người bệnh, bảo vệ dữ liệu cá nhân, an toàn thông tin và trách nhiệm quản trị của cơ sở khám bệnh, chữa bệnh. Vì vậy, trước khi bàn đến số lượng camera, vị trí lắp đặt hay cấu hình kỹ thuật, bệnh viện cần xác định rõ cơ sở pháp lý để bảo đảm hệ thống được triển khai đúng mục đích, đúng phạm vi và có kiểm soát.

Hiện nay, pháp luật Việt Nam chưa có một văn bản riêng quy định toàn diện về “camera trong bệnh viện”. Tuy nhiên, hoạt động lắp đặt, vận hành và khai thác dữ liệu camera chịu sự chi phối đồng thời của nhiều nhóm quy định khác nhau, đặc biệt là Luật Khám bệnh, chữa bệnh; quy định về bảo vệ dữ liệu cá nhân; Luật An ninh mạng; và các quy định nội bộ về bảo mật thông tin người bệnh. Cách tiếp cận đúng không phải là tìm một điều khoản duy nhất cho phép lắp camera, mà là xây dựng hệ thống camera trong khuôn khổ bảo vệ quyền người bệnh, bảo mật dữ liệu và quản trị rủi ro.

1. Luật Khám bệnh, chữa bệnh – nền tảng bảo vệ quyền người bệnh

Luật Khám bệnh, chữa bệnh là cơ sở pháp lý đầu tiên cần đặt ra khi bệnh viện triển khai camera, bởi mọi hoạt động trong bệnh viện đều phải bảo đảm quyền và lợi ích hợp pháp của người bệnh. Trong môi trường y tế, người bệnh không chỉ là người sử dụng dịch vụ, mà còn là chủ thể đang ở trạng thái dễ tổn thương, phải cung cấp nhiều thông tin cá nhân, tình trạng sức khỏe và trải qua các hoạt động thăm khám, điều trị có tính riêng tư cao. Do đó, bất kỳ hình thức ghi nhận hình ảnh nào cũng phải được cân nhắc trong mối quan hệ với quyền được tôn trọng, quyền riêng tư và quyền được bảo mật thông tin.

Dữ liệu camera trong bệnh viện không thể được xem như dữ liệu hình ảnh thông thường. Một đoạn video tại khu khám bệnh, cấp cứu, nội trú, ICU, phòng thủ thuật hoặc khu chẩn đoán hình ảnh có thể phản ánh tình trạng sức khỏe, hành vi khám chữa bệnh, mức độ nặng của người bệnh, thông tin về người nhà và tương tác giữa người bệnh với nhân viên y tế. Vì vậy, khi bệnh viện lắp camera, cần mặc định rằng dữ liệu hình ảnh có thể liên quan đến thông tin y tế và phải được quản lý theo nguyên tắc bảo mật.

Từ góc độ thực hành, điều này dẫn đến một số yêu cầu quan trọng. Bệnh viện không được lắp camera một cách tùy tiện tại các khu vực có tính riêng tư cao như nhà vệ sinh, phòng thay đồ, phòng khám nhạy cảm hoặc buồng bệnh thông thường. Đối với các khu vực đặc thù như ICU, phòng mổ, phòng thủ thuật, phòng can thiệp hoặc khu tiêm thuốc cản quang, việc lắp camera chỉ nên thực hiện khi có mục tiêu chuyên môn, an toàn hoặc quản lý rủi ro rõ ràng, đồng thời phải giới hạn góc quay, kiểm soát quyền truy cập và ban hành quy chế sử dụng cụ thể.

Điểm mấu chốt là camera không được làm suy giảm quyền người bệnh. Nếu bệnh viện chỉ tập trung vào mục tiêu giám sát mà bỏ qua quyền riêng tư, hệ thống camera có thể trở thành nguồn rủi ro pháp lý và đạo đức. Ngược lại, nếu thiết kế đúng, camera có thể vừa hỗ trợ an toàn, vừa bảo vệ người bệnh và nhân viên y tế trong các tình huống tranh chấp, khiếu nại hoặc sự cố.

2. Quy định về bảo vệ dữ liệu cá nhân – dữ liệu camera là dữ liệu cần kiểm soát

Quy định về bảo vệ dữ liệu cá nhân là nhóm quy định quan trọng khi xem xét hệ thống camera trong bệnh viện. Theo nguyên tắc chung, dữ liệu cá nhân phải được xử lý đúng mục đích, đúng phạm vi, có cơ sở hợp pháp và được bảo vệ phù hợp. Chủ thể dữ liệu cần được biết về việc thu thập, sử dụng dữ liệu của mình, trừ các trường hợp pháp luật có quy định khác.

Với bệnh viện, hình ảnh camera có thể xác định được một cá nhân cụ thể, do đó cần được xem là dữ liệu cá nhân. Trong nhiều trường hợp, hình ảnh camera còn có thể gắn với dữ liệu sức khỏe, quá trình khám chữa bệnh hoặc thông tin nhạy cảm khác, nên mức độ bảo vệ phải cao hơn so với camera ở môi trường công cộng thông thường. Đây là lý do bệnh viện không thể chỉ quản lý camera theo hướng “ai cần thì xem”, mà phải có cơ chế phân quyền, ghi nhận truy cập và kiểm soát trích xuất dữ liệu.

Khi áp dụng vào thực tế, bệnh viện cần bảo đảm ít nhất năm nguyên tắc. Thứ nhất, mục đích thu thập dữ liệu camera phải rõ ràng, ví dụ phục vụ an ninh, quản lý rủi ro, điều tra sự cố, giải quyết khiếu nại hoặc cải tiến chất lượng. Thứ hai, phạm vi ghi hình phải phù hợp với mục đích, không ghi nhận quá mức cần thiết. Thứ ba, người bệnh, người nhà và nhân viên cần được thông báo về khu vực có camera bằng biển báo hoặc quy định công khai phù hợp. Thứ tư, dữ liệu phải được bảo vệ bằng phân quyền, mật khẩu, nhật ký truy cập và quy trình trích xuất. Thứ năm, dữ liệu không được sử dụng cho mục đích khác với mục đích ban đầu nếu không có cơ sở hợp pháp.

Một sai lầm thường gặp là bệnh viện lắp camera đúng vị trí nhưng lại quản lý dữ liệu không đúng. Ví dụ, nhiều người cùng dùng chung tài khoản, dữ liệu bị sao chép ra USB cá nhân, video được gửi qua mạng xã hội hoặc dùng để xử lý cá nhân ngoài quy trình chính thức. Những hành vi này có thể làm mất kiểm soát dữ liệu và gây rủi ro lớn hơn chính sự cố ban đầu. Do đó, khi triển khai camera, bệnh viện cần xem quản lý dữ liệu là phần bắt buộc của dự án, không phải nội dung bổ sung sau khi lắp đặt.

3. Luật An ninh mạng – yêu cầu bảo đảm an toàn hệ thống và dữ liệu

Luật An ninh mạng đặt ra yêu cầu về bảo vệ an ninh, an toàn thông tin trên không gian mạng và trách nhiệm của cơ quan, tổ chức, cá nhân trong việc quản lý hệ thống thông tin. Đối với bệnh viện, hệ thống camera hiện nay phần lớn là camera IP, có kết nối mạng, lưu trữ trên đầu ghi, máy chủ hoặc nền tảng quản lý tập trung. Vì vậy, camera không còn là thiết bị độc lập mà là một phần của hạ tầng công nghệ thông tin bệnh viện.

Nếu hệ thống bị cấu hình sai, mở truy cập từ internet công khai, dùng mật khẩu mặc định hoặc không tách mạng, nguy cơ bị truy cập trái phép, đánh cắp hoặc phát tán dữ liệu là rất lớn. Trong bối cảnh dữ liệu camera có thể chứa hình ảnh người bệnh và hoạt động chuyên môn, một sự cố an ninh mạng không chỉ là lỗi kỹ thuật mà có thể trở thành sự cố nghiêm trọng về bảo mật thông tin y tế.

Vì vậy, bệnh viện cần đưa yêu cầu an ninh mạng vào ngay từ giai đoạn thiết kế. Hệ thống camera nên có mạng riêng hoặc phân vùng mạng phù hợp; tài khoản quản trị phải được kiểm soát; truy cập từ xa cần thông qua cơ chế bảo mật; phần mềm, firmware và thiết bị lưu trữ cần được cập nhật định kỳ; đồng thời hệ thống phải có khả năng ghi log truy cập để phục vụ truy vết khi xảy ra sự cố. Đối với các khu vực nhạy cảm như ICU, phòng mổ, cấp cứu, kho thuốc gây nghiện, khu tài chính, mức độ kiểm soát phải cao hơn so với khu vực công cộng.

Một điểm cần lưu ý là bảo mật hệ thống camera không chỉ thuộc trách nhiệm của bộ phận công nghệ thông tin. Đây là trách nhiệm quản trị chung của bệnh viện, đòi hỏi sự phối hợp giữa lãnh đạo, hành chính quản trị, công nghệ thông tin, quản lý chất lượng, bảo vệ, pháp chế và các khoa phòng sử dụng dữ liệu. Nếu chỉ giao cho một bộ phận kỹ thuật mà không có quy chế sử dụng, phân quyền và kiểm tra định kỳ, hệ thống vẫn có thể bị lạm dụng hoặc rò rỉ dữ liệu.

4. Quy định bảo mật thông tin người bệnh – giới hạn cốt lõi khi sử dụng camera

Trong hoạt động khám bệnh, chữa bệnh, bảo mật thông tin người bệnh là một nguyên tắc nền tảng. Camera có thể hỗ trợ quản lý, nhưng không được trở thành công cụ làm lộ thông tin bệnh án, kết quả xét nghiệm, hình ảnh chẩn đoán, tình trạng sức khỏe hoặc thông tin cá nhân của người bệnh. Vì vậy, khi thiết kế góc quay, bệnh viện cần đặc biệt tránh ghi hình trực tiếp vào màn hình HIS, LIS, PACS, EMR, hồ sơ giấy, phiếu chỉ định, kết quả xét nghiệm hoặc chứng từ tài chính có thông tin định danh.

Nguy cơ vi phạm bảo mật không chỉ xuất hiện ở những vị trí “nhạy cảm rõ ràng” như phòng khám, phòng mổ hay ICU. Trên thực tế, nhiều rủi ro phát sinh từ các khu vực tưởng như bình thường: quầy tiếp đón, khu thu viện phí, bàn nhận mẫu xét nghiệm, phòng điều khiển chẩn đoán hình ảnh, khu trả kết quả hoặc bàn điều dưỡng. Nếu camera quay rõ màn hình máy tính hoặc hồ sơ đặt trên bàn, dữ liệu người bệnh có thể bị ghi lại liên tục và lưu trong hệ thống mà bệnh viện không nhận ra.

Do đó, nguyên tắc thiết kế phải là “quan sát quy trình, không ghi dữ liệu nhạy cảm”. Tại quầy thu viện phí, camera cần thấy được tương tác giao dịch nhưng không ghi rõ màn hình tài chính. Tại xét nghiệm, camera cần hỗ trợ truy vết quá trình nhận và xử lý mẫu nhưng không ghi chi tiết thông tin định danh trên nhãn hoặc kết quả. Tại chẩn đoán hình ảnh, camera có thể giám sát khu tiêm thuốc cản quang và khu theo dõi sau tiêm, nhưng không quay rõ màn hình PACS hoặc hình ảnh chẩn đoán. Tại phòng mổ, phòng thủ thuật, camera nếu có chỉ nên phục vụ giám sát quy trình ở góc tổng thể, không ghi chi tiết vùng can thiệp trên cơ thể người bệnh.

Bảo mật thông tin người bệnh cũng đòi hỏi quy trình trích xuất dữ liệu rõ ràng. Không phải ai có quyền xem camera cũng có quyền trích xuất. Việc trích xuất phải có lý do, phạm vi, người phê duyệt, người thực hiện, biên bản bàn giao và cam kết sử dụng đúng mục đích. Đây là cơ chế bảo vệ bệnh viện trước nguy cơ dữ liệu bị dùng sai mục đích, đồng thời bảo vệ người bệnh khỏi việc hình ảnh cá nhân bị phát tán hoặc khai thác không phù hợp.

5. Các nguyên tắc pháp lý cần áp dụng khi lắp đặt camera trong bệnh viện

Từ các cơ sở nêu trên, bệnh viện cần vận dụng một số nguyên tắc pháp lý cốt lõi khi xây dựng và vận hành hệ thống camera. Những nguyên tắc này không chỉ giúp tuân thủ quy định, mà còn là khung quản trị để tránh lắp đặt tùy tiện hoặc khai thác dữ liệu sai mục tiêu.

Trước hết là nguyên tắc mục đích rõ ràng. Mỗi vị trí camera cần trả lời được câu hỏi: lắp để làm gì? Nếu không xác định được mục tiêu an ninh, an toàn, quản lý rủi ro, cải tiến chất lượng hoặc bảo vệ tài sản, vị trí đó cần được xem xét lại. Camera không nên được lắp chỉ vì “cho chắc” hoặc “để kiểm soát”.

Thứ hai là nguyên tắc tối thiểu xâm phạm. Hệ thống phải đạt mục tiêu giám sát với mức độ can thiệp thấp nhất vào quyền riêng tư. Điều này đặc biệt quan trọng ở khu nội trú, ICU, phòng mổ, phòng thủ thuật, khu khám nhạy cảm và khu vực có dữ liệu bệnh án. Lắp camera nhiều hơn không đồng nghĩa với quản lý tốt hơn; đôi khi lắp ít hơn nhưng đúng vị trí, đúng góc quay và đúng mục tiêu lại an toàn hơn về pháp lý.

Thứ ba là nguyên tắc minh bạch. Bệnh viện cần có biển báo khu vực có camera, quy định nội bộ và truyền thông rõ ràng cho nhân viên về mục đích sử dụng. Minh bạch giúp giảm tâm lý bị theo dõi và tăng sự chấp nhận của người bệnh cũng như nhân viên y tế.

Thứ tư là nguyên tắc phân quyền và kiểm soát truy cập. Hệ thống cần xác định ai được xem, xem khu vực nào, xem trong trường hợp nào, ai được trích xuất và ai phê duyệt. Không nên sử dụng tài khoản chung hoặc cấp quyền rộng không cần thiết.

Thứ năm là nguyên tắc bảo mật và truy vết. Dữ liệu camera phải được lưu trữ an toàn, có thời hạn lưu phù hợp, có nhật ký truy cập, có quy trình trích xuất và cơ chế xử lý vi phạm. Đây là yêu cầu đặc biệt quan trọng đối với bệnh viện vì dữ liệu camera có thể liên quan trực tiếp đến người bệnh, nhân viên và hoạt động chuyên môn.

Cơ sở pháp lý khi lắp đặt camera trong bệnh viện tại Việt Nam không nằm ở một văn bản đơn lẻ, mà là sự kết hợp giữa pháp luật về khám bệnh, chữa bệnh, bảo vệ dữ liệu cá nhân, an ninh mạng và nguyên tắc bảo mật thông tin người bệnh. Điều này đòi hỏi bệnh viện phải tiếp cận hệ thống camera như một cấu phần quản trị có rủi ro pháp lý, chứ không phải chỉ là một hạng mục kỹ thuật.

Nếu triển khai đúng, camera sẽ giúp bệnh viện nâng cao an ninh, hỗ trợ điều tra sự cố, giải quyết khiếu nại, bảo vệ nhân viên y tế và cải tiến chất lượng. Nhưng nếu triển khai sai, camera có thể xâm phạm quyền riêng tư, làm lộ dữ liệu người bệnh và tạo ra rủi ro pháp lý nghiêm trọng. Vì vậy, nguyên tắc quan trọng nhất là: lắp camera phải có mục tiêu rõ ràng, phạm vi phù hợp, bảo mật chặt chẽ và luôn đặt quyền người bệnh ở trung tâm.

Trong thực hành quản trị bệnh viện, câu hỏi cần đặt ra không chỉ là “có được lắp camera hay không”, mà là “lắp như thế nào để đúng luật, đúng đạo đức và thực sự phục vụ chất lượng”. Đây chính là nền tảng để hệ thống camera trở thành công cụ quản trị an toàn, minh bạch và bền vững trong bệnh viện Việt Nam.