Bí mật thông tin người bệnh

Bí mật thông tin người bệnh là nghĩa vụ của người hành nghề, cơ sở khám bệnh và mọi người được tiếp cận hồ sơ phải giữ kín tình trạng bệnh, hồ sơ bệnh án và những thông tin đời tư mà người bệnh đã cung cấp trong quá trình khám chữa bệnh. Từ 2026, nghĩa vụ này được cộng thêm một lớp bảo vệ: thông tin sức khỏe là dữ liệu cá nhân nhạy cảm theo Luật Bảo vệ dữ liệu cá nhân.

Định nghĩa theo văn bản pháp luật

Được giữ bí mật thông tin trong hồ sơ bệnh án và thông tin khác về đời tư mà người bệnh đã cung cấp cho người hành nghề trong quá trình khám bệnh, chữa bệnh, trừ trường hợp người bệnh đồng ý chia sẻ thông tin theo quy định của pháp luật hoặc trường hợp quy định tại khoản 3 và khoản 4 Điều 69 của Luật này.

Khoản 2 Điều 10 Luật Khám bệnh, chữa bệnh số 15/2023/QH15 (hiệu lực từ 01/01/2024). Nghĩa vụ tương ứng của người hành nghề tại khoản 5 Điều 45; của người được tiếp cận bệnh án tại khoản 5 Điều 69.

Giải nghĩa dễ hiểu

Cái gì phải giữ kín

• Tình trạng bệnh, chẩn đoán, kết quả xét nghiệm, chẩn đoán hình ảnh.
• Toàn bộ hồ sơ bệnh án, kể cả bản điện tử.
• Thông tin đời tư người bệnh kể cho bác sĩ: tiền sử, thói quen, quan hệ gia đình, đời sống tình dục.

Ai phải giữ

Người hành nghề (khoản 5 Điều 45), cơ sở khám bệnh với tư cách tổ chức lưu giữ hồ sơ (khoản 2 Điều 69), và bất kỳ ai được tiếp cận bệnh án — sinh viên, nhà nghiên cứu, cơ quan bảo hiểm xã hội, cơ quan tố tụng, luật sư — chỉ được dùng đúng mục đích đã đề nghị (khoản 5 Điều 69). Nhân viên hành chính, lễ tân, kỹ thuật viên công nghệ thông tin tuy không phải người hành nghề nhưng xử lý dữ liệu sức khỏe nên vẫn chịu nghĩa vụ theo Luật Bảo vệ dữ liệu cá nhân.

Bốn ngoại lệ

1. Người bệnh đồng ý chia sẻ.
2. Chia sẻ trong nhóm trực tiếp điều trị để nâng cao chất lượng chẩn đoán, chăm sóc (cách diễn đạt tại điểm c khoản 3 Điều 38 Nghị định 90/2026/NĐ-CP).
3. Khai thác bệnh án theo khoản 3, 4 Điều 69: cơ quan quản lý y tế, điều tra, kiểm sát, tòa án, thanh tra, giám định pháp y, luật sư của người bệnh; cơ quan bảo hiểm xã hội khi cơ sở đồng ý.
4. Trường hợp luật khác quy định, ví dụ thông báo ca bệnh truyền nhiễm theo pháp luật phòng bệnh — chỉ trong phạm vi cần thiết.

Lớp bảo vệ dữ liệu cá nhân

Tình trạng sức khỏe thuộc danh mục dữ liệu cá nhân nhạy cảm (Điều 4 Nghị định 356/2025/NĐ-CP). Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 yêu cầu có sự đồng ý khi thu thập, xử lý thông tin sức khỏe và cấm cơ sở y tế cung cấp cho bên thứ ba là doanh nghiệp dịch vụ chăm sóc sức khỏe, bảo hiểm sức khỏe, bảo hiểm nhân thọ nếu người bệnh không yêu cầu bằng văn bản.

Phân biệt bí mật thông tin người bệnh với dữ liệu cá nhân nhạy cảm

Hai chế độ áp dụng song song: một hành vi tiết lộ hồ sơ có thể vừa vi phạm luật khám chữa bệnh, vừa vi phạm luật dữ liệu.

Ví dụ tình huống

Tháng 9/2026, chị Lưu Bảo Ngọc, 32 tuổi, khám phụ khoa tại một phòng khám ở phường Hải Châu, thành phố Đà Nẵng. Một điều dưỡng chụp màn hình kết quả xét nghiệm của chị, gửi vào nhóm chat có người quen của gia đình nhà chồng chị. Thông tin lan ra, chị bị gia đình chồng xúc phạm.

• Điều dưỡng: làm lộ tình trạng bệnh, bị phạt 1–3 triệu đồng (điểm c khoản 3 Điều 38 Nghị định 90/2026/NĐ-CP); phòng khám xem xét kỷ luật theo hợp đồng lao động.
• Phòng khám với tư cách bên kiểm soát dữ liệu: nếu không có biện pháp phân quyền, kiểm soát truy cập dữ liệu nhạy cảm, có thể bị xử lý theo Nghị định 330/2026/NĐ-CP; đồng thời là pháp nhân phải bồi thường trước cho thiệt hại do người làm công gây ra khi thực hiện nhiệm vụ, rồi yêu cầu người có lỗi hoàn trả (Điều 597 Bộ luật Dân sự).
• Chị Ngọc: yêu cầu gỡ bỏ, khởi kiện đòi bồi thường tại Tòa án nhân dân khu vực trong 03 năm; khoản bù đắp tinh thần tối đa 25.300.000 đồng nếu không thỏa thuận được.

Áp dụng trong thực tế và ngoại lệ

• Đăng ca bệnh lên mạng để chia sẻ chuyên môn: phải che hết yếu tố nhận dạng (mặt, tên, địa chỉ, mã bệnh án); ảnh có thể nhận ra người bệnh mà chưa có đồng ý là vi phạm cả quyền hình ảnh (Điều 32 Bộ luật Dân sự).
• Người bệnh là trẻ em, người mất năng lực: thông tin chia sẻ với người đại diện hợp pháp, không phải với mọi người thân.
• Bệnh án thuộc bí mật nhà nước: bảo vệ theo luật bảo vệ bí mật nhà nước (khoản 2 Điều 69).
• Người hành nghề phát hiện dấu hiệu bạo lực, xâm hại: cơ sở phải thông báo công an để phối hợp bảo vệ người bệnh (khoản 9 Điều 60) — đây là trường hợp luật yêu cầu, không phải vi phạm bí mật.

Những chỗ hay hiểu sai

• Sai: người nhà ruột thịt thì có quyền biết bệnh. Đúng: người bệnh thành niên tự quyết ai được biết.
• Sai: chỉ bác sĩ mới phải giữ bí mật. Đúng: mọi người tiếp cận hồ sơ, kể cả nhân viên hành chính, cơ quan bảo hiểm, luật sư, đều phải giữ.
• Sai: công an hỏi miệng là phải cung cấp. Đúng: cơ quan tố tụng được tiếp cận để thực hiện nhiệm vụ; nên có văn bản đề nghị để xác định phạm vi và mục đích.
• Sai: ký đồng ý điều trị là đồng ý cho dùng dữ liệu vào mọi mục đích. Đúng: sự đồng ý phải cụ thể cho từng mục đích xử lý; tiếp thị, bán dữ liệu cần đồng ý riêng.

Thuật ngữ tiếng Anh tương đương

patient confidentiality hoặc medical confidentiality; nghĩa vụ của bác sĩ: duty of confidentiality. Thông tin sức khỏe: health data, trong GDPR thuộc special categories of personal data. Không dịch là patient secret — sai sắc thái và không có trong văn bản pháp lý tiếng Anh.

Thuật ngữ liên quan

• Hồ sơ bệnh án — đối tượng chính phải giữ bí mật
• Quyền của người bệnh — quyền được giữ bí mật đời tư
• Dữ liệu cá nhân nhạy cảm — lớp bảo vệ theo luật dữ liệu
• Quyền riêng tư — quyền nhân thân nền tảng
• Bảo vệ dữ liệu cá nhân — nghĩa vụ chung của bên xử lý dữ liệu
• Bồi thường thiệt hại — chế tài dân sự khi bị lộ thông tin

Căn cứ pháp lý

• Luật Khám bệnh, chữa bệnh số 15/2023/QH15 — Điều 10, 45, 60, 69; hiệu lực từ 01/01/2024.
• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 — Điều 26; hiệu lực từ 01/01/2026.
• Nghị định 356/2025/NĐ-CP — Điều 4 (danh mục dữ liệu nhạy cảm); hiệu lực từ 01/01/2026.
• Nghị định 90/2026/NĐ-CP — điểm c khoản 3 Điều 38; hiệu lực từ 15/5/2026.
• Nghị định 330/2026/NĐ-CP xử phạt vi phạm hành chính về an ninh mạng và bảo vệ dữ liệu cá nhân — Điều 7, 49, 50.
• Bộ luật Dân sự số 91/2015/QH13 — Điều 32, 38, 592, 597, 588.

Hỏi đáp nhanh

Công an yêu cầu bệnh viện cung cấp bệnh án có cần người bệnh đồng ý không?

Không. Cơ quan điều tra, Viện kiểm sát, Tòa án, thanh tra y tế, tổ chức giám định pháp y được tiếp cận hồ sơ bệnh án để thực hiện nhiệm vụ (điểm a khoản 4 Điều 69 Luật Khám bệnh, chữa bệnh). Bệnh viện nên yêu cầu văn bản đề nghị của cơ quan đó, và người nhận thông tin cũng phải giữ bí mật, chỉ dùng đúng mục đích (khoản 5 Điều 69).

Công ty bảo hiểm nhân thọ có quyền hỏi bệnh viện về bệnh sử của khách hàng không?

Cơ sở y tế không được cung cấp dữ liệu cá nhân cho tổ chức bảo hiểm sức khỏe, bảo hiểm nhân thọ hay dịch vụ chăm sóc sức khỏe, trừ khi chính người bệnh có yêu cầu bằng văn bản (khoản 2 Điều 26 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15). Thông thường người mua bảo hiểm ký giấy ủy quyền để công ty bảo hiểm xin hồ sơ.

Người nhà có được bác sĩ cho biết kết quả xét nghiệm của người bệnh không?

Chỉ khi người bệnh đồng ý, hoặc người hỏi là người đại diện hợp pháp của người bệnh không tự quyết được. Kể cả vợ, chồng, cha mẹ của người bệnh thành niên cũng không đương nhiên có quyền biết.

Bị lộ thông tin bệnh thì đòi bồi thường được bao nhiêu?

Người bị xâm phạm được đòi bồi thường thiệt hại vật chất thực tế và khoản bù đắp tổn thất tinh thần; khi không thỏa thuận được, phần tinh thần do xâm phạm danh dự, nhân phẩm, uy tín tối đa 10 lần lương cơ sở, tức 25.300.000 đồng với lương cơ sở 2.530.000 đồng (Điều 592 Bộ luật Dân sự). Thời hiệu khởi kiện 03 năm.