Theo Luật Chuyển đổi số 2025, chuỗi nhà thuốc số hoá đơn thuốc điện tử cần tuân thủ những gì?

Lịch sử mua thuốc là dữ liệu sức khỏe. Bài viết bàn về chương trình thẻ khách hàng, đơn thuốc điện tử và ranh giới sử dụng dữ liệu.

Một chuỗi nhà thuốc lớn nắm dữ liệu mà ít ai nghĩ tới mức nhạy cảm của nó: lịch sử mua thuốc của hàng triệu người. Từ danh sách thuốc một người mua đều đặn, có thể suy ra họ mắc bệnh gì — kể cả những bệnh mà họ không muốn ai biết.

Lưu ý trước: hoạt động kinh doanh dược chịu điều chỉnh của pháp luật chuyên ngành về dược, gồm quy định về bán thuốc theo đơn, lưu trữ hồ sơ, và kết nối cơ sở dữ liệu dược quốc gia. Bài viết bàn về khía cạnh dữ liệu.

Lịch sử mua thuốc là dữ liệu sức khỏe

Đây là điểm cần được nhận thức rõ. Thuốc điều trị bệnh mạn tính, thuốc tâm thần, thuốc điều trị bệnh truyền nhiễm, thuốc tránh thai — mỗi giao dịch mua thuốc là một mảnh thông tin về sức khỏe.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Chín nguyên tắc:

• Chỉ thu thập thông tin cần theo quy định về bán thuốc và cho việc bán hàng;
• Không bắt buộc cung cấp số điện thoại để mua thuốc;
• Phân quyền chặt — nhân viên bán hàng không tra cứu được lịch sử mua của khách khác;
• Ghi nhật ký tra cứu;
• Giám sát tra cứu bất thường;
• Mã hóa dữ liệu lưu trữ;
• Không hiển thị tên thuốc trên màn hình quay ra khu vực chờ;
• Không đọc to tên thuốc nhạy cảm tại quầy;
• Thời hạn lưu hợp lý theo quy định.

Điểm thứ hai đáng nhấn mạnh: nhiều nhà thuốc mặc định hỏi số điện thoại cho mọi giao dịch để tích điểm, và khách hàng không được cho biết rằng họ có thể từ chối.

Điểm thứ tám là vấn đề riêng tư rất thực tế: một người mua thuốc điều trị bệnh nhạy cảm không muốn cả hàng người đang xếp hàng nghe thấy tên thuốc.

Chương trình thẻ khách hàng

Thẻ tích điểm ở nhà thuốc khác với thẻ ở cửa hàng thời trang: nó tạo ra hồ sơ sức khỏe theo thời gian.

Bảy nguyên tắc:

• Giải thích rõ dữ liệu được dùng vào việc gì khi mời đăng ký;
• Tách bạch sự đồng ý nhận quảng cáo khỏi việc tích điểm;
• Không gợi ý sản phẩm dựa trên bệnh suy ra từ lịch sử mua;
• Không gửi tin nhắn tiết lộ tình trạng sức khỏe — "đã đến kỳ mua thuốc tiểu đường";
• Cho phép rút khỏi chương trình và xóa lịch sử;
• Không chia sẻ cho bên thứ ba;
• Không dùng để phân loại khách hàng theo tình trạng bệnh.

Điểm thứ tư là vi phạm dễ xảy ra và gây tổn thương thật: tin nhắn hiển thị trên màn hình khóa điện thoại, người nhà cầm máy đọc được, và một tình trạng bệnh mà người đó chọn giữ kín bị lộ.

Điểm thứ ba là ranh giới cần suy nghĩ kỹ: gợi ý mua thêm thực phẩm chức năng cho người có dấu hiệu mắc bệnh nào đó vừa là khai thác dữ liệu sức khỏe vừa có thể là tư vấn không phù hợp chuyên môn.

Đơn thuốc điện tử

Khoản 1 Điều 19 Luật 20/2023/QH15 quy định:

Nội dung của thông điệp dữ liệu được bảo đảm toàn vẹn khi nội dung đó chưa bị thay đổi, trừ những thay đổi về hình thức phát sinh trong quá trình gửi, lưu trữ hoặc hiển thị thông điệp dữ liệu.

Bảy yêu cầu:

• Xác thực nguồn gốc đơn thuốc, chống đơn giả;
• Không sửa được nội dung đơn;
• Ghi nhận việc bán theo đơn, chống bán lại nhiều lần cùng một đơn;
• Nhật ký đầy đủ, gắn định danh dược sĩ;
• Không lưu ảnh chụp đơn trên thiết bị cá nhân;
• Bảo mật nội dung đơn — nó chứa chẩn đoán;
• Lưu trữ theo thời hạn quy định.

Điểm thứ ba là chức năng có ý nghĩa y tế công cộng: một đơn thuốc kháng sinh hoặc thuốc kiểm soát đặc biệt được dùng đi dùng lại ở nhiều nhà thuốc là vấn đề nghiêm trọng mà chỉ hệ thống liên thông mới phát hiện được.

Không mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Sáu tình huống rủi ro:

Bán dữ liệu bán hàng theo hoạt chất cho hãng dược — cần rất thận trọng: nếu dữ liệu ở mức định danh khách hàng thì đây là chia sẻ dữ liệu sức khỏe.

Chia sẻ danh sách người mua thuốc cho đơn vị bán thực phẩm chức năng.

Cung cấp cho công ty bảo hiểm để đánh giá rủi ro.

Chia sẻ cho phòng khám liên kết mà khách chưa đồng ý.

Nhân viên bán dữ liệu ra ngoài.

Dùng dữ liệu để nhắm quảng cáo trên nền tảng bên thứ ba.

Tình huống thứ ba đặc biệt nghiêm trọng về hậu quả với người dân: dữ liệu mua thuốc dùng để từ chối hoặc tăng phí bảo hiểm là điều không được phép xảy ra.

Tình huống thứ nhất là ranh giới cần vạch rõ trong hợp đồng với hãng dược: số liệu tổng hợp về sản lượng bán một hoạt chất tại một khu vực là dữ liệu thị trường; dữ liệu gắn với từng khách hàng thì không.

Camera trong nhà thuốc

Năm nguyên tắc: biển báo rõ; góc quay không hướng vào khu vực khách trao đổi riêng với dược sĩ; không thu âm cuộc tư vấn nếu không có cơ sở; thời hạn lưu hợp lý; và quy trình trích xuất có phê duyệt.

Điểm thứ hai và thứ ba quan trọng: cuộc trao đổi giữa khách và dược sĩ về triệu chứng là nội dung riêng tư về sức khỏe.

Nhân sự

Sáu việc: cam kết bảo mật có chế tài rõ; đào tạo về mức nhạy cảm của dữ liệu mua thuốc; nguyên tắc không thảo luận về khách hàng cụ thể; cấm chụp màn hình, chụp đơn thuốc; thu hồi quyền ngay khi nhân sự nghỉ; và kênh báo cáo khi bị tiếp cận mua dữ liệu.

Chuỗi nhà thuốc có tỷ lệ luân chuyển nhân sự cao và nhiều điểm bán, nên kiểm soát kỹ thuật tập trung quan trọng hơn là dựa vào nội quy.

An ninh hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Sáu biện pháp: tài khoản riêng cho từng nhân viên, không dùng chung theo ca; tự động khóa màn hình; kiểm soát chức năng xuất tệp; sao lưu có kiểm tra khôi phục; chống mã độc tống tiền bằng sao lưu ngoại tuyến; và phương án bán hàng thủ công khi hệ thống sự cố.

Danh sách kiểm tra

• Có bắt buộc cho số điện thoại mới mua được thuốc không?
• Nhân viên có tra cứu được lịch sử mua của khách khác không?
• Màn hình có hiển thị tên thuốc ra khu vực chờ không?
• Tin nhắn gửi khách có tiết lộ tình trạng bệnh không?
• Có chia sẻ dữ liệu định danh cho hãng dược không?
• Có bán hoặc chia sẻ cho công ty bảo hiểm không?
• Có dùng tài khoản chung theo ca không?

Đọc thêm cùng chủ đề

• Tấn công mạng gồm những hành vi nào?
• Doanh nghiệp cung cấp dịch vụ mạng có trách nhiệm gì?
• Hệ thống đã xác định cấp độ cũ có phải làm lại?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 5
• Luật 116/2025/QH15 Điều 26
• Luật 20/2023/QH15 Điều 19

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.