Bảo vệ dữ liệu y tế nhưng không gián đoạn việc cứu người

Nhấn mạnh trong lĩnh vực y tế, dữ liệu bị lộ lọt có thể gây tổn thương lâu dài đến quyền riêng tư và cuộc sống của người bệnh nhưng dữ liệu không được kết nối kịp thời hoặc hệ thống bị gián đoạn cũng có thể làm mất đi cơ hội cứu chữa. Do đó, phải vừa bảo vệ an ninh dữ liệu, vừa bảo đảm dữ liệu được khai thác an toàn, kịp thời vì sức khoẻ của người dân.

Bảo mật nhưng không hạn chế khai thác dữ liệu phục vụ điều trị

Từ thực tiễn ngành y tế, đại biểu Phạm Thu Xanh nhấn mạnh bảo vệ an ninh dữ liệu phải gắn với bảo đảm an toàn người bệnh và tính liên tục của hoạt động khám, chữa bệnh. Khoản 1, khoản 2 điều 69 Luật Khám bệnh, chữa bệnh quy định hồ sơ bệnh án phải được lưu giữ, bảo mật; nhiều loại hồ sơ có thời hạn lưu trữ từ 10 đến 30 năm, 70 năm hoặc vĩnh viễn. Đây không chỉ là dữ liệu chuyên môn mà còn là lịch sử sức khỏe và bí mật riêng tư của mỗi người.

"Tuy nhiên, bảo vệ dữ liệu không có nghĩa là hạn chế việc khai thác dữ liệu hợp pháp phục vụ điều trị. Người bệnh ung thư cần hội chẩn quốc tế; thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp; bệnh nhân cấp cứu cần được truy cập kịp thời tiền sử bệnh án", đại biểu Phạm Thu Xanh nêu ý kiến.

Vì vậy, đại biểu đề nghị rà soát khoản 7, khoản 9 điều 19 theo hướng quy định rõ cơ chế chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc có sự đồng ý của người bệnh. Đối với dữ liệu đã mã hóa, có kiểm soát truy cập và lưu vết, cần có quy trình, thời hạn xử lý phù hợp, tránh phát sinh thủ tục không cần thiết. Đồng thời, khi áp dụng biện pháp kỹ thuật khẩn cấp theo điều 23, cần có cơ chế bảo đảm không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và các dịch vụ y tế thiết yếu bởi sự cố an ninh dữ liệu trong bệnh viện không chỉ là sự cố công nghệ mà có thể trực tiếp ảnh hưởng đến an toàn người bệnh.

Phân loại dữ liệu, xác định cấp độ an ninh theo mức độ rủi ro

Tại dự thảo, khoản 3 điều 8 xác định dữ liệu cốt lõi, trong đó có dữ liệu sinh trắc học, dữ liệu di truyền; khoản 2 điều 12 quy định việc xác định cấp độ hệ thống căn cứ vào dữ liệu có mức độ rủi ro cao nhất, trừ trường hợp được phân vùng, cách ly.

Đại biểu Phạm Thu Xanh cho rằng cần phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã khử nhận dạng, không thể tái nhận dạng. Nếu chỉ cần một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng cấp độ an ninh cao nhất thì sẽ làm tăng đáng kể chi phí tuân thủ, nhất là đối với các cơ sở y tế công lập. Đại biểu đề nghị làm rõ khoản 3 điều 8 theo hướng việc xác định dữ liệu cốt lõi phải căn cứ vào tính chất, quy mô, khả năng gây thiệt hại và ngưỡng rủi ro của chính tập dữ liệu; đồng thời, hướng dẫn cụ thể việc phân vùng, cách ly hệ thống theo khoản 2 điều 12.

Tạo hành lang pháp lý cho khai thác dữ liệu phục vụ y học hiện đại và nghiên cứu khoa học

Theo đại biểu Phạm Thu Xanh, hiện nay một số xét nghiệm chuyên sâu về di truyền phải gửi mẫu sinh phẩm ra nước ngoài. Do đó, cần phân biệt mẫu sinh phẩm với dữ liệu được tạo ra từ việc phân tích mẫu và thông tin định danh gắn với mẫu để có biện pháp quản lý phù hợp. Đối với mẫu đã mã hóa, khóa liên kết được lưu giữ trong nước, cần áp dụng cơ chế quản lý theo mức độ rủi ro, đồng thời quy định rõ trách nhiệm bảo quản, hoàn trả hoặc tiêu hủy mẫu và dữ liệu sau xét nghiệm.

Khoản 7 điều 19 về chuyển dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị cần được làm rõ; đồng thời, bổ sung tại khoản 4 điều 9 căn cứ sử dụng dữ liệu đối với các nghiên cứu đã được Hội đồng đạo đức chấp thuận và thử nghiệm lâm sàng được cơ quan có thẩm quyền phê duyệt. Tại khoản 4 điều 15, cần quy định cơ chế xác định cấp độ phù hợp đối với dữ liệu tổng hợp, dữ liệu dẫn xuất đã được khử nhận dạng và không thể tái nhận dạng. Đồng thời, cần bảo đảm tính thống nhất giữa luật này với Luật Bảo vệ dữ liệu cá nhân về lưu trữ đám mây, chuyển dữ liệu xuyên biên giới và đánh giá tác động đối với hoạt động xử lý dữ liệu y tế.

"Nếu thiếu hành lang pháp lý phù hợp, chúng ta có thể vô tình hạn chế cơ hội phát triển y học chính xác, nghiên cứu ung thư, tim mạch, tế bào gốc và ứng dụng trí tuệ nhân tạo trong y tế", đại biểu Phạm Thu Xanh khẳng định. Đại biểu cũng đề nghị phân định rõ trách nhiệm bảo đảm an ninh dữ liệu giữa cơ sở y tế và đơn vị quản lý các nền tảng dữ liệu dùng chung của Nhà nước.

Hiện điều 18 chưa làm rõ trách nhiệm khi dữ liệu được bệnh viện cung cấp theo nghĩa vụ pháp luật nhưng sự cố lại phát sinh tại nền tảng tiếp nhận hoặc trong quá trình kết nối, khai thác. Theo đại biểu, cần quy định cơ sở y tế chịu trách nhiệm về tính chính xác, an toàn dữ liệu trong phạm vi hệ thống do mình quản lý và đến điểm kết nối theo tiêu chuẩn được công bố; cơ quan, đơn vị quản lý nền tảng chịu trách nhiệm về an ninh, an toàn và xử lý sự cố trong phạm vi hệ thống được giao quản lý. Tại khoản 7 điều 22, cần bổ sung cơ chế thông báo cho người đại diện, người giám hộ đối với trẻ em và người cao tuổi bị suy giảm khả năng nhận thức./.

(Theo Báo điện tử Hải Phòng)