Ứng dụng xem kết quả xét nghiệm: nhà cung cấp muốn sao chép dữ liệu bệnh nhân thật để kiểm thử
Bệnh viện sắp ra mắt ứng dụng đặt lịch khám và xem kết quả xét nghiệm. Nhà cung cấp đề nghị dùng dữ liệu bệnh nhân thật để kiểm thử, cán bộ bảo vệ dữ liệu vừa được bổ nhiệm lên tiếng phản đối. Bạn gắn kết giám đốc bệnh viện, cán bộ bảo vệ dữ liệu, các khoa và nhà cung cấp thế nào?
Bối cảnh
Bạn là PM của một bệnh viện đa khoa tư nhân khoảng 400 giường, phụ trách dự án ứng dụng di động cho bệnh nhân: đặt lịch khám, thanh toán và xem kết quả xét nghiệm. Ngân sách 5 tỷ đồng, nhà cung cấp phần mềm là một công ty trong nước, dự kiến ra mắt sau 8 tuần. Giám đốc bệnh viện — người bảo trợ dự án — đã hứa với Hội đồng quản trị sẽ ra mắt trước dịp kỷ niệm thành lập. Từ ngày 1/1/2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực, cùng Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP; thông tin sức khoẻ trong hồ sơ bệnh án thuộc nhóm dữ liệu cá nhân nhạy cảm. Bệnh viện vừa bổ nhiệm một cán bộ bảo vệ dữ liệu cá nhân (DPO) từ phòng pháp chế. Hôm qua, nhà cung cấp gửi yêu cầu trích xuất 50.000 hồ sơ bệnh nhân thật cùng kết quả xét nghiệm sang môi trường kiểm thử của họ, “để test cho sát thực tế”. DPO được đồng gửi email và trả lời: “Không được.” (Tình huống giả định, mang tính minh hoạ; các nghĩa vụ pháp lý cụ thể cần được pháp chế xác nhận.)