Hồ sơ của một khách hàng tại thẩm mỹ viện hoặc phòng khám không chỉ là tên và số điện thoại. Dữ liệu có thể kéo dài từ thông tin định danh, bệnh án, đặc điểm sinh trắc học, giao dịch thanh toán đến chuỗi ảnh ghi lại trước và sau điều trị. Mỗi nhóm phục vụ một công việc khác nhau, nhưng chúng thường đi qua nhiều người, nhiều thiết bị và nhiều công cụ. Vì vậy, bài toán cần giải không phải chỉ là có một chính sách bảo mật, mà là kiểm soát được dữ liệu đang ở đâu, ai đang dùng, dùng cho mục đích nào và có bằng chứng gì cho từng lần truy cập hoặc công khai.
Một hồ sơ nhưng nhiều lớp dữ liệu nhạy cảm
Dữ liệu sức khỏe và hình ảnh khuôn mặt cần được bảo vệ nghiêm ngặt vì chúng gắn trực tiếp với một cá nhân và quá trình điều trị. Khi ảnh trước - sau được đặt cạnh bệnh án, thông tin định danh hoặc dữ liệu thanh toán, mức độ phơi lộ không còn giới hạn ở một tệp hình ảnh. Người có quyền truy cập có thể nhìn thấy cả lịch sử dịch vụ, tình trạng sức khỏe và thông tin nhận diện của khách hàng.
Rủi ro tăng lên khi hồ sơ được lưu trên Google Drive dùng chung, thiết bị cá nhân hoặc các không gian mà quyền truy cập không được tách theo vai trò. Cách lưu thuận tiện cho thao tác hằng ngày có thể đồng thời tạo điều kiện cho sao chép, chuyển tiếp hoặc tải xuống ngoài phạm vi cần thiết. Do đó, kiểm kê phải nhìn theo toàn bộ vòng đời hồ sơ, từ lúc tiếp nhận, chụp ảnh, điều trị, thanh toán cho tới lưu trữ và sử dụng lại.
Đồng ý chụp ảnh không phải đồng ý truyền thông
Một điểm dễ nhầm là xem việc khách hàng đồng ý chụp ảnh như sự cho phép đăng ảnh lên Facebook, TikTok hoặc Zalo OA. Hai hoạt động có mục đích khác nhau. Ảnh có thể được tạo để theo dõi chuyên môn, nhưng việc công khai lại phục vụ truyền thông. Nếu hai mục đích bị gộp, cơ sở khó chứng minh khách hàng đã thực sự chấp thuận việc hình ảnh của họ xuất hiện trước công chúng.
Quản lý sự đồng ý vì thế cần tách khỏi thao tác chụp ảnh. Hồ sơ nên thể hiện rõ ảnh nào chỉ dùng trong điều trị, ảnh nào có thể sử dụng cho truyền thông và phạm vi kênh được chấp thuận. Khi không có bằng chứng phù hợp với mục đích công khai, lựa chọn an toàn về vận hành là không đưa hình ảnh ra ngoài hệ thống nội bộ.
Năm điểm kiểm soát cần hiện diện trong quy trình
Các biện pháp không cần bắt đầu bằng một dự án quá rộng. Cơ sở có thể bắt đầu từ năm điểm đã gắn trực tiếp với luồng dữ liệu hiện có: kiểm kê, phân quyền, mã hóa, nhật ký truy cập và quản lý sự đồng ý. Giá trị của chúng nằm ở khả năng trả lời được câu hỏi cụ thể khi có yêu cầu kiểm tra hoặc khi phát hiện một tệp bị sử dụng sai mục đích.
Nghị định 356/2025/NĐ-CP được nguồn bài viết đặt trong bối cảnh tuân thủ của nhóm cơ sở này. Tuy nhiên, hồ sơ pháp lý chỉ có ý nghĩa khi phản ánh đúng cách dữ liệu được xử lý trong thực tế. Danh sách kiểm tra dưới đây nên được đối chiếu với hệ thống, thiết bị và kênh truyền thông mà đơn vị thực sự đang dùng.
- Lập danh mục nơi đang lưu dữ liệu định danh, bệnh án, sinh trắc học, ảnh điều trị và thanh toán.
- Phân quyền theo vai trò để nhân sự chỉ nhìn thấy phần hồ sơ cần cho công việc.
- Mã hóa dữ liệu ở các điểm lưu trữ thuộc phạm vi kiểm soát của đơn vị.
- Ghi nhật ký truy cập để truy vết người xem, tải hoặc thay đổi hồ sơ.
- Quản lý riêng sự đồng ý cho truyền thông, không suy diễn từ việc đồng ý chụp ảnh.
Biến kiểm soát thành thói quen vận hành
Quy trình chỉ bền khi nhân viên tiếp nhận, chuyên môn, chăm sóc khách hàng và truyền thông cùng hiểu ranh giới sử dụng dữ liệu. Người chụp ảnh cần biết ảnh được đưa vào đâu; người phụ trách nội dung cần biết bằng chứng đồng ý nằm ở đâu; người quản trị hệ thống cần biết quyền nào phải cấp và quyền nào phải thu hồi. Mỗi mắt xích đều cần một đầu ra có thể kiểm tra thay vì dựa vào trao đổi miệng.
ICS khuyến nghị tiếp cận theo dữ liệu thực tế thay vì chỉ theo tên phần mềm. Dù hồ sơ nằm trên hệ thống chuyên dụng, Google Drive hay thiết bị cá nhân, câu hỏi cốt lõi vẫn là ai có thể truy cập, dữ liệu có được bảo vệ và việc sử dụng có đúng mục đích hay không. Khi năm điểm kiểm soát được duy trì liên tục, cơ sở vừa giảm nguy cơ rò rỉ vừa tránh biến hình ảnh điều trị thành một tài sản truyền thông không có căn cứ rõ ràng.