Lịch sử mua thuốc của một người cho biết họ đang mắc bệnh gì, dùng thuốc gì, có thai hay không, nên pháp luật về bảo vệ dữ liệu cá nhân xếp thông tin này vào nhóm dữ liệu sức khoẻ, thuộc loại nhạy cảm và phải được bảo vệ chặt hơn dữ liệu thông thường. Nhà thuốc nào có phần mềm bán hàng, sổ khách quen hay nhóm Zalo chăm sóc khách là đang giữ loại dữ liệu này, dù chỉ là cửa hàng một quầy.
Bài này giúp chủ nhà thuốc và dược sĩ phụ trách rà lại: mình đang thu dữ liệu gì, để ở đâu, ai xem được, gửi đi đâu, và bao giờ thì xoá. Phần pháp lý được nói ở mức nguyên tắc. Khung chính hiện nay là Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ năm 2026 cùng văn bản hướng dẫn; bạn cần tra bản hiện hành và hỏi luật sư khi có tình huống cụ thể.
Nhà thuốc đang giữ những dữ liệu gì mà ít ai để ý
Nhiều chủ nhà thuốc nghĩ mình không giữ dữ liệu gì vì không có hồ sơ bệnh án. Khi ngồi liệt kê thật, danh sách thường dài hơn tưởng tượng:
- Phần mềm bán hàng lưu tên, số điện thoại, ngày sinh, lịch sử từng lần mua của khách có thẻ tích điểm.
- Bản lưu hoặc ảnh chụp đơn thuốc kê đơn, trong đó có họ tên, tuổi, địa chỉ, chẩn đoán và tên bác sĩ.
- Sổ theo dõi khách mạn tính mà dược sĩ tự ghi để nhắc mua thuốc đúng hẹn.
- Tin nhắn Zalo, Messenger nơi khách gửi ảnh vỉ thuốc, ảnh da bị nổi mẩn, hỏi về chuyện tế nhị.
- Camera quầy ghi lại hình khách và đôi khi cả hộp thuốc họ mua.
- Danh sách khách xuất ra bảng tính để gửi tin nhắn chúc mừng hay thông báo khuyến mãi.
- Thông tin giao hàng tận nhà: địa chỉ, giờ ở nhà, người nhận thay.
Mỗi dòng trên là một chỗ dữ liệu có thể rò ra ngoài. Không cần lo cùng lúc mọi thứ; bước đầu chỉ cần biết mình đang có gì, vì không thể bảo vệ thứ mình không biết là đang giữ.
Vì sao lịch sử mua thuốc nhạy cảm hơn số điện thoại
Một số điện thoại bị lộ thì người ta nhận thêm cuộc gọi quảng cáo. Một lịch sử mua thuốc bị lộ thì người ta có thể bị phân biệt đối xử, bị xấu hổ trước gia đình, hàng xóm hay nơi làm việc. Thuốc điều trị một số bệnh lây qua đường tình dục, thuốc tâm thần, thuốc tránh thai khẩn cấp, que thử thai, thuốc cai nghiện thuốc lá: chỉ cần tên sản phẩm cạnh tên người là đủ gây tổn hại.
Khung pháp lý về dữ liệu cá nhân ở Việt Nam, từ nghị định năm 2023 tới luật mới có hiệu lực năm 2026, đều xếp thông tin sức khoẻ vào nhóm dữ liệu nhạy cảm. Với nhóm này, nguyên tắc chung là phải có căn cứ rõ ràng để xử lý, phải thông báo cho chủ dữ liệu, thường cần sự đồng ý rõ ràng, phải có biện pháp bảo vệ tương xứng, và có trách nhiệm cao hơn khi để lộ. Chi tiết nghĩa vụ áp cho hộ kinh doanh và doanh nghiệp nhỏ có thể khác nhau, bạn cần đối chiếu văn bản hướng dẫn hiện hành.
Ngoài pháp luật về dữ liệu, nghĩa vụ giữ bí mật thông tin người bệnh còn nằm trong quy định về hành nghề y dược. Nói cách khác, dược sĩ đã có nghĩa vụ này từ trước khi có luật dữ liệu; luật mới chỉ làm cho nó rõ hơn và có chế tài cụ thể hơn.
Vòng đời dữ liệu ở nhà thuốc: từng chặng nên làm gì
Cách dễ nhất để rà là đi theo đường đi của dữ liệu, từ lúc thu vào tới lúc xoá. Bảng dưới là khung gợi ý, bạn điều chỉnh theo quy mô nhà thuốc mình.
| Chặng | Câu cần tự hỏi | Việc nên làm |
|---|---|---|
| Thu | Có thật sự cần thông tin này để bán thuốc hay chăm sóc khách không? | Chỉ hỏi điều cần; thẻ tích điểm không cần ngày sinh đầy đủ hay địa chỉ nhà |
| Báo và xin đồng ý | Khách có biết nhà thuốc lưu gì và để làm gì không? | Có một đoạn thông báo ngắn ở quầy hoặc khi đăng ký thẻ, xin đồng ý riêng cho việc gửi tin quảng cáo |
| Lưu | Dữ liệu nằm ở máy nào, tài khoản nào, ai có mật khẩu? | Mỗi nhân viên một tài khoản phần mềm, phân quyền xem; sổ giấy để trong tủ có khoá |
| Dùng | Có ai đang dùng dữ liệu vào việc khác mục đích ban đầu không? | Không xuất danh sách khách ra điện thoại cá nhân; không dùng để giới thiệu dịch vụ của bên khác |
| Chia sẻ | Dữ liệu có đi tới bên thứ ba nào không, kể cả công cụ AI? | Không đưa thông tin nhận diện vào chatbot công cộng; với nhà cung cấp phần mềm, đọc điều khoản về dữ liệu |
| Xoá | Khách ngừng mua đã lâu, hoặc yêu cầu xoá thì sao? | Đặt thời hạn lưu hợp lý theo quy định về lưu hồ sơ; xử lý yêu cầu xoá trong thời gian quy định |
Bạn sẽ thấy phần lớn việc trong bảng không tốn tiền, chỉ tốn kỷ luật. Thứ tốn tiền nhất thường là sửa hậu quả sau khi đã lộ.
Những chỗ rò rỉ hay gặp nhất ở nhà thuốc nhỏ
Tài khoản phần mềm dùng chung. Cả nhà thuốc đăng nhập bằng một tài khoản, mật khẩu dán cạnh màn hình. Khi có chuyện, không ai biết ai đã xem hay xuất dữ liệu.
Nhân viên nghỉ việc vẫn còn trong nhóm chat. Nhóm Zalo chăm sóc khách hay nhóm nội bộ có ảnh đơn thuốc, nhưng người đã nghỉ vẫn ở trong nhóm nhiều tháng sau.
Chụp đơn bằng điện thoại cá nhân. Ảnh đơn nằm lẫn trong thư viện ảnh riêng, tự động sao lưu lên dịch vụ đám mây cá nhân của nhân viên.
Gọi tên và tên thuốc to ở quầy. Rò rỉ không cần máy tính: đọc to tên thuốc nhạy cảm khi có khách khác đứng cạnh cũng là để lộ thông tin sức khoẻ.
Dán dữ liệu vào chatbot để soạn tin nhắn. Ví dụ dán danh sách khách mạn tính kèm tên thuốc để nhờ AI viết tin nhắc mua thuốc. Danh sách đó vừa đi khỏi nhà thuốc.
Máy tính cũ bán lại hoặc bỏ đi. Ổ cứng còn nguyên cơ sở dữ liệu phần mềm bán hàng nhiều năm. Trước khi thanh lý, cần xoá an toàn hoặc tháo ổ giữ lại.
Tin nhắn nhắc mua thuốc và tin quảng cáo: hai việc khác nhau
Nhiều nhà thuốc dùng danh sách khách mạn tính để nhắn nhắc khi gần hết thuốc. Về chăm sóc, đây là việc tốt: người cao tuổi hay quên, nhắc đúng lúc giúp họ không bị gián đoạn thuốc. Nhưng về dữ liệu, việc nhắc mua thuốc dựa trên lịch sử mua là xử lý dữ liệu sức khoẻ cho một mục đích cụ thể, nên cần khách biết và đồng ý từ trước, tốt nhất là đồng ý riêng cho việc này.
Tin quảng cáo khuyến mãi lại là mục đích khác. Không nên gộp chung một ô đồng ý cho cả chăm sóc lẫn quảng cáo, và không nên dùng lịch sử mua thuốc để nhắm quảng cáo, ví dụ gửi khuyến mãi sản phẩm hỗ trợ tiểu đường cho khách từng mua thuốc tiểu đường. Khách nhận được tin như vậy sẽ hiểu ngay nhà thuốc đang đọc lịch sử mua của họ, và cảm giác bị theo dõi khó gỡ lại.
Một chi tiết thực tế: nội dung tin nhắc không cần nêu tên thuốc. "Nhà thuốc nhắc anh chị: thuốc dùng hằng ngày của gia đình có thể sắp hết, anh chị ghé khi tiện" vẫn đủ ý, mà nếu điện thoại bị người khác cầm xem cũng không lộ bệnh. Nếu nhờ AI soạn mẫu tin, chỉ mô tả mục đích, không dán danh sách khách hay tên thuốc của ai.
Kế hoạch ba mươi ngày cho một nhà thuốc nhỏ
Nếu bạn chưa từng làm gì về dữ liệu, đừng cố làm tất cả trong một tuần. Kế hoạch sau chia thành từng bước nhỏ, mỗi bước làm được trong một buổi:
- Tuần một: liệt kê mọi nơi đang giữ dữ liệu khách, từ phần mềm, sổ giấy, điện thoại, nhóm chat tới camera.
- Tuần một: đổi mật khẩu phần mềm, tạo tài khoản riêng cho từng người, xoá người đã nghỉ khỏi mọi nhóm chat.
- Tuần hai: viết đoạn thông báo ngắn về việc lưu dữ liệu, đặt ở quầy và trong mẫu đăng ký thẻ khách hàng, tách riêng ô đồng ý nhận tin quảng cáo.
- Tuần hai: quy định ảnh đơn thuốc chỉ chụp bằng thiết bị của nhà thuốc, không lưu trên máy cá nhân.
- Tuần ba: viết quy tắc dùng AI một trang, ghi rõ thông tin nào tuyệt đối không dán vào chatbot.
- Tuần ba: thoả thuận với nhân viên giao hàng về việc không chụp, không giữ địa chỉ khách sau khi giao.
- Tuần bốn: chọn một người chịu trách nhiệm về dữ liệu, đặt lịch rà lại mỗi quý, và ghi cách xử lý khi phát hiện lộ dữ liệu.
Có thể nhờ AI soạn bản nháp đoạn thông báo hay quy tắc nội bộ, miễn là bạn chỉ đưa mô tả chung về nhà thuốc, không đưa dữ liệu khách nào. Bản nháp xong, người chịu trách nhiệm đọc lại và đối chiếu văn bản pháp luật hiện hành.
Khi nghi lộ dữ liệu và khi khách hỏi về sức khoẻ
Nếu phát hiện dữ liệu khách bị lộ, ví dụ máy bị nhiễm mã độc, nhân viên cũ mang danh sách đi, hay ảnh đơn bị đăng lên mạng, việc đầu tiên là ngăn rò thêm: đổi mật khẩu, khoá tài khoản, gỡ nội dung nếu có thể. Sau đó ghi lại sự việc, thời điểm phát hiện, phạm vi ảnh hưởng. Pháp luật hiện hành có quy định về thông báo vi phạm dữ liệu cá nhân trong thời hạn nhất định; bạn nên hỏi luật sư ngay để biết nghĩa vụ của mình, ví dụ qua mục hỏi luật sư trên AI Cố Vấn.
Một lưu ý cuối về nghề: kênh tin nhắn với khách thường biến thành nơi khách hỏi chuyện sức khoẻ. Nếu khách nhắn những dấu hiệu như khó thở, đau ngực, phát ban lan nhanh kèm sưng mặt sau khi dùng thuốc, hay trẻ sốt cao co giật, đừng tư vấn qua tin nhắn; khuyên gọi cấp cứu hoặc đến cơ sở y tế ngay. Với câu hỏi không gấp, nói rõ dược sĩ chỉ tư vấn trong phạm vi thuốc, việc chẩn đoán cần bác sĩ khám.
Câu hỏi thường gặp
Nhà thuốc hộ kinh doanh có phải tuân thủ luật bảo vệ dữ liệu cá nhân không?
Nguyên tắc bảo vệ dữ liệu cá nhân áp cho mọi tổ chức, cá nhân xử lý dữ liệu, nhưng mức nghĩa vụ cụ thể với hộ kinh doanh và doanh nghiệp nhỏ có thể được điều chỉnh theo văn bản hướng dẫn. Dù ở mức nào, nghĩa vụ giữ bí mật thông tin người bệnh của dược sĩ vẫn luôn áp dụng.
Có cần xin khách ký giấy đồng ý khi lập thẻ tích điểm không?
Cần có cách để khách biết và đồng ý với việc lưu dữ liệu, đặc biệt là đồng ý riêng cho việc nhận tin quảng cáo. Hình thức có thể là mẫu đăng ký giấy hoặc xác nhận điện tử. Cách thể hiện sự đồng ý hợp lệ nên đối chiếu với quy định hiện hành.
Nhà thuốc lưu ảnh đơn thuốc bao lâu thì nên xoá?
Thời hạn lưu phụ thuộc quy định về lưu đơn thuốc và hồ sơ bán thuốc kê đơn đối với từng nhóm thuốc, cũng như nhu cầu chăm sóc khách. Không nên lưu vô thời hạn. Hãy tra quy định hiện hành về thời gian lưu, đặt lịch xoá định kỳ và ghi lại việc xoá.
Dùng AI để phân tích dữ liệu bán hàng có vi phạm gì không?
Phân tích số liệu tổng hợp như doanh số theo nhóm thuốc, theo tháng mà không có tên hay số điện thoại khách thì rủi ro thấp. Rủi ro xuất hiện khi đưa danh sách có thông tin nhận diện vào công cụ công cộng. Xoá cột tên, số điện thoại, địa chỉ trước khi tải lên.
Khách yêu cầu xoá thông tin của mình thì nhà thuốc làm gì?
Ghi nhận yêu cầu, kiểm tra những nơi đang lưu dữ liệu của khách đó và xoá phần không còn căn cứ để giữ. Một số hồ sơ có thể phải giữ theo quy định chuyên ngành; khi đó giải thích cho khách rõ phần nào phải giữ, vì sao và đến bao giờ.
Camera quầy thuốc có được ghi hình khách không?
Camera an ninh là thực hành phổ biến, nhưng nên có thông báo cho khách biết đang ghi hình, hạn chế góc quay chi tiết vào hàng hoá khách mua, giới hạn người xem lại và thời gian lưu. An ninh nhà thuốc nói kỹ hơn trên trang AI An Ninh.