Bảo mật thông tin khách hàng phòng khám thẩm mỹ theo luật dữ liệu 2026

Những văn bản nào đang áp dụng?

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đã hết hiệu lực từ 01/01/2026. Những sự đồng ý khách đã cho theo Nghị định 13 vẫn còn giá trị, phòng khám không cần xin lại.

Dữ liệu nào của khách là dữ liệu nhạy cảm?

Luật chia dữ liệu cá nhân thành hai loại: cơ bản và nhạy cảm. Dữ liệu nhạy cảm đòi hỏi nghĩa vụ cao hơn, và phòng khám thẩm mỹ xử lý loại này mỗi ngày.

Việc coi ảnh trước và sau là dữ liệu nhạy cảm là cách hiểu thận trọng, không phải câu chữ của nghị định. Nhưng với phòng khám, đây là cách an toàn nhất vì những bức ảnh đó gắn với tình trạng sức khoẻ và điều trị của khách.

Sự đồng ý của khách thế nào mới hợp lệ?

Theo Luật (Điều 9) và Nghị định 356/2025 (Điều 6), sự đồng ý chỉ hợp lệ khi:

• Tự nguyện và có hiểu biết: khách biết loại dữ liệu, mục đích, ai xử lý và quyền của mình. Với dữ liệu nhạy cảm, phải nói rõ cho khách biết đó là dữ liệu nhạy cảm.

• Theo từng mục đích: đồng ý cho điều trị không có nghĩa là đồng ý cho quảng cáo. Không được gộp nhiều mục đích vào một chữ ký.

• Kiểm chứng được: bằng văn bản, tin nhắn, email, cuộc gọi ghi âm hoặc cơ chế trên web, ứng dụng. Phòng khám phải lưu lại bằng chứng.

• Không im lặng, không tích sẵn: im lặng hoặc không phản hồi không được coi là đồng ý; ô đồng ý tích sẵn bị cấm.

Riêng thông tin sức khoẻ, Luật (Điều 26) yêu cầu phải có sự đồng ý của khách để thu thập và xử lý, trừ một số trường hợp như cấp cứu. Phòng khám cũng không được chuyển dữ liệu của khách cho cơ sở y tế khác hay công ty bảo hiểm nếu khách không yêu cầu bằng văn bản.

Bảng gợi ý dưới đây giúp tách mục đích khi soạn mẫu đồng ý:

Phòng khám nhỏ có được miễn không?

Đây là điểm nhiều người hiểu sai. Luật cho doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lựa chọn áp dụng hay không trong 5 năm, còn hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn, nhưng chỉ với hai nghĩa vụ: lập hồ sơ đánh giá tác động và chỉ định người phụ trách bảo vệ dữ liệu.

Quan trọng hơn, miễn trừ này không áp dụng với cơ sở trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Phòng khám xử lý thông tin sức khoẻ của khách nên gần như chắc chắn thuộc nhóm phải:

• Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân (Bộ Công an) trong 60 ngày kể từ khi bắt đầu xử lý.

• Chỉ định bộ phận hoặc người đủ điều kiện bảo vệ dữ liệu cá nhân, hoặc thuê tổ chức, cá nhân cung cấp dịch vụ này. Theo Nghị định 356/2025, người được chỉ định cần có trình độ từ cao đẳng trở lên, ít nhất 2 năm kinh nghiệm liên quan và được đào tạo về bảo vệ dữ liệu cá nhân.

Các nghĩa vụ còn lại, như xin đồng ý, bảo mật và thông báo sự cố, áp dụng cho mọi cơ sở, kể cả spa và hộ kinh doanh.

Mức phạt vi phạm là bao nhiêu?

Luật đặt mức phạt tối đa 3 tỷ đồng cho phần lớn vi phạm, tới 10 lần khoản thu có được từ việc mua bán dữ liệu, và tới 5% doanh thu năm trước chỉ với vi phạm về chuyển dữ liệu ra nước ngoài. Nghị định 330/2026/NĐ-CP quy định mức phạt cụ thể; một số hành vi phòng khám dễ gặp (mức cho tổ chức, cá nhân bằng một nửa):

Khi xảy ra sự cố lộ dữ liệu có thể gây hại tới tính mạng, sức khoẻ, danh dự hoặc tài sản của khách, phòng khám phải thông báo cho cơ quan chuyên trách chậm nhất trong 72 giờ.

Bảo mật thông tin khách hàng hằng ngày: phân quyền và nhật ký

Luật đặt ra nghĩa vụ, còn bảo mật thông tin khách hàng hằng ngày nằm ở cách phòng khám vận hành. Rủi ro phổ biến nhất không phải hacker, mà là dữ liệu nằm trên điện thoại cá nhân của nhân viên, file Excel gửi qua chat nhóm, hoặc tài khoản dùng chung mà ai cũng xem được mọi thứ.

Nguyên tắc cơ bản là mỗi người chỉ thấy đúng phần dữ liệu cần cho công việc của mình:

• Lễ tân xem lịch và thông tin liên hệ, không xem phiếu điều trị và ảnh.

• Tư vấn viên thấy hội thoại và nhu cầu của khách mình phụ trách.

• Bác sĩ, kỹ thuật viên xem hồ sơ điều trị của khách trong ca của mình.

• Quản lý chi nhánh thấy dữ liệu của chi nhánh mình, không thấy chi nhánh khác.

Mỗi lần xem, sửa, xuất hoặc xoá dữ liệu khách nên được ghi lại với người thực hiện và thời điểm. Nhật ký này vừa giúp phát hiện sự cố, vừa là bằng chứng phòng khám đã có biện pháp bảo vệ. Bài quản lý hồ sơ khách hàng spa gợi ý ai được xem nhóm thông tin nào.

10 việc phòng khám nên làm ngay

1. 1

   Lập danh sách dữ liệu đang thu thập, lưu ở đâu, ai được xem.

2. 2

   Soạn lại mẫu đồng ý, tách riêng từng mục đích và nói rõ dữ liệu nhạy cảm.

3. 3

   Lưu bằng chứng đồng ý của từng khách, không dùng ô tích sẵn.

4. 4

   Lập hồ sơ đánh giá tác động và gửi trong 60 ngày.

5. 5

   Chỉ định người phụ trách bảo vệ dữ liệu bằng văn bản, hoặc thuê dịch vụ.

6. 6

   Mỗi nhân viên một tài khoản riêng, khoá ngay khi nghỉ việc.

7. 7

   Không tư vấn hay lưu ảnh khách trên thiết bị và tài khoản cá nhân.

8. 8

   Phân quyền theo vai trò và chi nhánh, bật nhật ký thao tác.

9. 9

   Chỉ xuất dữ liệu khi cần và có người phê duyệt.

10. 10

    Viết sẵn quy trình xử lý sự cố, đảm bảo thông báo được trong 72 giờ.

Phân quyền và nhật ký là phần cần công cụ hỗ trợ. Qub-X là một lựa chọn có phân quyền theo vai trò, theo chi nhánh và nhật ký thao tác trên dữ liệu khách hàng. Với phòng khám có giấy phép, xem thêm yêu cầu bảo mật của hồ sơ bệnh án điện tử phòng khám thẩm mỹ.

Câu hỏi thường gặp

Spa có phải tuân thủ Luật Bảo vệ dữ liệu cá nhân không?

Có. Luật áp dụng cho mọi tổ chức, cá nhân xử lý dữ liệu cá nhân, kể cả spa và hộ kinh doanh. Nếu spa lưu thông tin về tình trạng da, dị ứng hay sức khoẻ của khách, nên xử lý những thông tin đó như dữ liệu nhạy cảm.

Khách đã đồng ý theo Nghị định 13/2023 có cần xin lại không?

Không. Sự đồng ý đã có theo Nghị định 13/2023/NĐ-CP vẫn còn giá trị. Từ nay, các lần xin đồng ý mới cần theo quy định của Luật và Nghị định 356/2025.

Gửi tin khuyến mãi cho khách cũ có cần đồng ý không?

Cần. Quảng cáo, khuyến mãi là một mục đích riêng, khác với điều trị và chăm sóc. Hãy xin đồng ý riêng cho mục đích này và cho khách cách từ chối nhận tin dễ dàng.

Đăng ảnh trước và sau của khách lên mạng xã hội cần gì?

Cần sự đồng ý riêng của khách cho việc dùng ảnh trong quảng cáo, có bằng chứng lưu lại, và thoả thuận về thù lao nếu có. Công khai ảnh khi chưa được đồng ý có thể bị phạt 30–50 triệu đồng với tổ chức và buộc gỡ bỏ.

Nguồn tham khảo

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Công báo)

• Nghị định 356/2025/NĐ-CP hướng dẫn Luật Bảo vệ dữ liệu cá nhân (Công báo)

• Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Công báo)

• Luật Khám bệnh, chữa bệnh 2023, văn bản hợp nhất 26/VBHN-VPQH

• Bộ luật Dân sự 2015 (Công báo)

Bài viết tổng hợp các văn bản đến tháng 10/2026, mang tính tham khảo và không thay thế tư vấn pháp lý. Phòng khám nên tham khảo luật sư khi soạn mẫu đồng ý và hồ sơ đánh giá tác động.