Khám sức khỏe nhân viên: doanh nghiệp được tiếp cận dữ liệu nào?

Doanh nghiệp được xử lý những thông tin sức khỏe cần thiết để thực hiện nghĩa vụ khám sức khỏe, quản lý an toàn lao động và các công việc có căn cứ hợp pháp khác. Phạm vi dữ liệu doanh nghiệp được nhận phụ thuộc loại khám, hồ sơ đầu ra theo quy định, thỏa thuận với người lao động và nhiệm vụ của người tiếp cận. Đối với hồ sơ khám sức khỏe định kỳ, Điều 38 Thông tư 32/2023/TT-BYT quy định trách nhiệm bảo quản, lưu trữ của đơn vị quản lý người được khám; nhưng việc có hồ sơ không làm mất yêu cầu bảo mật dữ liệu nhạy cảm. Cần đối chiếu đồng thời Điều 21 Luật An toàn, vệ sinh lao động, Điều 25–26 Luật Bảo vệ dữ liệu cá nhân và pháp luật khám bệnh, chữa bệnh.

1. Khi nào doanh nghiệp phải tổ chức khám sức khỏe cho người lao động?

Khoản 1 Điều 21 Luật An toàn, vệ sinh lao động số 84/2015/QH13 quy định người sử dụng lao động tổ chức khám sức khỏe ít nhất một lần hằng năm; một số nhóm người lao động và nhóm công việc được luật nêu phải được khám ít nhất 06 tháng một lần. Khoản 2 và 3 Điều này quy định thêm về khám chuyên khoa, khám phát hiện bệnh nghề nghiệp và một số thời điểm khám liên quan bố trí, thay đổi công việc hoặc phục hồi sức khỏe. Doanh nghiệp phải xác định đúng nhóm đối tượng, tính chất công việc và quy định chuyên ngành để lập kế hoạch.

Nghĩa vụ tổ chức khám sức khỏe là căn cứ xác định công việc phải thực hiện, nhưng chưa đủ để kết luận bộ phận nhân sự có quyền yêu cầu bệnh viện gửi mọi hồ sơ điều trị hoặc kết quả xét nghiệm riêng của người lao động. Trước khi giao việc cho cơ sở y tế, doanh nghiệp nên ghi rõ danh mục dịch vụ khám, loại hồ sơ cần bàn giao, mục đích sử dụng và đầu mối nhận.

Thông tư 32/2023/TT-BYT quy định quy trình và hồ sơ khám sức khỏe, trong đó Điều 37 liên quan phân loại sức khỏe và Điều 38 liên quan cấp, lưu giấy khám sức khỏe. Doanh nghiệp lưu ý Thông tư 25/2026/TT-BYT đã sửa đổi một số quy định và mẫu biểu của Thông tư 32, đặc biệt Điều 34, Điều 36 và Phụ lục XXIV. Khi triển khai khám sau thời điểm văn bản sửa đổi có hiệu lực, phải yêu cầu cơ sở y tế sử dụng hồ sơ và nội dung khám theo phiên bản áp dụng.

2. Dữ liệu sức khỏe là dữ liệu cá nhân nhạy cảm

Điểm d khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP xác định tình trạng sức khỏe thuộc dữ liệu cá nhân nhạy cảm. Khoản 2 Điều 4 yêu cầu cơ quan, tổ chức xử lý dữ liệu nhạy cảm phải thiết lập quy định phân quyền giới hạn truy cập, quy trình xử lý và biện pháp bảo mật. Điều 3 Luật Bảo vệ dữ liệu cá nhân tiếp tục đặt ra nguyên tắc đúng mục đích, giới hạn phạm vi và thời gian lưu.

Điểm a khoản 1 Điều 26 Luật Bảo vệ dữ liệu cá nhân quy định yêu cầu về sự đồng ý khi thu thập, xử lý thông tin sức khỏe, trừ các trường hợp được nêu tại khoản 1 Điều 19. Khi doanh nghiệp dựa vào một ngoại lệ, phải chỉ ra nghiệp vụ cụ thể, căn cứ và điều kiện thực tế; không nên dùng câu “khám sức khỏe là bắt buộc nên tất cả dữ liệu đều không cần đồng ý”. Đồng thời, quyền được bảo mật thông tin sức khỏe, hồ sơ bệnh án theo Điều 10 Luật Khám bệnh, chữa bệnh số 15/2023/QH15 vẫn phải được tôn trọng.

3. Phân biệt giấy khám sức khỏe, hồ sơ khám định kỳ và hồ sơ bệnh án

Giấy khám sức khỏe và kết luận phân loại sức khỏe

Giấy khám sức khỏe, sổ khám sức khỏe định kỳ có thể ghi kết quả theo các chuyên khoa và kết luận phân loại sức khỏe theo biểu mẫu y tế. Không nên diễn giải rằng giấy khám chỉ chứa một dòng “đủ điều kiện” hoặc rằng tất cả các chỉ số đều đương nhiên được phép công khai cho trưởng bộ phận. Việc sử dụng cần bám đúng mục đích tổ chức khám, bố trí công việc và nghĩa vụ có liên quan.

Hồ sơ khám sức khỏe định kỳ do đơn vị quản lý bảo quản

Khoản 1 Điều 38 Thông tư 32/2023/TT-BYT nêu rằng hồ sơ khám sức khỏe định kỳ do đơn vị quản lý người được khám sức khỏe bảo quản và lưu trữ. Điều khoản này là căn cứ quan trọng khi doanh nghiệp tiếp nhận hồ sơ theo hoạt động khám định kỳ. Tuy vậy, hồ sơ có thể chứa kết quả và chỉ số chuyên khoa thuộc dữ liệu nhạy cảm. Doanh nghiệp cần chỉ định đầu mối chuyên trách có quyền mở hồ sơ, phân biệt bản lưu với thông tin tối thiểu chuyển cho người ra quyết định bố trí công việc.

Hồ sơ bệnh án và dữ liệu khám, điều trị ngoài chương trình của doanh nghiệp

Hồ sơ bệnh án của người bệnh được quản lý theo Điều 69 Luật Khám bệnh, chữa bệnh; Điều 10 bảo vệ bí mật riêng tư của người bệnh. Đây không phải tài liệu tự động chuyển cho doanh nghiệp chỉ vì doanh nghiệp chi trả chi phí khám sức khỏe định kỳ hoặc đã ký hợp đồng dịch vụ với cơ sở y tế. Việc cung cấp phải có căn cứ phù hợp theo pháp luật và phạm vi cụ thể; không được yêu cầu cơ sở y tế xuất toàn bộ lịch sử điều trị, kết quả xét nghiệm ngoài chương trình bằng một điều khoản “gửi toàn bộ kết quả”.

4. Bảng phân loại thông tin sức khỏe, người được tiếp cận và thời hạn lưu

Bảng phân loại sau là công cụ quản trị đề xuất cho doanh nghiệp có lao động làm việc tại văn phòng và một số vị trí cần đánh giá sức khỏe nghề nghiệp. Không phải danh mục quyền mặc định cho mọi doanh nghiệp; phải điều chỉnh theo hồ sơ, vị trí công việc, quy định chuyên ngành và văn bản đang áp dụng.

Cách sử dụng: HR điền thêm tên hệ thống lưu, người phê duyệt, đầu mối thực tế, thời điểm bắt đầu lưu và căn cứ riêng cho từng dòng. Người phụ trách pháp lý xác nhận chế độ hồ sơ; IT kiểm tra ai có quyền mở, tải hoặc chia sẻ. Không coi cụm từ “bản tổng hợp” là dữ liệu đã khử nhận dạng nếu vẫn có thể truy ra nhân viên qua mã số hoặc nhóm quá nhỏ.

5. Doanh nghiệp có quyền gửi kết quả sức khỏe cho trưởng bộ phận không?

Trưởng bộ phận có thể cần thông tin liên quan trực tiếp đến khả năng bố trí hoặc điều kiện làm việc của nhân viên. Tuy nhiên, điều đó không tạo quyền tự động xem toàn bộ xét nghiệm, thông tin điều trị hoặc dữ liệu về đời sống riêng tư. Nguyên tắc tại Điều 3 Luật Bảo vệ dữ liệu cá nhân và yêu cầu phân quyền tại khoản 2 Điều 4 Nghị định 356 đòi hỏi giới hạn phạm vi theo nhiệm vụ.

Ví dụ, nếu cơ sở y tế đưa ra khuyến nghị nhân viên không làm một công việc có nguy cơ cụ thể trong khoảng thời gian nhất định, bộ phận phụ trách bố trí lao động cần thông tin cần thiết để xử lý đề xuất đó theo quy định áp dụng. Không cần mặc định chuyển kèm bảng kết quả xét nghiệm, lịch sử bệnh lý hoặc chẩn đoán chi tiết. Nếu cần thêm dữ liệu để đưa ra quyết định ảnh hưởng quyền lợi người lao động, doanh nghiệp phải làm rõ căn cứ, tính chính xác và cách bảo đảm quyền của người lao động.

6. Tình huống giả định: khám sức khỏe định kỳ cho 120 nhân viên

Công ty C tổ chức khám định kỳ cho 120 nhân viên. Nhà cung cấp y tế dự kiến gửi email cho toàn bộ trưởng phòng một bảng tính có họ tên, kết quả xét nghiệm, chẩn đoán chi tiết và nhận xét của bác sĩ. Bộ phận HR cho rằng công ty đã trả chi phí khám nên có thể phổ biến tất cả thông tin này nội bộ.

Cách xử lý phù hợp hơn là đối chiếu hợp đồng và biểu mẫu khám đang áp dụng, xác định hồ sơ doanh nghiệp phải nhận và lưu, đồng thời kiểm soát kênh bàn giao. HR chỉ định nhân sự được phân quyền quản lý hồ sơ sức khỏe; dữ liệu chi tiết được đặt ở khu lưu trữ giới hạn truy cập. Các trưởng phòng nhận thông tin thật sự cần thiết cho việc bố trí công việc nếu có căn cứ, không nhận bản tổng hợp chẩn đoán của toàn bộ nhân viên. Cơ sở y tế có trách nhiệm giữ bí mật theo pháp luật khám bệnh, chữa bệnh; doanh nghiệp giải thích rõ mục đích và cách xử lý dữ liệu cho người lao động.

Đầu ra: danh mục hồ sơ từ cơ sở y tế, biên bản bàn giao, ma trận phân quyền, thông báo xử lý dữ liệu, hồ sơ căn cứ và lịch lưu riêng từng nhóm. Đây là tình huống giả định, không phản ánh một khách hàng thực tế của Justix.

7. Quy trình quản lý dữ liệu khám sức khỏe trong doanh nghiệp

1. HR và an toàn lao động xác định đối tượng phải khám, hình thức khám, hồ sơ cần nhận và thông tin cần dùng để bố trí, bảo đảm an toàn công việc.
2. Pháp chế kiểm tra căn cứ xử lý thông tin sức khỏe theo Điều 26 Luật Bảo vệ dữ liệu cá nhân; đánh giá trường hợp cần đồng ý hoặc ngoại lệ tại Điều 19, đồng thời đối chiếu nghĩa vụ khám sức khỏe, bí mật y tế và biểu mẫu hiện hành.
3. HR và cơ sở y tế thống nhất hợp đồng về thành phần hồ sơ, người giao nhận, phương thức chuyển bảo mật và việc xử lý yêu cầu của người được khám.
4. IT hoặc người quản lý tài liệu tách kho hồ sơ sức khỏe khỏi thư mục nhân sự dùng chung; cấp quyền theo nhiệm vụ và ghi nhận việc mở, sao chép, chia sẻ.
5. Đầu mối phụ trách định kỳ kiểm tra mục đích còn tồn tại, hồ sơ phải tiếp tục lưu, yêu cầu chỉnh sửa và thời điểm xóa, hủy khi không còn căn cứ.

Cơ chế cấp quyền có thể tham khảo thêm bài quy trình phân quyền truy cập dữ liệu cá nhân; thời hạn lưu khi chấm dứt hợp đồng nên đối chiếu với bài lưu hồ sơ nhân viên nghỉ việc.

8. Câu hỏi thường gặp

Doanh nghiệp có được yêu cầu người lao động nộp toàn bộ bệnh án không?

Không có quyền mặc nhiên như vậy chỉ từ nghĩa vụ tổ chức khám định kỳ. Cần xem mục đích cụ thể, giấy tờ luật định đối với công việc, sự đồng ý hoặc ngoại lệ theo quy định và giới hạn cung cấp của cơ sở khám chữa bệnh. Hồ sơ điều trị riêng phải được xem xét khác với hồ sơ khám sức khỏe định kỳ.

Doanh nghiệp được nhận hồ sơ sức khỏe định kỳ thì có cần xin đồng ý không?

Phải đánh giá từng hoạt động xử lý theo Điều 26 và khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân, đồng thời đối chiếu nghĩa vụ và thành phần hồ sơ y tế. Không nên kết luận đồng loạt mọi hoạt động đều phải xin đồng ý hoặc mọi hoạt động đều được miễn chỉ vì có nghĩa vụ khám sức khỏe.

Trưởng phòng có được xem kết quả xét nghiệm của nhân viên để đánh giá hiệu suất làm việc?

Không được tự suy ra quyền truy cập như vậy. Doanh nghiệp phải xác định căn cứ và sự cần thiết của từng mục đích, hạn chế quyền người nhận theo công việc, đồng thời không sử dụng dữ liệu sức khỏe vượt mục đích phù hợp hoặc xâm phạm quyền của người lao động.

Hồ sơ sức khỏe phải lưu 05 năm hay 10 năm?

Không nên dùng hai mốc này cho mọi hồ sơ. Thời hạn tùy loại hồ sơ, quy định y tế và chuyên ngành, mục đích lưu, tình trạng người lao động và thỏa thuận phù hợp. Doanh nghiệp cần lập lịch lưu theo từng tài liệu và kiểm tra quy định có hiệu lực tại thời điểm áp dụng.

9. Justix hỗ trợ chuẩn hóa pháp lý dữ liệu sức khỏe người lao động

Trong dịch vụ chuẩn hóa pháp lý dữ liệu nhân sự, Justix có thể rà soát quy trình nhận và lưu hồ sơ khám sức khỏe, cơ chế thông báo, căn cứ xử lý, phân quyền nội bộ và điều khoản bảo vệ dữ liệu với cơ sở y tế. Để xác định phạm vi, doanh nghiệp nên chuẩn bị mẫu hợp đồng khám, danh mục giấy tờ nhận từ cơ sở y tế, sơ đồ nơi lưu và danh sách chức danh được truy cập, chưa cần cung cấp hồ sơ bệnh án hoặc kết quả xét nghiệm thật của nhân viên. Trao đổi qua trang liên hệ Justix, điện thoại 037 27 17 888 hoặc email info@justix.vn.