Trả lời ngắn
PHI là thông tin sức khỏe nhận dạng được cá nhân do covered entity hoặc business associate nắm giữ; bài giải thích dữ liệu nào là PHI và cách de-identify.
PHI là gì? PHI (Protected Health Information) là thông tin sức khỏe có thể nhận dạng một cá nhân, do covered entity hoặc business associate tạo ra, nhận, lưu trữ hay truyền đi, theo định nghĩa tại 45 CFR §160.103. PHI ở dạng điện tử gọi là ePHI và chịu thêm yêu cầu của HIPAA Security Rule.
PHI được HIPAA định nghĩa như thế nào?
Theo §160.103, PHI là individually identifiable health information: thông tin, kể cả dữ liệu nhân khẩu học, liên quan đến tình trạng sức khỏe thể chất hoặc tinh thần, việc chăm sóc y tế, hoặc việc thanh toán cho chăm sóc y tế của một người, và nhận dạng được người đó hoặc có cơ sở hợp lý để nhận dạng. PHI bao gồm mọi hình thức: dữ liệu điện tử, giấy tờ và lời nói.
Định nghĩa loại trừ bốn trường hợp: hồ sơ giáo dục thuộc FERPA, một số hồ sơ sinh viên theo 20 U.S.C. 1232g, hồ sơ nhân sự mà covered entity giữ với vai trò người sử dụng lao động, và thông tin về người đã mất hơn 50 năm.
Điểm dễ hiểu sai: HIPAA gắn với ai nắm giữ dữ liệu, không chỉ với loại dữ liệu. Nhịp tim trong một app thể dục bán trực tiếp cho người dùng thường không phải PHI theo HIPAA vì nhà phát triển không phải covered entity hay business associate. Cùng dữ liệu đó, khi app được một bệnh viện Mỹ dùng để theo dõi bệnh nhân và công ty bạn xử lý cho bệnh viện, lại là PHI.
Những loại dữ liệu nào được coi là PHI?
Khi thông tin sức khỏe đi kèm bất kỳ yếu tố nhận dạng nào, nó là PHI. HIPAA liệt kê 18 nhóm identifier phải loại bỏ để de-identify theo phương pháp Safe Harbor tại §164.514(b)(2), và danh sách này cũng là cách nhanh nhất để nhận ra PHI:
| Nhóm identifier | Ví dụ |
|---|---|
| Tên và liên lạc | Họ tên; địa chỉ chi tiết hơn cấp bang (kể cả phần lớn mã ZIP); số điện thoại; số fax; email |
| Ngày tháng | Mọi thành phần ngày (trừ năm) gắn với cá nhân: ngày sinh, ngày nhập viện, ngày xuất viện, ngày mất; tuổi trên 89 |
| Số định danh | Số an sinh xã hội; số hồ sơ bệnh án; số thẻ bảo hiểm y tế; số tài khoản; số giấy phép; biển số xe và số sê-ri phương tiện |
| Thiết bị và mạng | Số sê-ri thiết bị; URL; địa chỉ IP |
| Sinh trắc học và hình ảnh | Vân tay, giọng nói; ảnh toàn khuôn mặt và hình ảnh tương đương |
| Khác | Mọi số, đặc điểm hay mã duy nhất khác có thể nhận dạng người đó |
Với một sản phẩm phần mềm, PHI thường xuất hiện ở những nơi ít ai nghĩ tới: log ứng dụng chứa email bệnh nhân, ticket Jira có ảnh chụp màn hình hồ sơ, file CSV xuất ra để debug, bản sao database trên máy developer.
Tổ chức nắm giữ PHI có nghĩa vụ gì?
HIPAA đặt nghĩa vụ qua ba quy tắc chính. Privacy Rule giới hạn việc dùng và tiết lộ PHI ở mức tối thiểu cần thiết (minimum necessary) và trao cho cá nhân các quyền như xem và nhận bản sao hồ sơ, yêu cầu chỉnh sửa, và nhận danh sách các lần tiết lộ. Security Rule yêu cầu ba nhóm HIPAA safeguards cho ePHI. Breach Notification Rule yêu cầu thông báo cho cá nhân bị ảnh hưởng chậm nhất 60 ngày kể từ khi phát hiện breach với PHI không được bảo vệ (unsecured PHI); quy trình đầy đủ có trong HIPAA breach notification.
Business associate, ví dụ công ty Việt Nam làm phần mềm hoặc vận hành hệ thống cho bệnh viện Mỹ, phải tuân thủ trực tiếp Security Rule và các phần của Privacy Rule áp dụng cho họ, cùng các điều khoản trong BAA.
Khi nào dữ liệu không còn là PHI?
Dữ liệu đã de-identify đúng chuẩn không còn là PHI và không chịu Privacy Rule. §164.514(b) cho phép hai phương pháp:
- Safe Harbor: loại bỏ toàn bộ 18 nhóm identifier của cá nhân, người thân, người sử dụng lao động và thành viên hộ gia đình, và tổ chức không biết thực tế rằng phần còn lại vẫn nhận dạng được người đó.
- Expert Determination: một chuyên gia có kiến thức thống kê phù hợp xác định, và ghi lại phương pháp, rằng rủi ro nhận dạng lại là rất nhỏ.
Dữ liệu chỉ đổi tên thành mã hoặc hash email không phải là de-identified nếu mã vẫn liên kết ngược được. Với dữ liệu huấn luyện AI hoặc dữ liệu phân tích, rủi ro nhận dạng lại tăng khi kết hợp nhiều nguồn, nên phương pháp Expert Determination thường phù hợp hơn khi tập dữ liệu giàu thông tin.
pTrackly hỗ trợ phần nào?
pTrackly không quét hệ thống để tìm PHI; việc xác định PHI nằm ở đâu là việc của team bạn. Sau khi đã biết, bạn ghi các hệ thống chứa ePHI vào danh sách tài sản (Assets), gắn rủi ro vào risk register, đánh dấu vendor là business associate và theo dõi trạng thái BAA, và ghi nhận sự cố cùng đồng hồ 60 ngày của HIPAA trong mục Privacy. Các control của framework HIPAA giúp bạn theo dõi từng safeguard có evidence hay chưa.
Câu hỏi thường gặp
PHI khác gì dữ liệu cá nhân theo luật Việt Nam?
PHI là khái niệm của luật Mỹ, chỉ áp dụng khi dữ liệu do covered entity hoặc business associate nắm giữ. Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 của Việt Nam có phạm vi riêng và xếp dữ liệu sức khỏe vào nhóm nhạy cảm; một hệ thống có thể phải đáp ứng cả hai.
Email và tên bệnh nhân trong log ứng dụng có phải PHI không?
Có, nếu log thuộc hệ thống mà bạn vận hành cho covered entity và dữ liệu liên quan đến việc chăm sóc hoặc thanh toán y tế. Log đó phải được kiểm soát truy cập, lưu đúng thời hạn và chỉ gửi đến công cụ đã có BAA.
Lưu ePHI trên cloud có được không?
Được, khi nhà cung cấp cloud đã ký BAA và bạn chỉ dùng các dịch vụ nằm trong phạm vi BAA đó. Cấu hình bảo mật, phân quyền và mã hóa vẫn là trách nhiệm của bạn theo mô hình trách nhiệm chung.
Doanh nghiệp Việt Nam có phải tuân thủ HIPAA khi xử lý PHI không?
Có, khi bạn tạo, nhận, lưu hoặc truyền PHI thay mặt covered entity Mỹ thì bạn là business associate, bất kể công ty đặt ở đâu. Phạm vi chi tiết có trong bài HIPAA cho HealthTech Việt Nam.
pTrackly giúp bạn triển khai HIPAA nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí