Bảo Mật Dữ Liệu Y Tế Khi Dùng CRM: Zoho Có Đủ Không?

Lưu ý: bài viết này mang tính tham khảo, không phải tư vấn pháp lý. Phanmembiz là đối tác triển khai chính thức của Zoho tại Việt Nam, không phải đơn vị luật. Doanh nghiệp y tế, thẩm mỹ nên xác nhận với luật sư hoặc chuyên gia bảo vệ dữ liệu trước khi đưa ra quyết định tuân thủ cụ thể.

Chủ một phòng khám nha khoa muốn dùng CRM để nhắc lịch tái khám và chăm sóc khách hàng sau điều trị, nhưng khựng lại ở một câu hỏi: "Dữ liệu bệnh nhân là dữ liệu nhạy cảm, dùng phần mềm của nước ngoài như vậy có vi phạm luật không?" Đây là câu hỏi đúng, và nên được hỏi trước khi triển khai chứ không phải sau.

Câu trả lời không đơn giản là "có" hay "không", vì trách nhiệm tuân thủ được chia giữa nhà cung cấp nền tảng (Zoho) và doanh nghiệp sử dụng — phòng khám, spa hay trung tâm của bạn. Phần dưới đây tách rõ phần nào thuộc về ai.

Dữ liệu khách hàng y tế có phải dữ liệu cá nhân nhạy cảm không?

Có. Khung pháp lý hiện hành tại Việt Nam là Luật Bảo vệ dữ liệu cá nhân 2025 cùng Nghị định 356/2025/NĐ-CP, cả hai đều có hiệu lực từ 1/1/2026, thay thế Nghị định 13/2023/NĐ-CP trước đó. Nhiều bài viết trên mạng vẫn trích Nghị định 13 như văn bản hiện hành — đó là thông tin đã cũ.

Khung pháp lý mới tiếp tục chia dữ liệu cá nhân thành hai nhóm: dữ liệu cơ bản và dữ liệu nhạy cảm, với danh mục cụ thể do Chính phủ quy định. Dưới khung cũ, dữ liệu về tình trạng sức khỏe ghi trong hồ sơ khám chữa bệnh được liệt kê rõ là dữ liệu nhạy cảm. Với phòng khám, nha khoa, spa, thẩm mỹ viện hay trung tâm phục hồi chức năng, những dữ liệu như tình trạng bệnh lý, lịch sử điều trị, kết quả xét nghiệm hay ảnh trước và sau điều trị gần như chắc chắn thuộc nhóm nhạy cảm. Điều này cần được xác nhận với luật sư dựa trên danh mục chi tiết của nghị định hiện hành, vì một số hướng dẫn chi tiết có thể còn đang được bổ sung.

Ba nghĩa vụ chính khi dùng CRM của bên thứ ba

Khi một phòng khám dùng Zoho CRM — hoặc bất kỳ CRM nào không tự vận hành máy chủ — để lưu dữ liệu khách hàng có yếu tố sức khỏe, phòng khám thường đóng vai trò bên kiểm soát dữ liệu cá nhân, còn nhà cung cấp CRM là bên xử lý dữ liệu cá nhân. Ba nghĩa vụ chính thuộc về bên kiểm soát, tức là phòng khám của bạn, không tự động thuộc về Zoho:

1. Có sự đồng ý hợp lệ của khách hàng. Sự đồng ý phải tự nguyện, rõ ràng, và khách hàng được biết trước mục đích xử lý dữ liệu nhạy cảm của mình — không thể chỉ dựa vào một dòng nhỏ trong điều khoản dịch vụ chung chung.
2. Có hợp đồng xử lý dữ liệu với bên cung cấp CRM. Văn bản này xác định rõ Zoho hoặc đơn vị triển khai xử lý dữ liệu thay mặt phòng khám trong phạm vi, mục đích và thời hạn nào — không phải hợp đồng dịch vụ phần mềm thông thường.
3. Đánh giá tác động khi chuyển dữ liệu ra nước ngoài. Đây là điểm quan trọng nhất với Zoho, vì hầu hết trường hợp dùng Zoho tại Việt Nam đều rơi vào diện này.

Dữ liệu của bạn trên Zoho thực ra nằm ở đâu?

Đây là câu hỏi kỹ thuật quyết định câu trả lời pháp lý. Theo trang trung tâm dữ liệu chính thức của Zoho, trung tâm dữ liệu cho mỗi tài khoản được chọn theo quốc gia khai báo khi đăng ký, và Zoho không có trung tâm dữ liệu đặt tại Việt Nam. Các trung tâm gần nhất nằm ở Singapore; ngoài ra Zoho còn đặt trung tâm dữ liệu tại Ấn Độ, Mỹ, châu Âu, Úc và một số khu vực khác.

Nói cách khác, dữ liệu khách hàng y tế lưu trên Zoho gần như chắc chắn đang nằm ngoài lãnh thổ Việt Nam — đúng nghĩa chuyển dữ liệu cá nhân xuyên biên giới theo luật mới. Nghị định 356 có liệt kê một số trường hợp được miễn đánh giá tác động chuyển dữ liệu xuyên biên giới, như hoạt động báo chí, tình huống khẩn cấp hay quản lý nhân sự xuyên biên giới, nhưng việc lưu hồ sơ khách hàng trên một CRM đặt ở nước ngoài không thuộc các trường hợp đó. Vì vậy, nghĩa vụ đánh giá tác động và các thủ tục liên quan — bao gồm khả năng phải gửi hồ sơ tới cơ quan chức năng thuộc Bộ Công an — gần như là điều kiện mặc định cần chuẩn bị với doanh nghiệp y tế dùng Zoho, không phải tình huống hiếm gặp.

Vậy Zoho CRM có đáp ứng được không?

Câu trả lời cần tách thành hai câu hỏi khác nhau, vì đây là chỗ dễ hiểu nhầm nhất.

Zoho có tuân thủ HIPAA — chuẩn bảo mật y tế của Mỹ — không? Có. Zoho công khai danh sách hơn 50 dịch vụ hỗ trợ tuân thủ HIPAA, trong đó có Zoho CRM, thông qua việc ký Thỏa thuận đối tác kinh doanh (Business Associate Agreement — BAA). Zoho cũng nêu rõ không nên đưa dữ liệu sức khỏe được bảo vệ vào bất kỳ ứng dụng Zoho nào trước khi BAA được ký. Tuy nhiên, HIPAA là luật của Mỹ: việc Zoho tuân thủ HIPAA không có nghĩa phòng khám tại Việt Nam đã tự động tuân thủ luật Việt Nam.

Zoho có tuân thủ Luật Bảo vệ dữ liệu cá nhân Việt Nam không? Câu này không thể trả lời "có" cho riêng Zoho, vì luật Việt Nam đặt phần lớn nghĩa vụ — xin đồng ý, ký hợp đồng xử lý dữ liệu, đánh giá tác động — lên bên kiểm soát dữ liệu, tức là doanh nghiệp của bạn. Với vai trò bên xử lý, Zoho cung cấp các công cụ kỹ thuật như mã hóa, phân quyền và nhật ký truy cập, giúp doanh nghiệp có khả năng tuân thủ. Nhưng bản thân việc dùng Zoho không khiến doanh nghiệp tuân thủ nếu các bước pháp lý kể trên chưa được thực hiện.

Nói ngắn gọn: Zoho đủ tốt về mặt kỹ thuật để hỗ trợ tuân thủ, nhưng tuân thủ thật sự phụ thuộc vào cách doanh nghiệp cấu hình và vận hành nó. Ngay ở thị trường Mỹ, Zoho cũng xác định tuân thủ HIPAA là trách nhiệm chung, trong đó khách hàng chịu trách nhiệm cấu hình và sử dụng dịch vụ đúng cách.

Cấu hình bảo mật nên bật trên Zoho CRM khi lưu dữ liệu y tế

Các bước kỹ thuật dưới đây không thay thế nghĩa vụ pháp lý đã nêu, nhưng là điều kiện cần để các nghĩa vụ đó có ý nghĩa thực tế:

• Phân quyền truy cập theo vai trò: chỉ nhân viên trực tiếp liên quan, như lễ tân hay bác sĩ điều trị, mới thấy trường dữ liệu nhạy cảm của khách hàng cụ thể — không mở toàn bộ dữ liệu cho mọi nhân viên.
• Nhật ký truy cập: ghi lại ai đã xem, sửa dữ liệu nào và khi nào — cần thiết để chứng minh tuân thủ khi có kiểm tra, hoặc khi khách hàng yêu cầu biết dữ liệu của mình đang được ai truy cập.
• Giới hạn hiển thị trường dữ liệu nhạy cảm: với thông tin nhạy cảm nhất như chẩn đoán hay hình ảnh điều trị, đặt ở module hoặc trường riêng, không hiển thị mặc định trên danh sách khách hàng chung mà nhân viên nào cũng thấy khi lướt qua.
• Quy trình xóa hoặc ẩn danh dữ liệu theo yêu cầu: khách hàng có quyền yêu cầu xóa dữ liệu cá nhân, và Nghị định 356 quy định thời hạn cụ thể để doanh nghiệp thực hiện — cần có quy trình làm được trên hệ thống, không chỉ trên giấy.
• Mã hóa dữ liệu khi lưu trữ và truyền tải: đây là tính năng Zoho cung cấp sẵn ở hạ tầng; cần xác nhận cấu hình đã đúng cho tài khoản doanh nghiệp.

Ranh giới: CRM nên lưu gì, không nên lưu gì

Điểm thực tế nhiều doanh nghiệp y tế bỏ qua: CRM phù hợp để quản lý thông tin liên hệ, lịch hẹn, lịch sử chăm sóc khách hàng và marketing — không phải nơi thay thế hồ sơ bệnh án chính thức. Hồ sơ bệnh án điện tử tại Việt Nam có quy định riêng theo pháp luật khám chữa bệnh, thường cần hệ thống chuyên biệt (EMR, HIS) đáp ứng tiêu chuẩn ngành y tế.

Cách tiếp cận an toàn cho phần lớn phòng khám và spa quy mô vừa và nhỏ: dùng CRM cho quan hệ khách hàng và vận hành kinh doanh — nhắc lịch, chăm sóc sau điều trị, quản lý doanh thu — còn dữ liệu bệnh án, chẩn đoán chi tiết giữ trong hệ thống chuyên ngành riêng nếu có, và chỉ đồng bộ sang CRM những trường thực sự cần cho việc chăm sóc khách hàng. Cách dùng CRM cho phần chăm sóc khách hàng này được trình bày trong bài ứng dụng CRM vào ngành spa.

Checklist tối thiểu trước khi dùng CRM cho dữ liệu khách hàng y tế

• Đã xác nhận với luật sư hoặc chuyên gia pháp lý về danh mục dữ liệu nhạy cảm áp dụng cho ngành của bạn theo Nghị định 356/2025/NĐ-CP chưa?
• Mẫu xin đồng ý của khách hàng có nêu rõ mục đích thu thập, phạm vi sử dụng, và việc dữ liệu được xử lý bởi bên thứ ba (Zoho) không?
• Đã có hợp đồng xử lý dữ liệu với đơn vị triển khai và nhà cung cấp CRM chưa?
• Đã chuẩn bị hồ sơ đánh giá tác động cho việc chuyển dữ liệu ra trung tâm dữ liệu nước ngoài của Zoho chưa?
• Hệ thống đã bật phân quyền, nhật ký truy cập và giới hạn hiển thị trường dữ liệu nhạy cảm chưa?

Câu hỏi thường gặp

Phòng khám nhỏ, dưới 10 nhân viên, có cần làm đầy đủ các bước trên không? Nhiều khả năng là có. Nghị định 356 miễn một số nghĩa vụ — như chỉ định nhân sự bảo vệ dữ liệu và đánh giá tác động xử lý dữ liệu — cho hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp, nhưng không áp dụng miễn trừ khi doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm. Nên xác nhận cụ thể với chuyên gia pháp lý cho trường hợp của bạn.

Nếu chỉ lưu tên, số điện thoại và lịch hẹn, không lưu chẩn đoán, trên CRM thì có tính là dữ liệu nhạy cảm không? Cần luật sư xác nhận cho trường hợp cụ thể, nhưng về nguyên tắc, nếu CRM chỉ lưu thông tin liên hệ và lịch hẹn mà không gắn với tình trạng bệnh lý, rủi ro thường thấp hơn đáng kể so với lưu cả chẩn đoán hay kết quả điều trị. Đó cũng là lý do mục "ranh giới" ở trên khuyến nghị tách bạch hai loại dữ liệu.

Zoho có cam kết bồi thường nếu xảy ra vi phạm dữ liệu không? Điều này phụ thuộc vào điều khoản cụ thể giữa doanh nghiệp với Zoho hoặc đơn vị triển khai. Cần đọc kỹ hợp đồng dịch vụ và hợp đồng xử lý dữ liệu, không nên giả định.

Có chọn được trung tâm dữ liệu gần Việt Nam hơn không? Trung tâm dữ liệu được gán theo quốc gia khai báo khi đăng ký, và Việt Nam hiện không có trung tâm dữ liệu riêng của Zoho. Dù ở khu vực nào, dữ liệu vẫn nằm ngoài lãnh thổ Việt Nam và vẫn cần đánh giá theo quy định chuyển dữ liệu xuyên biên giới.

Phanmembiz có tư vấn được phần pháp lý này không? Phanmembiz tư vấn và triển khai kỹ thuật trên nền tảng Zoho, bao gồm cấu hình phân quyền, mã hóa và nhật ký truy cập. Phần xác nhận pháp lý — danh mục dữ liệu nhạy cảm, mẫu đồng ý, hồ sơ đánh giá tác động — nên thực hiện cùng luật sư hoặc chuyên gia bảo vệ dữ liệu cá nhân.

Kết

Câu hỏi "Zoho có đáp ứng được không" không có câu trả lời một chữ. Về kỹ thuật, Zoho cung cấp đủ công cụ — mã hóa, phân quyền, nhật ký truy cập, hỗ trợ HIPAA ở thị trường Mỹ — để một doanh nghiệp y tế Việt Nam có thể tuân thủ. Nhưng tuân thủ thật sự nằm ở cách doanh nghiệp xin đồng ý khách hàng, ký hợp đồng xử lý dữ liệu và đánh giá tác động khi dữ liệu rời khỏi Việt Nam, không nằm ở bản thân phần mềm. Vì vậy bài viết này không thể thay thế việc bạn ngồi lại với luật sư trước khi triển khai.

Nếu muốn trao đổi về cách cấu hình kỹ thuật để hỗ trợ tuân thủ trên Zoho CRM cho phòng khám hay spa của bạn, xem thêm về Zoho CRM tại Phanmembiz hoặc đặt lịch tư vấn miễn phí. Lưu ý đây là tư vấn triển khai kỹ thuật, không thay thế tư vấn pháp lý.