Chính Sách Xác Thực Và Định Danh Điện Tử

CHÍNH SÁCH XÁC THỰC VÀ ĐỊNH DANH ĐIỆN TỬ


ĐIỀU 1. MỤC ĐÍCH VÀ PHẠM VI ÁP DỤNG
  • 1. Chính sách này quy định nguyên tắc, quy trình và trách nhiệm liên quan đến hoạt động xác thực danh tính, định danh điện tử và kiểm soát quyền truy cập của người sử dụng dịch vụ eMed.
  • 2. eMed tích hợp với hệ thống định danh và xác thực điện tử quốc gia VNeID nhằm xác minh danh tính người sử dụng, bảo đảm việc truy cập dữ liệu y tế được thực hiện đúng chủ thể hoặc người có quyền hợp pháp.
  • 3. Chính sách áp dụng đối với:
    • Người sử dụng ứng dụng eMed.
    • Người sử dụng eMed thông qua các ứng dụng tích hợp.
    • Người sử dụng dịch vụ đăng ký lịch khám.
    • Người truy cập Kết quả khám bệnh và Sổ sức khỏe điện tử.
    • Các tổ chức, đơn vị tham gia kết nối và xác thực danh tính với eMed.
  • 4. Việc xác thực và định danh điện tử được thực hiện theo quy định pháp luật Việt Nam, phương thức tích hợp được cấp phép và các thỏa thuận kết nối có liên quan.
ĐIỀU 2. NGUYÊN TẮC XÁC THỰC VÀ ĐỊNH DANH
  • 1. Xác thực danh tính phải bảo đảm tính chính xác, an toàn, bảo mật và có khả năng kiểm chứng.
  • 2. Danh tính người sử dụng được xác minh thông qua hệ thống VNeID theo phương thức tích hợp được phép.
  • 3. Việc xác thực phải gắn với đúng người thực hiện và đúng phiên giao dịch.
  • 4. Chỉ sử dụng thông tin định danh cần thiết phục vụ mục đích xác thực và cung cấp dịch vụ.
  • 5. Không tự ý thu thập, sao chép, lưu trữ hoặc sử dụng thông tin xác thực ngoài phạm vi được phép.
  • 6. Không yêu cầu người sử dụng cung cấp mật khẩu, mã OTP hoặc thông tin đăng nhập VNeID trực tiếp cho eMed.
  • 7. Kết quả xác thực phải được kiểm tra trước khi cấp quyền truy cập dữ liệu sức khỏe.
  • 8. Việc xác thực danh tính không mặc nhiên đồng nghĩa với việc người sử dụng đã cho phép chia sẻ dữ liệu sức khỏe cho bên thứ ba.
ĐIỀU 3. PHƯƠNG THỨC ĐỊNH DANH VÀ XÁC THỰC QUA VNeID
  • 1. eMed sử dụng phương thức tích hợp với hệ thống định danh và xác thực điện tử VNeID để xác minh danh tính người sử dụng.
  • 2. Người sử dụng thực hiện xác thực thông qua quy trình được hệ thống VNeID hỗ trợ, có thể bao gồm:
    • Khởi tạo yêu cầu xác thực từ eMed.
    • Chuyển sang ứng dụng hoặc giao diện xác thực VNeID.
    • Người sử dụng xác nhận yêu cầu xác thực theo hướng dẫn.
    • Hệ thống VNeID thực hiện kiểm tra và xác thực.
    • Kết quả xác thực được phản hồi về eMed thông qua kênh tích hợp.
    • eMed kiểm tra kết quả và tiếp tục xử lý yêu cầu truy cập.
  • 3. Thông tin xác thực được tiếp nhận phụ thuộc vào phạm vi dữ liệu mà phương thức tích hợp cho phép.
  • 4. eMed không trực tiếp cấp, thay đổi hoặc quản lý tài khoản định danh điện tử VNeID của người sử dụng.
  • 5. Việc cấp, khóa, mở khóa và quản lý tài khoản định danh điện tử thuộc thẩm quyền của cơ quan quản lý hệ thống định danh và xác thực điện tử.
  • 6. eMed không chịu trách nhiệm thay cho VNeID đối với các vấn đề phát sinh từ việc cấp hoặc quản lý tài khoản định danh điện tử, nhưng có trách nhiệm phối hợp xử lý lỗi kết nối trong phạm vi hệ thống của mình.
ĐIỀU 4. ĐIỀU KIỆN XÁC THỰC KHI SỬ DỤNG DỊCH VỤ eMed
4.1. Đối với dịch vụ đăng ký lịch khám
  • 1. Người sử dụng cung cấp thông tin theo yêu cầu đăng ký lịch khám.
  • 2. Việc xác thực danh tính được thực hiện theo quy trình đăng ký và yêu cầu tiếp nhận của cơ sở y tế.
  • 3. Trường hợp cơ sở y tế yêu cầu xác thực định danh điện tử, người sử dụng phải thực hiện theo hướng dẫn.
  • 4. eMed có thể sử dụng thông tin xác thực để đối chiếu thông tin đăng ký và hạn chế tình trạng giả mạo.
4.2. Đối với dịch vụ Kết quả khám bệnh
  • 1. Người sử dụng bắt buộc xác thực danh tính chính chủ thông qua VNeID trước khi truy cập Kết quả khám bệnh.
  • 2. Thông tin định danh sau xác thực được đối chiếu với thông tin nhận diện người bệnh tại cơ sở y tế.
  • 3. Chỉ khi đáp ứng điều kiện xác thực và quyền truy cập, hệ thống mới thực hiện yêu cầu truy xuất dữ liệu.
  • 4. Trường hợp thông tin định danh không trùng khớp hoặc không xác minh được quyền truy cập, eMed từ chối yêu cầu.
4.3. Đối với dịch vụ Sổ sức khỏe điện tử
  • 1. Người sử dụng bắt buộc xác thực danh tính chính chủ thông qua VNeID trước khi truy cập Sổ sức khỏe điện tử.
  • 2. Hệ thống kiểm tra thông tin định danh và quyền truy cập trước khi kết nối với nguồn dữ liệu y tế.
  • 3. Dữ liệu sức khỏe được truy xuất trực tiếp từ hệ thống của các cơ sở khám bệnh, chữa bệnh có kết nối.
  • 4. eMed không lưu trữ tập trung dữ liệu hồ sơ sức khỏe gốc trên hệ thống của mình.
  • 5. Người sử dụng chỉ được xem dữ liệu thuộc quyền truy cập hợp pháp của mình.

ĐIỀU 5. QUY TRÌNH XÁC THỰC VÀ CẤP QUYỀN TRUY CẬP
Quy trình xác thực trên eMed được thực hiện theo các bước:
  • Bước 1. Khởi tạo yêu cầu: Người sử dụng lựa chọn chức năng Kết quả khám bệnh hoặc Sổ sức khỏe điện tử.
  • Bước 2. Xác thực VNeID: Hệ thống chuyển người sử dụng đến quy trình xác thực VNeID theo phương thức tích hợp.
  • Bước 3. Xác nhận danh tính: Người sử dụng thực hiện xác nhận trên VNeID.
  • Bước 4. Tiếp nhận kết quả xác thực: eMed tiếp nhận kết quả xác thực từ hệ thống VNeID và kiểm tra tính hợp lệ của phản hồi.
  • Bước 5. Đối chiếu thông tin: eMed thực hiện đối chiếu thông tin định danh cần thiết với thông tin người bệnh tại cơ sở y tế thông qua hệ thống kết nối.
  • Bước 6. Kiểm tra quyền truy cập: Hệ thống xác định người sử dụng có đủ điều kiện truy cập dữ liệu hay không.
  • Bước 7. Truy xuất dữ liệu: Nếu đáp ứng điều kiện, eMed gửi yêu cầu truy xuất đến hệ thống cơ sở y tế tương ứng.
  • Bước 8. Hiển thị dữ liệu: Thông tin được trả về và hiển thị cho người sử dụng theo phạm vi được phép.
Việc xác thực thành công không đồng nghĩa với việc mọi dữ liệu sức khỏe đều có thể truy cập. Quyền truy cập còn phụ thuộc vào thông tin đối chiếu, phạm vi dữ liệu và quyền hợp pháp của người sử dụng.

ĐIỀU 6. QUẢN LÝ THÔNG TIN ĐỊNH DANH
  • 1. eMed chỉ tiếp nhận và xử lý các thông tin định danh cần thiết theo phạm vi tích hợp VNeID.
  • 2. Thông tin định danh có thể bao gồm:
    • Họ và tên.
    • Ngày tháng năm sinh.
    • Số định danh cá nhân hoặc mã định danh tương ứng.
    • Trạng thái xác thực.
    • Mã tham chiếu giao dịch xác thực.
    • Các thông tin khác được phép tiếp nhận từ hệ thống tích hợp.
  • 3. Việc lưu trữ thông tin định danh được thực hiện theo mục đích quản lý tài khoản, đối chiếu dữ liệu và bảo đảm an toàn dịch vụ.
  • 4. eMed không tự ý sử dụng thông tin định danh để xây dựng hồ sơ cá nhân ngoài mục đích đã thông báo và căn cứ pháp lý phù hợp.
  • 5. Thông tin xác thực và kết quả xác thực không được cung cấp cho bên thứ ba trái quy định pháp luật.
  • 6. eMed không lưu trữ mật khẩu, mã OTP hoặc thông tin bí mật đăng nhập VNeID của người sử dụng.

ĐIỀU 7. QUẢN LÝ PHIÊN XÁC THỰC VÀ QUYỀN TRUY CẬP
  • 1. Việc xác thực được gắn với phiên giao dịch và yêu cầu truy cập cụ thể.
  • 2. eMed áp dụng các biện pháp kiểm soát phiên đăng nhập nhằm hạn chế truy cập trái phép.
  • 3. Hệ thống có thể yêu cầu xác thực lại khi:
    • Phiên xác thực hết hiệu lực.
    • Người sử dụng đăng nhập trên thiết bị hoặc môi trường khác.
    • Có dấu hiệu truy cập bất thường.
    • Thông tin xác thực không còn hợp lệ.
    • Có yêu cầu tăng cường bảo mật đối với dữ liệu nhạy cảm.
  • 4. Người sử dụng phải thực hiện lại xác thực khi hệ thống yêu cầu.
  • 5. eMed có quyền tạm khóa hoặc từ chối quyền truy cập khi phát hiện dấu hiệu giả mạo, chiếm quyền tài khoản hoặc sử dụng danh tính trái phép.
  • 6. Việc xác thực thành công không thay thế các bước kiểm tra quyền truy cập đối với dữ liệu do cơ sở y tế quản lý.
ĐIỀU 8. XÁC THỰC ĐẠI DIỆN VÀ TRUY CẬP DỮ LIỆU NGƯỜI KHÁC
  • 1. Việc truy cập dữ liệu sức khỏe của người khác chỉ được thực hiện khi có căn cứ pháp lý và quyền đại diện hợp pháp.
  • 2. Người sử dụng không được sử dụng tài khoản VNeID hoặc thông tin định danh của người khác để truy cập trái phép.
  • 3. Đối với trẻ em, người chưa thành niên hoặc người cần có đại diện hợp pháp, việc xác thực và truy cập được thực hiện theo quy định pháp luật về đại diện và bảo vệ dữ liệu cá nhân.
  • 4. eMed chỉ hỗ trợ chức năng truy cập dữ liệu của người được đại diện khi phương thức tích hợp và quy trình xác minh quyền đại diện đáp ứng yêu cầu pháp luật.
  • 5. Việc có quan hệ gia đình hoặc biết thông tin định danh của người khác không mặc nhiên tạo ra quyền truy cập hồ sơ sức khỏe của người đó.
  • 6. Mọi yêu cầu truy cập dữ liệu theo tư cách đại diện phải được kiểm tra và ghi nhận theo quy trình tương ứng.
ĐIỀU 9. TRƯỜNG HỢP XÁC THỰC KHÔNG THÀNH CÔNG
eMed có thể từ chối hoặc tạm thời hạn chế truy cập trong các trường hợp:
  • 1. Người sử dụng không thực hiện xác thực VNeID.
  • 2. Tài khoản định danh điện tử không hợp lệ hoặc không thể xác thực.
  • 3. Hệ thống VNeID đang bảo trì hoặc gián đoạn dịch vụ.
  • 4. Thông tin định danh không trùng khớp với dữ liệu tại cơ sở y tế.
  • 5. Kết quả xác thực không hợp lệ hoặc không thể kiểm chứng.
  • 6. Phiên xác thực hết hạn.
  • 7. Có dấu hiệu giả mạo, truy cập trái phép hoặc vi phạm bảo mật.
  • 8. Hệ thống cơ sở y tế không xác nhận được quyền truy cập.
  • 9. Các trường hợp khác theo yêu cầu bảo đảm an toàn hệ thống hoặc quy định pháp luật.
Khi xảy ra lỗi, eMed có thể hướng dẫn người sử dụng thực hiện xác thực lại hoặc liên hệ bộ phận hỗ trợ.

ĐIỀU 10. BẢO MẬT THÔNG TIN XÁC THỰC
  • 1.    eMed áp dụng biện pháp kỹ thuật và quản lý phù hợp để bảo vệ thông tin định danh và kết quả xác thực.
  • 2.    Các biện pháp bảo mật bao gồm:
    • Mã hóa dữ liệu trong quá trình truyền tải.
    • Kiểm soát quyền truy cập theo vai trò.
    • Xác thực kết nối giữa các hệ thống.
    • Bảo vệ mã phiên và mã giao dịch xác thực.
    • Ghi nhận nhật ký xác thực.
    • Giám sát các hoạt động bất thường.
    • Kiểm soát truy cập của nhân sự kỹ thuật.
    • Kiểm tra và khắc phục lỗ hổng bảo mật.
  • 3. Không ghi mật khẩu, mã OTP hoặc thông tin bí mật đăng nhập VNeID vào nhật ký hệ thống.
  • 4. Không lưu trữ thông tin xác thực vượt quá mục đích và thời hạn cần thiết.
  • 5. Việc cung cấp kết quả xác thực cho bên thứ ba chỉ được thực hiện khi có căn cứ pháp lý phù hợp.
ĐIỀU 11. NHẬT KÝ VÀ BẰNG CHỨNG XÁC THỰC
  • 1. eMed ghi nhận các thông tin cần thiết để chứng minh và kiểm tra hoạt động xác thực, bao gồm:
    • Mã tài khoản người sử dụng.
    • Thời điểm thực hiện xác thực.
    • Trạng thái xác thực.
    • Mã tham chiếu giao dịch.
    • Phương thức xác thực.
    • Thông tin thiết bị và địa chỉ IP khi cần thiết.
    • Kết quả kiểm tra quyền truy cập.
    • Nhật ký yêu cầu truy xuất dữ liệu.
  • 2. Nhật ký được sử dụng để:
    • Kiểm tra hoạt động xác thực.
    • Xử lý sự cố.
    • Phát hiện hành vi giả mạo.
    • Bảo vệ quyền và lợi ích hợp pháp của người sử dụng.
    • Đáp ứng yêu cầu kiểm tra và nghĩa vụ pháp lý.
  • 3. Nhật ký xác thực không được sử dụng để lưu trữ nội dung hồ sơ bệnh án hoặc kết quả khám chữa bệnh.
  • 4. Thời hạn lưu trữ nhật ký được xác định theo mục đích, yêu cầu bảo mật và quy định pháp luật.
ĐIỀU 12. QUYỀN VÀ NGHĨA VỤ CỦA NGƯỜI SỬ DỤNG
12.1. Quyền của người sử dụng
  • Được biết mục đích và phạm vi xác thực.
  • Được sử dụng VNeID để xác minh danh tính theo phương thức tích hợp.
  • Được biết trạng thái xác thực.
  • Được yêu cầu hỗ trợ khi phát sinh lỗi xác thực.
  • Được thực hiện các quyền đối với dữ liệu cá nhân theo quy định pháp luật.
  • Được phản ánh, khiếu nại khi phát hiện hành vi sử dụng thông tin định danh trái phép.
12.2. Nghĩa vụ của người sử dụng
  • Cung cấp thông tin chính xác.
  • Sử dụng tài khoản VNeID chính chủ.
  • Không chia sẻ mật khẩu, OTP hoặc thông tin xác thực.
  • Không sử dụng danh tính của người khác trái phép.
  • Bảo vệ thiết bị và tài khoản cá nhân.
  • Thực hiện xác thực theo hướng dẫn.
  • Thông báo khi phát hiện dấu hiệu mất an toàn tài khoản.
ĐIỀU 13. TRÁCH NHIỆM CỦA ĐƠN VỊ VẬN HÀNH eMed
  • 1. Duy trì hoạt động tích hợp xác thực với VNeID theo thỏa thuận và điều kiện được phép.
  • 2. Bảo đảm an toàn kết nối và kiểm soát quá trình tiếp nhận kết quả xác thực.
  • 3. Chỉ sử dụng thông tin định danh cho mục đích đã xác định và căn cứ pháp lý phù hợp.
  • 4. Không yêu cầu hoặc lưu trữ mật khẩu, mã OTP VNeID của người sử dụng.
  • 5. Không tự ý chia sẻ kết quả xác thực cho bên thứ ba trái quy định.
  • 6. Thực hiện ghi nhận nhật ký và kiểm tra hoạt động xác thực.
  • 7. Phối hợp xử lý các sự cố phát sinh trong phạm vi hệ thống eMed.
  • 8. Thực hiện các nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định pháp luật.
ĐIỀU 14. XỬ LÝ SỰ CỐ XÁC THỰC VÀ AN TOÀN THÔNG TIN
  • 1. Khi phát hiện sự cố liên quan đến xác thực hoặc định danh điện tử, eMed thực hiện kiểm tra và áp dụng biện pháp xử lý phù hợp.
  • 2. Trường hợp sự cố phát sinh từ hệ thống VNeID, eMed phối hợp với đơn vị quản lý hệ thống theo quy trình tích hợp.
  • 3. rường hợp phát sinh truy cập trái phép, eMed có quyền tạm ngừng phiên truy cập và áp dụng biện pháp bảo vệ tài khoản.
  • 4. Các sự cố liên quan đến dữ liệu cá nhân được xử lý theo quy định pháp luật về bảo vệ dữ liệu cá nhân.
  • 5. Người sử dụng được thông báo và hướng dẫn khi sự cố ảnh hưởng đến khả năng truy cập dịch vụ.
ĐIỀU 15. THAY ĐỔI VÀ HIỆU LỰC CHÍNH SÁCH
  • 1. Chính sách này có hiệu lực kể từ ngày được công bố hoặc thời điểm áp dụng được thông báo chính thức.
  • 2. eMed có quyền sửa đổi, bổ sung chính sách để phù hợp với hoạt động vận hành, phương thức tích hợp và quy định pháp luật.
  • 3. Các thay đổi quan trọng ảnh hưởng đến mục đích, phạm vi hoặc phương thức xử lý dữ liệu định danh được thông báo cho người sử dụng.
  • 4. Trường hợp thay đổi mục đích hoặc phạm vi xử lý cần có sự đồng ý, eMed thực hiện lấy lại sự đồng ý theo quy định pháp luật.
  • 5. Các phiên bản chính sách và lịch sử xác nhận được quản lý, lưu trữ để phục vụ tra cứu.
ĐIỀU 16. THÔNG TIN LIÊN HỆ
Mọi yêu cầu liên quan đến xác thực và định danh điện tử được tiếp nhận qua:
  •  Hệ thống: eMed – Hệ sinh thái y tế số
  •  Đơn vị vận hành: CÔNG TY CP GLOBEDR VIỆT NAM
  •  Địa chỉ: 558 Lê Trọng Tấn, Phường Tây Thạnh, TP.HCM
  •  Email hỗ trợ: info@emed.vn
  •  Điện thoại: 1900.63.39.79
  •  Website: www.emed.vn