BẢNG HƯỚNG DẪN LƯU GIỮ HỒ SƠ: SỰ XEM XÉT MANG TÍNH TƯƠNG QUAN TỪ LĨNH VỰC Y TẾ CHO ĐẾN CHÍNH PHỦ

HIỂU VỀ QUẢN LÝ HỒ SƠ

Từ kết quả chụp MRI tại các bệnh viện cho đến tài liệu quy định bảo mật tại các hãng luật mà chúng ta gọi là “hồ sơ” chính là huyết mạch của bất kỳ tổ chức nào. Việc quản lý phù hợp và hiệu quả những dạng hồ sơ này không chỉ đơn thuần nằm ở vấn đề lưu giữ mà còn phải đáp ứng các yêu cầu tiêu chuẩn. Đặc biệt là trong thời đại mà luật pháp ngày càng nghiêm ngặt đối với quyền bảo mật dữ liệu.

Tuy nhiên, việc tuân thủ không chỉ nhằm mục đích để né tránh các chế tài pháp lý; đó là tài sản có thể giúp bạn tận dụng một cách hiệu quả. Việc tuân thủ giúp cải tiến quy trình kinh doanh, ví dụ: cải thiện khả năng truy cập dữ liệu, từ đó hỗ trợ đắc lực cho khả năng ra quyết định. Chính vì thế, việc hiểu rõ các yêu cầu riêng biệt về mục đích tuân thủ không chỉ mang lại nhiều lợi ích mà còn cần thiết để duy trì lợi thế cạnh tranh và bảo đảm sự tồn tại bền vững của tổ chức.

Trong bài viết này, chúng ta sẽ tìm hiểu về những lý do cụ thể cần phải tuân thủ trong các lĩnh vực pháp lý, y tế, chính phủ và tài chính: bốn trong số lĩnh vực trọng yếu nhất (và nghiêm ngặt nhất) khi nhắc đến quản lý hồ sơ. Chúng tôi sẽ trình bày khái quát về thời điểm và thời gian cần lưu giữ hồ sơ ở phương diện xuyên biên giới. Tính năng này đã được phát triển thành công để cung cấp “bảng hướng dẫn” cho những chuyên gia và họ không nhất thiết phải có kiến thức nền tảng về quản lý thông tin nhưng sẽ vẫn nắm được những trình tự cơ bản trong quy trình quản lý.

Quản lý hồ sơ xuyên biên giới: Thông tin cốt lõi theo chuyên ngành

Việc viện dẫn số lượng lớn các luật định, quy định, án lệ, hướng dẫn, v.v. là một nhiệm vụ gần như bất khả thi. Và đó là lý do chúng tôi phải thực hiện những hướng dẫn cơ bản về quản lý hồ sơ một cách đơn giản nhất có thể. Mỗi lĩnh vực cụ thể sẽ được phân loại theo cơ sở chủ đạo dựa trên các tiêu chuẩn lưu giữ, bảo mật và vi phạm dữ liệu.

1. LĨNH VỰC Y TẾ: BẢO ĐẢM QUYỀN RIÊNG TƯ CỦA BỆNH NHÂN

• Lưu giữ: Việc lưu giữ hồ sơ y tế là sự kết hợp giữa các tiêu chuẩn quốc tế. Ví dụ: ở Hoa Kỳ, hồ sơ y tế tổng quát có thời hạn lưu giữ cơ bản là 5 năm, trong khi ở Vương quốc Anh thì ngược lại, quy định khoảng thời gian 25 năm đối với hồ sơ bệnh tâm thần. Trung Quốc yêu cầu thời hạn từ 15 đến 30 năm tùy thuộc vào các thay đổi giữa các chuyên ngành y tế. Chính sách của Ấn Độ phân loại thời gian lưu giữ hồ sơ bệnh nhân ngoại trú (5 năm) và hồ sơ bệnh nhân nội trú (tối đa 30 năm). Nguồn thông tin hữu ích nhất để tìm hiểu các quy định hồ sơ y tế là Hiệp hội Luật sư tại quốc gia sở tại, ví dụ: Hiệp hội Luật sư Hoa Kỳ (ABA) sẽ cung cấp thông tin cơ sở về phương thức quản lý hồ sơ y tế trên trang web của họ.

• Bảo mật: Lưu trữ bảo mật an toàn hơn so với lưu giữ đơn thuần, HIPAA của Hoa Kỳ và GDPR của EU đã quy định cách thức mã hóa và truy cập dữ liệu bệnh án. Thận trọng trong các biện pháp an ninh và chủ động thích ứng với các quy định mới là yêu tố quan trọng để xây dựng niềm tin đối với bệnh nhân và sự liêm chính của tổ chức. Người sử dụng lao động dưới mọi hình thức cũng phải bảo vệ nghiêm ngặt dữ liệu y tế của nhân viên theo GDPR và các luật định khác tương tự GDPR, vì vậy không chỉ riêng các nhà cung cấp dịch vụ y tế mới cần lưu ý đến vấn đề này. Các hệ thống y tế đóng vai trò quan trọng của một quốc gia chẳng hạn như NHS cũng cung cấp những hướng dẫn về việc xử lý hồ sơ y tế, thiết lập hướng dẫn cho các tổ chức y tế và chăm sóc sức khỏe cũng như các tổ chức khác.

• Giao thức Vi phạm Dữ liệu: Trong lĩnh vực y tế, có lẽ quan trọng hơn bất kỳ ngành nghề nào khác, những giao thức này là không thể thỏa hiệp và phải được ứng dụng vào các chiến lược ngăn chặn vi phạm tức thì, quy trình thông báo kịp thời và phương thức tiếp cận minh bạch đối với việc hợp tác mang tính pháp lý.

• Ví dụ: SingHealth, tổ chức y tế quy mô nhất Singapore, đã đối mặt với sự cố vi phạm dữ liệu nghiêm trọng vào năm 2018 do máy trạm giao diện người dùng bị xâm nhập. Sự cố vi phạm dữ liệu này, trong đó các tác nhân độc hại chiếm được quyền truy cập vào các máy tính của SingHealth, cảnh báo mạnh mẽ rằng cần có các biện pháp nghiêm ngặt ngay cả trong các phương thức bảo mật dữ liệu cơ bản nhất.

2. LĨNH VỰC TÀI CHÍNH: BẢO ĐẢM TÍNH TOÀN VẸN CỦA HỒ SƠ TRÊN THỊ TRƯỜNG TOÀN CẦU

• Khung pháp lý: Ngành tài chính được điều hành, kiểm soát thông qua một mạng lưới quy định chặt chẽ về phương thức lưu giữ hồ sơ. Ví dụ: Đạo luật SOX ở Hoa Kỳ yêu cầu lưu giữ một số tài liệu nhất định với thời hạn tối thiểu 5 năm, trong khi đó, EU cũng có quy định tương tự là MiFID II. Tùy vào khu vực pháp lý, hồ sơ thuế và báo cáo kiểm toán có thể cần lưu trữ lên đến 10 năm. Ở Trung Quốc, luật điều chỉnh là Chính sách Quản lý Hồ sơ Kế toán, quy định hồ sơ tài chính có thời hạn lưu giữ tương đương với hồ sơ y tế: từ 15-30 năm.

• Khu vực Lưu trữ Dữ liệu: Trong nền kinh tế toàn cầu hóa của chúng ta, luật định về khu vực lưu trữ dữ liệu, chẳng hạn như ở Ấn Độ, yêu cầu một số thông tin tài chính nhất định không được lưu trữ bên ngoài biên giới, điều này đặt ra một thách thức rất đặc thù cho các tổ chức đa quốc gia.

• Bảo mật và Quản lý Tài liệu: Hệ thống lưu trữ tài liệu an toàn là rất cần thiết, đặc biệt là đối với nhiều loại tài liệu khác nhau, từ hợp đồng, thỏa thuận cho đến hồ sơ thuế, sẽ được áp dụng các giao thức lưu giữ và bảo vệ khác nhau giữa các khu vực pháp lý.

• Ví dụ: Sự kiện vi phạm dữ liệu Equifax vào năm 2017 đã để lộ cho tin tặc nắm được một trong những cơ sở dữ liệu báo cáo tín dụng lớn nhất Hoa Kỳ. Vụ tấn công xảy ra do lỗ hổng cổng thông tin khiếu nại của khách hàng không được vá lỗi phù hợp.

3. HỒ SƠ PHÁP LÝ: BẢO MẬT VÀ ỨNG XỬ THEO CHUẨN MỰC ĐẠO ĐỨC

• Đạo đức trong Lưu giữ: Các chuyên gia pháp lý phải cân bằng giữa việc tuân thủ quy định với trách nhiệm về phương diện đạo đức. Thời hạn lưu giữ có thể khác nhau, ví dụ: 6 năm đối với một số tài liệu ở Vương quốc Anh và lên đến 10 năm đối với hợp đồng ở Trung Quốc. Những tình huống khó xử về phương diện đạo đức thường nảy sinh khi xử lý dữ liệu khách hàng, cụ thể là khi các quy định như GDPR ra đời.
• Các cân nhắc ở phương diện quốc tế: Khi các vấn đề pháp lý xuyên biên giới, các hiệp ước và hiệp định quốc tế bắt đầu có hiệu lực, chi phối đến quy trình lưu giữ tài liệu và yêu cầu hiểu rõ về các bối cảnh pháp lý đa dạng này.

• E-Discovery: Việc số hóa các quy trình pháp lý yêu cầu tuân thủ e-discovery. Các chuyên gia phải đảm bảo rằng hệ thống quản lý tài liệu điện tử của họ có thể đáp ứng hiệu quả các yêu cầu pháp lý và trong phạm vi của các quy định e-discovery ở nhiều phương diện quốc tế khác nhau.

• Ví dụ: Cuộc tấn công bằng ransomware DLA Piper vào năm 2021 đã cảnh báo mức độ ngày càng phổ biến của các cuộc tấn công thông qua ransomware trên toàn cầu. Điều này không chỉ nêu bật sự cần thiết phải có biện pháp kiểm soát chặt chẽ hơn đối với phần mềm mà các công ty luật và đối tác của họ đang sử dụng, và quan trọng hơn hết là cần có sự minh bạch hơn sau cuộc tấn công.

4. HỒ SƠ CHÍNH PHỦ: CÔNG KHAI VÀ BẢO MẬT

• Hồ sơ công: Chính phủ phải thật sự khéo léo cân bằng giữa quyền tiếp cận thông tin của công chúng với những lo ngại về quyền riêng tư và vấn đề bảo mật. Các đạo luật như FOIA của Hoa Kỳ và các quy định của GDPR trong khu vực công tại EU có đưa ra hướng dẫn cho quy trình này nhưng yêu cầu áp dụng ở nhiều mức độ khác nhau để đáp ứng các loại thông tin khác nhau và cần điều chỉnh lại để phù hợp với một số bối cảnh nhất định. Các công ty tư vấn như Deloitte là những cơ sở tham chiếu phù hợp nhất để giúp hiểu rõ hơn về hoạt động cân bằng tinh tế này và “GDPR trong Khu vực Công” là bộ tài liệu cơ bản và đặc biệt hữu ích dành cho các công viên chức tham khảo những việc nên và không nên làm. Hay nói một cách khái quát hơn, việc hiểu rõ hồ sơ nhân viên trong khu vực công nên được lưu giữ trong bao lâu có vai trò đặc biệt quan trọng đối với khu vực nhà nước.

• Xử lý Dữ liệu Nhạy cảm: Thông tin mật và nhạy cảm của chính phủ đòi hỏi các biện pháp bảo mật nghiêm ngặt ở mức độ cao hơn so với các biện pháp thông thường áp dụng cho hồ sơ công tiêu chuẩn. Ví dụ: Đạo luật về Quyền Thông tin ở Ấn Độ quy định các hướng dẫn cụ thể đối với việc tiết lộ thông tin, đồng thời vẫn yêu cầu các biện pháp bảo vệ dữ liệu nhạy cảm.

• Quản trị kỹ thuật số: Khi các chính phủ hướng tới các giải pháp kỹ thuật số, họ phải bảo đảm quá trình chuyển đổi này tuân thủ các quy định về quyền riêng tư dữ liệu hiện tại và cả trong tương lai. Việc này đảm bảo rằng những tiến bộ kỹ thuật số sẽ được nâng cấp chứ không gây cản trở cho việc tuân thủ và sự hiệu quả của dịch vụ công.

• Ví dụ: Có lẽ ví dụ điển hình nhất về vi phạm dữ liệu của chính phủ trong thời gian gần đây là sự kiện tấn công Văn phòng Quản lý Nhân sự ở Hoa Kỳ. Vụ tấn công này đã tiết lộ hàng chục triệu hồ sơ nhân viên chính phủ, bao gồm cả thông tin về an ninh. Đáng chú ý, cuộc tấn công đã lợi dụng các máy trạm của nhà thầu làm trung tâm tấn công. Qua đó, nêu bật tầm quan trọng trong việc bảo đảm an ninh khắt khe không chỉ áp dụng cho nội bộ mà còn cho tất cả các bên liên quan và đối tác làm việc với một tổ chức.

Số hóa, Trí tuệ Nhân tạo và Tương lai:

Tăng trưởng số hóa đã và đang làm thay đổi bối cảnh về phương diện tuân thủ giữa các ngành nghề, mặc dù tốc độ và bản chất của những thay đổi này khác nhau đáng kể ở từng quốc gia.

Ở các thị trường phát triển, hệ thống và quy định về kỹ thuật số được thiết lập chặt chẽ hơn, các tổ chức hưởng lợi từ các khuôn khổ pháp lý thực tiễn sẽ hỗ trợ các hoạt động lưu trữ hồ sơ kỹ thuật số an toàn và hiệu quả. Các khu vực này thường đi đầu trong việc áp dụng các công nghệ mới, dù đó là tính năng scan công nghệ OCR/ICR, đơn giản hóa phương thức quản lý hồ sơ bằng ECM cho các bộ phận như nhân sự hay sử dụng trí tuệ nhân tạo để phân tích tài liệu.

Ở các thị trường mới nổi, hành trình hướng tới số hóa vẫn đang tiếp tục diễn ra, nhiều lĩnh vực nỗ lực xây dựng cơ sở hạ tầng và khung pháp lý cần thiết để hỗ trợ tích cực cho quá trình chuyển đổi số này.

Sự chênh lệch ở phạm vi toàn cầu này nghĩa là bất kỳ thực thể nào tham gia vào quy trình quản lý hồ sơ từ góc độ toàn cầu, có thể là hồ sơ pháp lý, y tế, chính phủ hoặc tài chính, đều phải lưu ý đến các cấp độ phát triển khác nhau này của công nghệ kỹ thuật số. Đây không chỉ đơn thuần là vấn đề quản lý hồ sơ mà là vấn đề quản lý công nghệ để hỗ trợ cho quy trình quản lý hồ sơ!

Tìm hiểu thêm các nguồn tham khảo:

• AIIM – Hiệp hội Quản lý Thông tin Thông minh: Tổ chức phi lợi nhuận thúc đẩy các phương pháp tốt nhất về Quản lý Thông tin.
• ARMA – Hiệp hội các Nhà Quản trị và Quản lý Hồ sơ: Tổ chức hỗ trợ xây dựng các tiêu chuẩn quốc tế về hồ sơ.
• PDPA – Bối cảnh tuân thủ dữ liệu đang phát triển ở Đông Nam Á.
• PIPL – Luật Bảo vệ Thông tin Cá nhân của Trung Quốc hoạt động như thế nào?
• Ứng dụng AI trong Quản lý Hồ sơ – AI mang lại lợi ích và rủi ro gì trong lĩnh vực quản lý hồ sơ?