Quyết định 3482/QĐ-BYT 2026 về quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và bảo đảm an toàn thông tin, an ninh mạng hệ thống cơ sở dữ liệu về dược

BỘ Y TẾ _________   Số: 3482/QĐ-BYT

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc ________________ Hà Nội, ngày 11 tháng 11 năm 2026

 

 

QUYẾT ĐỊNH

Ban hành Quy chế Quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và bảo đảm an toàn thông tin, an ninh mạng
Hệ thống cơ sở dữ liệu về dược

^{________________}

BỘ TRƯỞNG BỘ Y TẾ

 

Căn cứ Luật Công nghệ thông tin ngày 29 tháng 6 năm 2006;

Căn cứ Luật An toàn, vệ sinh lao động ngày 25 tháng 6 năm 2015;

Căn cứ Luật Dược số 105/2016/QH13 được sửa đổi, bổ sung bởi Luật số 44/2024/QH15;

Căn cứ Luật Giao dịch điện tử ngày 22 tháng 6 năm 2023;

Căn cứ Luật Dữ liệu ngày 30 tháng 11 năm 2024;

Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;

Căn cứ Luật An ninh mạng ngày 10 tháng 12 năm 2025;

Căn cứ Nghị định số 102/2025/NĐ-CP ngày 13 tháng 5 năm 2025 của Chính phủ quy định quản lý dữ liệu y tế;

Căn cứ Nghị định số 165/2025/NĐ-CP ngày 30 tháng 6 năm 2025 của Chính phủ về quy định chi tiết một số điều và biện pháp thi hành Luật dữ liệu;

Căn cứ Nghị định số 356/2025/NĐ-CP ngày 31 tháng 12 năm 2025 của Chính phủ về quy định chi tiết một số điều và biện pháp thi hành Luật bảo vệ dữ liệu cá nhân;

Căn cứ Nghị định số 163/2025/NĐ-CP ngày 29 tháng 06 năm 2025 của Chính phủ quy định chi tiết một số điều và biện pháp để tổ chức, hướng dẫn thi hành Luật Dược;

Căn cứ Nghị định số 331/2026/NĐ-CP ngày 19 tháng 8 năm 2026 của Chính phủ về bảo vệ an ninh mạng đối với hệ thống thông tin;

Căn cứ Nghị định số 313/2026/NĐ-CP ngày 08 tháng 8 năm 2026 của Chính phủ quy định về chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Y tế;

Căn cứ Nghị định số 363/2026/NĐ-CP ngày 19 tháng 9 năm 2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu;

Căn cứ Thông tư số 11/2025/TT-BYT ngày 16/5/2025 của Bộ Y tế sửa đổi, bổ sung một số điều của Thông tư số 02/2018/TT-BYT ngày 22 tháng 01 năm 2018 của Bộ trưởng Bộ Y tế quy định về thực hành tốt cơ sở bán lẻ thuốc, Thông tư số 03/2018/TT-BYT ngày 09 tháng 02 năm 2018 của Bộ trưởng Bộ Y tế quy định về thực hành tốt phân phối thuốc, nguyên liệu làm thuốc, thông tư số 36/2018/TTBYT ngày 22 tháng 11 năm 2018 của Bộ trưởng Bộ Y tế quy định về thực hành tốt bảo quản thuốc, nguyên liệu làm thuốc;

Theo đề nghị của Giám đốc Trung tâm Thông tin y tế Quốc gia.

 

QUYẾT ĐỊNH:

 

Điều 1. Ban hành kèm theo Quyết định này Quy chế Quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và bảo đảm an toàn thông tin, an ninh mạng Hệ thống cơ sở dữ liệu về dược.

Điều 2. Quyết định này có hiệu lực kể từ ngày ký ban hành và thay thế Quyết định số 412/QĐ-BYT ngày 14/02/2020 của Bộ Y tế về việc ban hành Quy chế tạm thời quản lý, sử dụng Hệ thống Cơ sở dữ liệu Dược Quốc gia và Quyết định số 748/QĐ-BYT ngày 29/3/2024 của Bộ Y tế về việc sửa đổi, bổ sung một số Điều của Quy chế tạm thời quản lý, sử dụng Hệ thống Cơ sở dữ liệu Dược Quốc gia ban hành kèm theo Quyết định số 412/QĐ-BYT ngày 14/02/2020 của Bộ Y tế.

Điều 3. Các Ông/Bà: Chánh Văn phòng Bộ, Cục trưởng Cục Quản lý Dược, Giám đốc Trung tâm Thông tin y tế Quốc gia, Giám đốc Sở Y tế tỉnh, thành phố và Thủ trưởng các cơ quan, đơn vị, cá nhân có liên quan chịu trách nhiệm thi hành Quyết định này./.

 

Nơi nhận: - Như Điều 3; - Bộ trưởng Bộ Y tế (để báo cáo); - Các Thứ trưởng Bộ Y tế; - Sở Y tế các tỉnh, thành phố (để t/h); - Các Cơ sở kinh doanh dược (để t/h); - Cổng thông tin điện tử Bộ Y tế; - Website Cục QLD; - Lưu: VT, QLD, TTYQG.

KT. BỘ TRƯỞNG THỨ TRƯỞNG         Đào Xuân Cơ

 

 

BỘ Y TẾ _________

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc ________________

 

QUY CHẾ

Quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và bảo đảm an toàn thông tin, an ninh mạng Hệ thống cơ sở dữ liệu về dược

(Ban hành kèm theo Quyết định số 3482/QĐ-BYT ngày 11 tháng 11 năm 2026 của Bộ trưởng Bộ Y tế)

^{________________}

 

CHƯƠNG I

QUY ĐỊNH CHUNG

 

Điều 1. Phạm vi điều chỉnh

Quy chế này quy định về nguyên tắc, quyền hạn, trách nhiệm, phương thức quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và đảm bảo an toàn thông tin, an ninh mạng của Hệ thống cơ sở dữ liệu về dược.

Điều 2. Đối tượng áp dụng

Quy chế này được áp dụng đối với các đơn vị, cá nhân tham gia quản lý, vận hành, sử dụng, khai thác Hệ thống cơ sở dữ liệu về dược, bao gồm:

1. Các đơn vị thuộc, trực thuộc Bộ Y tế bao gồm: Cục Quản lý Dược; Trung tâm Thông tin y tế Quốc gia.

2. Sở Y tế tỉnh, thành phố.

3. Các cơ sở kinh doanh dược: Cơ sở xuất/nhập khẩu thuốc, Cơ sở bán buôn thuốc, Cơ sở bán lẻ thuốc (nhà thuốc, quầy thuốc, tủ thuốc trạm y tế xã), Chuỗi nhà thuốc và các nhà thuốc thành viên thuộc chuỗi.

4. Các đơn vị cung cấp phần mềm có liên quan đến Hệ thống cơ sở dữ liệu về dược.

5. Tổ chức, cá nhân, đơn vị khác có liên quan đến quản lý, vận hành, sử dụng và khai thác hệ thống, cơ sở dữ liệu của Hệ thống cơ sở dữ liệu về dược.

Điều 3. Giải thích từ ngữ

Trong Quy chế này, các từ ngữ dưới đây được hiểu như sau:

1. Hệ thống cơ sở dữ liệu về dược (sau đây gọi tắt là Hệ thống): do Bộ Y tế xây dựng để thu thập, quản lý và đồng bộ dữ liệu phát sinh từ các cơ sở bán lẻ, phân phối, xuất nhập khẩu, bảo quản thuốc, để từ đó hình thành cơ sở dữ liệu dược tập trung, thống nhất và chuẩn hóa trên phạm vi toàn quốc phục vụ công tác quản lý nhà nước trong lĩnh vực dược. Hệ thống cơ sở dữ liệu về dược bao gồm các phân hệ chính:

a) Phân hệ quản lý hóa đơn.

b) Phân hệ quản lý phê duyệt, thông tin về cơ sở kinh doanh thuốc.

c) Phân hệ quản lý kho.

d) Phân hệ quản lý danh mục thuốc.

e) Phân hệ báo cáo - thống kê.

f) Phân hệ thông báo.

g) Phân hệ Dashboard.

h) Phân hệ tra cứu, liên thông và tích hợp.

i) Các phân hệ quản lý khác trong quá trình phát triển Hệ thống cơ sở dữ liệu về dược.

2. Tài khoản: bao gồm tên đăng nhập (user name) và mật khẩu (password) được cấp cho mỗi tổ chức, cá nhân để thực hiện truy cập và sử dụng hệ thống.

3. Đơn vị quản lý: Bao gồm Cục Quản lý Dược, Sở Y tế tỉnh/thành phố.

4. API: là viết tắt của “Application Programming Interface” đây là một tập hợp các quy tắc và định dạng cho phép các phần mềm khác nhau giao tiếp và tương tác với nhau. API đóng vai trò như một cầu nối, giúp các chương trình có thể sử dụng các chức năng hoặc dữ liệu của nhau mà không cần phải hiểu cách thức hoạt động nội bộ của chúng.

5. Đồng bộ dữ liệu: là quá trình đảm bảo rằng dữ liệu trên các hệ thống, thiết bị hoặc nguồn khác nhau được cập nhật liên tục và nhất quán với nhau. Khi dữ liệu được đồng bộ, mọi thay đổi hoặc cập nhật trên một hệ thống sẽ được tự động áp dụng trên các hệ thống khác liên quan, giúp tránh tình trạng mâu thuẫn hoặc sai lệch dữ liệu.

Điều 4. Nguyên tắc chung quản lý, vận hành, sử dụng, khai thác, chia sẻ dữ liệu và bảo đảm an toàn thông tin, an ninh mạng

1. Tuân thủ các quy định của pháp luật về bảo vệ bí mật nhà nước, bảo vệ thông tin cá nhân, giao dịch điện tử, công nghệ thông tin và các quy định pháp luật có liên quan về an toàn thông tin.

2. Tài khoản của cá nhân được phân quyền theo vai trò tùy thuộc vào chức năng, nhiệm vụ và quyền hạn khi tham gia Hệ thống. Các cá nhân phải có trách nhiệm bảo vệ thông tin tài khoản của mình, chỉ cập nhật, quản lý và khai thác các nội dung thông tin trong phạm vi được phân quyền. Khi kết thúc phiên làm việc, cá nhân phải đăng xuất khỏi Hệ thống để đảm bảo an toàn dữ liệu.

3. Quản lý, vận hành, sử dụng Hệ thống theo đúng mục đích, thẩm quyền, đảm bảo thực hiện đúng quy trình và tiến độ để không làm gián đoạn quá trình xử lý và luân chuyển thông tin của Hệ thống.

4. Việc kết nối, chia sẻ dữ liệu phải bảo đảm được thực hiện kịp thời, đầy đủ, đúng mục đích, bảo đảm an toàn thông tin; tuân thủ đầy đủ Khung kiến trúc dữ liệu quốc gia, Khung quản trị, quản lý dữ liệu quốc gia và Từ điển dữ liệu dùng chung; bảo đảm an toàn, bảo mật và đúng phạm vi chức năng, nhiệm vụ, quyền hạn; phục vụ hiệu quả công tác quản lý, điều hành, hoạch định chính sách của các cơ quan, đơn vị và khai thác giá trị của dữ liệu.

5. Hoạt động bảo đảm an toàn thông tin, an ninh mạng phải được thực hiện thường xuyên, liên tục, kịp thời, hiệu quả và chủ động phòng ngừa, phát hiện, ngăn chặn, đấu tranh làm thất bại mọi hành vi xâm phạm an ninh mạng.

6. Các hành vi không được thực hiện

a) Cung cấp hoặc cố ý để lộ tài khoản đăng nhập vào Hệ thống cho cá nhân, tổ chức không được giao quyền và trách nhiệm quản lý, sử dụng

b) Cản trở hoạt động kết nối, quyền khai thác và sử dụng dữ liệu hợp pháp của cơ quan, tổ chức, cá nhân theo quy định của pháp luật.

c) Cung cấp, chia sẻ, sao chép, chuyển giao, tiết lộ dữ liệu, thông tin thuộc phạm vi quản lý khi chưa được cấp có thẩm quyền cho phép.

d) Làm sai lệch thông tin dữ liệu trong quá trình lưu chuyển dữ liệu từ cơ quan cung cấp dữ liệu tới cơ quan khai thác dữ liệu.

e) Phá hoại cơ sở hạ tầng thông tin, làm gián đoạn việc kết nối, chia sẻ thông tin dữ liệu.

f) Các hành vi không được thực hiện khác theo quy định của pháp luật có liên quan.

 

CHƯƠNG II

QUẢN LÝ, VẬN HÀNH VÀ SỬ DỤNG HỆ THỐNG

 

Điều 5. Các loại hình dữ liệu được quản lý

Hệ thống cơ sở dữ liệu về dược thực hiện quản lý tập trung, thống nhất các nhóm dữ liệu sau đây:

1. Danh mục thuốc:

a) Thông tin định danh: Tên thuốc (tên thương mại, tên gốc/INN), hàm lượng, nồng độ, dạng bào chế, quy cách đóng gói, số đăng ký.

b) Phân loại dược lý: Mã ATC, nhóm tác dụng điều trị, danh mục thuốc (thuốc thiết yếu, thuốc không kê đơn, thuốc kiểm soát đặc biệt...).

2. Thông tin kỹ thuật: Tiêu chuẩn chất lượng, hạn dùng.

3. Thông tin sản xuất, nhập khẩu: Thông tin về lô sản xuất, ngày sản xuất, hạn dùng của từng lô thuốc khi đưa vào lưu thông.

4. Phân phối, tồn kho:

a) Quản lý thông tin về các cơ sở kinh doanh dược tham vào quá trình phân phối (Bán buôn, bán lẻ).

b) Quản lý dữ liệu hóa đơn, số lượng xuất - nhập.

c) Số lượng tồn kho thực tế tại từng thời điểm.

5. Cảnh báo, thu hồi: Cảnh báo thuốc sắp hết hạn dùng hoặc thuốc trong diện bị đình chỉ lưu hành/thu hồi.

Điều 6. Vòng đời dữ liệu

1. Tạo mới dữ liệu:

Các dữ liệu trên hệ thống như thông tin thuốc, thông tin về cơ sở kinh doanh dược, cơ sở khám bệnh, chữa bệnh đảm bảo không trùng lặp trước khi cập nhật lên hệ thống.

2. Cập nhật dữ liệu:

a) Cục Quản lý Dược cập nhật thông tin thuốc khi có thay đổi về nhãn thuốc, chỉ định, thông tin thuốc bị thu hồi, thông tin về phản ứng có hại của thuốc và các thông tin khác có liên quan đến công tác quản lý nhà nước về dược.

b) Sở Y tế các tỉnh, thành phố cập nhật thông tin về cơ sở kinh doanh dược thuộc phạm vi quản lý khi có thay đổi, thực hiện thông báo thu hồi thuốc, báo cáo thu hồi thuốc... theo quy định.

c) Cơ sở kinh doanh dược cập nhật liên thông tự động theo thời gian thực số lượng mua/bán/hủy, tiêu hao, thu hồi của thuốc... theo đúng chuẩn kết nối liên thông.

3. Xóa dữ liệu:

a) Cục Quản lý Dược được quyền xóa dữ liệu của thuốc khi phát hiện có từ 02 thuốc trở lên có cùng thông tin về số đăng ký, quy cách đóng gói.

b) Cục Quản lý Dược, Sở Y tế các tỉnh, thành phố được quyền xóa đối tượng trong thẩm quyền cấp tài khoản nếu phát hiện 02 đối tượng trùng lặp trở lên.

4. Thời hạn lưu trữ dữ liệu trên Hệ thống: theo quy định của pháp luật về lưu trữ.

Điều 7. Quy định cập nhật dữ liệu

1. Địa chỉ truy cập: Toàn bộ việc cập nhật dữ liệu được thực hiện tập trung tại Cổng thông tin điện tử: https://csdlduoc.com.vn.

2. Trách nhiệm cập nhật: Các tổ chức, cá nhân được cấp tài khoản có trách nhiệm cập nhật dữ liệu đúng thẩm quyền và phân quyền được giao.

3. Thời gian cập nhật đối với từng loại dữ liệu:

a) Danh mục thuốc và Số đăng ký: Cập nhật ngay khi có quyết định cấp mới, thay đổi hoặc gia hạn.

b) Thông tin sản xuất, nhập khẩu: Cập nhật theo từng lô hàng ngay khi hoàn tất thủ tục nhập kho hoặc thông quan.

c) Phân phối, tồn kho: Cập nhật định kỳ hàng ngày hoặc phát sinh theo thời gian thực (real-time) để đảm bảo tính chính xác của chuỗi cung ứng.

d) Cảnh báo, thu hồi: Cập nhật khẩn cấp trong vòng 24 giờ kể từ khi có văn bản thông báo của cơ quan có thẩm quyền.

Điều 8. Cơ chế đồng bộ dữ liệu

1. Nhập liệu trực tiếp: Áp dụng cho các cơ sở dược chưa có hệ thống công nghệ thông tin tương thích; thực hiện nhập thủ công qua giao diện người dùng trên trình duyệt.

2. Đồng bộ tự động (API): Ưu tiên kết nối tự động giữa hệ thống quản lý nội bộ của doanh nghiệp/đơn vị với Hệ thống cơ sở dữ liệu về dược thông qua cổng API theo chuẩn đặc tả kỹ thuật của Bộ Y tế.

Điều 9. Xử lý lỗi

1. Ghi nhật ký (Log): Hệ thống tự động lưu trữ lịch sử tác động dữ liệu (người thực hiện, thời gian, nội dung thay đổi) để phục vụ tra soát.

2. Đối soát: Định kỳ hàng ngày/tháng/quý, đơn vị chủ quản thực hiện đối soát dữ liệu giữa các nguồn để phát hiện và điều chỉnh sai lệch.

Điều 10. Quản lý tài khoản và phân quyền

1. Quản lý tài khoản

a) Trung tâm Thông tin y tế Quốc gia quản lý các tài khoản quản trị trên toàn hệ thống.

b) Các đơn vị quản lý trên Hệ thống được cấp 01 tài khoản với vai trò quản trị Hệ thống theo phạm vi quản lý, được dùng để quản lý, cấp mới/thu hồi, phân quyền, thiết lập lại mật khẩu tài khoản cho các cơ sở kinh doanh dược thuộc phạm vi quản lý.

c) Các cơ sở kinh doanh dược thực hiện đăng ký trên hệ thống và được cấp tài khoản sau khi cơ quan quản lý phê duyệt thành công yêu cầu đăng ký.

d) Tổ chức, cá nhân sau khi nhận tài khoản có trách nhiệm đổi mật khẩu ban đầu ngay sau khi được cung cấp và quản lý mật khẩu sau khi đổi. Nguyên tắc đặt mật khẩu phải có tối thiểu 08 ký tự, bao gồm chữ hoa, chữ thường, số và ký tự đặc biệt.

e) Các đơn vị sử dụng Hệ thống có trách nhiệm quản lý tài khoản được cấp và các tài khoản do đơn vị mình cấp phát.

2. Các loại tài khoản và phân quyền

a) Tài khoản quản trị cấp Trung ương: Đối tượng được cấp là Cục Quản lý Dược. Quyền hạn: Phê duyệt tài khoản của các cơ sở kinh doanh dược thuộc thẩm quyền quản lý, Quản lý danh mục dùng chung, Quản lý tích hợp dữ liệu, Quản lý người dùng toàn quốc, Khai thác báo cáo tổng hợp toàn quốc.

b) Tài khoản quản trị cấp tỉnh: Đối tượng được cấp là Sở Y tế các tỉnh/thành phố Trực thuộc Trung ương. Quyền hạn: Phê duyệt tài khoản của các cơ sở kinh doanh dược thuộc thẩm quyền quản lý, Quản lý đơn vị trực thuộc, Theo dõi việc đồng bộ và chất lượng dữ liệu, Khai thác các báo cáo cấp tỉnh.

c) Tài khoản quản trị cấp cơ sở: Đối tượng được cấp là các cơ sở kinh doanh dược đã được Bộ Y tế và Sở Y tế phê duyệt. Quyền hạn: Quản lý tích hợp dữ liệu của đơn vị, khai thác báo cáo trong phạm vi đơn vị.

d) Tài khoản quản trị kỹ thuật: Đối tượng quản lý là Trung tâm Thông tin y tế Quốc gia. Quyền hạn: Cấp tài khoản cho các đơn vị quản lý, Quản lý về kỹ thuật, hạ tầng duy trì vận hành Hệ thống.

3. Tạo lập tài khoản

a) Trung tâm Thông tin y tế Quốc gia quản lý tài khoản quản trị kỹ thuật hệ thống và tạo lập, cấp, thu hồi tài khoản để truy cập vào Hệ thống cho các đối tượng quy định tại Khoản 1 và 2 Điều 2 Quy chế này

b) Cục Quản lý Dược tạo lập, cấp, thu hồi tài khoản liên thông để cập nhật dữ liệu lên Hệ thống cho các đối tượng quy định tại Khoản 3 Điều 2 Quy chế này bao gồm Cơ sở xuất/nhập khẩu thuốc và chuỗi nhà thuốc.

c) Sở Y tế tạo lập, cấp, thu hồi tài khoản liên thông để cập nhật dữ liệu lên Hệ thống cho các đối tượng quy định tại Khoản 3 Điều 2 Quy chế này bao gồm cơ sở bán buôn thuốc, cơ sở bán lẻ thuốc (nhà thuốc, quầy thuốc, tủ thuốc trạm y tế xã) và các nhà thuốc thành viên thuộc chuỗi nhà thuốc.

d) Trường hợp mất mật khẩu, thay đổi thông tin tài khoản, thông tin đơn vị cần gửi văn bản cho đơn vị theo phân cấp đã được quy định tại điều này.

e) Trong trường hợp các cơ sở kinh doanh dược, cơ sở khám bệnh, chữa bệnh không phát sinh dữ liệu trong vòng 03 tháng trên Hệ thống, đơn vị cấp tài khoản có trách nhiệm khóa tài khoản của cơ sở đó sau khi thông báo và xác minh tình trạng hoạt động của cơ sở.

Điều 11. Quản lý, vận hành hệ thống

1. Hệ thống được quản lý, vận hành tập trung, thống nhất trên phạm vi toàn quốc. Đơn vị quản trị, vận hành hệ thống có trách nhiệm: Ban hành các quy trình vận hành; Quản lý tài khoản và phân quyền; Giám sát hoạt động hệ thống; Đảm bảo nguồn lực vận hành và đánh giá hiệu quả hoạt động.

2. Giám sát hệ thống: Thực hiện giám sát máy chủ, cơ sở dữ liệu, đường truyền, các dịch vụ ứng dụng, kết nối tích hợp, hoạt động của người dùng trên hệ thống.

Định kỳ hàng tháng thực hiện: Rà soát tài khoản không sử dụng, tài khoản vượt quyền, kiểm tra phân quyền, nhật ký truy cập.

3. Quản lý sự cố: Tất cả các sự cố phải được ghi nhận; phân loại, xử lý theo mức độ ưu tiên và lưu trữ hồ sơ xử lý sự cố.

4. Quản lý thay đổi: Mọi thay đổi đối với chức năng phần mềm, cấu hình hệ thống, cơ sở dữ liệu và hạ tầng kỹ thuật phải được phê duyệt trước khi triển khai.

5. Trực tiếp tổ chức vận hành hệ thống theo đúng các quy định tại Nghị định số 85/2016/NĐ-CP ngày 01 tháng 7 năm 2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ; giám sát, duy trì hoạt động ổn định, có phương án dự phòng để bảo đảm hệ thống hoạt động 24 giờ/ngày, 7 ngày/tuần và phối hợp triển khai kết nối với các hệ thống khác khi có yêu cầu của đơn vị quản lý.

6. Trường hợp tạm ngừng cung cấp dịch vụ để bảo trì, nâng cấp, cần thông báo và được sự đồng ý bằng văn bản của đơn vị quản lý trước tối thiểu 48 giờ để đơn vị quản lý phối hợp, thông báo đến các cơ quan, đơn vị có liên quan.

 

CHƯƠNG III

KHAI THÁC, KẾT NỐI, LIÊN THÔNG VÀ CHIA SẺ DỮ LIỆU

 

Điều 12. Nguyên tắc khai thác dữ liệu

1. Dữ liệu trên Hệ thống cơ sở dữ liệu về dược được khai thác phục vụ công tác quản lý nhà nước, chỉ đạo điều hành, hoạt động chuyên môn dược và các mục đích hợp pháp khác theo quy định của pháp luật.

2. Việc khai thác dữ liệu phải bảo đảm: Đúng mục đích, đúng chức năng, nhiệm vụ, quyền hạn của cơ quan, tổ chức, cá nhân được giao quyền khai thác; Không làm ảnh hưởng đến tính toàn vẹn, tính sẵn sàng và tính bảo mật của dữ liệu.

3. Chỉ khai thác phạm vi dữ liệu cần thiết để thực hiện nhiệm vụ;

4. Tuân thủ quy định về bảo vệ dữ liệu và an toàn thông tin mạng;

5. Có cơ chế ghi nhận, giám sát, lưu vết hoạt động khai thác dữ liệu.

6. Nghiêm cấm việc khai thác, sử dụng, chia sẻ dữ liệu ngoài phạm vi được giao, vì mục đích thương mại trái pháp luật hoặc xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Điều 13. Phạm vi, thẩm quyền khai thác dữ liệu

1. Dữ liệu trong Hệ thống cơ sở dữ liệu về dược được khai thác để phục vụ công tác quản lý nhà nước trong lĩnh vực dược: Thống kê, dự báo, xây dựng chiến lược, hoạch định chính sách.

2. Thẩm quyền khai thác dữ liệu

a) Bộ Y tế, Cục Quản lý Dược được khai thác dữ liệu trên phạm vi toàn quốc phục vụ công tác quản lý nhà nước, chỉ đạo điều hành, xây dựng chính sách.

b) Trung tâm Thông tin y tế Quốc gia được khai thác dữ liệu phục vụ công tác quản lý, vận hành hệ thống, bảo đảm chất lượng dữ liệu và hỗ trợ người sử dụng.

c) Sở Y tế được khai thác dữ liệu thuộc phạm vi địa bàn quản lý.

d) Các cơ sở kinh doanh dược được khai thác dữ liệu do đơn vị mình tạo lập và các dữ liệu khác theo phạm vi được phân quyền.

đ) Các đơn vị liên quan được khai thác dữ liệu theo quy định của pháp luật và các thỏa thuận chia sẻ dữ liệu đã được cơ quan có thẩm quyền phê duyệt.

Điều 14. Hình thức khai thác dữ liệu

1. Khai thác, sử dụng dịch vụ cung cấp thông tin, dữ liệu được tổng hợp, phân tích và cung cấp trên Hệ thống thông qua tài khoản được cấp cho cơ quan quản lý, tổ chức, cá nhân.

2. Khai thác thông qua hệ thống báo cáo, thống kê, Dashboard điều hành.

3. Khai thác thông qua API.

4. Khai thác thông qua các hình thức khác do Bộ Y tế cho phép.

Điều 15. Chia sẻ dữ liệu

1. Việc chia sẻ dữ liệu được thực hiện trên nguyên tắc:

a) Tuân thủ quy định của pháp luật;

b) Đúng mục đích sử dụng;

c) Đúng phạm vi được phép chia sẻ;

d) Bảo đảm an toàn thông tin và bảo vệ dữ liệu.

2. Hệ thống Cơ sở dữ liệu về dược thực hiện kết nối, chia sẻ dữ liệu với:

a) Hệ thống Hành chính công Dược: để đồng bộ danh mục thuốc.

b) Hệ thống Đơn thuốc quốc gia: liên thông dữ liệu thuốc phục vụ việc kiểm soát kê đơn và bán thuốc theo đơn.

c) Cơ sở dữ liệu quốc gia về dân cư: để thực hiện xác thực thông tin các đối tượng quản lý thông qua mã số định danh cá nhân/CCCD.

d) Các cơ sở dữ liệu chuyên ngành, cơ sở dữ liệu quốc gia theo quy định.

3. Việc chia sẻ dữ liệu cho tổ chức, cá nhân ngoài phạm vi quy định phải được cơ quan có thẩm quyền phê duyệt.

Điều 16. Kết nối và liên thông dữ liệu

1. Các hệ thống thông tin kết nối với Hệ thống cơ sở dữ liệu về dược phải tuân thủ các quy định kỹ thuật, chuẩn dữ liệu và đặc tả API do Bộ Y tế ban hành.

2. Đơn vị kết nối chịu trách nhiệm bảo đảm tính chính xác, đầy đủ và hợp lệ của dữ liệu gửi lên hệ thống.

3. Đơn vị quản lý, vận hành Hệ thống tổ chức quản lý, giám sát và hỗ trợ hoạt động kết nối, liên thông dữ liệu.

 

CHƯƠNG IV

BẢO ĐẢM AN TOÀN DỮ LIỆU, BẢO MẬT THÔNG TIN VÀ VẬN HÀNH HỆ THỐNG

 

Điều 17. Cấp độ bảo đảm an toàn thông tin của Hệ thống

1. Hệ thống cần lập hồ sơ đề xuất cấp độ và triển khai các biện pháp bảo đảm an toàn thông tin đáp ứng cấp độ 3 theo quy định tại Khoản 2, Điều 9 Nghị định 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ.

2. Trung tâm Thông tin y tế Quốc gia phối hợp thực hiện xây dựng hồ sơ đề xuất cấp độ và phương án bảo đảm an toàn thông tin theo cấp độ cho hệ thống. Có trách nhiệm rà soát hồ sơ cấp độ, phương án bảo đảm an toàn thông tin theo cấp độ và trình lãnh đạo Trung tâm để gửi cơ quan chức năng phê duyệt theo quy định.

Điều 18. An toàn thông tin, an ninh mạng trong quá trình sử dụng

1. Các đơn vị, cá nhân chịu trách nhiệm quản lý, cập nhật, khai thác, sử dụng thông tin trên Hệ thống khi được cấp tài khoản, mật khẩu, quyền hạn và có trách nhiệm bảo mật tài khoản đăng nhập, bảo quản các trang thiết bị và sử dụng đúng quyền hạn được xác lập trên hệ thống. Tên đăng nhập, mật khẩu là căn cứ để xác định trách nhiệm của từng người sử dụng trong việc thực hiện các chức năng của Hệ thống.

2. Người được giao quản trị mạng chịu trách nhiệm quản lý, bảo mật thông tin máy chủ và đảm bảo an toàn, an ninh mạng.

3. Người được giao trách nhiệm quản trị tài khoản phải thay đổi mật khẩu và sử dụng mật khẩu mạnh (mật khẩu tối thiểu 8 ký tự bao gồm: chữ in hoa, chữ thường, số, ký tự đặc biệt khác). Định kỳ tối thiểu 06 tháng người quản trị tài khoản cần thay đổi mật khẩu 01 lần để đảm bảo an toàn.

4. Dữ liệu được cập nhật hàng ngày và cuối mỗi tháng phải được lưu trữ thành 01 (một) bản dự phòng. Bản dự phòng này có thể khôi phục được trong trường hợp hệ thống bị sự cố cần phục hồi dữ liệu. Dữ liệu dự phòng phải đảm bảo được lưu trên thiết bị lưu trữ thống nhất, bảo mật và an toàn.

5. Thường xuyên theo dõi, kiểm tra và có biện pháp đảm bảo an toàn về thông tin và đảm bảo tính tương thích trong toàn hệ thống khi có sự thay đổi về công nghệ, thiết bị.

6. Định kỳ hàng năm thực hiện lập kế hoạch, kiểm tra, đánh giá an toàn thông tin và quản lý rủi ro an toàn thông tin cho Hệ thống do tổ chức chuyên môn được cơ quan có thẩm quyền cấp phép hoặc tổ chức sự nghiệp nhà nước có chức năng, nhiệm vụ phù hợp do chủ quản hệ thống thông tin chỉ định thực hiện theo quy định của pháp luật.

7. Xây dựng kế hoạch khôi phục hoạt động bình thường của hệ thống trong trường hợp xảy ra sự cố hoặc thảm họa.

8. Khóa máy tính và các thiết bị có tính năng tương tự máy tính khi tạm thời rời khỏi vị trí làm việc. Đóng các phiên làm việc của ứng dụng khi hoàn tất, trừ khi đã có cơ chế bảo vệ thích hợp.

9. Không truy cập từ xa vào trực tiếp các máy chủ sử dụng để cài đặt Hệ thống, người sử dụng cần truy cập từ xa thì phải truy cập gián tiếp qua giao thức mạng an toàn, có hỗ trợ mã hóa bảo mật thông tin như VPN.

10. Không tự ý thay đổi cấu hình thiết bị đã được thiết lập, việc thay đổi phải thông báo đến bộ phận chuyên trách.

Điều 19. Yêu cầu an toàn thông tin, an ninh đối với Hệ thống

1. Yêu cầu chung

a) Có bộ phận chuyên trách, có trách nhiệm quản lý, vận hành và bảo đảm an toàn, an ninh mạng cho Hệ thống cơ sở dữ liệu về dược.

b) Định kỳ hàng năm, Hệ thống cơ sở dữ liệu về dược phải được kiểm tra, đánh giá an toàn, an ninh mạng tổng thể. Thực hiện kiểm tra, đánh giá an toàn, an ninh mạng trước khi đưa vào sử dụng phiên bản mới theo quy định.

c) Thực hiện theo phương án bảo đảm an toàn, an ninh mạng cho Hệ thống được ban hành kèm theo quy chế an toàn thông tin sau mỗi lần đánh giá an toàn thông tin.

d) Thực hiện phương án ứng cứu sự cố an toàn, an ninh mạng cho Hệ thống được ban hành kèm theo quy chế an toàn thông tin sau mỗi lần đánh giá an toàn thông tin.

2. Yêu cầu an toàn mạng

a) Không cho phép truy cập trực tiếp từ xa vào máy chủ, thiết bị để quản trị hoặc thay đổi cấu hình hệ thống. Kết nối gián tiếp phải thông qua mạng riêng ảo (VPN) hoặc giao thức có hỗ trợ mã hóa bảo mật tương đương.

b) Có hệ thống quản lý tập trung phần mềm phòng chống mã độc, hệ thống lưu trữ tập trung, hệ thống giám sát tập trung, hệ thống quản lý cập nhật bản vá tập trung, hệ thống quản lý tài khoản tập trung.

c) Có hệ thống phòng, chống tấn công có chủ đích, hệ thống phát hiện xâm nhập, hệ thống tường lửa ứng dụng web.

d) Chỉ cho phép máy tính trong vùng mạng quản trị Hệ thống được kết nối vào thiết bị, máy chủ để quản trị hoặc thay đổi cấu hình.

3. Yêu cầu an toàn máy chủ

a) Hệ thống máy chủ của hệ thống phải được kiểm tra, đánh giá và xử lý điểm yếu an toàn, an ninh mạng trước khi đưa vào vận hành khai thác.

b) Hệ thống máy chủ phải được cấu hình tăng cường bảo mật an toàn, an ninh mạng tối thiểu bao gồm các nội dung sau, trước khi đưa vào sử dụng:

- Thiết lập cơ chế tự động cập nhật.

- Thiết lập chính sách mật khẩu an toàn.

- Thiết lập chính sách ghi nhật ký hệ thống.

- Phân quyền quản trị và quyền truy cập cho tài khoản của hệ điều hành .

- Tắt hoặc gỡ bỏ các dịch vụ không sử dụng .

- Thiết lập chính sách tự động sao lưu, dự phòng.

c) Hệ thống máy chủ phải được cài đặt hệ thống phòng chống mã độc (trên các hệ điều hành hỗ trợ), được thiết lập cấu hình tự động cập nhật.

4. Yêu cầu an toàn ứng dụng

a) Hệ thống phải được kiểm tra, đánh giá và xử lý điểm yếu an toàn, an ninh mạng trước khi đưa vào vận hành khai thác và thực hiện kiểm tra, đánh giá an toàn thông tin độc lập định kỳ theo quy định.

b) Chỉ cho phép các máy tính trong vùng mạng quản trị truy cập, quản lý máy chủ của hệ thống. Trường hợp cần thiết phải truy cập từ xa thì phải truy cập gián tiếp qua kết nối VPN hoặc giao thức có chức năng tương đương.

5. Kết quả kiểm tra đánh giá an toàn thông tin (hàng năm) của Hệ thống được xử lý lỗ hổng bảo mật liên quan (nếu có) và lưu trữ tại Trung tâm Thông tin y tế Quốc gia.

Điều 20. Quy trình ứng phó và xử lý sự cố lộ lọt, rò rỉ dữ liệu cá nhân

1. Khi phát hiện hoặc có căn cứ cho thấy xảy ra sự cố vi phạm quy định về bảo vệ dữ liệu cá nhân (bao gồm các hành vi làm mất, rò rỉ, lộ lọt, truy cập trái phép hoặc thay đổi trái phép dữ liệu cá nhân của bệnh nhân, người mua thuốc, cán bộ y tế... lưu trữ trên Hệ thống), các đơn vị quy định tại Điều 2 Quy chế này phải lập tức kích hoạt quy trình ứng phó khẩn cấp.

2. Quy trình xử lý nội bộ và khắc phục sự cố:

a) Cơ sở kinh doanh dược, Sở Y tế hoặc đơn vị phát hiện sự cố phải lập tức thực hiện các biện pháp kỹ thuật để cô lập vùng dữ liệu bị ảnh hưởng, chặn các kết nối trái phép và hạn chế tối đa hậu quả rò rỉ dữ liệu.

b) Thông báo ngay cho Trung tâm Thông tin y tế Quốc gia trong vòng 02 giờ kể từ khi phát hiện sự cố để phối hợp ứng cứu, điều tra nguyên nhân và vá lỗ hổng bảo mật.

3. Thời hạn và thủ tục báo cáo Cơ quan chức năng:

a) Trung tâm Thông tin y tế Quốc gia chủ trì, phối hợp với Cục Quản lý Dược lập Biên bản kiểm tra sự cố và gửi thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo Mẫu quy định đến Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an).

b) Thời hạn báo cáo: Chậm nhất 72 giờ kể từ thời điểm phát hiện hành vi vi phạm. Trường hợp báo cáo muộn hơn 72 giờ, phải gửi kèm theo lý do chậm trễ.

4. Thời hạn và hình thức thông báo cho Chủ thể dữ liệu bị ảnh hưởng:

a) Đối với các sự cố lộ lọt dữ liệu cá nhân có nguy cơ cao gây tổn hại đến quyền, lợi ích hợp pháp hoặc an toàn của người dân (đặc biệt là dữ liệu sức khỏe, đơn thuốc liên thông từ Hệ thống Đơn thuốc quốc gia), Bộ Y tế (hoặc đơn vị được ủy quyền) phải thực hiện thông báo cho chủ thể dữ liệu.

b) Thời hạn thông báo: Chậm nhất 72 giờ kể từ thời điểm phát hiện sự cố.

c) Hình thức thông báo: Gửi trực tiếp qua tin nhắn SMS, Thư điện tử (Email), thông báo đẩy trên ứng dụng y tế được liên thông, hoặc gửi văn bản trực tiếp đến chủ thể dữ liệu. Trường hợp không thể thông báo cho từng cá nhân do số lượng người bị ảnh hưởng quá lớn, đơn vị phải đăng tải thông báo công khai trên Cổng thông tin điện tử của Hệ thống và các phương tiện thông tin đại chúng liên tục trong ít nhất 30 ngày.

d) Nội dung thông báo phải bao gồm: Mô tả ngắn gọn về sự cố; loại dữ liệu bị ảnh hưởng; các nguy cơ có thể xảy ra đối với chủ thể dữ liệu; các biện pháp hệ thống đã và đang xử lý; số điện thoại hotline hoặc đầu mối để người dân liên hệ hỗ trợ.

5. Đơn vị để xảy ra sự cố lộ lọt dữ liệu do lỗi chủ quan, lơ là trong quản lý tài khoản hoặc không tuân thủ các yêu cầu an toàn tại Quy chế này sẽ bị xem xét xử lý kỷ luật, xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự tùy theo mức độ nghiêm trọng theo quy định của pháp luật.

Điều 21. Đảm bảo hạ tầng

1. Trung tâm Thông tin y tế Quốc gia là đầu mối cung cấp, bảo đảm hạ tầng kỹ thuật và các biện pháp đảm bảo an toàn thông tin theo cấp độ được phê duyệt phục vụ triển khai cho hệ thống.

2. Trung tâm Thông tin y tế Quốc gia thực hiện điều tra, khắc phục sự cố (nếu có) liên quan đến hạ tầng, an toàn thông tin của hệ thống.

3. Hạ tầng kỹ thuật phục vụ triển khai Hệ thống đảm bảo các yêu cầu sau:

a) Hệ thống máy chủ, hạ tầng mạng và cơ sở hạ tầng khác (gọi tắt là cơ sở hạ tầng) phải được triển khai tập trung tại trung tâm dữ liệu đạt tiêu chuẩn của đơn vị vận hành và đặt tại Việt Nam.

b) Cơ sở hạ tầng phải được đảm bảo duy trì hoạt động 24/7, đơn vị quản trị vận hành phải có cán bộ chuyên môn theo dõi thường xuyên để khắc phục sự cố kịp thời.

c) Trường hợp thay đổi cấu hình hạ tầng làm gián đoạn hoạt động của hệ thống, đơn vị quản lý, vận hành phải thông báo và được phép của cơ quan có liên quan. Thời gian đơn vị quản lý vận hành có trách nhiệm thông báo cho cơ quan quản lý 5 ngày trước khi thực hiện thay đổi. Trường hợp sự cố do yếu tố hạ tầng làm gián đoạn hoạt động của hệ thống, đơn vị quản lý, vận hành phải thông báo ngay cho cơ quan có liên quan và tiến hành khắc phục sự cố trong thời gian nhanh nhất.

d) Thiết bị truy cập Hệ thống cán bộ quản trị, vận hành phải được cài đặt hệ thống diệt virus có bản quyền còn thời hạn sử dụng.

Điều 22. Lưu trữ, sao lưu, phục hồi dữ liệu và quản trị Hệ thống

1. Lưu trữ dữ liệu: Đơn vị vận hành có trách nhiệm đảm bảo cơ sở dữ liệu được lưu trữ bằng các thiết bị lưu trữ chuyên dụng và phải được sao lưu định kỳ hàng tháng trên hệ thống. Khi xảy ra sự cố mất dữ liệu, dữ liệu phải được phục hồi từ bản sao lưu gần nhất.

2. Sao lưu dữ liệu dự phòng: Thực hiện sao lưu dữ liệu dự phòng, việc sao lưu dữ liệu được thực hiện tự động định kỳ theo ngày hoặc đột xuất khi cần và được sao lưu dự phòng trên các thiết bị lưu trữ chuyên dụng theo quy định về sao lưu dữ liệu dự phòng.

3. Phục hồi ứng dụng phần mềm và dữ liệu từ bản sao lưu: Cán bộ quản trị mạng sẽ phục hồi ứng dụng phần mềm và dữ liệu khi được yêu cầu hoặc để phục hồi hệ thống nếu xảy ra sự cố làm tê liệt ứng dụng hoặc dữ liệu không thể sử dụng được.

4. Quản trị hệ thống

a) Cán bộ quản trị mạng sẽ thực hiện các hoạt động dưới đây để đảm bảo rằng hệ thống có thể được khôi phục lại một cách tin cậy sau khi thảm họa xảy ra:

- Định kỳ một năm một lần kiểm tra phục hồi đối với các sao lưu ứng dụng, kiểm tra phục hồi đối với toàn bộ máy chủ, bao gồm hệ điều hành.

- Kiểm tra hàng tuần để đảm bảo các sao lưu định kỳ được hoàn tất một cách thành công.

- Theo dõi dung lượng trống và hiệu suất của ổ cứng theo yêu cầu.

- Xử lý sự cố và sửa chữa các phần cứng và phần mềm của máy chủ.

- Tạo và quản trị các tài khoản đăng nhập vào máy chủ.

- Thông báo ngay với người có thẩm quyền khi có những vấn đề xảy ra đối với máy chủ.

b) Thông báo vấn đề (lỗi): Trong trường hợp có vấn đề xảy ra gây ảnh hưởng đến phần mềm, cán bộ quản trị mạng sẽ thông báo cho các nơi đang sử dụng hệ thống biết.

c) Kế hoạch hoạt động và kế hoạch khôi phục: Đơn vị quản trị mạng phải luôn có kế hoạch hoạt động với phạm vi bao gồm cả hệ thống liên quan đến hạ tầng mạng và hạ tầng phần cứng máy chủ, dữ liệu và các tài liệu phục hồi hệ thống của các thành phần đó.

Điều 23. Bảo trì và nâng cấp Hệ thống

1. Hệ thống cơ sở dữ liệu về dược được giám sát, bảo trì thường xuyên để hoạt động liên tục 24/24 giờ trong tất cả các ngày.

2. Cục Quản lý Dược, Trung tâm Thông tin y tế Quốc gia chịu trách nhiệm rà soát, đề xuất nâng cấp và bảo trì hệ thống, đáp ứng yêu cầu quản lý, điều hành, cập nhật, khai thác và sử dụng.

3. Hệ thống cơ sở dữ liệu về dược phải được cập nhật các bản vá lỗi, sửa lỗi theo mốc thời gian cụ thể dựa trên mức độ nghiêm trọng của lỗi phát sinh như sau:

a) Đối với lỗi đặc biệt nghiêm trọng và nghiêm trọng: Là các lỗi gây dừng hệ thống, gián đoạn kết nối liên thông API diện rộng, ảnh hưởng trực tiếp đến an toàn thông tin (lộ lọt dữ liệu, rò rỉ thông tin, xâm nhập hệ thống trái phép), phải hoàn thành việc vá lỗi, khắc phục sự cố hoặc triển khai biện pháp cô lập, khống chế sự cố trong vòng 02 giờ; hoàn thành khắc phục theo phương án ứng cứu được phê duyệt từ khi phát hiện lỗi hoặc nhận được thông báo sự cố.

b) Đối với lỗi mức độ trung bình: Là các lỗi làm suy giảm hiệu năng hệ thống, lỗi chức năng cục bộ thuộc một phân hệ nhưng không làm gián đoạn việc liên thông đồng bộ dữ liệu cốt lõi, phải hoàn thành việc sửa lỗi và cập nhật bản vá trong vòng 24 giờ kể từ khi ghi nhận lỗi.

c) Đối với lỗi thông thường (lỗi mức độ thấp): Là các lỗi về giao diện, hiển thị, sai lệch định dạng báo cáo thống kê không ảnh hưởng đến tính toàn vẹn của dữ liệu, phải hoàn thành xử lý trong vòng 03 ngày làm việc kể từ khi ghi nhận lỗi.

Các bản vá lỗi, sửa lỗi, nâng cấp phải được kiểm thử, xác nhận đáp ứng yêu cầu của các bên liên quan trước khi chính thức đưa vào sử dụng, bản nâng cấp phải có tài liệu hướng dẫn sử dụng kèm theo.

 

CHƯƠNG V

TỔ CHỨC THỰC HIỆN

 

Điều 24. Trách nhiệm của Cục Quản lý Dược

1. Đầu mối chịu trách nhiệm về chuyên môn nghiệp vụ khi triển khai Hệ thống.

2. Đầu mối tạo lập, cung cấp, thu hồi tài khoản để cập nhật dữ liệu lên Hệ thống cho các đối tượng thuộc thẩm quyền quản lý trực tiếp theo quy định tại Điểm b Khoản 3 Điều 10 của Quy chế này.

3. Xây dựng danh mục thuốc dùng chung đang lưu hành trên thị trường, thuốc mới được cấp giấy đăng ký lưu hành và rà soát các loại thuốc đã hết hạn số giấy đăng ký lưu hành hoặc thu hồi giấy đăng ký lưu hành để cập nhật lên hệ thống.

4. Đảm bảo tính bảo mật và toàn vẹn số liệu do đơn vị quản lý.

5. Chỉ đạo, hướng dẫn, kiểm tra, giám sát việc triển khai Hệ thống trên phạm vi toàn quốc.

Điều 25. Trách nhiệm của Trung tâm Thông tin y tế Quốc gia

1. Đầu mối quản trị, vận hành hệ thống, chịu trách nhiệm về kỹ thuật bảo đảm hệ thống hoạt động ổn định, thông suốt, đảm bảo an toàn thông tin, an ninh mạng; phối hợp đơn vị xây dựng phần mềm khắc phục sự cố kỹ thuật khi phát sinh; hướng dẫn người dùng trong quá trình cập nhật, khai thác, sử dụng thông tin trên hệ thống. Chủ trì việc nâng cấp, cập nhật Hệ thống cơ sở dữ liệu về dược khi có sự thay đổi các văn bản quy định thuộc lĩnh vực dược.

2. Đầu mối theo dõi, đôn đốc việc thực hiện Quy chế này, tổng hợp các vướng mắc, phát sinh trong quá trình thực hiện để báo cáo Lãnh đạo Bộ xem xét điều chỉnh, bổ sung phù hợp.

3. Theo dõi, duy trì và đảm bảo việc kết nối, liên thông, chia sẻ dữ liệu giữa Hệ thống cơ sở dữ liệu về dược với Hệ thống đơn thuốc quốc gia, Hệ thống dịch vụ công trực tuyến của Cục Quản lý Dược, Cơ sở dữ liệu quốc gia về Dân cư và các cơ sở dữ liệu, hệ thống thông tin liên quan khác.

4. Đầu mối quản lý tài khoản quản trị hệ thống; tạo lập, cung cấp, thu hồi tài khoản để truy cập vào Hệ thống cho Cục Quản lý Dược, Sở Y tế tỉnh, thành phố theo quy định tại Điểm a Khoản 3 Điều 10 của Quy chế này.

5. Phối hợp với các đơn vị liên quan đảm bảo hạ tầng, an toàn, an ninh mạng, bảo mật thông tin dữ liệu của hệ thống theo các quy định hiện hành.

6. Phối hợp với Cục Quản lý Dược và các đơn vị liên quan hỗ trợ kỹ thuật, tổ chức kiểm tra, giám sát các đơn vị, địa phương trong quá trình triển khai Hệ thống.

7. Định kỳ báo cáo Bộ Y tế tình hình vận hành và khai thác hệ thống.

Điều 26. Trách nhiệm của Sở Y tế

1. Là đầu mối tiếp nhận, triển khai Hệ thống trên địa bàn quản lý; hướng dẫn, kiểm tra, đôn đốc và chỉ đạo các đơn vị liên quan trên địa bàn triển khai thực hiện Hệ thống.

2. Quản lý, cung cấp, thu hồi tài khoản, tài khoản liên thông của Hệ thống cho các đơn vị theo Khoản 3 Điều 10 của Quy chế này.

3. Đảm bảo tính bảo mật, chính xác và toàn vẹn số liệu do đơn vị quản lý.

4. Chỉ đạo các đơn vị cơ sở kinh doanh dược trên địa bàn bảo đảm thực hiện liên thông dữ liệu trực tiếp lên hệ thống đầy đủ kịp thời.

5. Chỉ đạo các cơ sở cung ứng thuốc trên địa bàn thu hồi triệt để khi phát hiện có thuốc hết hạn sử dụng, thuốc bị thu hồi, … trên Hệ thống.

6. Tổ chức kiểm tra, giám sát tiến độ, đánh giá kết quả triển khai áp dụng Hệ thống tại địa bàn, kịp thời báo cáo bằng văn bản về Bộ Y tế (Cục Quản lý Dược; Trung tâm Thông tin y tế Quốc gia) những khó khăn, vướng mắc, vấn đề phát sinh trong quá trình triển khai.

Điều 27. Trách nhiệm của các cơ sở kinh doanh dược

1. Cơ sở kinh doanh dược phải thực hiện liên thông kết nối cập nhật kịp thời, đầy đủ ngay sau khi phát sinh số liệu mua, bán, hủy thuốc... theo quy định sau:

a) Đối với các cơ sở phân phối thuốc, nhà thuốc; quầy thuốc, tủ thuốc trạm y tế xã thuộc khu vực 2, khu vực 3 yêu cầu cập nhật số liệu chậm nhất vào thời điểm 24h00 cùng ngày. Trường hợp phát sinh các yếu tố khách quan như thiên tai, hỏa hoạn, mất kết nối Internet… cơ sở phải cập nhật ngay dữ liệu sau khi khắc phục sự cố.

b) Đối với quầy thuốc, tủ thuốc trạm y tế xã thuộc khu vực 1, vùng núi, hải đảo, tối thiểu cập nhật dữ liệu trước 17h00 ngày thứ sáu hàng tuần. Trường hợp phát sinh các yếu tố khách quan như thiên tai, hỏa hoạn, mất kết nối Internet… cơ sở phải cập nhật ngay dữ liệu sau khi khắc phục sự cố.

2. Ngoài việc phải thực hiện các yêu cầu quy định tại Khoản 1 Điều này, cơ sở kinh doanh dược phải thực hiện các yêu cầu sau đây:

a) Quản lý tài khoản đã được cấp theo đúng quy định của Quy chế này.

b) Chịu trách nhiệm về chất lượng dữ liệu do đơn vị cung cấp.

c) Bảo đảm nhân lực, hạ tầng và điều kiện triển khai kết nối với Hệ thống.

d) Đảm bảo tính bảo mật và toàn vẹn số liệu do đơn vị quản lý.

e) Thường xuyên đăng nhập bằng tài khoản được cấp để kiểm tra dữ liệu liên thông kết nối lên Hệ thống.

Điều 28. Trách nhiệm của cá nhân là cán bộ, công chức, viên chức và các cá nhân liên quan đến quản lý, vận hành hệ thống

1. Sử dụng Hệ thống trong phạm vi được phân quyền truy cập.

2. Tuân thủ các quy định về an toàn bảo mật thông tin, quản lý vận hành và khai thác Hệ thống.

3. Trường hợp phát sinh sự cố, thông báo cho cán bộ kỹ thuật tại cơ quan để được hướng dẫn và hỗ trợ khắc phục tại chỗ.

4. Phối hợp với cán bộ kỹ thuật của cơ quan vận hành trong việc xử lý sự cố và xác nhận kết quả xử lý.

Điều 29. Trách nhiệm của các đơn vị cung cấp dịch vụ, phần mềm

1. Tuân thủ các quy định về quản lý, vận hành được ban hành tại Quy chế này.

2. Đơn vị cung cấp dịch vụ, phần mềm và các cá nhân liên quan có trách nhiệm bảo đảm an toàn thông tin, bảo mật dữ liệu, không tiết lộ thông tin về dữ liệu theo quy định tại Quy chế này.

3. Cung cấp phần mềm đảm bảo chuẩn yêu cầu dữ liệu đầu ra, chuẩn kết nối liên thông của cơ quan quản lý.

4. Kịp thời xử lý sự cố phát sinh khi có thông tin từ người sử dụng (không để gián đoạn quá 12 giờ).

 

CHƯƠNG VI

ĐIỀU KHOẢN THI HÀNH

 

Điều 30. Kinh phí và nguồn lực

Kinh phí cho việc vận hành, nâng cấp, bảo trì và phát triển Hệ thống cơ sở dữ liệu về dược được bố trí từ ngân sách nhà nước và các nguồn huy động hợp pháp khác.

Điều 31. Điều khoản tham chiếu

Trường hợp các văn bản được dẫn chiếu trong Quy chế này được sửa đổi, bổ sung hoặc thay thế thì áp dụng theo văn bản sửa đổi, bổ sung, thay thế đó.

Điều 32. Xử lý vi phạm

1. Định kỳ 12 tháng, Cục Quản lý Dược - Bộ Y tế chủ trì, phối hợp với các đơn vị liên quan tổng hợp tình hình quản lý, sử dụng Hệ thống của các cá nhân/đơn vị liên quan, báo cáo Lãnh đạo Bộ Y tế và gửi cấp có thẩm quyền để phối hợp giải quyết.

2. Cơ quan, tổ chức, cá nhân có hành vi vi phạm các quy định tại Quy chế này, tùy theo tính chất, mức độ vi phạm sẽ bị xử lý kỷ luật, xử lý hành chính hoặc xử lý khác theo quy định của pháp luật.

3. Việc xử phạt vi phạm hành chính đối với các hành vi vi phạm quy định của Quy chế này được áp dụng theo các văn bản quy phạm pháp luật hiện hành.

Điều 33. Trách nhiệm thi hành

1. Cục Quản lý Dược; Trung tâm Thông tin y tế Quốc gia và các đơn vị, cá nhân liên quan có trách nhiệm thực hiện Quy chế này.

2. Trong quá trình tổ chức thực hiện, nếu có khó khăn, vướng mắc, các đơn vị phản ánh về Cục Quản lý Dược và Trung tâm Thông tin y tế Quốc gia để tổng hợp, báo cáo Bộ Y tế xem xét, giải quyết.