Feedback 03: Who viewed my record

Challenge: ../challenges/03-who-viewed-my-record.md · Người hỏi: Phuong Cao (Data Protection Officer)

1. Intention: khách thực sự muốn biết gì?

DPO cần nhật ký truy cập chi tiết.

2. Điều nên tránh

• Nói chỉ ghi log hệ thống.
• Không có báo cáo cho bệnh nhân.
• Bỏ qua chống sửa log.

3. Cách trả lời

CCA (Control – Compliance – Audit)

Khung nói ngắn gọn:

1. Biện pháp kiểm soát
2. Tuân thủ: xác nhận cùng pháp chế/khách, không đoán
3. Bằng chứng kiểm toán (log, báo cáo)
4. Hỏi đầu mối hoặc chính sách hiện có

4. Câu trả lời mẫu (ngắn gọn)

Yes. Every view of patient data, by staff or system, is logged with who, when and why, in records that can't be changed. Your team can produce a report for any patient. We can also alert you to unusual access, like staff viewing records outside their department. Would that alerting be useful?

Khoảng 52 từ, nói trong khoảng 25 giây.

Cách giữ ngắn gọn mà vẫn đạt mục tiêu: mở bằng kết luận, mỗi ý một câu, không giải thích kỹ thuật trừ khi được hỏi, và dừng lại bằng câu hỏi để khách dẫn tiếp.

5. Vì sao câu trả lời này hiệu quả

Đáp ứng yêu cầu và vượt mong đợi bằng cảnh báo truy cập bất thường.