Bảo vệ dữ liệu cá nhân ngành bảo hiểm: doanh nghiệp bảo hiểm, đại lý, môi giới và bancassurance
Bảo vệ dữ liệu cá nhân ngành bảo hiểm chịu hai lớp quy định. Lớp thứ nhất là Điều 26 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, quy định riêng cho hoạt động kinh doanh bảo hiểm. Lớp thứ hai là nghĩa vụ bảo mật thông tin khách hàng trong Luật Kinh doanh bảo hiểm số 08/2022/QH15. Hồ sơ thẩm định và bồi thường chứa nhiều dữ liệu sức khỏe và tài chính, là dữ liệu nhạy cảm theo Nghị định 356/2025/NĐ-CP. Vì vậy doanh nghiệp bảo hiểm, đại lý, môi giới và ngân hàng bán bảo hiểm đều cần sự đồng ý của khách hàng, hồ sơ DPIA và kiểm soát chặt việc chia sẻ dữ liệu với đối tác.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 26); Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP (Điều 62); Luật Kinh doanh bảo hiểm số 08/2022/QH15, sửa đổi bởi Luật 139/2025/QH15 (Điều 20, 22, 129, 137); Thông tư 67/2023/TT-BTC, sửa đổi bởi Thông tư 96/2026/TT-BTC (Điều 53); Nghị định 174/2024/NĐ-CP
Nguồn văn bản chính thức
Điểm cốt lõi về bảo vệ dữ liệu cá nhân ngành bảo hiểm
- Điểm a khoản 1 Điều 26 Luật 91/2025/QH15 yêu cầu sự đồng ý của khách hàng trong suốt quá trình thu thập, xử lý dữ liệu cá nhân trong kinh doanh bảo hiểm, trừ các trường hợp tại khoản 1 Điều 19.
- Doanh nghiệp bảo hiểm, đại lý và môi giới đều có nghĩa vụ bảo mật thông tin khách hàng (điểm i khoản 2 Điều 20, điểm i khoản 2 Điều 129, điểm a khoản 2 Điều 137 Luật Kinh doanh bảo hiểm 2022). Thông tin chỉ được cung cấp khi khách hàng đồng ý hoặc cơ quan có thẩm quyền yêu cầu.
- Chuyển dữ liệu khách hàng cho đối tác tái bảo hiểm phải được nêu rõ trong hợp đồng với khách hàng (khoản 4 Điều 26 Luật 91/2025). Vi phạm bị phạt 50–70 triệu đồng với tổ chức (điểm a khoản 1 Điều 62 Nghị định 330/2026/NĐ-CP).
Dữ liệu cá nhân ngành bảo hiểm thường xử lý
| Nhóm dữ liệu | Ví dụ | Phân loại |
|---|---|---|
| Thông tin định danh, liên hệ của bên mua và người được bảo hiểm | Họ tên, ngày sinh, số định danh cá nhân, địa chỉ, số điện thoại, quan hệ với người thụ hưởng | Cơ bản |
| Dữ liệu sức khỏe | Tờ khai sức khỏe, kết quả khám thẩm định, hồ sơ bệnh án và hóa đơn viện phí trong hồ sơ bồi thường | Nhạy cảm |
| Thông tin tài chính và giao dịch bảo hiểm | Thu nhập khai báo, tài khoản ngân hàng nhận quyền lợi, lịch sử đóng phí, giá trị hợp đồng, lịch sử bồi thường | Nhạy cảm |
| Ảnh thẻ căn cước, tài khoản định danh điện tử | Ảnh chụp CCCD khi ký hợp đồng trên ứng dụng, đăng nhập bằng VNeID | Nhạy cảm |
| Bản ghi âm tư vấn | Ghi âm lúc bên mua ký hồ sơ yêu cầu bảo hiểm liên kết đầu tư | Cơ bản |
| Dữ liệu vị trí, hành vi | Dữ liệu định vị trong bảo hiểm xe theo hành vi lái, dữ liệu từ thiết bị đeo trong chương trình sức khỏe | Nhạy cảm |
Phân loại theo danh mục tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Cùng một loại thông tin có thể đổi phân loại tùy ngữ cảnh xử lý.
1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành bảo hiểm?
Bảo vệ dữ liệu cá nhân ngành bảo hiểm áp dụng cho mọi tổ chức, cá nhân tham gia vào vòng đời hợp đồng bảo hiểm, không chỉ doanh nghiệp bảo hiểm:
- Doanh nghiệp bảo hiểm nhân thọ, phi nhân thọ, bảo hiểm sức khỏe: hồ sơ yêu cầu bảo hiểm, kết quả thẩm định, hồ sơ bồi thường.
- Doanh nghiệp tái bảo hiểm: nhận dữ liệu người được bảo hiểm từ doanh nghiệp nhượng tái để đánh giá rủi ro.
- Đại lý bảo hiểm (cá nhân, tổ chức): thu thập thông tin khách hàng khi tư vấn và nộp hồ sơ.
- Ngân hàng bán bảo hiểm (bancassurance): với tư cách đại lý tổ chức, sử dụng dữ liệu khách hàng tiền gửi, tiền vay.
- Doanh nghiệp môi giới bảo hiểm và nhà cung cấp dịch vụ phụ trợ: giám định, quản lý bồi thường (TPA), tư vấn, đánh giá rủi ro.
- Nền tảng insurtech và ứng dụng bán bảo hiểm trực tuyến: tài khoản người dùng, eKYC, dữ liệu hành vi.
Nói cách khác, bảo vệ dữ liệu cá nhân ngành bảo hiểm là trách nhiệm chung của cả chuỗi phân phối, không chỉ của doanh nghiệp phát hành hợp đồng.
Dữ liệu sức khỏe và thông tin về giao dịch bảo hiểm của khách hàng tại doanh nghiệp bảo hiểm đều là dữ liệu cá nhân nhạy cảm (điểm d và điểm k khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP). Vì vậy, ưu đãi lựa chọn không lập hồ sơ DPIA, không chỉ định nhân sự bảo vệ dữ liệu dành cho doanh nghiệp nhỏ, khởi nghiệp gần như không áp dụng cho ngành này, do ưu đãi loại trừ tổ chức trực tiếp xử lý dữ liệu nhạy cảm (khoản 2, 3 Điều 38 Luật 91/2025/QH15).
2. Điều 26 Luật 91/2025: quy tắc riêng cho bảo vệ dữ liệu cá nhân ngành bảo hiểm
Điều 26 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 gộp thông tin sức khỏe và hoạt động kinh doanh bảo hiểm vào cùng một điều. Có bốn quy tắc doanh nghiệp bảo hiểm cần nắm:
- Sự đồng ý trong suốt quá trình thu thập, xử lý dữ liệu, trừ các trường hợp tại khoản 1 Điều 19 (điểm a khoản 1). Sự đồng ý phải theo từng mục đích và không được kèm điều kiện bắt buộc cho mục đích khác (khoản 4 Điều 9). Xem nguyên tắc lấy consent.
- Cơ sở y tế không cung cấp dữ liệu người bệnh cho tổ chức bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ khi người bệnh yêu cầu bằng văn bản hoặc thuộc khoản 1 Điều 19 (khoản 2). Quy định này tác động trực tiếp đến quy trình bồi thường.
- Ứng dụng kinh doanh bảo hiểm phải tuân thủ đầy đủ quy định bảo vệ dữ liệu (khoản 3).
- Chuyển dữ liệu cá nhân cho đối tác tái bảo hiểm phải được nêu rõ trong hợp đồng với khách hàng (khoản 4).
Khi xin sự đồng ý xử lý dữ liệu sức khỏe, doanh nghiệp còn phải thông báo cho khách hàng biết đây là dữ liệu cá nhân nhạy cảm (khoản 4 Điều 6 Nghị định 356/2025/NĐ-CP).
Mức phạt riêng của ngành. Điều 62 Nghị định 330/2026/NĐ-CP xử phạt vi phạm về thông tin sức khỏe và kinh doanh bảo hiểm. Các mức dưới đây áp dụng với tổ chức; cá nhân chịu một nửa:
- 50–70 triệu đồng: chuyển giao dữ liệu khách hàng cho đối tác trong hoạt động kinh doanh bảo hiểm, tái bảo hiểm mà không quy định rõ ràng, minh bạch trong hợp đồng đã giao kết với khách hàng (điểm a khoản 1). Kèm đình chỉ hoạt động xử lý dữ liệu liên quan từ 01 đến 03 tháng.
- 70–100 triệu đồng: cơ sở y tế cung cấp dữ liệu người bệnh cho tổ chức bảo hiểm sức khỏe, nhân thọ mà không có văn bản yêu cầu của người bệnh (khoản 2). Kèm đình chỉ từ 03 đến 06 tháng.
3. Luật Kinh doanh bảo hiểm: nghĩa vụ bảo mật thông tin khách hàng bảo hiểm
Luật Kinh doanh bảo hiểm số 08/2022/QH15 (sửa đổi bởi Luật 139/2025/QH15, có hiệu lực từ 01/01/2026) đã có nghĩa vụ bảo mật thông tin khách hàng bảo hiểm từ trước khi có Luật 91. Theo khoản 2 Điều 5 Luật 91/2025, các quy định này tiếp tục áp dụng song song:
Nghĩa vụ bảo mật thông tin khách hàng bảo hiểm trong Luật Kinh doanh bảo hiểm 2022
| Chủ thể | Nghĩa vụ | Căn cứ |
|---|---|---|
| Doanh nghiệp bảo hiểm | Bảo mật thông tin do bên mua bảo hiểm, người được bảo hiểm cung cấp; chỉ tiết lộ khi cơ quan có thẩm quyền yêu cầu hoặc được khách hàng đồng ý | Điểm i khoản 2 Điều 20 |
| Doanh nghiệp bảo hiểm | Lưu trữ hồ sơ hợp đồng bảo hiểm theo quy định của pháp luật | Điểm h khoản 2 Điều 20 |
| Đại lý bảo hiểm | Giữ bí mật thông tin khách hàng, dùng đúng mục đích, không cung cấp cho bên thứ ba khi chưa có chấp thuận của khách hàng | Điểm i khoản 2 Điều 129 |
| Doanh nghiệp môi giới bảo hiểm | Bảo mật thông tin do khách hàng, doanh nghiệp bảo hiểm cung cấp | Điểm a khoản 2 Điều 137 |
| Bên mua bảo hiểm | Cung cấp đầy đủ, trung thực thông tin liên quan đến đối tượng bảo hiểm | Khoản 1 Điều 22 |
Nghĩa vụ khai báo trung thực của bên mua (Điều 22) là lý do doanh nghiệp được thu thập tờ khai sức khỏe. Tuy nhiên, theo nguyên tắc đúng phạm vi, mục đích tại khoản 2 Điều 3 Luật 91/2025, câu hỏi thẩm định chỉ nên hỏi những gì cần cho việc đánh giá rủi ro của sản phẩm cụ thể. Xem nguyên tắc bảo vệ dữ liệu cá nhân.
Về xử phạt chuyên ngành, Nghị định 174/2024/NĐ-CP phạt 20–40 triệu đồng với cá nhân (40–80 triệu đồng với tổ chức) khi doanh nghiệp môi giới vi phạm nghĩa vụ bảo mật thông tin (điểm c khoản 1 Điều 23), và khi nhà cung cấp dịch vụ phụ trợ không giữ bí mật hoặc sử dụng thông tin khách hàng sai mục đích (điểm a khoản 1 Điều 27).
4. Bancassurance và ghi âm tư vấn: điểm nóng bảo vệ dữ liệu cá nhân ngành bảo hiểm
Thông tư 67/2023/TT-BTC (sửa đổi bởi Thông tư 96/2026/TT-BTC) có ba quy định tại Điều 53 liên quan trực tiếp đến dữ liệu khách hàng khi bán bảo hiểm liên kết đầu tư:
- Ghi âm lúc ký hồ sơ: quá trình bên mua ký hồ sơ yêu cầu bảo hiểm liên kết đầu tư phải được ghi âm (điểm đ khoản 2). Việc ghi âm thông tin riêng tư cần sự đồng ý của bên mua. Bản ghi phải được lưu trữ và bảo mật ít nhất 05 năm kể từ ngày hợp đồng có hiệu lực (điểm c khoản 5).
- Không bán trong 60 ngày quanh ngày giải ngân: ngân hàng không được tư vấn, giới thiệu, chào bán bảo hiểm liên kết đầu tư trong 60 ngày trước và 60 ngày sau ngày giải ngân toàn bộ khoản vay (điểm c khoản 3).
- Không ràng buộc: việc mua bảo hiểm không được là điều kiện để khách hàng sử dụng dịch vụ khác của ngân hàng (điểm a khoản 3).
Thông tư 67/2023 không có quy định riêng về việc ngân hàng chia sẻ dữ liệu khách hàng với doanh nghiệp bảo hiểm. Vì vậy, luồng dữ liệu bancassurance phải tuân thủ trực tiếp Luật 91/2025. Theo phân tích của LexData, có hai tình huống cần tách bạch:
- Ngân hàng làm đại lý, thu thập hồ sơ khi khách hàng chủ động mua bảo hiểm. Ngân hàng xử lý dữ liệu thay doanh nghiệp bảo hiểm, cần hợp đồng xử lý dữ liệu (DPA) giữa hai bên.
- Ngân hàng dùng dữ liệu khách hàng tiền gửi, tiền vay để lọc và mời mua bảo hiểm. Đây là mục đích mới của ngân hàng, cần sự đồng ý riêng của khách hàng. Chuyển danh sách khách hàng cho doanh nghiệp bảo hiểm để họ tự liên hệ là chuyển giao dữ liệu, phải thuộc một trường hợp tại Điều 17. Nếu không, việc này có nguy cơ bị coi là mua bán dữ liệu cá nhân.
5. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành bảo hiểm
Năm rủi ro dưới đây là những tình huống LexData gặp nhiều nhất khi tư vấn bảo vệ dữ liệu cá nhân ngành bảo hiểm.
Đại lý tự quản lý danh sách khách hàng
Đại lý cá nhân thường lưu thông tin khách hàng trong điện thoại, sổ tay, Excel cá nhân và mang theo khi chuyển sang doanh nghiệp khác. Đây là rủi ro lớn nhất về bảo mật thông tin khách hàng bảo hiểm. Doanh nghiệp cần cung cấp công cụ quản lý khách hàng tập trung, quy định trong hợp đồng đại lý về việc xóa dữ liệu khi chấm dứt hợp đồng, và kiểm tra định kỳ.
Hồ sơ bồi thường gửi qua kênh không an toàn
Hồ sơ bồi thường bảo hiểm sức khỏe thường có bệnh án, đơn thuốc, hóa đơn viện phí, và được gửi qua email cá nhân, Zalo giữa khách hàng, đại lý, giám định viên và bên quản lý bồi thường. Doanh nghiệp nên có cổng nộp hồ sơ trực tuyến, phân quyền theo vai trò và ký DPA với mọi đơn vị giám định, TPA.
Thu thập dữ liệu sức khỏe quá mức
Tờ khai sức khỏe dùng chung cho mọi sản phẩm, kể cả bảo hiểm tai nạn ngắn hạn, là trường hợp thu thập vượt phạm vi mục đích. Mỗi sản phẩm nên có bộ câu hỏi thẩm định riêng, phù hợp với rủi ro được bảo hiểm.
Chuyển dữ liệu cho tái bảo hiểm và tập đoàn ở nước ngoài
Hợp đồng tái bảo hiểm tạm thời (facultative) thường kèm hồ sơ y tế của người được bảo hiểm có số tiền bảo hiểm lớn. Luồng này vừa phải được nêu trong hợp đồng với khách hàng (khoản 4 Điều 26), vừa là chuyển dữ liệu ra nước ngoài, cần hồ sơ đánh giá tác động riêng theo Điều 20 Luật 91/2025.
Insurtech dùng dữ liệu vị trí, thiết bị đeo
Bảo hiểm xe tính phí theo hành vi lái và chương trình sức khỏe dùng thiết bị đeo đều thu thập dữ liệu vị trí, dữ liệu sức khỏe liên tục. Khoản 3 Điều 26 yêu cầu ứng dụng kinh doanh bảo hiểm tuân thủ đầy đủ quy định. Riêng dữ liệu vị trí, điểm b khoản 3 Điều 31 yêu cầu thông báo cho người dùng và cung cấp tùy chọn theo dõi vị trí.
6. Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành bảo hiểm
Mỗi dòng trong bảng là một hạng mục cần có trong kế hoạch bảo vệ dữ liệu cá nhân ngành bảo hiểm của doanh nghiệp.
Nghĩa vụ bảo vệ dữ liệu cá nhân ngành bảo hiểm và căn cứ pháp lý
| Nghĩa vụ | Căn cứ | Áp dụng trong ngành |
|---|---|---|
| Đồng ý trong suốt quá trình thu thập, xử lý | Điểm a khoản 1 Điều 26 Luật 91/2025 | Hồ sơ yêu cầu bảo hiểm, ứng dụng bán bảo hiểm |
| Thông báo dữ liệu sức khỏe là dữ liệu nhạy cảm | Khoản 4 Điều 6 NĐ 356/2025 | Tờ khai sức khỏe, hồ sơ bồi thường |
| Nêu rõ việc chuyển dữ liệu cho đối tác tái bảo hiểm | Khoản 4 Điều 26 Luật 91/2025; Điều 62 NĐ 330/2026 | Quy tắc, điều khoản và hợp đồng bảo hiểm |
| Bảo mật thông tin khách hàng | Điều 20, 129, 137 Luật Kinh doanh bảo hiểm 2022 | Doanh nghiệp bảo hiểm, đại lý, môi giới |
| Ghi âm và lưu bản ghi ít nhất 05 năm | Điều 53 Thông tư 67/2023/TT-BTC | Bảo hiểm liên kết đầu tư |
| Lập hồ sơ DPIA, gửi Cục A05 trong 60 ngày | Điều 21, khoản 2 và 3 Điều 38 Luật 91/2025 | Mọi doanh nghiệp xử lý dữ liệu sức khỏe, giao dịch bảo hiểm |
| Chỉ định nhân sự bảo vệ dữ liệu hoặc thuê dịch vụ | Khoản 2 Điều 33 Luật 91/2025 | Doanh nghiệp bảo hiểm, môi giới, insurtech |
| Hồ sơ chuyển dữ liệu xuyên biên giới | Điều 20 Luật 91/2025; Mẫu số 09 NĐ 356/2025 | Tái bảo hiểm nước ngoài, hệ thống của tập đoàn |
| Thông báo vi phạm trong 72 giờ | Điều 23 Luật 91/2025 | Rò rỉ dữ liệu từ hệ thống phát hành, bồi thường |
7. Bảo vệ dữ liệu cá nhân ngành bảo hiểm cho doanh nghiệp FDI
Phần lớn doanh nghiệp bảo hiểm nhân thọ tại Việt Nam có vốn nước ngoài và dùng hệ thống của tập đoàn: quản lý hợp đồng, thẩm định tự động, chống trục lợi, CRM đặt tại trung tâm dữ liệu khu vực. Mỗi hệ thống như vậy là một luồng chuyển dữ liệu cá nhân xuyên biên giới cần hồ sơ đánh giá tác động. Khác với GDPR, Luật 91/2025 không dựa vào cơ chế "quốc gia có mức bảo vệ tương đương". Doanh nghiệp phải lập hồ sơ theo Mẫu số 09 và gửi cơ quan chuyên trách.
Hai điểm doanh nghiệp FDI hay bỏ sót khi áp dụng quy trình của tập đoàn vào bảo vệ dữ liệu cá nhân ngành bảo hiểm tại Việt Nam:
- Điều khoản tái bảo hiểm trong hợp đồng với khách hàng.
- Quy tắc không nhận dữ liệu người bệnh từ cơ sở y tế nếu thiếu văn bản yêu cầu của khách hàng.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Ngành bảo hiểm đã quen với nghĩa vụ bảo mật thông tin khách hàng, nhưng Luật 91/2025/QH15 và Nghị định 330/2026/NĐ-CP đã biến những điều khoản quen thuộc thành rủi ro xử phạt cụ thể. Tôi khuyến nghị doanh nghiệp bảo hiểm rà soát ngay ba điểm: điều khoản tái bảo hiểm trong hợp đồng mẫu, mẫu văn bản yêu cầu cung cấp thông tin y tế trong hồ sơ bồi thường, và cách đại lý đang lưu giữ danh sách khách hàng."
Checklist bảo vệ dữ liệu cá nhân ngành bảo hiểm
- Lập bản đồ dữ liệu cho toàn bộ vòng đời hợp đồng: chào bán, thẩm định, phát hành, thu phí, bồi thường, tái bảo hiểm, chăm sóc khách hàng.
- Rà soát hồ sơ yêu cầu bảo hiểm và quy tắc, điều khoản: có nội dung đồng ý xử lý dữ liệu cho từng mục đích, thông báo rõ dữ liệu sức khỏe là dữ liệu nhạy cảm, và nêu rõ việc chuyển dữ liệu cho đối tác tái bảo hiểm.
- Tách riêng sự đồng ý nhận thông tin quảng cáo, giới thiệu sản phẩm khác khỏi sự đồng ý cần thiết để phát hành hợp đồng.
- Ký hợp đồng xử lý dữ liệu (DPA) với đại lý tổ chức, ngân hàng bán bảo hiểm, đơn vị giám định, bên quản lý bồi thường (TPA), tổng đài và nhà cung cấp cloud.
- Quy định cho đại lý cá nhân: không lưu hồ sơ khách hàng trên điện thoại riêng, không gửi hồ sơ bồi thường qua nhóm chat, xóa dữ liệu khi chấm dứt hợp đồng đại lý.
- Lưu trữ và bảo mật bản ghi âm tư vấn bảo hiểm liên kết đầu tư ít nhất 05 năm, chỉ dùng đúng mục đích Thông tư 67/2023/TT-BTC cho phép.
- Lập hồ sơ DPIA gửi Cục A05 trong 60 ngày, và hồ sơ chuyển dữ liệu xuyên biên giới nếu dữ liệu được gửi cho công ty mẹ, đối tác tái bảo hiểm hoặc máy chủ ở nước ngoài.
- Xây dựng quy trình ứng phó sự cố và thông báo Cục A05 trong 72 giờ khi rò rỉ dữ liệu thuộc diện phải thông báo.
- Đào tạo đại lý, nhân viên bồi thường và đối tác bancassurance về bảo vệ dữ liệu cá nhân ngành bảo hiểm, nhất là việc chia sẻ hồ sơ khách hàng qua ứng dụng nhắn tin.
Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân ngành bảo hiểm
Doanh nghiệp bảo hiểm có được yêu cầu bệnh viện cung cấp hồ sơ bệnh án để giải quyết bồi thường không?
Chỉ khi có văn bản yêu cầu của khách hàng hoặc thuộc một trường hợp tại khoản 1 Điều 19 Luật 91/2025/QH15. Khoản 2 Điều 26 cấm cơ sở y tế cung cấp dữ liệu cá nhân cho tổ chức bảo hiểm sức khỏe, bảo hiểm nhân thọ nếu không có yêu cầu bằng văn bản của chủ thể dữ liệu. Cơ sở y tế vi phạm bị phạt 70–100 triệu đồng (khoản 2 Điều 62 Nghị định 330/2026/NĐ-CP). Vì vậy hồ sơ bồi thường nên có mẫu văn bản yêu cầu cung cấp thông tin y tế do khách hàng ký.
Ngân hàng có được dùng danh sách khách hàng vay để tư vấn bảo hiểm không?
Có rủi ro cao. Dữ liệu khách hàng vay được thu thập cho mục đích cấp tín dụng. Dùng dữ liệu đó để giới thiệu bảo hiểm là mục đích mới, cần sự đồng ý riêng theo Điều 9 Luật 91/2025/QH15. Ngoài ra, điểm c khoản 3 Điều 53 Thông tư 67/2023/TT-BTC cấm ngân hàng tư vấn, chào bán bảo hiểm liên kết đầu tư trong 60 ngày trước và sau ngày giải ngân toàn bộ khoản vay. Điểm a khoản 3 cũng cấm biến việc mua bảo hiểm thành điều kiện để dùng dịch vụ khác của ngân hàng.
Đại lý bảo hiểm cá nhân có phải là bên xử lý dữ liệu không?
Trong hầu hết trường hợp, đại lý thu thập dữ liệu thay mặt doanh nghiệp bảo hiểm để giao kết hợp đồng, nên đóng vai trò gần với bên xử lý dữ liệu. Điểm i khoản 2 Điều 129 Luật Kinh doanh bảo hiểm 2022 yêu cầu đại lý giữ bí mật thông tin khách hàng, dùng đúng mục đích và không cung cấp cho bên thứ ba khi chưa có chấp thuận của khách hàng. Nếu đại lý tự dùng danh sách khách hàng để bán sản phẩm của doanh nghiệp khác, đại lý đang tự quyết định mục đích mới và có nguy cơ vi phạm.
Doanh nghiệp bảo hiểm nhỏ có được miễn lập DPIA không?
Thường là không. Khoản 2 và khoản 3 Điều 38 Luật 91/2025/QH15 chỉ cho doanh nghiệp nhỏ, khởi nghiệp, siêu nhỏ lựa chọn không lập DPIA, không chỉ định nhân sự bảo vệ dữ liệu khi không trực tiếp xử lý dữ liệu nhạy cảm. Dữ liệu sức khỏe và thông tin giao dịch bảo hiểm của khách hàng đều là dữ liệu nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP, nên các doanh nghiệp này gần như luôn phải thực hiện.
Có phải ghi hình quá trình tư vấn bảo hiểm liên kết đầu tư không?
Thông tư 67/2023/TT-BTC yêu cầu ghi âm, không bắt buộc ghi hình. Ghi âm được thực hiện tại thời điểm bên mua ký hồ sơ yêu cầu bảo hiểm liên kết đầu tư (điểm đ khoản 2 Điều 53). Doanh nghiệp bảo hiểm phải lưu trữ và bảo mật bản ghi ít nhất 05 năm kể từ ngày hợp đồng có hiệu lực (điểm c khoản 5 Điều 53). Bản ghi có giọng nói và thông tin của khách hàng, nên cần được đưa vào hồ sơ DPIA và phân quyền truy cập.
Gửi dữ liệu khách hàng cho công ty tái bảo hiểm ở nước ngoài cần làm gì?
Cần ba việc. Thứ nhất, nêu rõ việc chuyển dữ liệu cho đối tác tái bảo hiểm trong hợp đồng với khách hàng (khoản 4 Điều 26 Luật 91/2025/QH15). Thứ hai, lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 và gửi Cục A05 trong 60 ngày kể từ lần chuyển đầu tiên. Thứ ba, chỉ gửi dữ liệu cần thiết cho việc đánh giá rủi ro tái bảo hiểm; khi có thể, dùng dữ liệu đã khử nhận dạng hoặc dữ liệu tổng hợp.
Luật sư Hồ Thị Hà Nhi
Luật sư Sáng lập LexData Consulting · Đoàn Luật sư TP.HCM
Nội dung trang được rà soát theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, các nghị định hướng dẫn và văn bản pháp luật chuyên ngành được trích dẫn.
