Theo Luật Bảo vệ dữ liệu cá nhân 2025, công ty bảo hiểm được dùng dữ liệu sức khỏe thế nào?

Có một quy định rất cụ thể cho nghiệp vụ tái bảo hiểm: việc chuyển dữ liệu cho đối tác phải được nêu rõ trong hợp đồng với khách hàng.

Kinh doanh bảo hiểm gắn liền với việc đánh giá rủi ro, mà đánh giá rủi ro lại dựa nhiều vào thông tin sức khỏe. Điều 26 Luật 91/2025/QH15 gộp hai chủ đề này vào một điều, và có một khoản dành riêng cho tái bảo hiểm.

Cơ sở pháp lý để xử lý

Điểm a khoản 1 Điều 26 yêu cầu phải có sự đồng ý của chủ thể dữ liệu cá nhân trong quá trình thu thập, xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 1 Điều 19 của Luật. Điểm b yêu cầu áp dụng đầy đủ quy định về bảo vệ dữ liệu cá nhân và quy định khác của pháp luật có liên quan.

Với doanh nghiệp bảo hiểm, thông tin sức khỏe của khách hàng thuộc danh mục dữ liệu nhạy cảm tại Điều 4 Nghị định 356/2025/NĐ-CP. Điều 6 của cùng Nghị định yêu cầu khi xin đồng ý xử lý dữ liệu nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

Quy định riêng cho tái bảo hiểm

Khoản 4 Điều 26 quy định: trường hợp doanh nghiệp kinh doanh tái bảo hiểm, nhượng tái bảo hiểm và có chuyển dữ liệu cá nhân cho đối tác cần được nêu rõ trong hợp đồng với khách hàng.

Đây là quy định ngắn nhưng có tác động trực tiếp tới mẫu hợp đồng bảo hiểm. Việc chuyển dữ liệu cho nhà tái bảo hiểm không thể chỉ nằm trong quy trình nội bộ hay trong một chính sách chung — phải xuất hiện trong chính hợp đồng ký với khách hàng.

Liên hệ với chuyển dữ liệu xuyên biên giới

Nhiều hợp đồng tái bảo hiểm có đối tác ở nước ngoài. Khi đó, ngoài nghĩa vụ nêu rõ trong hợp đồng theo khoản 4 Điều 26, còn phát sinh nghĩa vụ theo Điều 20 Luật 91/2025/QH15 về chuyển dữ liệu cá nhân xuyên biên giới, gồm việc lập hồ sơ đánh giá tác động và gửi bản chính cho cơ quan chuyên trách trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu.

Chiều ngược lại: nhận dữ liệu từ cơ sở y tế

Khoản 2 Điều 26 quy định cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không cung cấp dữ liệu cá nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe hoặc dịch vụ bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ trường hợp có yêu cầu bằng văn bản của chủ thể dữ liệu hoặc trường hợp quy định tại khoản 1 Điều 19.

Với doanh nghiệp bảo hiểm, hệ quả rất cụ thể: quy trình thu thập hồ sơ y tế phục vụ thẩm định hoặc giải quyết quyền lợi cần dựa trên yêu cầu bằng văn bản của chính khách hàng, thay vì trên thỏa thuận giữa doanh nghiệp bảo hiểm và cơ sở y tế.

Ứng dụng kinh doanh bảo hiểm

Khoản 3 Điều 26 nêu tổ chức, cá nhân phát triển ứng dụng về y tế, ứng dụng về kinh doanh bảo hiểm phải tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân. Các ứng dụng khai báo sức khỏe, chụp ảnh giấy tờ để yêu cầu bồi thường, theo dõi vận động để tính phí — đều thuộc phạm vi này.

Danh sách rà soát cho doanh nghiệp bảo hiểm

• Mẫu hợp đồng bảo hiểm đã nêu rõ việc chuyển dữ liệu cho đối tác tái bảo hiểm chưa;
• Nội dung xin đồng ý đã có thông báo đây là dữ liệu nhạy cảm chưa;
• Quy trình lấy hồ sơ y tế có dựa trên yêu cầu bằng văn bản của khách hàng không;
• Nếu đối tác tái bảo hiểm ở nước ngoài, đã lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới chưa;
• Ứng dụng dành cho khách hàng có phân quyền truy cập dữ liệu nhạy cảm chưa.

Đọc thêm cùng chủ đề

• Phòng khám lưu hồ sơ bệnh nhân phải theo quy định gì?
• Yêu cầu ảnh căn cước để xác thực bị xử lý sao?
• Dữ liệu cá nhân nhạy cảm gồm những loại nào?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 26
• Nghị định 356/2025/NĐ-CP Điều 4

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.