Theo Luật Chuyển đổi số 2025, doanh nghiệp môi giới bảo hiểm xử lý dữ liệu khách hàng thế nào?

Môi giới bảo hiểm thu thập thông tin sức khỏe và tài chính để so sánh sản phẩm giữa nhiều công ty. Bài viết chỉ ra ranh giới xử lý dữ liệu.

Doanh nghiệp môi giới bảo hiểm đứng giữa khách hàng và các công ty bảo hiểm. Để tư vấn được, họ cần thông tin sức khỏe, tài chính, nghề nghiệp, tình trạng gia đình của khách. Để chào giá, họ gửi thông tin đó cho nhiều công ty bảo hiểm cùng lúc.

Lưu ý trước: hoạt động môi giới bảo hiểm chịu điều chỉnh của pháp luật chuyên ngành về kinh doanh bảo hiểm, gồm điều kiện hành nghề và nghĩa vụ với khách hàng. Bài viết bàn về khía cạnh dữ liệu.

Dữ liệu thu thập và mức nhạy cảm

Hồ sơ yêu cầu bảo hiểm thường chứa: tình trạng sức khỏe hiện tại và tiền sử bệnh; thói quen sinh hoạt như hút thuốc, uống rượu; thu nhập và tài sản; nghề nghiệp và mức độ rủi ro; thông tin về gia đình và người thụ hưởng.

Nhóm dữ liệu sức khỏe là nhạy cảm nhất, và nó cũng là nhóm mà khách hàng buộc phải khai trung thực vì nghĩa vụ pháp lý.

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Chín nguyên tắc khi thu thập và tư vấn

• Giải thích rõ vì sao cần từng nhóm thông tin;
• Chỉ thu thập ở mức cần cho việc thẩm định của công ty bảo hiểm;
• Nói rõ sẽ gửi cho những công ty bảo hiểm nào, và xin đồng ý cho từng bên;
• Không gửi hồ sơ cho công ty khách chưa đồng ý để "thử xem có báo giá tốt hơn";
• Không lưu trên máy cá nhân của tư vấn viên;
• Không gửi qua ứng dụng nhắn tin thông thường;
• Không trao đổi về bệnh của khách ở nơi người khác nghe được;
• Mã hóa dữ liệu lưu trữ;
• Xóa hồ sơ không thành công sau thời hạn hợp lý.

Điểm thứ ba và thứ tư là ranh giới thực chất: khách đồng ý mua bảo hiểm không đồng nghĩa với việc đồng ý cho hồ sơ sức khỏe của mình đi tới mười công ty.

Điểm thứ chín quan trọng và hay bị bỏ qua: hồ sơ của khách bị từ chối bảo hiểm chứa thông tin sức khỏe bất lợi, và nó không nên nằm mãi trong hệ thống của môi giới.

Không mua bán dữ liệu

Khoản 3 Điều 5 Luật 148/2025/QH15 nghiêm cấm thu thập, sử dụng, chia sẻ, mua, bán, khai thác dữ liệu số trái quy định của pháp luật.

Sáu tình huống rủi ro:

Bán danh sách khách cho môi giới khác, cho đơn vị tài chính.

Mua danh sách khách tiềm năng từ nguồn không rõ — đây là chiều ngược lại và cũng là vi phạm.

Chia sẻ dữ liệu sức khỏe cho phòng khám, đơn vị bán thực phẩm chức năng.

Tư vấn viên mang danh sách khách khi chuyển sang đơn vị khác.

Gọi lại khách cũ đã từ chối, nhiều lần.

Dùng dữ liệu của khách để tiếp cận người thân của họ.

Tình huống thứ hai đáng nhấn mạnh vì phổ biến trong ngành: mua danh sách "khách quan tâm bảo hiểm" từ nguồn không xác định được là tham gia vào chuỗi vi phạm.

Tình huống thứ sáu cũng cần lưu ý: thông tin về vợ chồng, con cái mà khách khai để mua bảo hiểm không phải là danh sách khách hàng tiềm năng.

Minh bạch về hoa hồng và xung đột lợi ích

Đây là vấn đề đặc thù của môi giới. Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Năm nguyên tắc:

• Công bố mối quan hệ với các công ty bảo hiểm;
• So sánh sản phẩm khách quan, không chỉ giới thiệu sản phẩm có hoa hồng cao;
• Công cụ so sánh trực tuyến phải nêu rõ tiêu chí xếp hạng;
• Không giấu điều khoản loại trừ quan trọng;
• Lưu chứng cứ nội dung đã tư vấn.

Điểm thứ ba là vấn đề của các nền tảng so sánh bảo hiểm: nếu thứ tự hiển thị phụ thuộc vào mức chi trả của công ty bảo hiểm, người dùng cần biết điều đó.

Điểm thứ năm bảo vệ cả hai phía: khi có tranh chấp về việc "tư vấn viên đã nói gì", bản ghi nội dung tư vấn là căn cứ khách quan.

An ninh hệ thống

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Bảy biện pháp:

• Tài khoản riêng cho từng tư vấn viên;
• Xác thực nhiều lớp;
• Phân quyền — tư vấn viên chỉ xem khách mình phụ trách;
• Ghi nhật ký truy cập hồ sơ;
• Cảnh báo tra cứu, tải hàng loạt;
• Kiểm soát chức năng xuất tệp;
• Thu hồi quyền ngay khi nhân sự nghỉ.

Ngành này có tỷ lệ luân chuyển nhân sự rất cao, nên điểm thứ năm và thứ bảy đặc biệt quan trọng: phần lớn vụ mang dữ liệu khách hàng đi xảy ra ngay trước khi nghỉ việc.

Quyền của khách hàng

Sáu quyền cần bảo đảm: biết dữ liệu nào được thu thập và gửi cho ai; rút lại sự đồng ý chia sẻ với một công ty bảo hiểm cụ thể; yêu cầu xóa dữ liệu khi không tiếp tục; nhận bản sao hồ sơ đã nộp; từ chối nhận tiếp thị; và khiếu nại về nội dung tư vấn.

Hồ sơ bồi thường

Khi khách yêu cầu bồi thường, môi giới thường hỗ trợ chuẩn bị hồ sơ — trong đó có bệnh án, kết quả điều trị, chứng từ viện phí. Đây là nhóm dữ liệu nhạy cảm nhất. Bảy nguyên tắc:

• Chỉ thu thập tài liệu công ty bảo hiểm yêu cầu, không thu thập dự phòng;
• Chuyển thẳng cho công ty bảo hiểm, hạn chế lưu bản sao;
• Nếu phải lưu, mã hóa và đặt thời hạn xóa;
• Không sao chụp bằng điện thoại cá nhân;
• Không thảo luận nội dung bệnh án ngoài phạm vi xử lý hồ sơ;
• Phân quyền hẹp — chỉ người xử lý hồ sơ đó truy cập;
• Xóa sau khi hoàn tất và hết thời hạn khiếu nại.

Điểm thứ tư là vi phạm phổ biến trong khâu này: tư vấn viên chụp bệnh án bằng điện thoại rồi gửi qua ứng dụng nhắn tin cho bộ phận nghiệp vụ, và ảnh nằm lại trên thiết bị cá nhân vô thời hạn.

Khách hàng doanh nghiệp

Với bảo hiểm nhóm cho người lao động, môi giới nhận danh sách nhân sự và thông tin sức khỏe của cả tập thể. Năm nguyên tắc:

• Người lao động là chủ thể dữ liệu, không phải doanh nghiệp — dù doanh nghiệp là bên ký hợp đồng;
• Thông báo cho người lao động về việc dữ liệu của họ được xử lý;
• Không cung cấp thông tin sức khỏe cá nhân ngược lại cho phòng nhân sự;
• Báo cáo cho doanh nghiệp ở mức tổng hợp, không định danh;
• Xóa dữ liệu người đã nghỉ việc theo thời hạn.

Điểm thứ ba là ranh giới quan trọng nhất và hay bị vi phạm: doanh nghiệp trả phí bảo hiểm không có nghĩa là doanh nghiệp được biết nhân viên nào mắc bệnh gì. Việc tiết lộ ngược này có thể dẫn tới phân biệt đối xử trong công việc.

Danh sách kiểm tra

• Có xin đồng ý riêng cho từng công ty bảo hiểm nhận hồ sơ không?
• Có gửi hồ sơ cho công ty khách chưa đồng ý không?
• Tư vấn viên có lưu hồ sơ trên máy cá nhân không?
• Hồ sơ không thành công có bị xóa không?
• Có mua danh sách khách từ nguồn không rõ không?
• Công cụ so sánh có nêu rõ tiêu chí xếp hạng không?
• Có cảnh báo tải hàng loạt dữ liệu khách không?

Đọc thêm cùng chủ đề

• Phòng khám thú y số hóa hồ sơ bệnh án vật nuôi cần lưu ý gì?
• Đại lý bảo hiểm dùng công cụ tự động tư vấn cần lưu ý gì?
• Phòng khám y học cổ truyền số hóa hồ sơ bệnh nhân cần lưu ý gì?

Căn cứ pháp lý

• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 5
• Luật 148/2025/QH15 Điều 41
• Luật 116/2025/QH15 Điều 26

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.