Công ty bảo hiểm phải bảo vệ dữ liệu cá nhân của khách hàng như thế nào?

Công ty bảo hiểm phải bảo vệ dữ liệu cá nhân của khách hàng như thế nào?

Quy định về bảo vệ dữ liệu cá nhân trong lĩnh vực sức khỏe và hoạt động kinh doanh bảo hiểm được nêu tại Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 (hiệu lực từ 01/01/2026).

Theo đó, việc bảo vệ dữ liệu cá nhân trong hoạt động kinh doanh bảo hiểm được quy định như sau:

- Phải có sự đồng ý của chủ thể dữ liệu cá nhân trong quá trình thu thập, xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 1 Điều 19 của Luật Bảo vệ dữ liệu cá nhân.

- Áp dụng đầy đủ quy định về bảo vệ dữ liệu cá nhân, quy định khác của pháp luật có liên quan.

Đối với cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không cung cấp dữ liệu cá nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe hoặc dịch vụ bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ trường hợp:

- Có yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân

- Hoặc trường hợp quy định tại khoản 1 Điều 19 của Luật Bảo vệ dữ liệu cá nhân.

Bên cạnh đó, tổ chức, cá nhân phát triển ứng dụng về y tế, ứng dụng về kinh doanh bảo hiểm phải tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân.

Trường hợp doanh nghiệp kinh doanh tái bảo hiểm, nhượng tái bảo hiểm và có chuyển dữ liệu cá nhân cho đối tác cần được nêu rõ trong hợp đồng với khách hàng.

Như vậy, căn cứ theo quy định trên có thể thấy doanh nghiệp bảo hiểm chỉ được tiếp cận dữ liệu sức khỏe khi có sự đồng ý rõ ràng từ khách hàng.

Cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không được cung cấp dữ liệu cá nhân cho bên thứ ba... trừ khi có yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân hoặc thuộc trường hợp pháp luật cho phép.

Mua bán dữ liệu cá nhân bị phạt thế nào?

Theo nội dung trên có thể thấy, cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không được cung cấp dữ liệu cá nhân cho bên thứ ba (bảo hiểm) trừ khi có yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân hoặc thuộc trường hợp pháp luật cho phép. Nếu vi phạm sẽ bị xử phạt theo quy định.

Cụ thể, khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân việc mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác, là hành vi bị nghiêm cấm.

Khoản 3 Điều 8 quy định rõ mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm

Trường hợp không xác định được khoản thu, hoặc khoản thu thấp hơn mức phạt cố định (theo khoản 5 Điều 8), thì áp dụng mức phạt cố định là:

- Tối đa 3 tỷ đồng với tổ chức;

- Tối đa 1,5 tỷ đồng với cá nhân.

Ngoài phạt tiền, theo khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân, mua bán dữ liệu cá nhân còn có thể bị:

• Truy cứu trách nhiệm hình sự nếu hành vi vi phạm gây hậu quả nghiêm trọng;
• Buộc bồi thường thiệt hại cho chủ thể dữ liệu bị ảnh hưởng;
• Xử phạt bổ sung hoặc khắc phục hậu quả, tùy theo tính chất và mức độ vi phạm.

Bên cạnh đó, theo khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức vi phạm các quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị xử phạt vi phạm hành chính với mức phạt tối đa là 5% doanh thu của năm trước liền kề của tổ chức đó.

Trên đây là thông tin về việc Công ty bảo hiểm phải bảo vệ dữ liệu cá nhân của khách hàng như thế nào?