Quy định về bảo vệ dữ liệu sức khỏe các nhân trong kinh doanh bảo hiểm

Trong kỷ nguyên số hóa hiện nay, dữ liệu cá nhân đã trở thành "hạt nhân" vận hành của nền kinh tế, và trong lĩnh vực kinh doanh bảo hiểm, dữ liệu sức khỏe chính là tài sản chiến lược quyết định sự tồn tại của doanh nghiệp. Về mặt pháp lý, dữ liệu sức khỏe không chỉ đơn thuần là thông tin kỹ thuật mà thuộc nhóm dữ liệu cá nhân nhạy cảm, gắn liền với quyền riêng tư và nhân phẩm của con người.

Tuy nhiên, mối quan hệ giữa doanh nghiệp bảo hiểm và khách hàng vốn dĩ tồn tại một sự bất cân xứng thông tin đáng kể. Để đánh giá rủi ro và xác định mức phí bảo hiểm, các doanh nghiệp buộc phải khai thác sâu vào bệnh sử, chỉ số sinh học và hồ sơ y tế của khách hàng. Quá trình này tạo ra một điểm giao thoa đầy xung đột: một bên là nhu cầu tối ưu hóa hoạt động kinh doanh và kiểm soát rủi ro trục lợi bảo hiểm; một bên là nghĩa vụ bảo mật nghiêm ngặt nhằm bảo vệ quyền tự quyết thông tin của bên mua bảo hiểm.

Hệ thống quy định pháp luật hiện hành về bảo vệ dữ liệu sức khỏe cá nhân—từ các nguyên tắc của Luật bảo vệ dữ liệu cá nhân 2025. Qua đó, chúng ta sẽ làm rõ trách nhiệm của các thực thể kinh doanh trong việc thiết lập ranh giới giữa khai thác dữ liệu và xâm phạm quyền riêng tư, đồng thời đánh giá tính tương thích của pháp luật Việt Nam trước các tiêu chuẩn quốc tế khắt khe.

1. Tầm quan trọng của việc bảo vệ dữ liệu sức khỏe trong lĩnh vực bảo hiểm

Trong hệ sinh thái tài chính hiện đại, bảo hiểm là ngành có mối liên hệ mật thiết và sâu sắc nhất với dữ liệu sức khỏe của con người. Dữ liệu sức khỏe, bao gồm tình trạng y tế, hồ sơ bệnh án, các đặc điểm di truyền và chỉ số sinh trắc học, được pháp luật Việt Nam phân loại là dữ liệu cá nhân nhạy cảm vì khi bị xâm phạm, nó gây ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của cá nhân một cách nghiêm trọng. Tầm quan trọng của việc bảo vệ loại dữ liệu này trong ngành bảo hiểm không chỉ dừng lại ở việc tuân thủ pháp luật mà còn là vấn đề sống còn đối với sự tin tưởng của thị trường và tính bền vững của doanh nghiệp.

Dữ liệu sức khỏe là "nguyên liệu" để các thuật toán Big Data và trí tuệ nhân tạo (AI) thực hiện phân tích dự báo, giúp các công ty bảo hiểm chuyển đổi từ vai trò bảo vệ rủi ro thuần túy sang dự đoán và ngăn ngừa rủi ro. Tuy nhiên, việc khai thác dữ liệu này nếu không có cơ chế bảo vệ nghiêm ngặt sẽ dẫn đến những nguy cơ tiềm tàng về phân biệt đối xử trong cung cấp dịch vụ y tế, tăng phí bảo hiểm bất hợp lý dựa trên các thông tin bệnh lý bị rò rỉ, hoặc thậm chí là các hành vi tống tiền và xâm phạm danh dự cá nhân. Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 trong các văn bản pháp lý mới được thiết lập nhằm tạo ra một rào cản ngăn chặn sự khai thác dữ liệu quá mức, buộc các doanh nghiệp bảo hiểm phải cân bằng giữa mục tiêu kinh doanh và trách nhiệm bảo vệ quyền riêng tư.

Sự nhạy cảm của dữ liệu sức khỏe còn nằm ở giá trị lâu dài của nó. Khác với các thông tin như số điện thoại hay địa chỉ liên hệ có thể thay đổi, các thông tin về di truyền hay tiền sử bệnh lý là bất biến và gắn liền với một cá nhân suốt đời. Do đó, bất kỳ sự rò rỉ nào cũng để lại hậu quả không thể đảo ngược. Việc bảo vệ dữ liệu sức khỏe theo Điều 26 giúp duy trì một môi trường bảo hiểm công bằng, nơi khách hàng cảm thấy an toàn khi chia sẻ thông tin cần thiết để nhận được quyền lợi bảo vệ xứng đáng, thay vì lo sợ bị lộ bí mật đời tư.

2. Điều kiện để doanh nghiệp bảo hiểm thu thập và xử lý dữ liệu sức khỏe khách hàng

Khoản 1 Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 quy định rõ ràng rằng quá trình thu thập và xử lý dữ liệu sức khỏe phải tuân thủ hai điều kiện then chốt: sự đồng ý của chủ thể dữ liệu và các trường hợp ngoại lệ theo luật định. Điều này xác lập quyền tự quyết của cá nhân đối với thông tin sức khỏe của chính mình trong mọi giao dịch bảo hiểm.

2.1. Sự đồng ý tường minh của chủ thể dữ liệu

Trong xử lý dữ liệu nhạy cảm, "sự đồng ý" không thể là một khái niệm mơ hồ. Pháp luật yêu cầu sự đồng ý phải mang tính "tường minh" (Explicit Consent), nghĩa là chủ thể dữ liệu phải được thông báo đầy đủ về mục đích xử lý, loại dữ liệu được thu thập, các bên liên quan sẽ tiếp cận và thời gian lưu trữ trước khi họ thực hiện hành vi đồng ý. Sự im lặng hoặc không phản hồi từ phía khách hàng tuyệt đối không được coi là sự đồng ý.

Các phương thức thể hiện sự đồng ý phải được định dạng theo cách có thể kiểm chứng được, bao gồm văn bản giấy, thông điệp dữ liệu có chữ ký điện tử, việc đánh dấu vào ô đồng ý trên ứng dụng di động, hoặc xác nhận qua giọng nói trong các cuộc gọi được ghi âm. Đặc biệt, chủ thể dữ liệu có 11 quyền tối cao, bao gồm quyền rút lại sự đồng ý, quyền yêu cầu xóa dữ liệu, và quyền yêu cầu cung cấp thông tin về hoạt động xử lý dữ liệu của mình. Khi chủ thể rút lại sự đồng ý, doanh nghiệp bảo hiểm phải ngừng ngay lập tức việc xử lý và thực hiện các biện pháp xóa bỏ dữ liệu, trừ khi có các quy định pháp luật khác buộc phải lưu trữ.

2.2. Các trường hợp ngoại lệ 

Mặc dù sự đồng ý là nguyên tắc vàng, Điều 19 của Luật Bảo vệ dữ liệu cá nhân 2025 đã thiết lập các khung ngoại lệ nhằm bảo vệ lợi ích công cộng và tính mạng con người.

Dưới đây là các trường hợp cụ thể mà doanh nghiệp bảo hiểm hoặc bên kiểm soát dữ liệu có thể xử lý thông tin sức khỏe mà không cần sự đồng ý trước:

• Bảo vệ tính mạng và sức khỏe khẩn cấp: Trong các tình huống tai nạn nghiêm trọng hoặc thảm họa mà chủ thể dữ liệu đang trong tình trạng hôn mê, không thể thực hiện hành vi dân sự, việc truy cập thông tin nhóm máu hoặc tiền sử bệnh lý để phục vụ cấp cứu là được phép.
• Thực hiện nghĩa vụ theo luật chuyên ngành: Xử lý dữ liệu phục vụ quốc phòng, an ninh quốc gia, trật tự an toàn xã hội trong các tình trạng khẩn cấp do Chính phủ ban bố.
• Hoạt động tố tụng và kiểm tra của cơ quan nhà nước: Phục vụ công tác thanh tra, kiểm tra của Bộ Công an, cơ quan thanh tra y tế hoặc giải quyết các vụ án hình sự liên quan đến trục lợi bảo hiểm theo quy định của luật.
• Dữ liệu đã được công khai: Xử lý các thông tin sức khỏe mà chính chủ thể đã chủ động công khai theo đúng trình tự pháp luật.

Đối với doanh nghiệp bảo hiểm, việc vận dụng các ngoại lệ này phải được ghi chép và chứng minh bằng văn bản một cách chặt chẽ để tránh các khiếu nại về sau. Bất kỳ sự lạm dụng ngoại lệ nào để phục vụ mục đích thương mại thuần túy đều bị coi là vi phạm nghiêm trọng.

3. Cơ quan y tế có được tự ý cung cấp dữ liệu cá nhân cho công ty bảo hiểm không?

Một trong những vấn đề gây tranh cãi lớn nhất trong thực tiễn kinh doanh bảo hiểm là việc tiếp cận hồ sơ bệnh án của khách hàng từ phía bệnh viện. Khoản 2 Điều 26 đã thiết lập một "bức tường lửa" pháp lý cực kỳ nghiêm ngặt để giải quyết vấn đề này.

3.1. Quy định về cung cấp dữ liệu cho bên thứ ba

Luật quy định rõ ràng rằng các cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực y tế (bệnh viện, phòng khám, cơ sở xét nghiệm) không được tự ý cung cấp dữ liệu cá nhân của người bệnh cho bất kỳ bên thứ ba nào là đơn vị cung cấp dịch vụ chăm sóc sức khỏe hoặc tổ chức bảo hiểm. Quy định này nhằm ngăn chặn triệt để tình trạng các cơ sở y tế "bắt tay" với các công ty bảo hiểm để bán danh sách khách hàng tiềm năng hoặc cung cấp thông tin bệnh lý bí mật cho mục đích tiếp thị.

Sự chia sẻ dữ liệu chỉ được phép diễn ra trong hai kịch bản:

• Có yêu cầu bằng văn bản của chính chủ thể dữ liệu: Đây là hình thức ủy quyền chính thức, thường được lồng ghép trong các đơn yêu cầu bồi thường bảo hiểm, nơi khách hàng ký tên đồng ý cho phép bệnh viện cung cấp hồ sơ bệnh án cho công ty bảo hiểm để thẩm định quyền lợi.
• Trường hợp khẩn cấp theo Điều 19: Như đã phân tích ở phần trước, phục vụ cứu chữa tính mạng.

3.2. Yêu cầu về văn bản ủy quyền và chứng minh tính hợp pháp

Khi một doanh nghiệp bảo hiểm yêu cầu bệnh viện cung cấp dữ liệu, họ phải trình ra văn bản đồng ý cụ thể của khách hàng. Văn bản này phải mô tả rõ phạm vi dữ liệu cần tiếp cận (ví dụ: chỉ kết quả chụp MRI ngày cụ thể, không phải toàn bộ lịch sử khám chữa bệnh từ khi sinh ra) và mục đích sử dụng dữ liệu đó.

Bệnh viện, với tư cách là bên kiểm soát dữ liệu nhạy cảm ban đầu, có trách nhiệm kiểm tra tính xác thực của văn bản yêu cầu này. Việc bệnh viện cung cấp dữ liệu sơ sài, thiếu kiểm chứng dẫn đến rò rỉ thông tin sẽ khiến cơ sở y tế đó phải chịu trách nhiệm pháp lý cao nhất, bao gồm cả xử phạt hành chính và bồi thường thiệt hại cho bệnh nhân.

4. Tiêu chuẩn bảo mật đối với các ứng dụng di động về y tế và kinh doanh bảo hiểm

Với sự trỗi dậy của kỷ nguyên Insurtech, các ứng dụng di động đã trở thành công cụ chủ lực để doanh nghiệp bảo hiểm kết nối với khách hàng. Tuy nhiên, việc thu thập dữ liệu qua ứng dụng di động cũng mở ra những lỗ hổng bảo mật đáng lo ngại. Khoản 3 Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 đặt ra trách nhiệm cụ thể cho các đơn vị phát triển nền tảng số. Các tổ chức, cá nhân phát triển ứng dụng y tế hoặc bảo hiểm phải tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân nhạy cảm. Điều này bao gồm việc áp dụng các tiêu chuẩn kỹ thuật nghiêm ngặt ngay từ khâu thiết kế ứng dụng.

Mã hóa dữ liệu: Toàn bộ dữ liệu sức khỏe thu thập từ cảm biến thiết bị đeo (nhịp tim, nồng độ oxy, giấc ngủ) hoặc do người dùng nhập thủ công phải được mã hóa ở mức cao nhất (như AES-256) cả khi lưu trữ trong thiết bị và khi truyền tải qua mạng internet.

Xác thực đa yếu tố: Đối với các ứng dụng có chức năng xem hồ sơ bệnh án hoặc hợp đồng bảo hiểm, việc yêu cầu OTP, sinh trắc học (vân tay, khuôn mặt) là bắt buộc để ngăn chặn việc bị chiếm đoạt tài khoản.

Quản lý quyền truy cập: Hệ thống phía máy chủ phải phân quyền chặt chẽ. Nhân viên kỹ thuật bảo trì ứng dụng không được phép xem nội dung dữ liệu sức khỏe của người dùng; chỉ những bộ phận nghiệp vụ được cấp quyền mới có thể tiếp cận theo quy trình.

Dữ liệu thu thập từ đồng hồ thông minh mặc dù không phải là "hồ sơ bệnh án" chính thức, nhưng theo quan điểm pháp lý mới, nó vẫn được coi là dữ liệu về tình trạng sức khỏe cá nhân (dữ liệu nhạy cảm). Do đó, các công ty bảo hiểm sử dụng dữ liệu này để tính toán phí bảo hiểm hoặc tặng thưởng phải thông báo rõ ràng cho khách hàng về thuật toán xử lý dữ liệu và đảm bảo dữ liệu này không được chia sẻ cho các bên quảng cáo bên thứ ba.

5. Quy định về chuyển giao dữ liệu trong hoạt động tái bảo hiểm và nhượng tái bảo hiểm

Bảo hiểm là một ngành công nghiệp mang tính quốc tế hóa cao. Các doanh nghiệp bảo hiểm Việt Nam thường phải chuyển giao rủi ro cho các tập đoàn tái bảo hiểm quốc tế để đảm bảo khả năng tài chính. Quá trình này không thể thiếu việc chuyển giao dữ liệu khách hàng. Khoản 4 Điều 26 đã đưa ra quy định để minh bạch hóa hoạt động này.

5.1. Nghĩa vụ nêu rõ trong hợp đồng với khách hàng

Khi thực hiện tái bảo hiểm hoặc nhượng tái bảo hiểm, doanh nghiệp bảo hiểm gốc được phép chuyển giao dữ liệu cá nhân (bao gồm cả dữ liệu sức khỏe) cho đối tác tái bảo hiểm, nhưng với một điều kiện tiên quyết: Nội dung này phải được nêu rõ trong hợp đồng bảo hiểm ký kết với khách hàng.

Sự minh bạch này đòi hỏi doanh nghiệp phải giải thích rõ cho khách hàng:

• Dữ liệu nào sẽ được chuyển giao? (Thông thường là các thông tin y tế trọng yếu ảnh hưởng đến quyết định nhận bảo hiểm).
• Chuyển cho ai? (Tên các đối tác tái bảo hiểm hoặc danh mục các quốc gia mà đối tác đặt trụ sở).
• Mục đích chuyển giao là gì? (Phục vụ thẩm định rủi ro và quản lý danh mục tái bảo hiểm).

Nếu hợp đồng bảo hiểm không có điều khoản này, việc doanh nghiệp tự ý gửi hồ sơ bệnh án của khách hàng cho đối tác nước ngoài sẽ bị coi là hành vi chuyển dữ liệu trái phép.

5.2. Chuyển dữ liệu ra nước ngoài và sự phối hợp quốc tế

Vì hầu hết các công ty tái bảo hiểm lớn đều nằm ngoài lãnh thổ Việt Nam, hoạt động này còn chịu sự điều chỉnh của quy định về chuyển dữ liệu cá nhân ra nước ngoài tại Nghị định 13 và Luật 2025. Doanh nghiệp bảo hiểm phải thực hiện Đánh giá tác động chuyển dữ liệu ra nước ngoài, đảm bảo rằng bên tiếp nhận dữ liệu có các biện pháp bảo vệ tương đương với pháp luật Việt Nam và chịu trách nhiệm trước Bộ Công an về mọi rủi ro xảy ra trong quá trình chuyển giao này.

Kết luận

Bảo vệ dữ liệu sức khỏe cá nhân trong kinh doanh bảo hiểm không chỉ là một yêu cầu tuân thủ pháp lý thuần túy mà còn là nền tảng cốt lõi để xây dựng niềm tin số giữa khách hàng và thị trường tài chính. Việc định danh dữ liệu sức khỏe là "dữ liệu nhạy cảm" đã đặt ra một tiêu chuẩn khắt khe về trách nhiệm cho các doanh nghiệp bảo hiểm: từ việc thiết lập các biện pháp kỹ thuật, quản trị nội bộ đến việc đảm bảo quyền được thông báo và quyền được quên của khách hàng.

Mặc dù khung pháp lý tại Việt Nam đã có những bước tiến dài với sự ra đời của các văn bản chuyên trách, song trước sự bùng nổ của trí tuệ nhân tạo (AI) và phân tích dữ liệu lớn (Big Data) trong việc chấm điểm tín dụng y tế, những thách thức mới về "phân biệt đối xử dựa trên dữ liệu" đang dần hiện hữu. Pháp luật cần tiếp tục hoàn thiện theo hướng chi tiết hóa các kịch bản vi phạm và nâng cao mức chế tài để đảm bảo tính răn đe.

Trong tương lai, sự hài hòa giữa quyền lợi kinh tế của doanh nghiệp và quyền nhân thân của khách hàng sẽ là thước đo cho sự phát triển bền vững của ngành bảo hiểm. Chỉ khi dữ liệu sức khỏe được bảo vệ bằng một "tấm khiên" pháp lý vững chắc, chúng ta mới có thể tạo ra một thị trường bảo hiểm minh bạch, nhân văn và an toàn trong lòng dòng chảy của cuộc cách mạng công nghiệp 4.0.

Mọi vướng mắc pháp lý vui lòng liên hệ Luật sư tư vấn pháp luật trực tuyến qua điện thoại gọi: 1900.6162 để được đội ngũ luật sư giàu kinh nghiệm của Công ty luật Minh Khuê tư vấn, giải đáp chi tiết.Chúng tôi rất hân hạnh khi nhận được sự hợp tác của quý khách hàng. Xin chân thành cảm ơn!