Trong kỷ nguyên số, dữ liệu cá nhân được ví như 'mỏ dầu' mới, nhưng với lĩnh vực nhạy cảm như bảo hiểm và y tế, việc khai thác 'mỏ dầu' này không còn là chuyện dễ dàng. Từ ngày 01/01/2026, khi Luật Bảo vệ dữ liệu cá nhân 2025 chính thức có hiệu lực, các doanh nghiệp bảo hiểm sẽ phải đối mặt với những quy định khắt khe hơn bao giờ hết để bảo vệ quyền riêng tư của khách hàng.

Quyền lực của sự đồng ý: Khách hàng là chủ cuộc chơi

Một trong những điểm cốt lõi của quy định mới là sự tôn trọng tuyệt đối quyền tự quyết của chủ thể dữ liệu. Theo quy định tại Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025, việc bảo vệ dữ liệu trong hoạt động kinh doanh bảo hiểm phải tuân thủ các nguyên tắc nghiêm ngặt.

Cụ thể, các công ty bảo hiểm bắt buộc phải có sự đồng ý rõ ràng của khách hàng trước khi thu thập hoặc xử lý bất kỳ thông tin cá nhân nào. Điều này đồng nghĩa với việc các hành vi tự ý thu thập dữ liệu qua các ứng dụng di động hoặc từ các nguồn bên thứ ba mà không có sự cho phép của người dùng sẽ bị coi là vi phạm pháp luật.

Đặc biệt, đối với dữ liệu về sức khỏe – loại dữ liệu cực kỳ nhạy cảm – các cơ sở y tế không được phép cung cấp cho các công ty bảo hiểm sức khỏe hay bảo hiểm nhân thọ, trừ khi có yêu cầu bằng văn bản của chính khách hàng hoặc thuộc các trường hợp đặc biệt do luật định.

Khi nào dữ liệu được xử lý mà không cần 'cái gật đầu'?

Dù quyền riêng tư được đề cao, nhưng pháp luật cũng dự phòng các tình huống khẩn cấp để bảo vệ lợi ích chung. Tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân 2025, các trường hợp ngoại lệ được quy định cụ thể như sau:

"1. Xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu trong các trường hợp sau đây:
a) Để bảo vệ tính mạng, sức khỏe, danh dự, nhân phẩm, quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc người khác trong trường hợp cấp bách...
b) Để giải quyết tình trạng khẩn cấp; nguy cơ đe dọa an ninh quốc gia...
c) Phục vụ hoạt động của cơ quan nhà nước...
d) Thực hiện thỏa thuận của chủ thể dữ liệu cá nhân với cơ quan, tổ chức, cá nhân có liên quan theo quy định của pháp luật..."

Như vậy, chỉ trong những tình huống thực sự cấp thiết hoặc phục vụ quản lý nhà nước, rào cản về sự đồng ý mới được gỡ bỏ.

Cái giá đắt cho hành vi mua bán dữ liệu trái phép

Để răn đe các hành vi trục lợi từ dữ liệu khách hàng, Luật Bảo vệ dữ liệu cá nhân 2025 thiết lập một khung hình phạt cực kỳ nặng nề. Hành vi mua bán dữ liệu cá nhân bị nghiêm cấm tuyệt đối theo khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025.

Về mức xử phạt, khoản 3 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025 quy định mức phạt tiền tối đa có thể lên tới 10 lần khoản thu bất chính. Trong trường hợp không xác định được khoản thu, mức phạt cố định có thể lên đến 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân.

Chưa dừng lại ở đó, các doanh nghiệp vi phạm quy định về chuyển dữ liệu xuyên biên giới có thể bị phạt tới 5% doanh thu của năm trước liền kề – một con số đủ sức làm lung lay bất kỳ tập đoàn lớn nào.

Lời khuyên pháp lý: Khách hàng khi tham gia bảo hiểm cần đọc kỹ các điều khoản về chia sẻ dữ liệu trong hợp đồng. Ngược lại, các doanh nghiệp bảo hiểm cần rà soát lại quy trình công nghệ và pháp lý để đảm bảo tuân thủ tuyệt đối trước khi 'giờ G' của luật mới điểm vào đầu năm 2026.