Điều 26 Luật Bảo vệ dữ liệu cá nhân 2025 về bảo vệ dữ liệu cá nhân trong hoạt động kinh doanh bảo hiểm nêu rõ, phải có sự đồng ý của chủ thể dữ liệu cá nhân trong quá trình thu thập, xử lý dữ liệu cá nhân, trừ trường hợp quy định tại khoản 1 Điều 19 của Luật Bảo vệ dữ liệu cá nhân; Áp dụng đầy đủ quy định về bảo vệ dữ liệu cá nhân, quy định khác của pháp luật có liên quan.
Đối với cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không cung cấp dữ liệu cá nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe hoặc dịch vụ bảo hiểm sức khỏe, bảo hiểm nhân thọ, trừ trường hợp: Có yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân; Hoặc trường hợp quy định tại khoản 1 Điều 19 của Luật Bảo vệ dữ liệu cá nhân.
Bên cạnh đó, tổ chức, cá nhân phát triển ứng dụng về y tế, ứng dụng về kinh doanh bảo hiểm phải tuân thủ đầy đủ quy định về bảo vệ dữ liệu cá nhân.
Trường hợp doanh nghiệp kinh doanh tái bảo hiểm, nhượng tái bảo hiểm và có chuyển dữ liệu cá nhân cho đối tác cần được nêu rõ trong hợp đồng với khách hàng.
Như vậy, căn cứ theo quy định trên có thể thấy, doanh nghiệp bảo hiểm chỉ được tiếp cận dữ liệu sức khỏe khi có sự đồng ý rõ ràng từ khách hàng.
Cơ quan, tổ chức, cá nhân hoạt động trong lĩnh vực sức khỏe không được cung cấp dữ liệu cá nhân cho bên thứ ba... trừ khi có yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân hoặc thuộc trường hợp pháp luật cho phép.
Ngoài công ty bảo hiểm, các ngân hàng cũng phải có trách nhiệm bảo vệ dữ liệu cá nhân của khách hàng. Điều 27 Luật Bảo vệ dữ liệu cá nhân quy định, tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, hoạt động thông tin tín dụng có trách nhiệm:
Thực hiện đầy đủ quy định về bảo vệ dữ liệu cá nhân nhạy cảm, các tiêu chuẩn an toàn, bảo mật trong hoạt động tài chính, ngân hàng theo quy định của pháp luật;
Không sử dụng thông tin tín dụng của chủ thể dữ liệu cá nhân để chấm điểm, xếp hạng tín dụng, đánh giá thông tin tín dụng, đánh giá mức độ tín nhiệm về tín dụng của chủ thể dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân;
Chỉ thu thập những dữ liệu cá nhân cần thiết phục vụ cho hoạt động thông tin tín dụng từ các nguồn phù hợp với quy định của Luật này và các quy định khác của pháp luật có liên quan;
Thông báo cho chủ thể dữ liệu cá nhân trong trường hợp lộ, mất thông tin về tài khoản ngân hàng, tài chính, tín dụng, thông tin tín dụng.
Tổ chức, cá nhân thực hiện hoạt động thông tin tín dụng có trách nhiệm tuân thủ quy định của Luật này; áp dụng các biện pháp phòng, chống truy cập, sử dụng, tiết lộ, chỉnh sửa trái phép dữ liệu cá nhân của khách hàng.
Đồng thời, có giải pháp khôi phục dữ liệu cá nhân của khách hàng trong trường hợp bị mất; bảo mật trong quá trình thu thập, cung cấp, xử lý dữ liệu cá nhân của khách hàng phục vụ đánh giá thông tin tín dụng.
