车险业务员要求提供身份证和行驶证照片本身不直接违法，但存在法律风险，需分情况判断其合法性及风险防范措施，具体分析如下：

一、合法性分析：需满足“必要用途+授权同意”双重条件

1. 必要用途
   根据《个人信息保护法》第13条，处理个人信息需具有“合法、正当、必要”目的。车险业务员收集身份证、行驶证照片的合法用途包括：

   • 核实车主身份（防止冒名投保）；
     
   • 填写保单信息（如车牌号、发动机号等）；
     
   • 符合监管要求（如银保监会规定需留存投保资料）。
     若用于其他目的（如转卖信息、办理非车险业务），则涉嫌违法。

2. 授权同意
   根据《个人信息保护法》第14条，处理个人信息需取得个人“单独同意”。业务员必须明确告知用户：

   • 收集信息的目的、方式、范围；
     
   • 信息将由哪些机构使用、存储期限；
     
   • 用户拒绝提供的后果（如无法投保）。
     若未告知或强制要求提供，用户有权拒绝并投诉。

二、风险防范：用户需注意以下3点

1. 核实业务员身份

   • 要求出示工作证、保险公司授权文件；
     
   • 通过保险公司官网、客服电话核实业务员信息；
     
   • 警惕“冒充业务员”诈骗（如要求转账到个人账户）。

2. 限制信息使用范围

   • 在照片上标注“仅用于XX保险公司车险投保，他用无效”；
     
   • 要求业务员当场删除照片或签订保密协议；
     
   • 拒绝提供与投保无关的信息（如驾驶证、银行卡号）。

3. 留存证据

   • 保存聊天记录、通话录音；
     
   • 记录业务员姓名、工号、所属机构；
     
   • 若信息被泄露，可向银保监会（12378）或网信办（12321）举报。

三、特殊情形：以下情况可能涉嫌违法

1. 业务员要求提供原件

   • 身份证、行驶证原件属重要证件，用户无义务交出；
     
   • 若业务员扣留原件，可能涉嫌《居民身份证法》第16条“冒用他人身份证”或《治安管理处罚法》第56条“非法扣押证件”。

2. 信息被用于非法用途

   • 如业务员将照片出售给贷款公司、诈骗团伙，可能构成《刑法》第253条之一“侵犯公民个人信息罪”；
     
   • 用户若因此遭受损失（如被冒名贷款），可要求保险公司赔偿并报警。

建议：若业务员以“不提供照片就无法投保”为由施压，用户可要求其提供书面说明（加盖公章），或直接联系保险公司官方渠道办理业务。如有疑问，可直接向我咨询具体应对方案。