Tuân thủ PDPD trong ngành fintech bắt đầu từ một điểm: gần như mọi dữ liệu mà ngân hàng, ví điện tử hay công ty cho vay xử lý đều là dữ liệu cá nhân nhạy cảm. Thông tin tài khoản, lịch sử giao dịch, thông tin tín dụng và dữ liệu sinh trắc học eKYC nằm trong danh mục tại điểm đ, điểm k khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP. Vì vậy, ngoài các quy định chung của Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, tổ chức tài chính còn có nghĩa vụ riêng về nhật ký xử lý, đánh giá tuân thủ hằng năm và thông báo sự cố cho khách hàng. Bài viết đi qua các nghĩa vụ đó, cách áp dụng cho eKYC, chấm điểm tín dụng và Open Banking. Quy định riêng cho tổ chức tín dụng và bảng nghĩa vụ theo ngành được tổng hợp tại trang bảo vệ dữ liệu cá nhân ngành ngân hàng.
1. Nghĩa vụ riêng khi tuân thủ PDPD trong ngành fintech và ngân hàng#
Điều 27 Luật 91/2025 và Điều 8 Nghị định 356 đặt thêm các nghĩa vụ cho tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng:
- Ghi nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân và đánh giá tuân thủ quy định bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần (khoản 1 Điều 8 Nghị định 356).
- Khi xin sự đồng ý, nêu rõ mục đích (kể cả chấm điểm, xếp hạng tín dụng nếu có), nguồn thu thập, thời gian lưu trữ, cách rút lại sự đồng ý và chính sách xóa dữ liệu (khoản 2 Điều 8).
- Khi lộ, mất dữ liệu nhạy cảm, thông báo cho cơ quan chuyên trách và cho chính khách hàng trong không quá 72 giờ kể từ khi phát hiện (khoản 3 Điều 8; điểm d khoản 1 Điều 27 Luật).
Không ghi nhật ký, không đánh giá tuân thủ hằng năm hoặc thông báo sự cố chậm quá 72 giờ đều có thể bị phạt từ 50 đến 70 triệu đồng đối với tổ chức (khoản 1 Điều 64 Nghị định 330/2026/NĐ-CP).
2. Yêu cầu tuân thủ PDPD trong ngành fintech đối với eKYC và sinh trắc học#
Thứ nhất, thông báo và xin sự đồng ý trước khi mở camera. Trước khi quét khuôn mặt hoặc CCCD gắn chip, ứng dụng hiển thị thông báo ngắn về mục đích xử lý, nói rõ đây là dữ liệu cá nhân nhạy cảm (khoản 4 Điều 6 Nghị định 356) và để người dùng tự tích chọn đồng ý.
Thứ hai, bảo vệ dữ liệu sinh trắc học. Luật yêu cầu bảo mật vật lý thiết bị lưu trữ và truyền tải, hạn chế quyền truy cập và có hệ thống theo dõi để phát hiện xâm phạm (điểm a khoản 4 Điều 31 Luật). Dữ liệu trên cloud phải mã hóa khi lưu và khi truyền (khoản 4 Điều 12 Nghị định 356). Pháp luật không chỉ định kỹ thuật; thực tiễn tốt là chuyển ảnh khuôn mặt thành véctơ đặc trưng (feature vector), mã hóa bằng AES-256 và quản lý khóa bằng HSM, không lưu ảnh gốc ở nơi không kiểm soát truy cập.
Thứ ba, thời hạn lưu trữ và xóa. Thời hạn lưu trữ phải được nêu khi xin đồng ý (điểm c khoản 2 Điều 8 Nghị định 356). Dữ liệu được xóa, hủy khi đã hoàn thành mục đích hoặc hết thời hạn lưu trữ theo pháp luật chuyên ngành (điểm b, điểm c khoản 1 Điều 14 Luật).
Thứ tư, phân quyền truy cập đối với đội vận hành nội bộ, chỉ người được ủy quyền mới truy vấn được bản ghi xác thực khi có sự cố (khoản 2 Điều 4 Nghị định 356).
3. Chấm điểm tín dụng bằng AI: sự đồng ý, giải thích thuật toán và DPIA#
Luật 91/2025/QH15 cấm sử dụng thông tin tín dụng để chấm điểm, xếp hạng tín dụng khi chưa có sự đồng ý của chủ thể dữ liệu (điểm b khoản 1 Điều 27). Vi phạm có thể bị phạt từ 70 đến 100 triệu đồng và bị buộc xóa kết quả chấm điểm tạo ra trái phép (điểm a khoản 2, điểm a khoản 4 Điều 64 Nghị định 330). Nội dung xin sự đồng ý phải nêu rõ hoạt động chấm điểm, xếp hạng tín dụng (điểm a khoản 2 Điều 8 Nghị định 356). Bên kiểm soát phải thông báo cho chủ thể dữ liệu về việc xử lý tự động, giải thích nguyên tắc hoạt động của thuật toán và đưa ra lựa chọn để họ không tham gia (khoản 3 Điều 10 Nghị định 356).
Hoạt động này phải được mô tả và đánh giá rủi ro trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), nộp Cục A05 trong 60 ngày kể từ ngày đầu tiên xử lý dữ liệu (Điều 21 Luật), và cập nhật khi phát sinh mục đích xử lý mới (Điều 20 Nghị định 356). Nếu doanh nghiệp cung cấp dịch vụ chấm điểm, xếp hạng tín nhiệm cho tổ chức khác, đó là dịch vụ xử lý dữ liệu cá nhân (khoản 2 Điều 21 Nghị định 356) và phải đáp ứng điều kiện kinh doanh tại Điều 22 Nghị định này.
4. Kiểm soát chia sẻ dữ liệu trong mô hình Ngân hàng mở (Open Banking API)#
Open Banking cho phép truyền dữ liệu tài chính qua API cho bên thứ ba như ví điện tử, phần mềm kế toán, sàn thương mại điện tử.
Tổ chức tài chính cần có thỏa thuận với từng đối tác kết nối, quy định phạm vi dữ liệu được truy xuất, thời hạn hiệu lực của token xác thực OAuth2 và trách nhiệm bồi thường nếu đối tác làm lộ dữ liệu. Ngân hàng cũng nên có màn hình trong ứng dụng để người dùng xem ứng dụng đối tác nào đang có quyền truy cập tài khoản và thu hồi quyền đó bằng một thao tác.
5. Checklist 6 bước rà soát tuân thủ PDPD trong ngành fintech & ngân hàng#
- Kiểm kê luồng dữ liệu eKYC và thẻ thanh toán.
- Rà soát nội dung xin đồng ý trong hợp đồng mở tài khoản theo khoản 2 Điều 8 Nghị định 356.
- Mã hóa dữ liệu nhạy cảm khi lưu trên cloud và khi truyền.
- Ký thỏa thuận với các đối tác Open Banking API.
- Viết quy trình thông báo sự cố cho Cục A05 và khách hàng trong 72 giờ.
- Bật nhật ký xử lý và lên lịch đánh giá tuân thủ hằng năm.
Nếu cần một bên độc lập thực hiện đánh giá tuân thủ hằng năm, xem dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân.
6. Fintech nhỏ có được miễn DPIA và DPO không?#
Thường là không. Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa lập DPIA và chưa chỉ định nhân sự bảo vệ dữ liệu cá nhân (DPO) trong 05 năm, trừ một số trường hợp, trong đó có doanh nghiệp trực tiếp xử lý dữ liệu cá nhân nhạy cảm (khoản 2 Điều 38 Luật; khoản 1 Điều 41 Nghị định 356). Vì dữ liệu tài khoản, giao dịch và sinh trắc học đều là dữ liệu nhạy cảm, tuân thủ PDPD trong ngành fintech thường không có giai đoạn miễn trừ này: một fintech mới thành lập cũng nên tính từ đầu thời hạn 60 ngày nộp DPIA và văn bản chỉ định DPO.
