Khi người dùng quét khuôn mặt để mở tài khoản ngân hàng hoặc cấp hạn mức tín dụng qua ứng dụng Fintech chỉ trong 30 giây, phía sau màn hình là hàng triệu vector đặc trưng sinh trắc học và lịch sử giao dịch tài chính đang được đối soát thời gian thực. Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu tài chính và sinh trắc học được xếp vào nhóm "dữ liệu cá nhân nhạy cảm" với chế độ bảo vệ nghiêm ngặt bậc nhất. Bài viết này phân tích các ranh giới pháp lý bắt buộc và giải pháp kiến trúc an toàn giúp các tổ chức tài chính, ngân hàng số và cổng thanh toán vừa tối ưu trải nghiệm eKYC, vừa đáp ứng trọn vẹn yêu cầu thẩm định của Cục A05 (Bộ Công an).
1. Dữ liệu tài chính ngân hàng là Dữ liệu cá nhân nhạy cảm đặc thù#
Dữ liệu tài chính ngân hàng, thông tin tài khoản, số dư tiền gửi, lịch sử giao dịch và dữ liệu định danh sinh trắc học eKYC là nhóm Dữ liệu cá nhân nhạy cảm đặc biệt theo Nghị định 356/2025/NĐ-CP. Việc xử lý nhóm dữ liệu này đòi hỏi doanh nghiệp phải áp dụng các tiêu chuẩn an toàn thông tin khắt khe nhất.
Mỗi bản ghi dữ liệu tài chính không chỉ phản ánh danh tính nhân thân mà còn liên quan trực tiếp đến tài sản, quyền riêng tư và sự an toàn tài chính của người tiêu dùng. Bất kỳ rò rỉ nào cũng tạo điều kiện cho đối tượng lừa đảo công nghệ cao thực hiện các hành vi chiếm đoạt tài sản.
Theo quy định tại Luật 91/2025/QH15, Bên Kiểm soát dữ liệu tài chính có nghĩa vụ chứng minh đã áp dụng đầy đủ các biện pháp kỹ thuật và quản trị phù hợp. Việc thiếu sót trong thiết lập hạ tầng mã hóa hoặc không có bằng chứng sự đồng ý rõ ràng sẽ khiến tổ chức tài chính đối mặt với các đợt thanh tra đột xuất từ Cục A05 và Ngân hàng Nhà nước.
2. Yêu cầu tuân thủ cốt lõi cho ứng dụng eKYC & Sinh trắc học#
Để triển khai tuân thủ eKYC đúng chuẩn, các Fintech và Ngân hàng phải tuân thủ 4 nguyên tắc kỹ thuật bắt buộc:
Thứ nhất, cơ chế thông báo và xin sự đồng ý Opt-in riêng biệt. Trước khi mở camera quét khuôn mặt hoặc giấy tờ CCCD gắn chip, ứng dụng phải hiển thị Privacy Notice ngắn gọn trình bày rõ mục đích xử lý dữ liệu và yêu cầu người dùng tích chọn đồng ý.
Thứ hai, mã hóa và phân vùng lưu trữ sinh trắc học. Dữ liệu hình ảnh khuôn mặt thô phải được chuyển đổi thành chuỗi véctơ định danh (feature vector) và mã hóa bằng thuật toán AES-256 hoặc kho khóa bảo mật HSM. Tuyệt đối cấm lưu trữ hình ảnh thô công khai trên các máy chủ chưa được kiểm định an ninh.
Thứ ba, thiết lập thời hạn lưu trữ và cơ chế xóa dữ liệu. Khi khách hàng hủy tài khoản hoặc chấm dứt dịch vụ, dữ liệu sinh trắc học phải được tiến hành tiêu hủy hoặc khử nhận dạng theo đúng quy định.
Thứ tư, kiểm soát truy cập phân quyền nghiêm ngặt đối với đội ngũ vận hành nội bộ, đảm bảo chỉ những nhân sự được ủy quyền mới có thể truy vấn bản ghi xác thực khi có sự cố.
3. Lập Báo cáo DPIA cho mô hình AI Chấm điểm tín dụng (Credit Scoring)#
Mô hình AI Chấm điểm tín dụng (Credit Scoring AI) và duyệt khoản vay tự động ngày càng phổ biến trong Fintech. Tuy nhiên, theo Nghị định 356, việc áp dụng AI để ra quyết định tự động có tác động đáng kể đến quyền lợi tài chính của công dân bắt buộc phải thực hiện Báo cáo Đánh giá tác động xử lý dữ liệu cá nhân (DPIA) nộp Cục A05 trước khi đưa vào vận hành thực tế.
4. Kiểm soát chia sẻ dữ liệu trong mô hình Ngân hàng mở (Open Banking API)#
Mô hình Ngân hàng mở (Open Banking) cho phép truyền nhận dữ liệu tài chính qua các giao diện kết nối lập trình ứng dụng (API) cho các bên thứ ba như ví điện tử, phần mềm kế toán doanh nghiệp, sàn TMĐT.
Khi triển khai Open Banking API, các tổ chức tài chính phải xây dựng Hợp đồng xử lý dữ liệu (DPA) chặt chẽ với từng đối tác kết nối. Hợp đồng phải quy định rõ phạm vi dữ liệu được trích xuất, thời hạn hiệu lực của Token xác thực OAuth2 và trách nhiệm bồi thường thiệt hại nếu đối tác làm lộ dữ liệu.
Bên cạnh đó, ngân hàng phải cung cấp giao diện Dashboard trên Mobile App giúp người dùng dễ dàng theo dõi danh sách các ứng dụng đối tác đang có quyền truy cập dữ liệu tài khoản của mình và cho phép hủy quyền truy cập bất kỳ lúc nào chỉ bằng 1 thao tác nhấn nút.
5. Checklist 6 bước rà soát tuân thủ cho C-Level Fintech & Ngân hàng#
Doanh nghiệp tài chính cần thực hiện ngay lộ trình rà soát tuân thủ bảo vệ dữ liệu cá nhân 6 bước:
1. Đánh giá kiểm kê toàn bộ luồng dữ liệu eKYC và thẻ thanh toán.
2. Rà soát lại điều khoản chấp thuận trong hợp đồng mở tài khoản.
3. Thiết lập hệ thống mã hóa dữ liệu nhạy cảm ở mức độ cao nhất.
4. Ký kết thỏa thuận DPA với các đối tác Open Banking API.
5. Xây dựng phương án ứng phó sự cố rò rỉ dữ liệu tài chính 72 giờ.
6. Định kỳ kiểm toán độc lập an ninh mạng và bảo vệ dữ liệu.
6. Căn cứ pháp lý áp dụng và Trách nhiệm chứng minh tuân thủ#
Cơ sở pháp lý điều chỉnh trực tiếp đối với Tuân Thủ PDPD Trong Ngành Fintech Và Ngân Hàng bao gồm các quy định tại Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, Nghị định số 356/2025/NĐ-CP và các quy định xử phạt vi phạm hành chính có liên quan. trong hầu hết các trường hợp xử lý xảy ra khiếu nại hoặc thanh tra đột xuất, doanh nghiệp (Bên Kiểm soát dữ liệu hoặc Bên Kiểm soát và Xử lý dữ liệu) luôn có **nghĩa vụ chứng minh (Burden of proof)** rằng mình đã thực hiện đầy đủ các biện pháp kỹ thuật và tổ chức cần thiết.
Việc không lưu giữ nhật ký bản ghi sự đồng ý (Consent Log), không có hồ sơ Đánh giá tác động (DPIA) hoặc không ký Phụ lục hợp đồng DPA với các bên thứ ba sẽ tự động bị xem là hành vi không tuân thủ và chịu chế tài xử phạt theo quy định.
7. Tổng kết và Khuyến nghị cho Ban Lãnh Đạo Doanh Nghiệp#
Bảo vệ dữ liệu trong ngành tài chính – ngân hàng không chỉ dừng lại ở các chứng chỉ bảo mật ISO 27001 hay PCI-DSS mà đòi hỏi sự tuân thủ nghiêm ngặt theo các tiêu chuẩn pháp lý mới nhất của Luật PDPD. Việc bố trí nhân sự DPO chuyên trách và hoàn thiện đầy đủ hồ sơ pháp lý là chìa khóa giúp các định chế tài chính giữ vững niềm tin của khách hàng và uy tín thương hiệu.