Bảo vệ dữ liệu cá nhân ngành ngân hàng: ngân hàng, công ty tài chính, ví điện tử và fintech

1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành ngân hàng?

Bảo vệ dữ liệu cá nhân ngành ngân hàng áp dụng cho mọi tổ chức, cá nhân hoạt động trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng theo cách gọi của Điều 27 Luật 91/2025/QH15, gồm:

• Ngân hàng thương mại, chi nhánh ngân hàng nước ngoài: tài khoản, thẻ, cho vay, ngân hàng số, bancassurance.
• Công ty tài chính tiêu dùng, cho thuê tài chính: hồ sơ vay, chấm điểm tín dụng, thu hồi nợ.
• Tổ chức cung ứng dịch vụ trung gian thanh toán, ví điện tử: eKYC, lịch sử giao dịch, liên kết tài khoản.
• Tổ chức thông tin tín dụng: Trung tâm Thông tin tín dụng Quốc gia (CIC) và công ty thông tin tín dụng.
• Fintech: chấm điểm tín dụng, chia sẻ dữ liệu qua Open API, cho vay ngang hàng (P2P), kể cả doanh nghiệp tham gia cơ chế thử nghiệm.

Vì vậy, bảo vệ dữ liệu cá nhân ngành ngân hàng không chỉ là việc của ngân hàng thương mại.

Gần như mọi dữ liệu chủ yếu của ngành đều là dữ liệu cá nhân nhạy cảm theo khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP: sinh trắc học (điểm đ), ảnh thẻ căn cước và thông tin tài khoản định danh điện tử (điểm i), tài khoản, thẻ, lịch sử giao dịch và thông tin tín dụng (điểm k). Vì vậy, fintech nhỏ, khởi nghiệp cũng không được hưởng ưu đãi lựa chọn không lập DPIA, không chỉ định nhân sự bảo vệ dữ liệu (khoản 2, 3 Điều 38 Luật 91/2025/QH15).

2. Điều 27 Luật 91/2025 và Điều 8 NĐ 356: quy định riêng cho bảo vệ dữ liệu cá nhân ngành ngân hàng

Điều 27 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 đặt ra bốn trách nhiệm cho tổ chức trong ngành (khoản 1):

1. Thực hiện đầy đủ quy định về bảo vệ dữ liệu nhạy cảm và các tiêu chuẩn an toàn, bảo mật của ngành.
2. Không dùng thông tin tín dụng để chấm điểm, xếp hạng, đánh giá tín nhiệm khi chưa có sự đồng ý của khách hàng.
3. Chỉ thu thập dữ liệu cần thiết cho hoạt động thông tin tín dụng, từ nguồn hợp pháp.
4. Thông báo cho khách hàng khi lộ, mất thông tin tài khoản ngân hàng, tài chính, tín dụng, thông tin tín dụng.

Tổ chức thông tin tín dụng còn phải có biện pháp chống truy cập, sử dụng, tiết lộ trái phép và có giải pháp khôi phục dữ liệu khi bị mất (khoản 2).

Điều 8 Nghị định 356/2025/NĐ-CP hướng dẫn chi tiết thêm các nghĩa vụ mà ngành khác không có:

• Đánh giá tuân thủ định kỳ mỗi năm một lần và ghi nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân. Tổ chức cũng phải áp dụng tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu, khử nhận dạng và ẩn danh dữ liệu (khoản 1).
• Nội dung bắt buộc khi xin đồng ý (khoản 2): mục đích xử lý, kể cả chấm điểm, xếp hạng tín dụng nếu có; nguồn thu thập và các bên thu thập, chia sẻ; thời gian lưu trữ; cách rút lại đồng ý và chính sách xóa, hủy dữ liệu.
• Thông báo vi phạm kép trong 72 giờ (khoản 3): khi lộ, mất dữ liệu nhạy cảm, tổ chức trực tiếp thu thập dữ liệu phải thông báo cho cả Cục A05 và khách hàng. Nghĩa vụ chung tại Điều 23 Luật 91 chỉ yêu cầu thông báo Cục A05; ngoài ngành tài chính, ngân hàng, nghĩa vụ thông báo cho chủ thể dữ liệu trong 72 giờ chỉ áp dụng với dữ liệu vị trí và sinh trắc học (Điều 29 Nghị định 356/2025/NĐ-CP). Xem quy tắc 72 giờ.

Mức phạt riêng của ngành. Điều 64 Nghị định 330/2026/NĐ-CP xử phạt vi phạm trong lĩnh vực tài chính, ngân hàng, thông tin tín dụng. Các mức dưới đây áp dụng với tổ chức; cá nhân chịu một nửa:

• 50–70 triệu đồng (khoản 1): không thông báo hoặc thông báo quá 72 giờ khi lộ dữ liệu nhạy cảm; thông báo thiếu nội dung; không ghi nhật ký xử lý; không đánh giá tuân thủ hằng năm; không có giải pháp khôi phục dữ liệu; không áp dụng tiêu chuẩn kỹ thuật; xin đồng ý thiếu thông tin theo khoản 2 Điều 9 Luật 91. Kèm đình chỉ cung cấp dịch vụ thông tin tín dụng, chấm điểm, xếp hạng tín dụng từ 01 đến 03 tháng.
• 70–100 triệu đồng (khoản 2): chấm điểm, xếp hạng tín dụng khi chưa có sự đồng ý; tổ chức thông tin tín dụng thiếu biện pháp chống lộ lọt; thu thập dữ liệu vượt mức cần thiết hoặc từ nguồn không hợp pháp. Kèm đình chỉ các dịch vụ này từ 03 đến 06 tháng.

3. Bảo mật thông tin khách hàng ngân hàng theo Luật Các tổ chức tín dụng

Trước khi có Luật 91, ngành ngân hàng đã có nghĩa vụ bảo mật thông tin khách hàng ngân hàng. Quy định cụ thể trong các luật ban hành trước Luật 91, như Luật Các tổ chức tín dụng, tiếp tục được áp dụng nếu không trái nguyên tắc bảo vệ dữ liệu cá nhân (khoản 2 Điều 5 Luật 91/2025). Các nghị định, thông tư chuyên ngành cũng áp dụng song song:

Thời hạn lưu hồ sơ theo pháp luật phòng, chống rửa tiền là lý do chính đáng để không xóa ngay dữ liệu khi khách hàng đóng tài khoản và yêu cầu xóa (điểm c khoản 1 và khoản 5 Điều 14 Luật 91/2025). Xem quyền xóa dữ liệu cá nhân.

4. Sinh trắc học và eKYC trong bảo vệ dữ liệu cá nhân ngành ngân hàng

Từ 01/01/2025, các thông tư của Ngân hàng Nhà nước yêu cầu đối chiếu sinh trắc học với chip CCCD hoặc VNeID trước khi khách hàng giao dịch điện tử:

• Tài khoản thanh toán: chỉ được rút tiền, thanh toán bằng phương tiện điện tử khi đã đối chiếu khớp giấy tờ tùy thân và thông tin sinh trắc học (điểm c khoản 5 Điều 17 Thông tư 17/2024/TT-NHNN).
• Thẻ ngân hàng: thẻ chỉ được giao dịch bằng phương tiện điện tử khi đã hoàn thành đối chiếu (khoản 6 Điều 16 Thông tư 18/2024/TT-NHNN).
• Ví điện tử: phải đối chiếu khớp đúng trước khi thực hiện giao dịch điện tử (điểm c khoản 6 Điều 25 Thông tư 40/2024/TT-NHNN).
• Giao dịch trực tuyến: một số loại giao dịch chuyển tiền phải xác thực bằng sinh trắc học theo Thông tư 50/2024/TT-NHNN, được sửa đổi bởi Thông tư 77/2025/TT-NHNN.

Hệ quả là mỗi ngân hàng, ví điện tử đang giữ kho dữ liệu sinh trắc học của hàng triệu khách hàng. Khoản 4 Điều 31 Luật 91/2025/QH15 yêu cầu bảo mật vật lý thiết bị lưu trữ, truyền tải; hạn chế quyền truy cập; và có hệ thống theo dõi để phát hiện xâm phạm. Theo Điều 29 Nghị định 356/2025/NĐ-CP, khi dữ liệu sinh trắc học bị lộ, tổ chức phải thông báo cho khách hàng bị ảnh hưởng trong 72 giờ. Bài deepfake và bảo vệ dữ liệu sinh trắc học trong eKYC phân tích các kiểu tấn công giả mạo khuôn mặt nhắm vào quy trình này.

5. Thông tin tín dụng, Open API, fintech và bảo vệ dữ liệu cá nhân ngành ngân hàng

Chấm điểm tín dụng cần sự đồng ý riêng

Thông tin tín dụng là tài sản cạnh tranh của công ty tài chính và fintech. Luật 91/2025 buộc hoạt động chấm điểm, xếp hạng tín dụng phải có sự đồng ý của khách hàng (điểm b khoản 1 Điều 27). Nội dung xin đồng ý phải nêu rõ mục đích chấm điểm (điểm a khoản 2 Điều 8 Nghị định 356/2025/NĐ-CP). Dữ liệu thay thế như danh bạ, lịch sử cuộc gọi, hành vi dùng ứng dụng, được thu thập để chấm điểm, còn phải qua phép thử "chỉ thu thập dữ liệu cần thiết, từ nguồn hợp pháp" (điểm c khoản 1 Điều 27). Thu thập vượt mức bị phạt 70–100 triệu đồng.

Open API: đồng ý rõ ràng, thời hạn truy cập tối đa 180 ngày

Thông tư 64/2024/TT-NHNN (hiệu lực từ 01/03/2025) quy định việc ngân hàng chia sẻ dữ liệu khách hàng cá nhân với bên thứ ba qua Open API:

• Cần sự đồng ý rõ ràng, tự nguyện, khẳng định của khách hàng (khoản 6 Điều 3).
• Ngân hàng phải cung cấp công cụ để khách hàng xem và rút lại sự đồng ý (khoản 5 Điều 11).
• Thời hạn truy cập dữ liệu tối đa 180 ngày, trừ khi có thỏa thuận khác (khoản 6 Điều 11).
• Ngân hàng đã kết nối trước ngày Thông tư có hiệu lực phải tuân thủ đầy đủ trước ngày 01/03/2027.

Fintech trong cơ chế thử nghiệm

Nghị định 94/2025/NĐ-CP (hiệu lực từ 01/07/2025) cho phép thử nghiệm có kiểm soát ba giải pháp: chấm điểm tín dụng, chia sẻ dữ liệu qua Open API và cho vay ngang hàng. Điều kiện liên quan đến dữ liệu gồm:

• Nền tảng cho vay ngang hàng phải đặt hệ thống công nghệ thông tin, lưu trữ dữ liệu tại Việt Nam và bảo mật dữ liệu khách hàng (điểm d khoản 2 Điều 11).
• Quy định nội bộ phải có nội dung bảo mật thông tin khách hàng và cơ chế chống lộ, lọt thông tin cá nhân (khoản 6 Điều 22).

Tham gia thử nghiệm không miễn trừ nghĩa vụ bảo vệ dữ liệu cá nhân ngành ngân hàng theo Luật 91/2025. Xem thêm bài tuân thủ bảo vệ dữ liệu cho fintech, ngân hàng và eKYC.

6. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành ngân hàng

Dưới đây là năm tình huống LexData gặp nhiều nhất khi tư vấn bảo vệ dữ liệu cá nhân ngành ngân hàng.

• Telesale khoản vay bằng danh sách mua ngoài. Nhiều đơn vị bán khoản vay tiêu dùng, thẻ tín dụng qua đối tác dùng danh sách khách hàng không rõ nguồn. Đây là tình huống điển hình của mua bán dữ liệu cá nhân, có mức phạt tới 10 lần khoản thu.
• Thu hồi nợ liên hệ người không liên quan. Công ty thu hồi nợ gọi cho người tham chiếu, đồng nghiệp, người thân và tiết lộ khoản nợ. Đây là xử lý dữ liệu vượt phạm vi mục đích và có thể vi phạm nghĩa vụ bảo mật thông tin khách hàng ngân hàng.
• SDK bên thứ ba trong ứng dụng ngân hàng số. SDK quảng cáo, phân tích hành vi gửi dữ liệu thiết bị và hành vi người dùng ra ngoài. Dữ liệu theo dõi hành vi trên không gian mạng là dữ liệu nhạy cảm (điểm l khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP).
• Nhân viên tra cứu thông tin khách hàng ngoài nhiệm vụ. Nhật ký toàn bộ hoạt động xử lý theo khoản 1 Điều 8 Nghị định 356/2025 là công cụ để phát hiện hành vi này, không chỉ là nghĩa vụ tuân thủ.
• Lưu trữ ảnh CCCD, video eKYC không thời hạn. Hồ sơ eKYC cần được giữ theo thời hạn của pháp luật phòng, chống rửa tiền, nhưng không nên nằm trong hệ thống vận hành với quyền truy cập rộng.

7. Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành ngân hàng

Bảng dưới đây tổng hợp nghĩa vụ và mức phạt. Mỗi dòng là một hạng mục trong kế hoạch bảo vệ dữ liệu cá nhân ngành ngân hàng.

8. Bảo vệ dữ liệu cá nhân ngành ngân hàng cho doanh nghiệp FDI

Ngân hàng 100% vốn nước ngoài, chi nhánh ngân hàng nước ngoài và công ty tài chính có vốn ngoại thường đặt hệ thống chống gian lận, CRM, phân tích rủi ro tín dụng hoặc trung tâm xử lý thẻ ở khu vực. Mỗi luồng là chuyển dữ liệu cá nhân xuyên biên giới theo Điều 20 Luật 91/2025, cần hồ sơ đánh giá tác động và gửi Cục A05 trong 60 ngày.

Ba điểm khác biệt so với chuẩn của tập đoàn thường gặp khi áp dụng bảo vệ dữ liệu cá nhân ngành ngân hàng tại Việt Nam:

• Thông báo vi phạm cho cả khách hàng trong 72 giờ, không phụ thuộc vào đánh giá "rủi ro cao" như GDPR.
• Đánh giá tuân thủ bắt buộc mỗi năm một lần.
• Nền tảng cho vay ngang hàng trong cơ chế thử nghiệm phải lưu trữ dữ liệu tại Việt Nam.