Bối cảnh: Câu hỏi của khách hàng nghe rất đơn giản — ‘ngân hàng chia sẻ dữ liệu của tôi cho fintech có hỏi tôi chưa?’ — nhưng đáp án pháp lý nằm ở chất lượng của sự đồng ý: đồng ý chung chung chôn trong điều khoản dài 40 trang ngày càng khó được coi là đồng ý hợp lệ.
Đọc khung pháp lý từ văn bản gốc
Khung hiện hành về dữ liệu cá nhân là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP — văn bản mà nhiều tài liệu cũ vẫn trích như khung hiện hành. Yêu cầu cốt lõi không đổi qua hai thế hệ văn bản: sự đồng ý của chủ thể dữ liệu phải tự nguyện, trên cơ sở biết rõ loại dữ liệu được xử lý, mục đích xử lý và bên nhận dữ liệu; đồng ý cho một mục đích không tự động mở rộng sang mục đích khác. Chia sẻ dữ liệu ngân hàng cho fintech phục vụ chấm điểm tín dụng hoặc Open API — một trong ba giải pháp thuộc sandbox Nghị định 94/2025/NĐ-CP — vì vậy cần lớp đồng ý riêng, tách khỏi đồng ý mở tài khoản.
Ba lỗi làm đồng ý mất giá trị thường gặp nhất: gộp đồng ý chia sẻ dữ liệu vào nút ‘đồng ý tất cả’ không có lựa chọn từ chối từng phần; không cho khách hàng rút lại đồng ý trong khi vẫn duy trì dịch vụ cơ bản không phụ thuộc dữ liệu đó; và chia sẻ vượt phạm vi dữ liệu đã thông báo, chẳng hạn dùng dữ liệu giao dịch được chia sẻ cho chấm điểm tín dụng vào mục đích quảng cáo. Khi khách hàng rút lại đồng ý, ngân hàng và fintech phải dừng xử lý cho mục đích tương ứng và xóa hoặc ngừng chia sẻ dữ liệu theo yêu cầu, trừ nghĩa vụ lưu trữ độc lập theo pháp luật ngân hàng và phòng chống rửa tiền. Bí mật thông tin khách hàng của tổ chức tín dụng là lớp bảo vệ thứ hai chồng lên: ngay cả khi có đồng ý, việc cung cấp thông tin phải nằm trong phạm vi đồng ý đó và quy định của Luật Các tổ chức tín dụng 32/2024/QH15.
Những điểm thực tế thường bị bỏ qua
Ngân hàng và fintech nên thiết kế màn hình đồng ý theo nguyên tắc ‘một mục đích, một công tắc’: khách hàng tắt công tắc chia sẻ cho quảng cáo mà vẫn giữ được dịch vụ thanh toán. Hồ sơ đồng ý cần lưu được thời điểm, phiên bản nội dung đã hiển thị và kênh thu thập — khi có khiếu nại, đây là ba dữ kiện cơ quan bảo vệ dữ liệu yêu cầu xuất trình đầu tiên.
Bước đi cụ thể cho người liên quan
Các bước dưới đây chuyển phần phân tích trên thành việc làm cụ thể:
- Đối chiếu tình huống của mình với căn cứ này trước tiên: Khung hiện hành về dữ liệu cá nhân là Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) và Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP — văn bản mà nhiều tài liệu cũ vẫn trích như khung hiện hành.
- Ghi lại điểm áp dụng riêng của trường hợp này, không sao chép kết luận của trường hợp khác: Chia sẻ dữ liệu ngân hàng cho fintech phục vụ chấm điểm tín dụng hoặc Open API — một trong ba giải pháp thuộc sandbox Nghị định 94/2025/NĐ-CP — vì vậy cần lớp đồng ý riêng, tách khỏi đồng ý mở tài khoản.
- Chuẩn bị sẵn bằng chứng và hồ sơ liên quan đến nội dung sau để làm việc với cơ quan hoặc đối tác: Ngân hàng và fintech nên thiết kế màn hình đồng ý theo nguyên tắc ‘một mục đích, một công tắc’: khách hàng tắt công tắc chia sẻ cho quảng cáo mà vẫn giữ được dịch vụ thanh toán. Hồ sơ đồng ý cần lưu được thời điểm, phiên bản nội dung đã hiển thị và kênh thu thập — khi có khiếu nại, đây là ba dữ kiện cơ quan bảo vệ dữ liệu yêu cầu xuất trình đầu tiên.
- Trả lời thẳng câu hỏi khách hàng đặt ra nhiều nhất bằng kết luận sau, và lưu lại làm căn cứ: Có. Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP), chia sẻ dữ liệu cho fintech là một hoạt động xử lý cần đồng ý tự nguyện và biết rõ của khách hàng, tách khỏi việc đồng ý mở tài khoản, trừ trường hợp pháp luật buộc cung cấp.
Câu hỏi thường gặp
Ngân hàng chia sẻ dữ liệu của tôi cho fintech có cần hỏi ý kiến?
Có. Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (thay Nghị định 13/2023/NĐ-CP), chia sẻ dữ liệu cho fintech là một hoạt động xử lý cần đồng ý tự nguyện và biết rõ của khách hàng, tách khỏi việc đồng ý mở tài khoản, trừ trường hợp pháp luật buộc cung cấp.
Đồng ý chung chung trong điều khoản có giá trị?
Đồng ý chung chung kiểu ‘đồng ý tất cả’ rất dễ bị coi là không hợp lệ nếu khách hàng không biết rõ loại dữ liệu, mục đích và bên nhận, hoặc không có lựa chọn từ chối từng phần. Ngân hàng an toàn là ngân hàng trình bày đồng ý theo từng mục đích và lưu được bằng chứng về nội dung đã hiển thị cho khách hàng.
Tôi có thể rút lại sự đồng ý chia sẻ dữ liệu?
Được. Rút lại đồng ý là quyền của chủ thể dữ liệu: ngân hàng và fintech phải dừng xử lý cho mục đích bị rút và xóa hoặc ngừng chia sẻ theo yêu cầu, nhưng dữ liệu thuộc nghĩa vụ lưu trữ độc lập của ngành ngân hàng và phòng chống rửa tiền vẫn được giữ theo thời hạn luật định.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng