背景： 客户的问题听起来很简单——“银行把我的数据共享给金融科技前问过我吗？”——但法律答案在于同意的质量：埋在40页条款里的概括同意，越来越难被视为有效同意。
从原始文本解读框架
现行个人数据框架是第91/2025/QH15号《个人数据保护法》（2026年1月1日生效）和替代第13/2023/ND-CP号议定的第356/2025/ND-CP号议定——许多旧材料仍把后者当作现行框架。两代文件的核心要求不变：数据主体的同意必须自愿，且清楚知悉被处理数据的种类、目的和接收方；为一个目的作出的同意不自动扩展到其他目的。因此，将银行数据共享给金融科技用于信用评分或开放API——第94/2025/ND-CP号议定沙盒三类方案之一——需要独立的同意层，与开户同意分开。
使同意失效的三个最常见缺陷是：将数据共享同意打包进没有分项拒绝选项的“同意全部”按钮；在保持不依赖该数据的基本服务的同时不让客户撤回同意；以及超出已通知的数据范围共享，例如把为信用评分共享的交易数据用于广告。客户撤回同意时，银行和金融科技必须停止相应目的的处理，并按要求删除或停止共享数据，但银行和反洗钱法律下的独立保存义务除外。信贷机构客户保密义务是叠加的第二层保护：即使有同意，信息提供也必须在该同意和第32/2024/QH15号《信贷机构法》的范围内。
常被忽略的实务要点
银行和金融科技应按“一个目的、一个开关”原则设计同意页面：客户关掉广告共享，仍能保留支付服务。同意记录须保存时间点、所展示文本的版本和收集渠道——有投诉时，这是数据保护主管机关最先要求出示的三个事实。
相关方的具体步骤
以下步骤将上述分析转化为具体工作：
- 首先，用这一依据检验自身情况：现行个人数据框架是第91/2025/QH15号《个人数据保护法》（2026年1月1日生效）和替代第13/2023/ND-CP号议定的第356/2025/ND-CP号议定——许多旧材料仍把后者当作现行框架。两代文件的核心要求不变：数据主体的同意必须自愿，且清楚知悉被处理数据的种类、目的和接收方；为一个目的作出的同意不自动扩展到其他目的。因此，将银行数据共享给金融科技用于信用评分或开放API——第94/2025/ND-CP号议定沙盒三类方案之一——需要独立的同意层，与开户同意分开。
- 记录本案特有的适用要点，不要照搬其他案件的结论：使同意失效的三个最常见缺陷是：将数据共享同意打包进没有分项拒绝选项的“同意全部”按钮；在保持不依赖该数据的基本服务的同时不让客户撤回同意；以及超出已通知的数据范围共享，例如把为信用评分共享的交易数据用于广告。客户撤回同意时，银行和金融科技必须停止相应目的的处理，并按要求删除或停止共享数据，但银行和反洗钱法律下的独立保存义务除外。信贷机构客户保密义务是叠加的第二层保护：即使有同意，信息提供也必须在该同意和第32/2024/QH15号《信贷机构法》的范围内。
- 在与机关或伙伴交涉前，准备好与下述要点相关的证据和档案：银行和金融科技应按“一个目的、一个开关”原则设计同意页面：客户关掉广告共享，仍能保留支付服务。同意记录须保存时间点、所展示文本的版本和收集渠道——有投诉时，这是数据保护主管机关最先要求出示的三个事实。
- 用这一结论直接回答客户最常问的问题，并存档备查：需要。依第91/2025/QH15号《个人数据保护法》和第356/2025/ND-CP号议定（替代第13/2023/ND-CP号议定），向金融科技共享数据是需要客户自愿、知情同意的处理活动，与开户同意分开，法律强制提供的情况除外。
常见问题
银行把我的数据共享给金融科技需要征求我意见吗？
需要。依第91/2025/QH15号《个人数据保护法》和第356/2025/ND-CP号议定（替代第13/2023/ND-CP号议定），向金融科技共享数据是需要客户自愿、知情同意的处理活动，与开户同意分开，法律强制提供的情况除外。
条款中的概括同意有效吗？
若客户不清楚数据种类、目的和接收方，或没有分项拒绝选项，“同意全部”式的概括同意很容易被认定无效。稳妥的银行按目的逐项呈现同意，并能证明向客户展示的确切文本。
我可以撤回数据共享同意吗？
可以。撤回同意是数据主体的权利：银行和金融科技必须停止被撤回目的的处理，并按要求删除或停止共享；但属于银行和反洗钱独立保存义务的数据，仍按法定期限保留。
本文已通过 FLAW AI Legal Council 质量审核