电子客户识别让开户和线上贷款几分钟完成，但每个以eKYC开的账户都是关于身份的法律承诺。无论金融科技用伙伴的eKYC还是自建，发生欺诈时都必须回答同一问题：身份识别错了，谁负责。
法律依据
- 《反洗钱法》14/2022/QH15和第19/2023/ND-CP号议定：客户识别义务是金融领域一切eKYC流程的法律根源。
- 第2345/QD-NHNN号决定（线上支付安全，2024年7月1日起适用）：超门槛交易须以身份证数据比对的生物识别认证。
- 《个人数据保护法》91/2025/QH15（2026年1月1日生效）和第356/2025/ND-CP号议定（替代第13/2023/ND-CP号议定）：生物数据属敏感个人数据，保护等级更高。
详细分析
越南eKYC建立在反洗钱法的客户识别框架（《反洗钱法》14/2022/QH15和第19/2023/ND-CP号议定）以及国家银行关于以电子方式开立和使用支付账户、允许以识别技术和数据比对核验的规定之上。交易认证层由第2345/QD-NHNN号决定（线上支付安全措施）收紧，超规定金额的交易须生物识别认证。生物和身份数据属于《个人数据保护法》91/2025/QH15（2026年1月1日生效）和第356/2025/ND-CP号议定（替代第13/2023/ND-CP号议定）下的敏感个人数据，故eKYC项目须有数据处理影响评估、生物部分明确的同意依据，以及身份数据的留存和删除政策。责任方面，金融机构不能把客户识别义务转给技术供应商：外包eKYC合同须划分证件和人脸比对准确性的责任，认证日志须可留存以重演每次识别，当账户被用于欺诈时，仍由机构向监管回答。
需要注意的风险
增长最快的技术风险是以深度伪造图像和视频冒充生物特征，仅靠静态人脸照片的eKYC已不足防御；实务标准是主动活体检测、尽可能以公民身份证芯片比对，以及识别后冻结异常交易。第二个合规风险是将身份数据用于超出原始同意范围的营销，违反个人数据法的目的限制原则。在银行与金融科技的代理或借贷平台合作中，协议须写清哪一方保存身份档案原件及保存多久，因为检查时拿不出档案的一方会被认定未完成客户识别义务。
立即要做的事项
- 正式上线前，为整个eKYC流程做个人数据处理影响评估。
- 在eKYC外包合同中写入识别错误的责任划分，以及终止时移交认证日志的义务。
- 对高额度开户流程应用主动活体检测和芯片身份证数据比对。
常见问题
金融科技中的eKYC是什么，谁对识别负最终责任？
关键在于：eKYC是以电子方式履行客户识别义务，金融机构即使雇技术伙伴仍负最终责任。 若关于eKYC电子实名合规的实际档案与上述假设不同，结论也须相应调整。
经eKYC收集的生物数据在数据法下属哪一类？
在实践中，eKYC中的生物数据是91/2025/QH15号法下的敏感个人数据，须有明确同意依据和处理影响评估。 这也是主管机关检查eKYC电子实名合规时通常先问的内容。
开户eKYC能替代交易的生物识别认证吗？
这里，超金额门槛的交易须依第2345/QD-NHNN号决定追加生物识别认证，故开户eKYC不能替代交易认证。 eKYC电子实名合规在这一点上的偏差是事后检查中常被发现的错误。
客户身份数据可用于营销吗？
原则上，不应：将身份数据用于超出同意范围的营销，违反数据保护法的目的限制原则。 关于eKYC电子实名合规的任何口头约定都应改为书面。
外包eKYC时，与技术供应商的合同须写明什么？
外包合同须明确划分证件和人脸比对准确性的责任、防冒充和活体检测标准、终止时留存并移交认证日志的义务，以及生物数据安全承诺，因为身份识别错的账户被用于欺诈时，仍由金融机构向监管回答。
本文已通过 FLAW AI Legal Council 质量审核