Open banking thường được giới thiệu tại Việt Nam như một xu hướng công nghệ sắp bắt buộc, nhưng địa vị pháp lý thật của nó khiêm tốn hơn nhiều: chia sẻ dữ liệu ngân hàng qua API hiện là một trong ba giải pháp được thử nghiệm trong sandbox ngân hàng, chưa phải nghĩa vụ mở API áp cho mọi ngân hàng. Fintech muốn kết nối dữ liệu ngân hàng vì vậy phải đi qua cơ chế thử nghiệm hoặc hợp tác song phương với từng ngân hàng, trong khung bảo vệ dữ liệu cá nhân vừa được nâng cấp.
Địa vị pháp lý hiện tại: thử nghiệm, chưa bắt buộc
Nghị định 94/2025/NĐ-CP về cơ chế thử nghiệm có kiểm soát trong lĩnh vực ngân hàng, đã sửa đổi bởi Nghị định 382/2026/NĐ-CP, liệt kê chia sẻ dữ liệu qua giao diện lập trình ứng dụng mở là một trong ba giải pháp fintech được thử nghiệm, cùng cho vay ngang hàng và chấm điểm tín dụng. Tổ chức muốn triển khai giải pháp này phải được Ngân hàng Nhà nước cấp giấy chứng nhận tham gia cơ chế thử nghiệm và vận hành trong phạm vi, thời hạn thử nghiệm được phê duyệt.
Ngoài sandbox, pháp luật hiện hành không áp nghĩa vụ chung buộc ngân hàng phải mở API cho bên thứ ba. Các kết nối dữ liệu đang tồn tại trên thị trường chủ yếu là hợp tác thương mại song phương giữa ngân hàng và đối tác, trong đó ngân hàng giữ quyền quyết định phạm vi dữ liệu, điều kiện kỹ thuật và quyền dừng kết nối khi phát hiện rủi ro. Mọi tuyên bố tiếp thị rằng fintech có quyền đòi ngân hàng mở dữ liệu theo luật open banking đều đi trước khung pháp lý hiện tại.
Chia sẻ dữ liệu khách hàng thế nào cho hợp pháp
Dữ liệu tài khoản và giao dịch của khách hàng đồng thời là thông tin khách hàng được bảo mật theo pháp luật tổ chức tín dụng và là dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP. Chia sẻ qua API vì vậy cần căn cứ hợp lệ, trước hết là sự đồng ý rõ ràng của khách hàng cho đúng phạm vi dữ liệu và đúng mục đích sử dụng, kèm cơ chế thu hồi đồng ý và giới hạn thời gian truy cập.
Về kỹ thuật pháp lý, bộ ba tài liệu không thể thiếu gồm: thỏa thuận chia sẻ dữ liệu giữa ngân hàng và fintech phân bổ trách nhiệm khi dữ liệu bị lạm dụng hoặc rò rỉ; văn bản đồng ý của khách hàng được thiết kế đúng chuẩn dữ liệu cá nhân; và hồ sơ đánh giá tác động xử lý dữ liệu cá nhân cho hoạt động chia sẻ. Thiếu một trong ba, kết nối API dù chạy được về kỹ thuật vẫn là kết nối không có nền pháp lý.
Điều kiện thực tế để fintech kết nối API ngân hàng
Con đường thứ nhất là tự tham gia sandbox với giải pháp chia sẻ dữ liệu qua API mở, phù hợp khi fintech muốn xây dựng năng lực tổng hợp dữ liệu tài khoản như một dịch vụ độc lập. Con đường thứ hai là trở thành đối tác công nghệ của ngân hàng trong mô hình ngân hàng nhúng, nơi dữ liệu chỉ chảy trong phạm vi dịch vụ của chính ngân hàng đó và fintech không giữ vai trò bên nhận dữ liệu độc lập.
Trong cả hai con đường, ngân hàng đều thẩm định fintech như một nhà cung cấp dịch vụ trọng yếu: năng lực an toàn thông tin, kiểm toán hệ thống, kế hoạch ứng phó sự cố và cam kết không dùng dữ liệu ngoài mục đích. Fintech nên chuẩn bị hồ sơ năng lực này như hồ sơ xin phép thu nhỏ, vì trên thực tế quyết định kết nối của ngân hàng mang tính quyết định hơn bất kỳ thủ tục hành chính nào trong lĩnh vực này hiện nay.
Câu hỏi thường gặp
Open banking, chia sẻ dữ liệu ngân hàng qua API thì quy định hiện hành thế nào?
Open banking tại Việt Nam hiện mới có khung thử nghiệm: chia sẻ dữ liệu qua API mở là một trong ba giải pháp fintech trong sandbox ngân hàng theo Nghị định 94/2025/NĐ-CP đã sửa đổi bởi Nghị định 382/2026/NĐ-CP. Chưa có quy định thường trực về open banking và chưa có nghĩa vụ mở API áp chung cho ngân hàng; các kết nối ngoài sandbox là hợp tác thương mại song phương giữa ngân hàng và đối tác.
Ngân hàng có bắt buộc mở API không?
Không theo quy định hiện hành. Ngân hàng không có nghĩa vụ pháp lý chung phải mở API cho bên thứ ba; việc mở kết nối dữ liệu là quyết định trong cơ chế thử nghiệm được phê duyệt hoặc trong hợp tác thương mại mà ngân hàng tự nguyện tham gia. Ngân hàng vẫn phải bảo mật thông tin khách hàng theo pháp luật tổ chức tín dụng và chỉ chia sẻ khi có căn cứ hợp lệ, trước hết là đồng ý của khách hàng.
Dữ liệu khách hàng chia sẻ thế nào cho hợp pháp?
Chia sẻ hợp pháp cần ba yếu tố: sự đồng ý rõ ràng của khách hàng cho đúng phạm vi dữ liệu và mục đích, có thể thu hồi; thỏa thuận chia sẻ dữ liệu giữa ngân hàng và bên nhận phân bổ rõ trách nhiệm bảo mật và xử lý sự cố; và tuân thủ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025/NĐ-CP, gồm đánh giá tác động xử lý dữ liệu cá nhân cho hoạt động chia sẻ. Dữ liệu chỉ được dùng cho mục đích đã đồng ý.
Fintech kết nối API ngân hàng cần điều kiện gì?
Fintech có hai con đường: tham gia sandbox ngân hàng với giải pháp chia sẻ dữ liệu qua API mở theo Nghị định 94/2025/NĐ-CP nếu muốn cung cấp dịch vụ dữ liệu độc lập; hoặc trở thành đối tác công nghệ của ngân hàng trong mô hình dịch vụ nhúng. Cả hai đều đòi hỏi năng lực an toàn thông tin và quản trị dữ liệu đạt chuẩn để qua thẩm định của Ngân hàng Nhà nước hoặc của chính ngân hàng đối tác.
Kết luận cho fintech dữ liệu
Open banking tại Việt Nam đang ở giai đoạn thử nghiệm có kiểm soát, chưa phải quyền truy cập dữ liệu theo luật định. Fintech làm đúng sẽ chọn một trong hai con đường sandbox hoặc đối tác ngân hàng, và xây dựng bộ hồ sơ đồng ý, thỏa thuận chia sẻ và đánh giá tác động dữ liệu trước khi viết dòng mã kết nối đầu tiên.
