Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025, có hiệu lực từ 01/01/2026, cùng Nghị định 356/2025/NĐ-CP hướng dẫn thi hành thay thế Nghị định 13/2023/NĐ-CP. Với ngân hàng và ví điện tử, luật xác nhận bạn có quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa, yêu cầu xoá dữ liệu và rút lại sự đồng ý, đồng thời cấm mua bán dữ liệu cá nhân.
Tuy vậy, các quyền này có giới hạn trong lĩnh vực tài chính: ngân hàng, ví vẫn phải lưu và xử lý một số dữ liệu theo nghĩa vụ của luật khác, như phòng, chống rửa tiền hay kế toán, dù bạn không đồng ý hoặc đã rút lại sự đồng ý. Hiểu ranh giới giữa "quyền của bạn" và "nghĩa vụ pháp lý của tổ chức" là chìa khoá để dùng luật đúng cách.
Thông tin cơ bản và vị trí của luật trong hệ thống
Thông tin nhận dạng văn bản:
- Số hiệu 91/2025/QH15; Quốc hội khoá XV thông qua ngày 26/6/2025 tại kỳ họp thứ 9; hiệu lực từ 01/01/2026.
- Quy mô: theo tài liệu giới thiệu luật, gồm 5 chương, 39 điều.
- Văn bản hướng dẫn: Nghị định 356/2025/NĐ-CP ngày 31/12/2025, thay thế Nghị định 13/2023/NĐ-CP, cũng có hiệu lực từ 01/01/2026.
- Phạm vi áp dụng: cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam; và tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc liên quan tới xử lý dữ liệu cá nhân của công dân Việt Nam.
- Trước luật, khung chính là Nghị định 13/2023/NĐ-CP, có hiệu lực từ 01/7/2023. Việc nâng lên thành luật giúp quy định có hiệu lực pháp lý cao hơn và chế tài rõ hơn.
Luật này là luật chung cho mọi lĩnh vực. Với ngân hàng, ví, nó áp dụng song song với pháp luật ngân hàng về bảo mật thông tin khách hàng, pháp luật về phòng, chống rửa tiền và an ninh mạng. Khi các quy định chồng lên nhau, cần xem quy định chuyên ngành có điều chỉnh riêng hay không.
Quyền của bạn và giới hạn trong lĩnh vực tài chính
Bảng dưới đặt từng quyền cạnh tình huống thực tế với ngân hàng, ví điện tử, kèm giới hạn thường gặp:
| Quyền | Ý nghĩa | Áp dụng với ngân hàng, ví | Giới hạn thường gặp |
|---|---|---|---|
| Được biết | Biết dữ liệu nào được thu thập, để làm gì, chia sẻ cho ai | Đọc thông báo xử lý dữ liệu khi mở tài khoản, cài ứng dụng | Thông báo thường dài; cần đọc phần mục đích và bên nhận |
| Đồng ý | Xử lý dữ liệu cần sự đồng ý rõ ràng, trừ trường hợp luật cho phép | Đồng ý riêng cho quảng cáo, chia sẻ với đối tác | Một số xử lý theo nghĩa vụ pháp lý không cần đồng ý |
| Truy cập | Xem, nhận bản sao dữ liệu của mình | Yêu cầu ngân hàng cung cấp thông tin họ đang lưu về bạn | Có thể có thủ tục xác minh, thời hạn xử lý theo quy định |
| Chỉnh sửa | Yêu cầu sửa dữ liệu sai | Cập nhật địa chỉ, nghề nghiệp, số điện thoại | Thông tin định danh phải khớp giấy tờ |
| Xoá, rút lại đồng ý | Yêu cầu xoá hoặc dừng xử lý dựa trên đồng ý | Dừng nhận quảng cáo, rút đồng ý chia sẻ cho đối tác | Không xoá được dữ liệu ngân hàng phải lưu theo luật khác |
| Khiếu nại, yêu cầu bồi thường | Khi quyền bị vi phạm | Khiếu nại tới tổ chức, cơ quan quản lý | Cần bằng chứng và theo trình tự |
Hãy coi bảng này là bản đồ khái niệm. Tên gọi chính xác, điều kiện và thời hạn của từng quyền cần đọc trong luật và Nghị định 356/2025/NĐ-CP.
Dữ liệu tài chính: vì sao được bảo vệ chặt hơn
Luật phân biệt dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm; dữ liệu nhạy cảm đòi hỏi biện pháp bảo vệ cao hơn. Khung pháp lý trước đây trong Nghị định 13/2023 đã xếp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức trung gian thanh toán vào nhóm dữ liệu nhạy cảm. Khung mới tiếp tục phân loại cơ bản và nhạy cảm, với danh mục cụ thể nằm trong văn bản hướng dẫn; các bài phân tích cho thấy Nghị định 356/2025 đã điều chỉnh danh mục này.
Lý do dữ liệu tài chính nhạy cảm rất dễ hiểu: lịch sử giao dịch tiết lộ bạn sống ở đâu, mua gì, khám bệnh ở đâu, ủng hộ tổ chức nào, nợ ai bao nhiêu. Khi bị lộ, nó không chỉ gây thiệt hại tiền bạc mà còn là công cụ cho lừa đảo nhắm đúng người, đúng hoàn cảnh.
Với ngân hàng, nghĩa vụ bảo mật thông tin khách hàng đã có từ pháp luật ngân hàng. Luật Bảo vệ dữ liệu cá nhân bổ sung thêm lớp quyền chủ động cho bạn và nghĩa vụ quản trị dữ liệu cho tổ chức: biết dữ liệu đi đâu, có đánh giá tác động khi xử lý, và có biện pháp khi xảy ra vi phạm.
Những điểm mới người dùng tài chính số nên chú ý
Cấm mua bán dữ liệu cá nhân. Luật cấm hành vi mua bán dữ liệu cá nhân, trừ trường hợp luật khác quy định. Các "danh sách khách hàng" chào bán trên mạng, nguồn của rất nhiều cuộc gọi lừa đảo, là hành vi bị cấm, với chế tài tài chính được thiết kế nặng hơn trước.
Đồng ý phải rõ ràng và tách bạch. Im lặng hay không phản hồi không được coi là đồng ý. Với ứng dụng tài chính, điều này có nghĩa là đồng ý nhận quảng cáo, chia sẻ cho đối tác nên là lựa chọn riêng, không bị gộp vào điều kiện sử dụng dịch vụ chính.
Chuyển dữ liệu ra nước ngoài có điều kiện. Nhiều ví, ứng dụng dùng hạ tầng đám mây ở nước ngoài. Luật đặt điều kiện và nghĩa vụ hồ sơ cho việc chuyển dữ liệu cá nhân xuyên biên giới.
Ưu đãi chuyển tiếp cho doanh nghiệp nhỏ. Theo tài liệu giới thiệu luật, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp được lựa chọn thực hiện hay chưa thực hiện một số nghĩa vụ trong thời gian nhất định kể từ khi luật có hiệu lực, trừ khi xử lý dữ liệu nhạy cảm hoặc dữ liệu của số lượng lớn người. Một ứng dụng tài chính nhỏ không vì thế mà được miễn nghĩa vụ với dữ liệu tài chính.
Nghĩa vụ thông báo khi có vi phạm. Tổ chức phải thông báo cho cơ quan có thẩm quyền khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân theo trình tự luật định; chi tiết về thời hạn và trường hợp phải thông báo cho chủ thể dữ liệu cần tra văn bản hướng dẫn.
Thực hành: dùng quyền của mình với ngân hàng và ví
Năm việc cụ thể bạn có thể làm, không cần đợi có sự cố:
- Vào phần cài đặt quyền riêng tư của ứng dụng ngân hàng, ví; tắt các mục đồng ý nhận quảng cáo, chia sẻ cho đối tác nếu bạn không muốn.
- Đọc chính sách xử lý dữ liệu, ít nhất là phần mục đích và danh sách bên nhận dữ liệu; ghi lại ngày bạn đọc.
- Gửi yêu cầu qua kênh chính thức, tốt nhất bằng văn bản hoặc chức năng trong ứng dụng, khi muốn biết tổ chức đang lưu dữ liệu gì về bạn hoặc muốn sửa thông tin sai.
- Khi rút lại sự đồng ý hay đóng tài khoản, hỏi rõ dữ liệu nào sẽ dừng xử lý, dữ liệu nào vẫn được lưu theo nghĩa vụ pháp lý và lưu bao lâu.
- Nếu nhận cuộc gọi lừa đảo biết rõ thông tin tài khoản của bạn, ghi lại thời gian, số gọi, nội dung, báo cho ngân hàng và cơ quan chức năng; đây là dữ liệu giúp truy nguồn rò rỉ.
Đừng kỳ vọng mọi yêu cầu xoá đều được đáp ứng ngay: ngân hàng có nghĩa vụ lưu hồ sơ giao dịch và hồ sơ nhận biết khách hàng theo pháp luật về kế toán, phòng chống rửa tiền. Điều bạn có quyền là được biết lý do và thời hạn lưu giữ.
Ví dụ giả định: một yêu cầu truy cập dữ liệu gửi ngân hàng
Ví dụ giả định: chị Lan nhận liên tục cuộc gọi chào vay từ các công ty tài chính, người gọi biết chị vừa mở thẻ tín dụng ở một ngân hàng. Chị muốn biết ngân hàng đã chia sẻ dữ liệu của mình cho ai. Chị gửi yêu cầu qua chức năng hỗ trợ trong ứng dụng, nêu rõ: đề nghị cho biết dữ liệu cá nhân ngân hàng đang lưu, các bên đã nhận dữ liệu, và đề nghị dừng chia sẻ cho mục đích tiếp thị.
Phản hồi hợp lý của ngân hàng sẽ gồm các loại dữ liệu đang xử lý, mục đích, các bên nhận theo nhóm, và xác nhận đã ghi nhận việc rút đồng ý với mục đích tiếp thị. Nếu ngân hàng khẳng định không chia sẻ cho bên thứ ba nào, nguồn rò rỉ có thể nằm ở nơi khác: đơn vị bán thẻ thuê ngoài, ứng dụng chị từng cài, hay một vụ lộ dữ liệu. Thông tin này hữu ích khi chị phản ánh tới cơ quan chức năng.
Ví dụ cho thấy giá trị thật của quyền truy cập: không phải để "đòi xoá mọi thứ", mà để có căn cứ, biết mình nên yêu cầu gì tiếp theo và với ai.
Những gì còn chờ thực tiễn và lời dặn khi đọc
Luật mới có hiệu lực từ đầu năm 2026, nên nhiều câu hỏi sẽ được trả lời dần qua thực tiễn: thời gian thực tế để tổ chức xử lý yêu cầu truy cập, cách tính và áp dụng chế tài, mức độ chủ động thông báo cho khách khi lộ dữ liệu, cách các ứng dụng tài chính nhỏ tuân thủ. Một số nghĩa vụ còn được hướng dẫn thêm ở thông tư của các bộ, ngành.
Khi đọc tin tức về luật này, nên phân biệt quy định trong luật, quy định trong Nghị định 356/2025/NĐ-CP, và phân tích của công ty tư vấn. Các con số về mức phạt được trích nhiều trên báo chí cần đối chiếu với văn bản gốc trước khi dùng.
Bài viết giải thích ở mức phổ thông để bạn đọc hiểu văn bản, không thay thế văn bản gốc và tư vấn pháp lý. Văn bản có thể đã được sửa đổi, hợp nhất hoặc có hướng dẫn mới; hãy tra bản hiện hành trên Cơ sở dữ liệu quốc gia về văn bản pháp luật, Công báo, cổng thông tin của cơ quan ban hành, và hỏi luật sư hoặc cơ quan có thẩm quyền khi có việc cụ thể.
Câu hỏi thường gặp
Ngân hàng có quyền chia sẻ dữ liệu của mình cho công ty bảo hiểm đối tác không?
Việc chia sẻ phải có căn cứ pháp lý, thường là sự đồng ý của bạn cho mục đích cụ thể, trừ trường hợp luật cho phép. Bạn có quyền biết bên nhận và rút lại sự đồng ý cho các mục đích không bắt buộc như tiếp thị sản phẩm của đối tác.
Đóng tài khoản rồi ngân hàng có phải xoá hết dữ liệu không?
Không hẳn. Ngân hàng phải lưu một số hồ sơ khách hàng và giao dịch trong thời hạn theo pháp luật về kế toán, phòng chống rửa tiền. Dữ liệu dùng cho mục đích dựa trên đồng ý, như tiếp thị, thì phải dừng khi bạn rút đồng ý.
Nghị định 13/2023 còn hiệu lực không?
Theo các nguồn công bố, Nghị định 356/2025/NĐ-CP thay thế Nghị định 13/2023/NĐ-CP và có hiệu lực từ 01/01/2026, cùng thời điểm với luật. Khi tra cứu, hãy dùng luật và nghị định mới.
Ứng dụng vay tiền đòi quyền truy cập danh bạ có vi phạm luật không?
Việc thu thập dữ liệu phải có mục đích rõ ràng, tương xứng và có căn cứ pháp lý. Dùng danh bạ để gọi điện, nhắn tin cho người thân của người vay nhằm gây áp lực là hành vi có thể vi phạm quy định về dữ liệu cá nhân và các luật khác. Nên phản ánh tới cơ quan chức năng.
Có thể yêu cầu ngân hàng cho biết mình đã bị lộ dữ liệu hay chưa không?
Bạn có quyền hỏi tổ chức về việc xử lý dữ liệu của mình, gồm cả các sự cố ảnh hưởng tới dữ liệu đó. Mức độ thông tin tổ chức cung cấp phụ thuộc quy định và tình trạng điều tra; nên gửi yêu cầu bằng văn bản qua kênh chính thức.
