Nếu Nghị định 13/2023/NĐ-CP đặt nền móng cho cơ chế bảo vệ dữ liệu cá nhân, thì Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP tạo cơ sở pháp lý cao hơn trong thu thập, xử lý và quản trị sự chấp thuận, đặc biệt trong lĩnh vực Tài chính – Ngân hàng, nơi lưu trữ hàng triệu dữ liệu nhạy cảm khách hàng.
1. Những thay đổi quan trọng trong cơ chế chấp thuận
Trong lĩnh vực tài chính – ngân hàng, dữ liệu cá nhân được coi là một trong những tài sản quan trọng nhất, đồng thời cũng là nhóm dữ liệu tiềm ẩn nhiều rủi ro về bảo mật và quyền riêng tư. Quản lý sự chấp thuận của khách hàng, không còn đơn thuần là ghi nhận khách hàng đã đồng ý với các điều khoản sử dụng dịch vụ. Mà giờ đây, các tổ chức còn phải đảm bảo khách hàng nắm được tổ chức đã xử lý những loại dữ liệu nào, với mục đích gì, trong phạm vi nào và tại những thời điểm nào.
Có hiệu lực từ ngày 01/01/2026, luật Bảo vệ dữ liệu cá nhân 2025 kế thừa và cụ thể hóa các yêu cầu tại Nghị định 13/2023, đồng thời bổ sung những ràng buộc quan trọng hơn về tính minh bạch và kiểm soát sự chấp thuận.
So sánh Nghị định 13/2023, Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP
| Tiêu chí | Nghị định 13/2023/NĐ-CP | Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP |
| Mục đích | Có nhiều mục đích thì liệt kê để chủ thể chọn một hoặc nhiều; Được đồng ý một phần hoặc kèm điều kiện | Đồng ý đối với từng mục đích; Không được kèm điều kiện bắt buộc phải đồng ý mục đích khác ngoài thỏa thuận |
| Thông tin cần biết | Loại dữ liệu, mục đích, tổ chức/cá nhân xử lý, quyền và nghĩa vụ | Loại dữ liệu, mục đích, bên kiểm soát hoặc bên kiểm soát và xử lý, quyền và nghĩa vụ |
| Chấp thuận có điều kiện | Có thể đồng ý một phần hoặc kèm điều kiện | Không được bắt buộc đồng ý với mục đích khác ngoài nội dung thỏa thuận |
| Hình thức chấp thuận | Văn bản, giọng nói, checkbox, SMS, thiết lập kỹ thuật hoặc hành động rõ ràng | Văn bản, cuộc gọi ghi âm, cú pháp SMS, email/website/ứng dụng có thiết lập kỹ thuật (theo Nghị định 356/2025/NĐ-CP) |
| Thu hồi chấp thuận | Được thu hồi | Được thu hồi |
| Hiệu lực | Cho đến khi chủ thể thay đổi hoặc hoặc cơ quan nhà nước yêu cầu bằng văn bản | Cho đến khi chủ thể thay đổi hoặc theo quy định pháp luật |
| Kiểm chứng | Phải ở định dạng in, sao chép được | Phải kiểm chứng được người đồng ý: Xác định được ai thực hiện chấp thuận, thời điểm và nội dung được chấp thuận |
2. Những yêu cầu riêng đối với lĩnh vực Tài chính – Ngân hàng
Mới đây, theo Nghị định 356/2025/NĐ-CP, khi yêu cầu chấp thuận của khách hàng, tổ chức Tài chính – ngân hàng phải bảo đảm cung cấp rõ ràng những thông tin sau:
- Mục đích xử lý dữ liệu: Bao gồm cả hoạt động chấm điểm, xếp hạng tín dụng, đánh giá thông tin tín dụng và mức độ tín nhiệm tín dụng (nếu có); thời gian lưu trữ; cơ chế rút lại đồng ý và chính sách xóa, hủy dữ liệu.
- Tên đăng nhập, mật khẩu tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch, thông tin tài chính – tín dụng thuộc nhóm dữ liệu nhạy cảm…phải kèm thông báo “đây là dữ liệu nhạy cảm” khi xin đồng ý và có phân quyền, giới hạn truy cập.
- Thực hiện đánh giá tuân thủ bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần
- Ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân
- Áp dụng các tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ, ẩn danh dữ liệu cá nhân
- Thông báo trong thời hạn không quá 72 giờ khi phát hiện lộ, mất dữ liệu nhạy cảm theo quy định
Trước những yêu cầu mới, doanh nghiệp cần chuyển từ quản lý chấp thuận một cách thủ công, sang quản lý tập trung vòng đời chấp thuận, có khả năng thu hồi và lưu vết phục vụ kiểm tra, đánh giá tuân thủ.
Với hơn 22 năm kinh nghiệm cung cấp dịch vụ tin cậy cho khối Chính phủ, Tài chính – Ngân hàng, SAVIS giúp doanh nghiệp kiểm soát, minh bạch dữ liệu chấp thuận người dùng với Consent Management, tự động hóa 100% quy trình thu thập, lưu trữ, kiểm chứng và thu hồi chấp thuận trên toàn bộ hành trình số và vật lý.
Liên hệ chuyên gia SAVIS NGAY TẠI ĐÂY để nâng cao năng lực kiểm soát chấp thuận của người dùng, tuân thủ pháp lý!
