Ngân hàng nắm nhiều dữ liệu về bạn hơn phần lớn tổ chức khác: thông tin định danh, toàn bộ lịch sử giao dịch, thiết bị và vị trí khi bạn đăng nhập, cách bạn dùng ứng dụng, và kết quả các mô hình chấm điểm, gợi ý chạy trên những dữ liệu đó. Một phần dữ liệu ngân hàng buộc phải thu và giữ theo luật; phần khác chỉ được dùng khi có căn cứ, thường là sự đồng ý của bạn.
Theo quy định về bảo vệ dữ liệu cá nhân hiện hành, bạn có quyền được biết dữ liệu nào đang được xử lý, quyền yêu cầu sửa dữ liệu sai, rút lại đồng ý và phản đối một số mục đích xử lý. Bài này giúp bạn phân biệt phần nào đòi được, phần nào không, và cách gửi yêu cầu sao cho được xử lý.
Các nhóm dữ liệu ngân hàng thường nắm
Bảng dưới gom theo nhóm để dễ hình dung. Danh sách cụ thể của ngân hàng bạn nằm trong thông báo về xử lý dữ liệu cá nhân, thường ở phần điều khoản hoặc quyền riêng tư của ứng dụng.
| Nhóm dữ liệu | Ví dụ | Thường dùng cho |
|---|---|---|
| Định danh | Họ tên, ngày sinh, số giấy tờ, ảnh, dữ liệu sinh trắc học | Mở tài khoản, xác thực giao dịch, nghĩa vụ nhận biết khách hàng |
| Liên lạc | Số điện thoại, email, địa chỉ | Gửi thông báo, xác thực, liên hệ khi cần |
| Tài chính và giao dịch | Số dư, lịch sử chuyển khoản, nội dung chuyển khoản, khoản vay, thẻ | Thực hiện dịch vụ, chấm điểm, phát hiện bất thường |
| Thiết bị và phiên đăng nhập | Loại máy, mã thiết bị, địa chỉ mạng, vị trí khi đăng nhập | Chống gian lận, phát hiện đăng nhập lạ |
| Hành vi trong ứng dụng | Màn hình bạn mở, nút bạn bấm, thời gian dùng | Cải thiện ứng dụng, gợi ý sản phẩm |
| Dữ liệu suy luận | Điểm tín dụng nội bộ, phân nhóm khách, mức độ quan tâm tới sản phẩm | Quyết định tín dụng, tiếp thị |
| Dữ liệu từ bên ngoài | Báo cáo tín dụng, dữ liệu từ đối tác khi bạn đồng ý | Xét duyệt, xác minh |
Nhóm "dữ liệu suy luận" ít được để ý nhất: đó là những gì máy rút ra về bạn chứ không phải bạn khai. Chúng có thể sai, và cũng là dữ liệu cá nhân. Phần sinh trắc học có hướng dẫn riêng trên AI Định Danh.
Phần ngân hàng buộc phải giữ, phần bạn có quyền rút
Không phải dữ liệu nào cũng xoá được theo yêu cầu. Ngân hàng có nghĩa vụ nhận biết khách hàng và lưu giữ hồ sơ, chứng từ giao dịch trong thời gian theo pháp luật về phòng, chống rửa tiền, kế toán và hoạt động ngân hàng. Họ cũng phải báo cáo thông tin tín dụng cho hệ thống thông tin tín dụng quốc gia theo quy định. Những việc này có căn cứ pháp lý riêng, không phụ thuộc vào việc bạn có đồng ý hay không.
Ngược lại, có những mục đích chỉ được làm khi bạn đồng ý hoặc khi có căn cứ khác rõ ràng: dùng dữ liệu để tiếp thị, chia sẻ cho đối tác bán chéo, dùng dữ liệu thay thế để chấm điểm, thu thập vị trí liên tục hay đọc danh bạ. Với nhóm này, bạn có thể rút lại đồng ý, và ngân hàng phải ngừng xử lý cho mục đích đó theo quy định, dù việc rút có thể khiến một số tính năng không dùng được.
Hiểu ranh giới này giúp yêu cầu của bạn thực tế hơn. "Xoá hết dữ liệu của mình" khi đang còn khoản vay sẽ bị từ chối; "ngừng dùng dữ liệu của mình cho tiếp thị và ngừng chia sẻ cho đối tác" thì có cơ sở để được đáp ứng.
Các quyền bạn có, nói bằng việc cụ thể
Quyền được biết. Bạn có thể hỏi ngân hàng đang xử lý những loại dữ liệu nào về mình, cho mục đích gì, chia sẻ cho ai. Câu trả lời đầu tiên thường là đường dẫn tới chính sách quyền riêng tư; nếu không đủ, đề nghị trả lời cụ thể cho trường hợp của bạn.
Quyền xem và nhận bản sao. Yêu cầu ngân hàng cung cấp dữ liệu cá nhân của bạn trong phạm vi luật cho phép. Lịch sử giao dịch, thông tin hồ sơ thường lấy được; bí mật kinh doanh như chi tiết mô hình chấm điểm thì không.
Quyền chỉnh sửa. Nghề nghiệp, địa chỉ, thu nhập đã thay đổi, hoặc thông tin bị ghi sai: đề nghị sửa kèm giấy tờ. Dữ liệu sai có thể khiến bạn bị chấm điểm sai, bị hạn chế giao dịch oan.
Quyền rút đồng ý và phản đối. Rút đồng ý với tiếp thị, chia sẻ cho đối tác, thu thập dữ liệu không cần cho dịch vụ. Một số ngân hàng có nút trong ứng dụng; nếu không, gửi yêu cầu bằng văn bản.
Quyền khiếu nại. Nếu ngân hàng không trả lời hoặc trả lời không thoả đáng, bạn có thể khiếu nại lên chính ngân hàng rồi tới cơ quan có thẩm quyền về bảo vệ dữ liệu cá nhân theo quy định hiện hành.
Gửi yêu cầu về dữ liệu sao cho được xử lý
Một yêu cầu rõ ràng, đúng kênh, có thời gian sẽ được xử lý nhanh hơn nhiều so với lời than phiền chung chung.
- Đọc thông báo xử lý dữ liệu cá nhân trong ứng dụng hoặc trang web chính thức của ngân hàng, tìm kênh tiếp nhận yêu cầu về dữ liệu.
- Viết yêu cầu cụ thể: bạn là ai (thông tin đủ để ngân hàng xác minh, gửi qua kênh an toàn), bạn yêu cầu gì (xem, sửa, rút đồng ý, phản đối), cho mục đích hay loại dữ liệu nào.
- Gửi qua kênh chính thức có ghi nhận: mục hỗ trợ trong ứng dụng, thư gửi chi nhánh có ký nhận, hoặc địa chỉ tiếp nhận ngân hàng công bố. Xin mã hoặc biên nhận.
- Ghi lại ngày gửi. Thời hạn xử lý yêu cầu theo quy định hiện hành; nếu không chắc, hỏi ngân hàng thời hạn họ cam kết.
- Khi nhận được trả lời, đối chiếu với điều bạn đã yêu cầu. Phần nào ngân hàng từ chối thì hỏi căn cứ.
- Lưu toàn bộ trao đổi trong một thư mục, phòng khi cần khiếu nại tiếp.
Không gửi ảnh căn cước hay số tài khoản đầy đủ qua email hoặc mạng xã hội để "xác minh" khi người nhận không phải kênh chính thức. Kẻ gian cũng biết giả làm bộ phận bảo vệ dữ liệu.
Nhờ AI soạn yêu cầu và đọc chính sách quyền riêng tư
Chính sách quyền riêng tư thường dài và khó đọc. Trợ lý AI giúp rút ý chính, với điều kiện bạn chỉ dán văn bản công khai của ngân hàng, không dán thông tin tài khoản của mình.
- Câu lệnh mẫu để đọc chính sách: "Đọc chính sách dưới đây và lập bảng: loại dữ liệu thu thập, mục đích, có chia sẻ cho bên thứ ba không, cách rút đồng ý. Nếu chính sách không nói rõ điều gì, ghi là không thấy trong văn bản."
- Câu lệnh mẫu để soạn yêu cầu: "Soạn thư ngắn gửi một ngân hàng, yêu cầu ngừng dùng dữ liệu cá nhân của khách cho mục đích tiếp thị và ngừng chia sẻ cho đối tác, đề nghị xác nhận bằng văn bản, giọng lịch sự, dùng ký hiệu [họ tên] [số điện thoại]."
- Nhờ AI chỉ ra những đoạn mơ hồ trong chính sách như "và các mục đích khác", để bạn hỏi lại ngân hàng.
- Kiểm lại mọi trích dẫn luật AI đưa ra. Chatbot hay nêu số điều, số nghị định không chính xác; chỉ giữ phần nguyên lý trong thư, hoặc tự kiểm văn bản gốc.
AI Bảo Mật có bài chi tiết về quyền của chủ thể dữ liệu nói chung; bài này tập trung vào những gì đặc thù khi bên nắm dữ liệu là ngân hàng.
Khi dữ liệu ngân hàng bị lộ: ai làm gì
Không tổ chức nào loại bỏ được hoàn toàn rủi ro rò rỉ dữ liệu, kể cả ngân hàng. Rò rỉ có thể đến từ tấn công mạng, từ nhân viên làm sai quy trình, hoặc từ đối tác được chia sẻ dữ liệu. Theo quy định về bảo vệ dữ liệu cá nhân hiện hành, bên xử lý dữ liệu có nghĩa vụ thông báo vi phạm cho cơ quan có thẩm quyền và thực hiện biện pháp khắc phục; mức độ thông báo cho từng khách hàng tuỳ tính chất vụ việc và quy định cụ thể.
Với bạn, hệ quả thường gặp nhất của dữ liệu bị lộ không phải là mất tiền ngay, mà là bị lừa đảo nhắm trúng hơn. Kẻ gian biết tên bạn, biết bạn có tài khoản ở đâu, đôi khi biết cả khoản vay đang có, nên cuộc gọi giả danh nhân viên ngân hàng nghe rất thật. Đây là lúc nguyên tắc cũ càng quan trọng: không đọc mã OTP cho ai, không bấm link, tự gọi lại tổng đài chính thức để kiểm tra.
Nếu nghe tin ngân hàng của mình có sự cố dữ liệu, hãy đổi mật khẩu đăng nhập ứng dụng, kiểm lại thiết bị đã đăng nhập, bật thông báo giao dịch nếu đang tắt, và theo dõi sao kê kỹ hơn trong vài tháng. Gặp giao dịch lạ thì báo ngay theo hướng dẫn ở chuyên mục tra soát và khiếu nại. Cách nhận ra các chiêu lừa dựa trên dữ liệu bị lộ có bài riêng trên AI Bảo Mật.
Quyền trên điện thoại: thứ bạn tự kiểm được ngay hôm nay
Vị trí. Nhiều ứng dụng ngân hàng xin quyền vị trí để chống gian lận hoặc tìm chi nhánh gần nhất. Chọn "chỉ khi dùng ứng dụng" thay vì "luôn luôn" nếu hệ điều hành cho phép.
Danh bạ. Có ứng dụng xin danh bạ để chuyển tiền theo số điện thoại. Nếu bạn không dùng tính năng đó, có thể không cấp. Kiểm xem ứng dụng có hoạt động bình thường không sau khi tắt.
Ảnh và tệp. Cần khi bạn tải ảnh mã QR hay chứng từ lên. Hệ điều hành mới cho chọn chỉ một số ảnh thay vì toàn bộ thư viện.
Camera và micro. Cần cho quét mã, xác thực khuôn mặt. Ngoài lúc dùng, ứng dụng không cần quyền micro chạy nền.
Thông báo. Giữ thông báo giao dịch và bảo mật; tắt thông báo khuyến mại nếu muốn. Đây là phần dễ chỉnh nhất mà lợi ích rõ nhất.
Thiết bị đã đăng nhập. Nhiều ứng dụng có danh sách thiết bị đã từng đăng nhập tài khoản. Mỗi vài tháng mở ra xem một lần, gỡ máy cũ đã bán hoặc máy bạn không nhận ra. Đây cũng là dữ liệu ngân hàng dùng để phát hiện đăng nhập lạ, nên danh sách gọn giúp cả hai bên.
Câu hỏi thường gặp
Có thể yêu cầu ngân hàng xoá toàn bộ dữ liệu sau khi đóng tài khoản không?
Bạn có thể yêu cầu, nhưng ngân hàng vẫn phải lưu giữ hồ sơ và chứng từ giao dịch trong thời gian pháp luật quy định. Phần có thể ngừng xử lý là dữ liệu dùng cho tiếp thị, phân tích không bắt buộc và chia sẻ cho đối tác.
Ngân hàng có được bán dữ liệu khách hàng không?
Mua bán dữ liệu cá nhân trái quy định là vi phạm pháp luật. Việc chia sẻ dữ liệu cho bên thứ ba phải có căn cứ và được thông báo. Nếu nghi dữ liệu của bạn bị lộ ra ngoài từ ngân hàng, giữ bằng chứng và khiếu nại qua kênh chính thức.
Rút đồng ý thì có bị khoá tài khoản không?
Rút đồng ý với những mục đích không cần cho dịch vụ như tiếp thị thì không nên ảnh hưởng tới việc dùng tài khoản. Nếu rút đồng ý với dữ liệu cần cho một tính năng, tính năng đó có thể không dùng được nữa; ngân hàng nên cho bạn biết hệ quả trước.
Nội dung chuyển khoản mình ghi có được ngân hàng đọc không?
Nội dung chuyển khoản là một phần dữ liệu giao dịch, được lưu và có thể được hệ thống phân tích, ví dụ để phát hiện bất thường hay phân loại chi tiêu. Đừng ghi thông tin nhạy cảm không cần thiết vào nội dung chuyển khoản.
Làm sao biết ngân hàng đã chia sẻ dữ liệu của mình cho ai?
Hỏi trực tiếp bằng yêu cầu về dữ liệu qua kênh chính thức, đề nghị liệt kê các bên nhận dữ liệu và mục đích. Đồng thời kiểm lại các ô đồng ý chia sẻ cho đối tác trong ứng dụng.
Ngân hàng có đưa dữ liệu của khách vào AI để phân tích không?
Nhiều ngân hàng dùng mô hình học máy trên dữ liệu khách hàng cho chấm điểm, chống gian lận và gợi ý sản phẩm. Việc này phải nằm trong mục đích đã thông báo. Bạn có quyền hỏi mục đích xử lý, kể cả xử lý tự động.