Trách nhiệm bảo mật dữ liệu tài chính khách hàng khi tích hợp cổng trung gian thanh toán/ví điện tử

Anh A là điều hành trang thương mại điện tử tích hợp ví điện tử. Anh A muốn hỏi trường hợp bị rò rỉ dữ liệu của khách hàng ở cổng thanh toán thì trách nhiệm bồi thường và bảo mật dữ liệu tài chính trong trường hợp này thuộc về ai và phân định thế nào?

Bài viết dưới đây VDPC sẽ tổng hợp và phân tích chi tiết về trách nhiệm bảo mật dữ liệu tài chính khách hàng khi tích hợp cổng trung gian thanh toán/ví điện tử.

Căn cứ pháp lý:

• Điều 4 Nghị định 356/2025/NĐ-CP
• Điều 2, 9, 11, 37 Luật Bảo vệ dữ liệu cá nhân 2025

I. XÁC ĐỊNH BẢN CHẤT DỮ LIỆU TÀI CHÍNH

1. Chủ thể và loại DLCN liên quan

• Chủ thể DLCN: khách hàng mua hàng, thanh toán qua cổng trung gian/ví điện tử
• DLCN nhạy cảm: số tài khoản, lịch sử giao dịch tài chính tại tổ chức cung ứng dịch vụ trung gian thanh toán.

2. Hành vi xử lý DLCN

• Bên trung gian thanh toán thu thập, lưu trữ, mã hóa, xử lý dữ liệu tài chính để thực hiện giao dịch, đối chiếu với ngân hàng phát hành.
• Bên điều hành trang chỉ nhận kết quả giao dịch (trạng thái thành công/thất bại, mã tham chiếu) để tổng hợp vào hệ thống đơn hàng, phục vụ đối soát.

3. Mục đích xử lý ban đầu

• Phục vụ thực hiện nghĩa vụ thanh toán trong hợp đồng mua bán hàng hóa giữa bên điều hành trang và khách hàng (thu hộ tiền hàng).
• Đây là mục đích duy nhất được khách hàng đồng ý khi thực hiện thanh toán, không bao gồm mục đích khác (như phân tích hành vi tiêu dùng, quảng cáo, chia sẻ cho bên thứ ba ngoài phạm vi thanh toán) nếu chưa có sự đồng ý riêng của khách hàng cho mục đích đó.

4. Phương tiện thu thập và xử lý

Phương tiện thu thập:

• Giao diện thanh toán do Bên trung gian thanh toán cung cấp, tích hợp trên trang thương mại điện tử
• Phương tiện lưu trữ và xử lý:
• Hệ thống máy chủ, cơ sở dữ liệu của cổng thanh toán/ví điện tử.

II. VAI TRÒ PHÁP LÝ CỦA BÊN ĐIỀU HÀNH TRANG VÀ CỔNG TRUNG GIAN THANH TOÁN/VÍ ĐIỆN TỬ

1. Vai trò của bên điều hành trang

Bên điều hành trang tự quyết định mục đích, phương tiện và trực tiếp xử lý loại DLCN cơ bản (họ tên, số điện thoại, địa chỉ giao hàng, giá trị đơn hàng).

2. Vai trò của Bên trung gian thanh toán

Bên trung gian thanh toán tự quyết định mục đích và phương tiện xử lý theo hệ thống riêng của mình.

⇒ Bên trung gian đóng vai trò Bên kiểm soát và xử lý DLCN độc lập đối với luồng dữ liệu tài chính nhạy cảm.

3. Trường hợp bên điều hành trang nhận lại dữ liệu giao dịch để đối soát

Nếu bên điều hành trang lưu trữ các dữ liệu (4 số cuối thẻ, mã tham chiếu, trạng thái thanh toán) để phục vụ vận hành

⇒ Trở thành Bên kiểm soát và xử lý đối với riêng phần dữ liệu đó và phải tự áp dụng biện pháp bảo vệ dữ liệu nhạy cảm tương ứng.

Trách nhiệm của Bên kiểm soát DLCN

• Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân.
• Lựa chọn bên xử lý dữ liệu phù hợp; nêu rõ trách nhiệm, quyền và nghĩa vụ trong hợp đồng, thỏa thuận.
• Trực tiếp thực hiện các biện pháp quản lý, kỹ thuật để bảo vệ dữ liệu và ngăn chặn hoạt động thu thập trái phép.
• Bảo đảm các quyền của chủ thể dữ liệu cá nhân (như quyền truy cập, chỉnh sửa, xóa…).
• Chịu trách nhiệm bồi thường trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý gây ra.
• Thông báo hành vi vi phạm và phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền.

Trách nhiệm của Bên xử lý DLCN

• Chỉ được tiếp nhận và xử lý dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng.
• Xử lý dữ liệu theo đúng phạm vi, mục đích trong thỏa thuận, hợp đồng đã ký kết.
• Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân và ngăn chặn thu thập trái phép.
• Chịu trách nhiệm bồi thường trước chủ thể dữ liệu về các thiệt hại do quá trình xử lý dữ liệu gây ra.
• Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền phục vụ điều tra, xử lý vi phạm.

Kết luận

Sự cố rò rỉ dữ liệu tài chính tại cổng thanh toán là rủi ro pháp lý lớn đối với các nền tảng thương mại điện tử. Việc phân định rõ ràng vai trò là Bên kiểm soát hay Bên xử lý dữ liệu cá nhân — dựa trên phạm vi thu hút, lưu trữ và xử lý thực tế theo Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP — sẽ xác định chính xác trách nhiệm bồi thường và khắc phục hậu quả. Doanh nghiệp điều hành cần kiểm soát chặt chẽ các điều khoản hợp đồng tích hợp với bên trung gian thứ ba nhằm bảo vệ tối đa quyền lợi khách hàng và uy tín của chính mình.

Trên đây là Trách nhiệm bảo mật dữ liệu tài chính khách hàng khi tích hợp cổng trung gian thanh toán/ví điện tử. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: