在越南快速数字化的经济中，提供银行账号已成为日常生活的一部分。从领取工资、支付账单到网上购物，这些唯一的标识符支撑着无数金融交易。这种信息的无缝流动带来了便利，但也为许多企业和个人引出了一个关键的法律问题。
问题在于：根据越南法律，银行账号属于哪一类个人数据？这不仅是一个技术细节；答案决定了处理此类信息所需的安全级别和同意要求。这给任何组织都带来了重大的合规挑战，尤其是拥有多个银行账户的外商投资企业。
本文将阐明银行账号在越南数据保护框架中的定位，并说明账号在何种情况下会成为敏感信息。最后，本文将为个人和企业提供实用指引，帮助其安全应对这些重要法规，保护好每一个银行账户。
核心要点：
- 账号属于基础数据：单独的银行账号在越南数据保护法律下属于基础个人数据。
- 何时成为敏感数据：只有当账号与其他账户信息（如账户余额、银行对账单或金融交易记录）结合在一起时，才会成为敏感个人数据。
- 分类为何重要：这一区分至关重要，因为敏感数据需要账户持有人作出明确同意，并且任何机构在处理和存储时都必须采取更为严格的安全措施。
- 对企业的影响：对企业而言，这一差异影响到从员工工资发放、直接存款到客户支付系统的方方面面，其中每笔付款都必须可追踪。
- 个人责任：无论法律如何分类，个人都应始终将银行账户信息视为机密信息，使用安全渠道，并监控账户是否存在可疑交易。
越南法律框架下的个人数据界定
数据保护的法律依据直接来自越南《关于个人数据保护的第13/2023/ND-CP号法令》，该法令提供了与全球标准接轨的全面框架。
对于任何处理付款或客户账户的企业而言，了解当地的定义是合规的第一步。该法令将个人数据分为两个不同类别，各类别对金融机构的处理要求各不相同。
此外，越南政府还颁布了《个人数据保护法》，该法自2026年1月1日起正式生效，以进一步完善规范该领域的法律框架。
什么构成个人数据
根据《第13/2023/ND-CP号法令》，个人数据是指与特定个人相关联或有助于识别该个人的任何信息。
这些信息可以以符号、字母、数字、图像或声音的形式存在。如果某项信息（如银行账号或卡号）能够关联到某个人，它就属于能够识别该个人的个人数据。
个人数据的两大类别
法律将个人数据分为两类：基础个人数据和敏感个人数据。这一区分对银行和企业而言至关重要。
- 基础个人数据包括姓名、出生日期、国籍、电话号码等一般性标识信息，以及重要的一点：单独的银行账号。每家银行都会为其客户分配唯一的账号。
- 敏感个人数据是指一旦泄露可能直接损害个人权利和利益的信息。根据越南澳大利亚商会（AusCham）发布的关于《第13/2023/ND-CP号法令》的指引，这包括银行记录或银行对账单中详细载明的财务信息。金融机构必须严格控制对这类详细信息的访问。
银行账号属于个人数据吗？
是的，银行账号毫无疑问属于个人数据。银行账号是个人开立银行账户时被分配的唯一代码。当它与姓名或银行路由号结合时，就能直接指向特定的个人，因此按定义即属于个人数据。在银行系统中，账号是一项关键的标识符。
网上银行系统在输入账号后能够轻松显示个人姓名，这恰恰证明了这种直接关联。账号用于识别账户持有人。每个银行账户都有对应的账号，用于追踪存款和取款。
银行如何编码和使用账号
为有效管理数以百万计的账户，金融机构采用高度结构化的系统来生成和分配这些关键标识符。账号不仅仅是随机的一串数字；它包含特定的编码信息，用于引导资金流向。以下进一步说明这些关键号码的构成和使用方式：
- 账号的结构：每个号码都是唯一的，通常包含两个主要部分。
- 第一组数字通常用作银行或分行代码，用于标识账户所在的具体金融机构。
- 第二组数字是个人账户标识符，对客户而言是唯一的，构成其金融身份的关键部分。
- 路由号的作用：这是与账号配合使用的一个独立代码。
- 其用途是标识具体的金融机构本身，而非个人账户。
- 路由号确保直接存款和支票等交易中的资金被送往正确的银行。
- 在哪里找到这些号码：在个人支票或支票簿上，这些号码按特定顺序印在底部。顺序通常是先路由号，然后是账号，最后是单张支票的编号。
- 国际对应体系：对于跨境支付，其他国家也采用类似体系以确保准确性。最常见的是 IBAN（国际银行账号）和 Sort Code（银行清算代码）。
银行账号何时成为敏感数据？
这对许多个人和企业而言是关键区分点。当银行账号与其他能够揭示个人财务状况或活动的财务信息结合时，它就跨过了从基础数据到敏感数据的门槛。
- 仅用于工资转账的普通账号属于基础个人数据。
- 而同一个账号，若与账户对账单、交易记录或用于贷款申请的借记卡号捆绑在一起，就成为敏感个人数据。
对企业和金融机构而言，一条经验法则是：如果数据只能识别某个人是谁，那它很可能是基础数据。如果数据揭示了关于其财务生活的细节（例如他们把钱花在什么上），那么该账户信息就成为敏感数据。许多在线支付系统需要获取这一层级的详细信息。
这对 Viettonkin Consulting 的一家电商客户而言是一个关键认识。该企业最初仅为客户退款而收集银行账号，属于基础数据处理。然而，其计划推出的“先买后付”功能需要获取金融交易记录以评估信用状况。
这使其数据处理活动立即上升至敏感类别。这要求他们彻底修改同意书，并实施更高级别的数据加密来保护客户银行账户。银行的参与也对这些银行交易提出了更高的合规标准。
分类为何对企业和个人都很重要
基础数据与敏感数据之间的差异，对任何组织处理信息的方式都会产生现实影响。它影响着银行、企业和客户与账号及金融数据打交道的方式。
基础个人信息与敏感个人信息的规则差异
处理基础个人数据通常需要通知相关个人，并为其账户实施合理的安全保护。任何企业都必须保护其持有的账号，并制定和遵守自身的个人数据保护政策。
对于敏感数据，要求则严格得多。除了适用于一般信息的数据保护措施外，企业或机构还必须取得明确同意 ，且该同意须清楚说明处理目的。此外，他们还必须实施更强的技术和组织保障措施，以保护账户详细信息。诸如 LawNet（2024） 中关于银行通知义务的讨论等法律分析也确认，金融机构负有特定的法律义务，须告知客户其数据的处理方式。
实际场景
- 人力资源 & 薪酬发放：雇主为发放工资而收集账号属于处理基础数据。员工的同意通常可以在劳动合同或其他书面形式（如确认函/确认邮件）中一并取得。
- 金融科技 & 借贷：数字钱包或借贷应用要求提供银行对账单，或关联账户以查看交易记录，这属于处理敏感数据。这也需要用户另行作出明确同意。
- 公开分享：切勿在网上发布银行卡、支票或支票簿的照片。虽然账号本身属于基础数据，但它是诈骗者用来尝试访问你的银行账户、转移资金或实施其他损害当事人行为的钥匙。
如何保护你的银行账户和银行卡信息
无论数据在法律上属于基础数据还是敏感数据，所有账户信息都应被视为机密信息。保护银行账号及相关详细信息对金融安全至关重要。
日常防护的良好习惯
- 安全分享：仅通过安全、加密的渠道提供银行信息。避免通过公共 Wi-Fi 或未加密的电子邮件、电话发送此类信息。
- 监控账户：定期登录网上银行门户，检查银行对账单中是否有你不认识的交易。尽早发现是减轻欺诈损失的关键。
- 保持警惕：对于任何看似不必要或可疑的银行信息索取要求，都要提出质疑。询问其为何需要这些信息以及将如何保护这些信息。
- 主动应对：如果你发现个人数据泄露的迹象，应立即联系相关方采取紧急措施，以尽量减少损失并保护自身权益。
行使你的数据权利
根据《第13号法令》，个人对其数据享有重要权利。个人可以要求任何组织告知其持有何种账户信息，并在不再需要时要求删除。这适用于所有银行账户。
如果你认为自己的银行账户或银行卡数据被滥用，你有权进行举报。请联系你的银行或越南数据保护主管机构，举报账号或其他详细信息泄露的情况。直接致电你的开户银行分行通常是解决问题最快的方式。
总结：了解你的数据才能保护它
对在越南经营的企业而言，了解银行账号的分类对合规至关重要。就工资发放而言，银行账号属于基础数据。这简化了合规流程，使企业可以采用标准的数据保护政策。
银行账号是个人金融身份的关键，但就其本身而言，它被归类为基础数据。只有当它与账户内容（如余额、交易记录和完整的银行对账单）关联时，才会成为敏感数据。了解这一区别有助于每个人在越南数字经济中负责任地行事。
常见问题
根据越南《第13号法令》，我的银行账号是否属于敏感个人数据？
不属于。银行账号本身属于基础个人数据。只有当它与其他财务信息（如账户余额、交易记录或银行对账单）结合，从而完整呈现个人的财务情况时，才会成为敏感数据。
在越南，处理员工银行账号的外商直接投资（FDI）企业面临的主要合规风险有哪些？
企业面临的最大风险是“目的偏移”，即为工资发放等基础目的收集员工银行账号，却在未取得明确同意的情况下将其用于其他目的。另一个主要风险是未能对账号清单实施充分的安全保护，因为即便是基础数据泄露，也可能导致重大处罚。
此外，《个人数据保护法》中一项自2026年1月1日起生效的重要规定要求，公司在员工离职后必须删除其个人数据，包括银行账户信息；企业需要了解这一要求以确保合规并避免违规。
作为人力资源经理，在处理工资发放时，确保公司遵守《第13号法令》的第一步是什么？
第一步是开展数据映射工作。准确记录收集了哪些员工数据（包括所有银行账号），并明确具体目的（即“仅用于工资直接存入”），同时按照公司的个人数据保护程序和政策，与员工进行沟通并努力取得其同意使用个人信息。这样可以确保目的已清晰传达给员工，为处理每个账号提供明确的法律依据。
