Ngân hàng Nhà nước đã ban hành Thông tư 46/2026/TT-NHNN ngày 9/9/2026, có hiệu lực từ 1/11/2026, sửa đổi cơ chế cung cấp và khai thác thông tin tín dụng tại Trung tâm Thông tin tín dụng Quốc gia Việt Nam (CIC). Điểm mới đáng chú ý là khi thông tin của khách hàng vay được cung cấp cho tổ chức tự nguyện, tổ chức thông tin tín dụng nước ngoài hoặc các tổ chức khác thuộc phạm vi quy định, phải có sự đồng ý của chính khách hàng. Consent phải rõ ràng, cụ thể và có khả năng được in, sao chép hoặc kiểm chứng, kể cả dưới dạng điện tử. Tuy nhiên, quy định không có nghĩa mọi lần ngân hàng báo cáo dữ liệu cho CIC hoặc mọi yêu cầu của cơ quan nhà nước đều phải xin lại sự đồng ý của người vay.
Thông tư 46/2026/TT-NHNN được Ngân hàng Nhà nước ban hành ngày 9/9/2026, do Phó thống đốc Đoàn Thái Sơn ký. Ngày có hiệu lực được ấn định là: 1/11/2026. Cổng thông tin văn bản của Chính phủ hiện ghi rõ cả ngày ban hành và ngày có hiệu lực này.
Điều 6 Thông tư 46 bổ sung khoản 7 Điều 12 Thông tư 15/2023/TT-NHNN. Theo đó, việc cung cấp thông tin tín dụng của khách hàng vay phải có sự đồng ý của người đó khi bên nhận thuộc ba nhóm: tổ chức tự nguyện tham gia hoạt động thông tin tín dụng; tổ chức thông tin tín dụng nước ngoài; tổ chức khác thuộc khoản 6 Điều 12. Ngoài consent của khách hàng, việc cung cấp còn phải tuân thủ hợp đồng hoặc thỏa thuận với CIC.
Điều 12 vẫn duy trì những nhóm chủ thể có cơ chế pháp lý riêng, chẳng hạn đơn vị thuộc Ngân hàng Nhà nước phục vụ quản lý nhà nước, cơ quan quản lý nhà nước khác theo quy định pháp luật, tổ chức tín dụng khai thác dịch vụ trên cơ sở hợp đồng với CIC và chính khách hàng vay khai thác thông tin của mình.
Đặc biệt, khoản 7 mới không liệt kê tổ chức tín dụng trong nhóm phải xin consent theo chính khoản này, dù tổ chức tín dụng nằm cùng khoản 3 Điều 12 với tổ chức tự nguyện.
Thông tư 15 quy định tổ chức tín dụng cung cấp cho CIC toàn bộ hệ thống chỉ tiêu thông tin tín dụng theo quyết định của Thống đốc NHNN trong từng thời kỳ.
Hệ thống hiện gồm 9 nhóm thông tin chính:
thông tin định danh khách hàng;
thông tin về người có liên quan;
khoản vay và hoạt động cấp tín dụng khác;
thẻ tín dụng;
mua hoặc ủy thác mua trái phiếu doanh nghiệp;
biện pháp bảo đảm;
xử lý nợ xấu nội bảng;
thông tin ngoại bảng;
báo cáo tài chính năm của khách hàng doanh nghiệp.
Thông tư 46 không sửa cơ chế này theo hướng “ngân hàng phải xin consent mới được báo cáo mỗi khoản vay vào CIC”.
Ngược lại, nghĩa vụ cung cấp dữ liệu của tổ chức tín dụng vẫn được duy trì; Thông tư 46 sửa cách xác định tần suất cung cấp theo Hệ thống chỉ tiêu do Thống đốc ban hành. So với cơ chế trước đây, sự thay đổi đáng chú ý nhất nằm ở phạm vi bên nhận dữ liệu từ CIC.
Theo Điều 12 cũ, tổ chức thông tin tín dụng nước ngoài có thể được cung cấp, khai thác và trao đổi sản phẩm thông tin tín dụng trên cơ sở thỏa thuận với CIC và phải phù hợp pháp luật Việt Nam cũng như pháp luật nước sở tại. Trong khi đó, yêu cầu có consent được đặt ở khoản 6 đối với các tổ chức nằm ngoài các nhóm đã liệt kê và khoản 7 mới quy định rõ rằng khi cung cấp dữ liệu cho tổ chức tự nguyện, tổ chức thông tin tín dụng nước ngoài và tổ chức khác, phải có sự đồng ý của khách hàng vay.
Nó còn mở rộng và làm rõ hàng rào consent đối với một số luồng dữ liệu từ CIC sang bên nhận bên ngoài.
Khoản 1 Điều 17 của Thông tư 15 hiện hành vốn đã yêu cầu tổ chức tự nguyện phải bảo đảm có sự đồng ý của khách hàng trước khi cung cấp thông tin tín dụng của họ cho CIC, sự đồng ý phải được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được. Vì vậy, consent điện tử hoàn toàn có thể hợp lệ.
Pháp luật bảo vệ dữ liệu cá nhân hiện hành còn làm rõ hơn các phương thức có thể sử dụng. Nghị định 356/2025/NĐ-CP quy định consent có thể được thể hiện qua:
văn bản;
cuộc gọi được ghi âm;
cú pháp đồng ý qua tin nhắn;
email;
website;
ứng dụng có chức năng xin consent;
hoặc phương thức khác có thể lưu dấu và kiểm chứng.
nếu việc chia sẻ cụ thể thuộc trường hợp phải có consent nhưng không làm rõ dữ liệu, mục đích và bên liên quan. Tương tự, một ô đã được đánh dấu sẵn trước khi khách nhìn thấy màn hình sẽ gặp vấn đề khi đối chiếu với yêu cầu về sự đồng ý thực sự tự nguyện và kiểm chứng được. Luật cho phép chủ thể dữ liệu thay đổi hoặc rút lại consent trong các trường hợp pháp luật quy định.
Nhưng rút consent không đồng nghĩa mọi dữ liệu tín dụng phải lập tức bị xóa khỏi CIC, bởi một phần việc thu thập, lưu trữ hoặc cung cấp dữ liệu có thể dựa trên nghĩa vụ pháp lý khác chứ không chỉ dựa trên consent.
Thông tư 15 quy định dữ liệu tín dụng được CIC lưu giữ tối thiểu 5 năm kể từ ngày phát sinh. Đồng thời, thông tin tiêu cực về khách hàng được cung cấp tối đa 5 năm kể từ ngày kết thúc thông tin tiêu cực, trừ trường hợp phục vụ yêu cầu của cơ quan quản lý nhà nước theo pháp luật. Consent nhằm kiểm soát cách thông tin được xử lý và cung cấp trong những trường hợp pháp luật yêu cầu phải có sự đồng ý. Nó không trao cho khách hàng quyền yêu cầu biến một khoản nợ quá hạn có thật thành chưa từng tồn tại. Hệ thống thông tin tín dụng có chức năng hỗ trợ:
đánh giá rủi ro;
an toàn hoạt động ngân hàng;
quản lý nhà nước;
và quyết định cấp tín dụng.
Thông tin sai thì khách hàng có quyền yêu cầu điều chỉnh theo quy trình. Nhưng thông tin đúng không thể bị xóa chỉ vì người vay không muốn bên cho vay khác biết lịch sử tín dụng, nếu việc cung cấp đó có căn cứ pháp luật. Đó là ranh giới giữa quyền bảo vệ dữ liệu và quyền sửa đổi sự thật tín dụng.
Thông tư 46 còn bổ sung đối với khách hàng vay là tổ chức nước ngoài: báo cáo tài chính năm được lập theo Chuẩn mực kế toán quốc tế hoặc chuẩn mực kế toán của quốc gia đặt trụ sở có thể được sử dụng. Do đó, hoạt động thông tin tín dụng thực chất là một hệ sinh thái dữ liệu tài chính tương đối sâu, không phải chỉ một “danh sách nợ xấu”.
Trong khi “tổ chức thông tin tín dụng nước ngoài” ở Điều 12 là chủ thể chuyên về hoạt động cung cấp, khai thác hoặc trao đổi sản phẩm thông tin tín dụng với CIC theo biên bản ghi nhớ, thỏa thuận hợp tác hoặc hợp đồng. Việc phân biệt tên gọi này quan trọng vì nó quyết định chính xác đối tượng mà khoản consent mới đang nhắm tới. Với khách hàng là cá nhân, trường hợp dữ liệu được chuyển từ Việt Nam cho một tổ chức ở nước ngoài còn có thể rơi vào phạm vi chuyển dữ liệu cá nhân xuyên biên giới.
Luật Bảo vệ dữ liệu cá nhân xác định một trường hợp chuyển xuyên biên giới là tổ chức hoặc cá nhân tại Việt Nam chuyển dữ liệu cá nhân cho tổ chức, cá nhân ở nước ngoài. Nghị định 356 cũng cụ thể hóa trường hợp này.
Tùy trường hợp, chủ thể chuyển dữ liệu còn phải tuân thủ nghĩa vụ về đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, trừ các trường hợp được miễn theo luật.
Văn bản còn bổ sung các quy định dành cho “ngân hàng thành viên” tại Trung tâm tài chính quốc tế ở Việt Nam, phù hợp Nghị quyết 222/2025/QH15 và Nghị định 329/2025/NĐ-CP. CIC được giao làm đầu mối cung cấp, chia sẻ thông tin với cơ quan thực hiện chức năng thanh tra, kiểm tra, giám sát tại Trung tâm tài chính quốc tế; hoạt động thanh tra thông tin tín dụng đối với ngân hàng thành viên cũng có cơ chế riêng.
Đây là một phần giải thích tại sao Thông tư 46 xuất hiện ở thời điểm này: hệ thống thông tin tín dụng phải thích ứng đồng thời với khung dữ liệu cá nhân mới và cấu trúc tài chính quốc tế mới. Một hệ thống tín dụng có hai mục tiêu có vẻ đối nghịch. Một phía là quyền riêng tư: thông tin tài chính của một người không thể bị chia sẻ vô hạn cho bất kỳ bên nào. Phía còn lại là quản trị rủi ro: ngân hàng cần biết người xin vay đang có bao nhiêu nghĩa vụ nợ và lịch sử trả nợ ra sao để tránh cấp tín dụng vượt khả năng trả nợ. Nếu quyền từ chối chia sẻ được thiết kế quá rộng, người vay có thể che giấu nghĩa vụ nợ với một bên cho vay khác.
Ngược lại, nếu dữ liệu được phát tán không kiểm soát, khách hàng mất quyền kiểm soát đối với hồ sơ tài chính của mình. Cơ chế của Thông tư 46 cho thấy cách nhà quản lý đang cân bằng hai mục tiêu: duy trì luồng thông tin phục vụ hoạt động tín dụng và quản lý nhà nước; nhưng tăng hàng rào consent khi dữ liệu được mở cho một số nhóm tổ chức khác, đặc biệt những bên nằm ngoài luồng tín dụng và quản lý cốt lõi.
Nghị định 356 đặt trách nhiệm chứng minh lên bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu, chứ không bắt khách hàng phải chứng minh mình “chưa từng đồng ý”. Đây là điểm có tác động vận hành lớn đối với các doanh nghiệp fintech và các tổ chức trao đổi dữ liệu với CIC. Vì vậy, từ nay đến 31/10 không phải một “khoảng trống” trong đó doanh nghiệp được tự do chia sẻ dữ liệu tín dụng. Các tổ chức vẫn phải tuân thủ khung pháp luật dữ liệu cá nhân đang có hiệu lực. Điểm khác từ ngày 1/11 là cơ chế consent được ghi nhận trực tiếp, rõ hơn trong chính Thông tư chuyên ngành về hoạt động thông tin tín dụng của NHNN. Có thể hiểu đây là quá trình đồng bộ hóa: Luật dữ liệu cá nhân đặt chuẩn chung → Thông tư 46 đưa chuẩn đó vào quy trình CIC.
