Sàn được cấp phép lưu dữ liệu gì của bạn, gửi cho ai?

Mở tài khoản ở sàn được cấp phép nghĩa là đưa cho sàn ảnh giấy tờ, số tài khoản ngân hàng, và để lại dấu vết mỗi lần đăng nhập, mỗi lệnh mua bán. Câu hỏi hợp lý tiếp theo là sàn giữ những gì, giữ bao lâu, và ai được xem. Trang này trả lời bằng chính các điều khoản đặt nghĩa vụ cho sàn, phần nào là cách đọc của chúng tôi thì ghi rõ.

Tính đến 31/10/2026, chưa sàn nào được cấp phép. Các nghĩa vụ dưới đây là khung luật đã đặt sẵn, áp dụng cho tổ chức khi được Bộ Tài chính cấp phép.

Sàn phải lưu những dữ liệu gì của bạn?

Sàn phải lưu thông tin mở tài khoản, lịch sử giao dịch, dấu vết đăng nhập, thiết bị truy cập và tài khoản ngân hàng liên kết. Danh sách này nằm ở Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm l, phần nguyên văn ở khối căn cứ pháp lý cuối trang.

Ba nhóm luật cùng đặt nghĩa vụ lưu, mỗi nhóm một mục đích:

Nhóm dữ liệu	Ví dụ cụ thể	Văn bản đặt nghĩa vụ
Thông tin mở tài khoản, tài khoản ngân hàng liên kết	Họ tên, giấy tờ tùy thân, số tài khoản ngân hàng nạp rút	Nghị quyết 05 Điều 15 khoản 2 điểm l
Lịch sử giao dịch, người gửi và người nhận	Tên, địa chỉ, địa chỉ ví của người khởi tạo và người thụ hưởng	Nghị quyết 05 Điều 15 khoản 2 điểm l
Dấu vết truy cập	Lịch sử địa chỉ IP, thông tin thiết bị đăng nhập	Nghị quyết 05 Điều 15 khoản 2 điểm l
Hồ sơ chống rửa tiền	Hồ sơ nhận biết khách hàng, kết quả đánh giá, báo cáo giao dịch	Luật Phòng, chống rửa tiền Điều 38 khoản 1
Dữ liệu thuế	Dữ liệu từng giao dịch, số thuế đã khấu trừ	Thông tư 41/2026/TT-BTC Điều 5 khoản 2

Địa chỉ IP (địa chỉ giao thức Internet, con số định danh kết nối mạng của thiết bị) cho biết bạn truy cập từ đâu. Từ 01/12/2026, đây cũng là dữ liệu mà luật chống rửa tiền dùng để nhận ra một số dấu hiệu đáng ngờ, chi tiết ở trang dùng VPN vào sàn có bị coi là đáng ngờ không.

Thông tin người khởi tạo và người thụ hưởng là phần dữ liệu đi kèm mỗi lần chuyển tài sản mã hóa, giống quy tắc chuyển tiền của ngành ngân hàng. Quốc tế gọi đây là travel rule (quy tắc buộc gửi kèm thông tin người gửi, người nhận, xem travel rule là gì).

Hồ sơ nhận biết khách hàng là kết quả của bước KYC (xác minh danh tính khách hàng, xem KYC là gì). Khi bạn thuộc nhóm rủi ro cao, sàn còn hỏi thêm và lưu thêm, như ở trang nhận biết khách hàng tăng cường.

Sàn giữ dữ liệu trong bao lâu?

Tối thiểu 10 năm với nhóm dữ liệu Nghị quyết 05 liệt kê, và 05 năm với hồ sơ chống rửa tiền. Hai thời hạn chồng lên nhau ở phần thông tin mở tài khoản và lịch sử giao dịch.

• 10 năm, trên máy chủ tại Việt Nam: ba nhóm dữ liệu đầu của bảng trên (Nghị quyết 05). Nghị quyết 05 không nói mốc bắt đầu tính 10 năm.
• 05 năm: hồ sơ nhận biết khách hàng, kết quả phân tích, tài liệu khác, tính từ ngày kết thúc giao dịch, ngày đóng tài khoản hoặc ngày báo cáo. Báo cáo giao dịch lưu 05 năm từ ngày phát sinh giao dịch (Luật Phòng, chống rửa tiền Điều 38 khoản 2).
• Dữ liệu thuế: Thông tư 41 dẫn về “quy định của pháp luật về quản lý thuế”, không ghi số năm riêng.

Theo cách đọc của chúng tôi, với dữ liệu thuộc cả hai danh sách, sàn phải giữ theo thời hạn dài hơn, tức 10 năm. Luật 23/2026/QH16 chỉ sửa khoản 1 Điều 38 (mở rộng thành “tất cả hồ sơ của khách hàng và tất cả các giao dịch”), không sửa thời hạn 05 năm ở khoản 2.

Đóng tài khoản không làm dữ liệu biến mất. Ngày đóng tài khoản chính là một mốc để bắt đầu đếm thời hạn lưu theo luật chống rửa tiền.

Sàn gửi dữ liệu cho cơ quan nào, khi nào?

Có bốn đường dữ liệu rời khỏi sàn: cơ quan thuế, Ngân hàng Nhà nước, ba bộ ngành nhận báo cáo tháng và cơ quan tiến hành tố tụng. Mỗi đường có căn cứ và nhịp gửi riêng.

Nơi nhận	Gửi gì	Khi nào	Căn cứ
Cơ quan thuế	Bảng kê từng giao dịch đã khấu trừ thuế, có tên, mã số thuế hoặc số định danh	Hằng tháng, chậm nhất ngày 20 tháng sau; thêm khi cơ quan thuế yêu cầu	Thông tư 41 Điều 4 khoản 3, Điều 5 khoản 5
Ngân hàng Nhà nước	Báo cáo giao dịch đáng ngờ; hồ sơ khách hàng khi được yêu cầu	Khi có cơ sở hợp lý để nghi ngờ; khi có yêu cầu	Luật Phòng, chống rửa tiền Điều 26, Điều 39 khoản 1
Bộ Tài chính, Ngân hàng Nhà nước, Bộ Công an	Thông tin về tình hình thị trường giao dịch tháng trước	Ngày 10 hằng tháng	Nghị quyết 05 Điều 15 khoản 2 điểm d
Cơ quan điều tra, viện kiểm sát, tòa án	Chứng cứ, tài liệu, dữ liệu điện tử của vụ án	Khi có yêu cầu trong vụ án hình sự	Bộ luật Tố tụng hình sự Điều 88 khoản 1

Cơ quan thuế: bảng kê theo từng giao dịch

Mỗi tháng, sàn nộp cho cơ quan thuế một bảng kê liệt kê từng giao dịch của từng người đã bị khấu trừ thuế. Đây là đường dữ liệu đều đặn nhất, vì sàn khấu trừ thuế thu nhập cá nhân 0,1% ngay khi giao dịch bán thành công.

Mẫu 01-1/BK-TSMH kèm Thông tư 41/2026/TT-BTC có các cột:

• Họ và tên, mã số thuế, hoặc số định danh cá nhân (số căn cước, hộ chiếu) khi chưa có mã số thuế.
• Quốc tịch, ngày sinh, quốc gia cư trú thuế, địa chỉ cư trú.
• Mã tài khoản giao dịch của bạn tại sàn.
• Mã tài sản mã hóa, địa chỉ hợp đồng token (nếu có), loại giao dịch, thời điểm giao dịch, số lượng.
• Giá hoặc doanh thu chuyển nhượng, số thuế đã khấu trừ.

Ghi chú 8 của mẫu buộc sàn lưu các trường này dưới dạng điện tử, xuất được theo định dạng có cấu trúc như XML (định dạng tệp máy đọc được) “để phục vụ công tác quản lý, đối chiếu và tổng hợp thông tin của cơ quan thuế”. Luật Quản lý thuế 108/2025/QH15 cũng nêu tổ chức cung cấp dịch vụ tài sản số “có trách nhiệm cung cấp thông tin định kỳ hoặc theo yêu cầu cho cơ quan quản lý thuế” (Điều 40 khoản 3 điểm g).

Ai khấu trừ, tính thế nào, chứng từ ra sao: trang ai khấu trừ thuế tài sản mã hóa.

Ngân hàng Nhà nước: báo cáo giao dịch đáng ngờ

Khi có cơ sở hợp lý để nghi ngờ tài sản trong giao dịch do phạm tội mà có, sàn phải báo cáo Ngân hàng Nhà nước. Từ 01/12/2026, dịch vụ tài sản mã hóa được thêm thẳng vào danh sách đối tượng báo cáo (tổ chức có nghĩa vụ báo cáo theo luật chống rửa tiền) ở Luật Phòng, chống rửa tiền Điều 4 khoản 1 điểm n.

Trước mốc đó, Nghị quyết 05 đã buộc sàn thực hiện các biện pháp chống rửa tiền áp dụng với tổ chức tài chính, kể cả báo cáo giao dịch đáng ngờ (Điều 15 khoản 2 điểm b). Báo cáo đi tới Cục Phòng, chống rửa tiền. Theo Ngân hàng Nhà nước (tin ngày 29/8/2025), Cục Phòng, chống rửa tiền giữ vai trò đơn vị tình báo tài chính (FIU) của Việt Nam. Giải thích ở thuật ngữ FIU.

Khi có cơ sở hợp lý để nghi ngờ, Ngân hàng Nhà nước chuyển thông tin hoặc hồ sơ cho cơ quan có thẩm quyền trong 07 ngày làm việc (Luật Phòng, chống rửa tiền Điều 42 khoản 1). Toàn bộ đường đi của một báo cáo ở trang giao dịch đáng ngờ là gì.

Ngoài báo cáo chủ động, sàn còn phải cung cấp kịp thời hồ sơ đang lưu cho Ngân hàng Nhà nước và cơ quan nhà nước có thẩm quyền “theo quy định của Chính phủ”. Làm việc này, sàn “không bị coi là vi phạm quy định của pháp luật về bảo đảm bí mật thông tin” (Luật Phòng, chống rửa tiền Điều 39 khoản 1, 2).

Báo cáo tháng về thị trường

Ngày 10 hằng tháng, sàn gửi Bộ Tài chính, Ngân hàng Nhà nước, Bộ Công an thông tin về tình hình thị trường tháng trước. Nghị quyết 05 không liệt kê báo cáo này gồm những trường nào, nên chúng tôi không biết nó có chứa dữ liệu từng khách hàng hay chỉ là số liệu tổng hợp.

Nghị quyết 05 còn buộc sàn “Báo cáo theo yêu cầu của cơ quan quản lý” (điểm o cùng khoản). Không báo cáo theo yêu cầu, sàn có thể bị phạt 70–100 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 8 khoản 5 điểm a).

Công an và cơ quan tố tụng

Trong vụ án hình sự, cơ quan tiến hành tố tụng có quyền yêu cầu sàn cung cấp dữ liệu điện tử. Bộ luật Tố tụng hình sự cho cơ quan này quyền “yêu cầu cơ quan, tổ chức, cá nhân cung cấp chứng cứ, tài liệu, đồ vật, dữ liệu điện tử” (Điều 88 khoản 1). Điều này không nhắc riêng sàn tài sản mã hóa, mà áp dụng cho mọi tổ chức đang giữ dữ liệu liên quan đến vụ án.

Sàn có báo cho bạn biết khi gửi dữ liệu không?

Tùy loại: dữ liệu thuế bạn thấy được qua chứng từ khấu trừ, còn việc báo cáo giao dịch đáng ngờ thì không.

Với thuế, sàn phải cấp cho bạn chứng từ khấu trừ thuế theo năm, bằng phương thức điện tử (Thông tư 41 Điều 5 khoản 3). Chứng từ cho bạn biết số thuế sàn đã khấu trừ của mình. Thông tư 41 không buộc sàn gửi bạn bản sao bảng kê tháng.

Với báo cáo giao dịch đáng ngờ, Luật Phòng, chống rửa tiền Điều 40 khoản 2 viết: “Đối tượng báo cáo, người quản lý, người lao động thuộc đối tượng báo cáo không được tiết lộ thông tin về việc đã báo cáo giao dịch đáng ngờ hoặc các thông tin có liên quan đến giao dịch đáng ngờ cho Ngân hàng Nhà nước Việt Nam.”

Theo cách đọc của chúng tôi, cụm “cho Ngân hàng Nhà nước Việt Nam” gắn với việc báo cáo, nên khoản này cấm tiết lộ việc đã báo cáo với bất kỳ ai, kể cả khách hàng. Luật 23/2026/QH16 không sửa Điều 40.

Bạn thường chỉ thấy hệ quả gián tiếp, như sàn hỏi thêm nguồn gốc tài sản. Ví dụ cụ thể ở trang nạp coin vào sàn được cấp phép bị hỏi nguồn gốc.

Sàn có cần bạn đồng ý trước khi gửi không?

Theo cách đọc của chúng tôi, sàn không cần bạn đồng ý khi gửi dữ liệu để thực hiện nghĩa vụ theo quy định của pháp luật. Luật Bảo vệ dữ liệu cá nhân có nhóm trường hợp xử lý dữ liệu không cần sự đồng ý.

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực từ 01/01/2026, liệt kê các trường hợp xử lý không cần sự đồng ý của người có dữ liệu. Ba ý gần nhất với chuyện sàn gửi dữ liệu (Điều 19 khoản 1 điểm b, c, đ):

• “phòng, chống tội phạm và vi phạm pháp luật”;
• “Phục vụ hoạt động của cơ quan nhà nước, hoạt động quản lý nhà nước theo quy định của pháp luật”;
• “Trường hợp khác theo quy định của pháp luật”.

Với dữ liệu cơ quan nhà nước yêu cầu, luật viết thẳng hơn: Điều 17 khoản 1 cho phép chuyển giao dữ liệu cá nhân “theo yêu cầu của cơ quan nhà nước có thẩm quyền” (điểm đ), là một trường hợp tách riêng với chuyển giao “khi có sự đồng ý của chủ thể dữ liệu cá nhân” (điểm a).

Theo cách đọc của chúng tôi, những báo cáo sàn tự gửi mà không đợi yêu cầu, như bảng kê thuế hằng tháng theo Thông tư 41 và báo cáo giao dịch đáng ngờ, thuộc các ý của Điều 19 nói trên, nên sàn không phải xin bạn đồng ý từng lần. Luật không nêu đích danh từng nghĩa vụ báo cáo của sàn, nên đây là suy luận từ câu chữ.

Xử lý không cần đồng ý vẫn có ràng buộc: sàn phải có quy trình, biện pháp bảo vệ, kiểm tra định kỳ và cơ chế tiếp nhận phản ánh (Luật Bảo vệ dữ liệu cá nhân Điều 19 khoản 2).

Ngược lại, gửi dữ liệu cho một công ty khác không vì nghĩa vụ luật định thì cần sự đồng ý của bạn, trừ trường hợp pháp luật có quy định khác (Điều 15 khoản 2 điểm b).

Bạn có quyền gì với dữ liệu của mình?

Bạn được biết, xem, sửa, yêu cầu cung cấp và yêu cầu xóa dữ liệu, nhưng quyền xóa bị giới hạn khi luật buộc sàn phải lưu. Các quyền nằm ở Luật Bảo vệ dữ liệu cá nhân Điều 4 khoản 1.

Quyền	Nội dung theo luật	Giới hạn
Được biết	Biết về hoạt động xử lý dữ liệu của mình
Xem, sửa	Tự sửa một số loại dữ liệu theo thỏa thuận, hoặc đề nghị sàn sửa	Không sửa được vì lý do chính đáng thì sàn phải báo bạn (Điều 13 khoản 3)
Yêu cầu cung cấp	Sàn cung cấp dữ liệu cho chính bạn theo yêu cầu	Trừ khi có thể gây tổn hại quốc phòng, an ninh hoặc xâm phạm người khác (Điều 15 khoản 2 điểm a)
Yêu cầu xóa	Xóa khi bạn yêu cầu, khi hết mục đích, khi hết thời hạn lưu	Không xóa trong các trường hợp của Điều 19 (Điều 14 khoản 2)
Khiếu nại, khởi kiện	Khiếu nại, tố cáo, khởi kiện, yêu cầu bồi thường

Theo cách đọc của chúng tôi, yêu cầu xóa lịch sử giao dịch hay hồ sơ định danh trong thời hạn 10 năm sẽ bị từ chối. Lý do là việc lưu đó thuộc nhóm xử lý không cần đồng ý, cụ thể là “Trường hợp khác theo quy định của pháp luật” (Điều 19 khoản 1 điểm đ). Quyền xóa không áp dụng cho nhóm này, như câu luật trích ở khối căn cứ pháp lý cuối trang.

Sàn không xóa được vì lý do chính đáng thì phải thông báo cho bạn biết (Điều 14 khoản 5). Khi hết thời hạn lưu theo luật, việc xóa, hủy là một trường hợp luật dự liệu (khoản 1 điểm c cùng điều).

Luật buộc sàn thực hiện yêu cầu của bạn “trong thời hạn theo quy định của pháp luật” và giao Chính phủ quy định chi tiết (Điều 4 khoản 5).

Số ngày nằm ở Nghị định 356/2025/NĐ-CP: sàn phản hồi trong 02 ngày làm việc, rồi thực hiện trong 10 ngày với yêu cầu xem, sửa, cung cấp và 20 ngày với yêu cầu xóa, mỗi loại được gia hạn tối đa một lần (Điều 5 khoản 3, 4).

Dữ liệu của bạn có được đưa ra nước ngoài không?

Nghị quyết 05 buộc lưu trên máy chủ tại Việt Nam; nếu dữ liệu ra nước ngoài thì phải theo thủ tục chuyển dữ liệu xuyên biên giới.

Nghị quyết 05 nói “Lưu trữ trên hệ thống máy chủ tại Việt Nam” nhưng không nói cấm có bản sao ở nơi khác. Luật Bảo vệ dữ liệu cá nhân coi việc chuyển dữ liệu đang lưu tại Việt Nam ra hệ thống lưu trữ ở nước ngoài, hoặc dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam, là chuyển dữ liệu xuyên biên giới (Điều 20 khoản 1).

Tổ chức làm việc này phải lập hồ sơ đánh giá tác động và gửi cơ quan chuyên trách bảo vệ dữ liệu cá nhân (cơ quan thuộc Bộ Công an, được luật giao tiếp nhận thông báo, xử lý vi phạm về dữ liệu cá nhân) trong 60 ngày kể từ lần chuyển đầu tiên. Cơ quan này có thể yêu cầu ngừng chuyển khi phát hiện dữ liệu bị dùng vào việc có thể gây tổn hại quốc phòng, an ninh (Điều 20 khoản 2, 5).

Lộ hoặc bán dữ liệu tài khoản thì ai bị phạt?

Thu thập, mua bán, công khai trái phép dữ liệu tài khoản tài sản mã hóa có thể bị phạt tới 200 triệu đồng với tổ chức. Hành vi này có điều riêng ở Nghị định 284/2026/NĐ-CP, áp dụng cho bất kỳ ai làm, không chỉ sàn.

Hành vi	Mức phạt có thể áp (tổ chức)	Căn cứ
Thu thập, tàng trữ, trao đổi, mua bán, tặng cho, công khai hóa trái phép dữ liệu, thông tin tài khoản tài sản mã hóa	150–200 triệu đồng, có thể kèm đình chỉ hoạt động giao dịch 01–03 tháng	Nghị định 284 Điều 11
Sàn không lưu trên máy chủ tại Việt Nam, trong thời hạn quy định, các thông tin của điểm l	100–150 triệu đồng	Nghị định 284 Điều 8 khoản 6 điểm đ
Không lưu đủ, không đúng thời hạn, không cung cấp kịp thời hồ sơ chống rửa tiền, không bảo mật thông tin nhận biết khách hàng	150–200 triệu đồng	Nghị định 284 Điều 13 khoản 7

Cá nhân vi phạm như tổ chức thì có thể bị phạt bằng một nửa, ví dụ 75–100 triệu đồng với hành vi thu thập, mua bán trái phép dữ liệu tài khoản (Nghị định 284 Điều 4 khoản 2). Với hành vi này, người vi phạm còn có thể bị buộc nộp lại số lợi bất hợp pháp.

Luật Bảo vệ dữ liệu cá nhân đặt thêm khung chung: mức phạt tối đa với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được, với tổ chức vi phạm quy định chuyển dữ liệu xuyên biên giới là 5% doanh thu năm trước liền kề, với các vi phạm khác là 03 tỷ đồng; cá nhân bằng một nửa (Điều 8 khoản 3 đến 6). Đây là mức trần luật cho phép, không phải mức tự động.

Khi phát hiện vi phạm có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của người có dữ liệu, sàn phải báo cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm nhất 72 giờ kể từ khi phát hiện (Luật Bảo vệ dữ liệu cá nhân Điều 23 khoản 1).

Quy định riêng cho lĩnh vực tài chính, ngân hàng còn buộc thông báo cho chính người có dữ liệu khi lộ thông tin tài khoản ngân hàng, tài chính (Điều 27 khoản 1 điểm d). Luật không nói rõ sàn tài sản mã hóa có thuộc “lĩnh vực tài chính” ở điều này hay không.

Áp dụng từ ngày nào

Văn bản	Nội dung dùng trên trang	Hiệu lực
Nghị quyết 05/2025/NQ-CP	Danh sách dữ liệu lưu 10 năm, báo cáo tháng	09/9/2025
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15	Quyền của bạn, trường hợp không cần đồng ý, chuyển ra nước ngoài	01/01/2026
Nghị định 356/2025/NĐ-CP	Thời hạn sàn xử lý yêu cầu của bạn	01/01/2026
Thông tư 41/2026/TT-BTC	Khấu trừ thuế, bảng kê tháng, chứng từ năm	06/4/2026
Luật Quản lý thuế 108/2025/QH15	Nghĩa vụ cung cấp thông tin cho cơ quan thuế	01/7/2026
Nghị định 284/2026/NĐ-CP	Mức phạt	01/9/2026
Luật Phòng, chống rửa tiền 14/2022/QH15, bản sửa bởi Luật 23/2026/QH16	Lưu hồ sơ, báo cáo, bảo mật	01/3/2023; phần sửa từ 01/12/2026

Chúng tôi chưa thấy luật sửa đổi Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 tính đến ngày kiểm trang.