Thông tư 64/2024/TT-NHNN quy định về triển khai giao diện lập trình ứng dụng mở trong ngành Ngân hàng do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành

Tóm tắt mang tính tham khảo.

Thông tư 64/2024/TT-NHNN do Thống đốc Ngân hàng Nhà nước Việt Nam ban hành quy định về việc triển khai giao diện lập trình ứng dụng mở (Open API) trong ngành Ngân hàng. Đây là văn bản pháp lý quan trọng nhằm thiết lập khuôn khổ kỹ thuật và pháp lý cho việc kết nối, chia sẻ dữ liệu an toàn giữa các ngân hàng với bên thứ ba, góp phần thúc đẩy thanh toán không dùng tiền mặt và phát triển các dịch vụ tài chính số hiện đại. Phạm vi điều chỉnh và đối tượng áp dụng Thông tư này quy định chi tiết về việc triển khai giao diện lập trình ứng dụng mở trong ngành Ngân hàng. Quy định này không áp dụng đối với việc kết nối, xử lý dữ liệu chứa thông tin thuộc phạm vi bí mật nhà nước. Đồng thời, Thông tư cũng không điều chỉnh việc kết nối, xử lý dữ liệu trực tiếp phục vụ nghiệp vụ nội bộ của chính tổ chức đó hoặc kết nối giữa Ngân hàng với Tổ chức chủ trì hệ thống bù trừ điện tử. Đối tượng áp dụng bao gồm các ngân hàng thương mại, ngân hàng hợp tác xã, chi nhánh ngân hàng nước ngoài (gọi chung là Ngân hàng) và các tổ chức, cá nhân có liên quan đến việc triển khai dịch vụ qua giao diện lập trình ứng dụng mở trong ngành Ngân hàng. - Nguyên tắc chung khi triển khai Open API Các bên tham gia phải tuân thủ nghiêm ngặt quy định pháp luật về giữ bí mật, cung cấp thông tin khách hàng và bảo vệ dữ liệu cá nhân. Việc xử lý dữ liệu cá nhân của khách hàng chỉ được thực hiện nhằm phục vụ cho chính khách hàng đó, trừ các trường hợp khác do pháp luật quy định. Dữ liệu phát sinh trong quá trình xử lý phải được quản lý, lưu trữ, khai thác và sử dụng đúng mục đích đã thỏa thuận trong hợp đồng giữa các bên, đồng thời phải bảo đảm tính cập nhật, chính xác. Trường hợp phát hiện sai lệch, các bên phải phối hợp đính chính, hiệu chỉnh kịp thời. Khi triển khai Open API cơ bản, Ngân hàng phải tuân thủ các quy định về đặc tả kỹ thuật và tiêu chuẩn kỹ thuật liên quan. Đối với các Open API khác ngoài danh mục cơ bản, Ngân hàng vẫn phải tuân thủ các tiêu chuẩn kỹ thuật chung theo quy định. Ngân hàng chỉ được phép cung cấp Open API khởi tạo thanh toán, nạp tiền hoặc rút tiền từ ví điện tử cho bên thứ ba là các Ngân hàng khác hoặc các tổ chức cung ứng dịch vụ trung gian thanh toán. - Danh mục Open API cơ bản và tiêu chuẩn kỹ thuật Danh mục Open API cơ bản trong ngành Ngân hàng được phân chia thành các nhóm cụ thể sau: Nhóm truy vấn thông tin tỷ giá, lãi suất: Bao gồm API lấy thông tin lãi suất và API lấy thông tin tỷ giá của Ngân hàng. Nhóm truy vấn thông tin của khách hàng: Bao gồm API xác nhận và lấy sự đồng ý của khách hàng, API lấy mã truy cập, API làm mới mã truy cập, API thu hồi mã truy cập, API lấy danh sách tài khoản, API lấy thông tin tài khoản và API lấy lịch sử giao dịch. Nhóm khởi tạo thanh toán, nạp/rút tiền ví điện tử: Bao gồm các API khởi tạo thanh toán, xác nhận khách hàng luồng Redirect, lấy mã truy cập luồng Redirect, cập nhật trạng thái xác nhận thanh toán luồng Decoupled, xác nhận thanh toán, lấy trạng thái giao dịch, lấy trạng thái xác nhận thanh toán luồng Decoupled; các API nạp tiền vào ví điện tử và API rút tiền ra khỏi ví điện tử. Tiêu chuẩn kỹ thuật triển khai Open API bao gồm tiêu chuẩn kiến trúc, tiêu chuẩn dữ liệu và tiêu chuẩn an toàn thông tin được quy định chi tiết tại phụ lục ban hành kèm theo Thông tư. - Quy định về hợp đồng giữa Ngân hàng với bên thứ ba Trước khi chính thức kết nối và xử lý dữ liệu qua Open API, Ngân hàng phải ký kết hợp đồng với bên thứ ba, bảo đảm có tối thiểu các nội dung sau: Cam kết bảo mật thông tin và bảo đảm an toàn, an ninh mạng trong quá trình xử lý dữ liệu qua Open API. Cam kết sử dụng dữ liệu do Ngân hàng cung cấp đúng phạm vi và mục đích đã thỏa thuận. Nghĩa vụ của bên thứ ba trong việc thông báo cho Ngân hàng khi phát hiện nhân sự vi phạm quy định về an toàn thông tin mạng. Thông tin chi tiết về dịch vụ cung cấp cho khách hàng và các khoản phí dịch vụ liên quan (nếu có). Điều khoản quy định hệ thống thông tin của bên thứ ba kết nối phải được đánh giá, xác định cấp độ an toàn hệ thống thông tin theo quy định của Chính phủ. Quyền truy cập dữ liệu của bên thứ ba và các điều khoản chấm dứt hợp đồng. - Công khai thông tin Open API Ngân hàng có trách nhiệm công khai thông tin về Open API trên trang thông tin điện tử chính thức của mình trước khi thực hiện kết nối, xử lý dữ liệu với bên thứ ba. Nội dung công khai tối thiểu phải bao gồm thông tin về Hệ thống thử nghiệm Open API và danh mục các Open API mà Ngân hàng đang triển khai thực tế. - Quyền và trách nhiệm của Ngân hàng Ngân hàng có quyền yêu cầu bên thứ ba cung cấp các thông tin cần thiết liên quan đến quá trình kết nối, xử lý dữ liệu qua Open API và thực hiện các quyền khác theo thỏa thuận hợp đồng. Có trách nhiệm hoàn thiện cơ sở hạ tầng hệ thống thông tin, xây dựng tài liệu hướng dẫn kết nối và bảo đảm chất lượng dữ liệu trong quá trình triển khai. Bảo đảm an toàn, an ninh mạng cho hệ thống thông tin triển khai Open API, đáp ứng tối thiểu cấp độ 3 theo quy định của Chính phủ và tuân thủ các quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin. Cung cấp công cụ hoặc chức năng cho phép khách hàng tra cứu các dữ liệu đã đồng ý cho bên thứ ba xử lý, hoặc rút lại sự đồng ý theo quy định của pháp luật. Thiết lập thời hạn thực hiện truy vấn thông tin khách hàng sau khi được đồng ý không quá 180 ngày, trừ trường hợp có thỏa thuận khác. Áp dụng giải pháp công nghệ để giới hạn số lần truy vấn tự động thông tin khách hàng từ bên thứ ba nhằm phòng ngừa rủi ro nghẽn mạng hoặc khai thác dữ liệu quá mức. Chịu trách nhiệm thẩm định, lựa chọn, giám sát và quản lý bên thứ ba; thực hiện ghi nhật ký sử dụng Open API tối thiểu trong vòng 03 tháng và sao lưu dữ liệu tối thiểu 01 năm để phục vụ công tác kiểm tra. - Quyền và trách nhiệm của bên thứ ba Bên thứ ba có các quyền theo thỏa thuận hợp đồng với Ngân hàng và khách hàng. Có trách nhiệm cung cấp công cụ hoặc chức năng trực tuyến cho phép khách hàng tra cứu dữ liệu đã đồng ý chia sẻ hoặc rút lại sự đồng ý của mình. Thông báo rõ ràng cho khách hàng về các điều khoản, điều kiện sử dụng dịch vụ và hướng dẫn khách hàng sử dụng an toàn. Ban hành đầy đủ các quy trình nội bộ bao gồm: Quy trình quản lý rủi ro, quy trình chăm sóc khách hàng, quy trình xử lý khiếu nại, quy trình giải quyết tranh chấp và quy trình bảo đảm hoạt động liên tục. Khai thác, sử dụng dữ liệu đúng phạm vi thỏa thuận; thông báo kịp thời cho Ngân hàng khi xảy ra sự cố công nghệ thông tin, an toàn thông tin hoặc khi phát hiện sai lệch dữ liệu để phối hợp xử lý. - Trách nhiệm của Cục Công nghệ thông tin Chủ trì, phối hợp với các đơn vị liên quan thuộc Ngân hàng Nhà nước Việt Nam để giải quyết các vướng mắc phát sinh trong quá trình thực hiện Thông tư. Theo dõi, tổng hợp và báo cáo Thống đốc Ngân hàng Nhà nước về tình hình triển khai Open API của các Ngân hàng. Thực hiện công tác kiểm tra các Ngân hàng trong việc chấp hành các quy định tại Thông tư này. Hiệu lực thi hành và điều khoản chuyển tiếp Thông tư 64/2024/TT-NHNN có hiệu lực thi hành kể từ ngày 01 tháng 3 năm 2025 . Đối với các Ngân hàng đã thực hiện kết nối, xử lý dữ liệu trực tiếp với bên thứ ba qua API hoặc Open API để cung cấp dịch vụ cho khách hàng cá nhân trước ngày Thông tư này có hiệu lực, lộ trình chuyển tiếp được quy định như sau: Phải lập danh mục API, Open API đang triển khai và xây dựng kế hoạch thực hiện chi tiết bảo đảm tuân thủ quy định gửi Ngân hàng Nhà nước Việt Nam (thông qua Cục Công nghệ thông tin), hoàn thành trước ngày 01 tháng 07 năm 2025 . Phải hoàn thành việc tuân thủ toàn bộ các quy định tại Thông tư này trước ngày 01 tháng 3 năm 2027 .