Điều 9. Bảo vệ dữ liệu
Tổ chức tín dụng phải có các biện pháp thích hợp để đảm bảo dữ liệu của mọi giao dịch ngân hàng điện tử được lưu trữ an toàn, đầy đủ, toàn vẹn và chính xác theo nguyên tắc:
a) Tất cả các dữ liệu, cơ sở dữ liệu của giao dịch ngân hàng điện tử đều được lưu trữ, trong đó cần lưu ý đối với việc mở hoặc đóng tài khoản của khách hàng; giao dịch có liên quan đến kết quả tài chính; sự thay đổi về thẩm quyền truy cập, phạm vi truy cập và giới hạn được phép giao dịch của từng cá nhân trong tổ chức tín dụng và khách hàng.
b) Quy định về việc cấp, đăng ký và bảo mật đối với quyền truy cập của từng nhân viên, cán bộ của tổ chức tín dụng và khách hàng trong hoạt động ngân hàng điện tử.
c) Mọi trường hợp bổ sung, xoá bỏ hoặc thay đổi cơ sở dữ liệu của một tổ chức, cá nhân hoặc hệ thống phải do một đầu mối có thẩm quyền thực hiện. Thông tin về thời điểm xoá bỏ, thay đổi cơ sở dữ liệu và người thực hiện việc xoá bỏ, thay đổi đó phải được lưu lại để phục vụ công tác kiểm tra, kiểm soát.
Tổ chức tín dụng phải xây dựng quy trình kiểm soát an toàn dữ liệu trong hoạt động ngân hàng điện tử.
a) Áp dụng các biện pháp kỹ thuật, công nghệ cần thiết để ngăn chặn những trường hợp truy cập trái phép vào các ứng dụng và cơ sở dữ liệu của hoạt động ngân hàng điện tử;
b) Thường xuyên xem xét và kiểm định lại hiệu quả của các biện pháp quản lý an toàn dữ liệu để có những điều chỉnh kịp thời nếu cần thiết.
Tổ chức tín dụng phải áp dụng các biện pháp cần thiết nhằm đảm bảo bí mật thông tin hoạt động ngân hàng điện tử. Từng biện pháp cụ thể phải phù hợp với mức độ quan trọng của thông tin được truyền đi hay lưu trữ trong cơ sở dữ liệu.
a) Chỉ những cá nhân có thẩm quyền mới được phép tiếp cận đến dữ liệu mật của tổ chức tín dụng;
b) Mọi thông tin bí mật của tổ chức tín dụng phải được lưu trữ một cách an toàn và phải được bảo vệ khỏi mọi nguy cơ bị sửa đổi, truy cập trái phép hoặc rò rỉ trong quá trình truyền dữ liệu qua các mạng nội bộ hoặc mạng công cộng;
c) Trường hợp được quyền tiếp cận đến những thông tin mật của tổ chức tín dụng, bên thứ ba cũng phải tuân thủ mọi tiêu chuẩn và chế độ kiểm tra, kiểm soát do tổ chức tín dụng quy định;
d) Tổ chức tín dụng phải thực hiện các biện pháp kỹ thuật để lưu trữ từng lượt truy cập thông tin mật và bảo đảm thông tin lưu trữ này không bị sửa đổi.