Theo Luật An ninh mạng 2025, công ty quản lý quỹ bảo vệ dữ liệu nhà đầu tư thế nào?

Danh mục đầu tư của quỹ là thông tin có giá trị thị trường, còn dữ liệu nhà đầu tư cho biết ai có bao nhiêu tiền.

Công ty quản lý quỹ nắm hai loại thông tin nhạy cảm cùng lúc: danh mục đầu tư của quỹ — thông tin có giá trị thị trường lớn nếu bị lộ trước; và dữ liệu nhà đầu tư — cho biết ai có bao nhiêu tiền, đầu tư vào đâu.

Lưu ý trước: hoạt động quản lý quỹ chịu điều chỉnh của pháp luật chuyên ngành về chứng khoán, bao gồm quy định về công bố thông tin và giao dịch nội bộ. Bài viết bàn về khía cạnh bảo mật dữ liệu.

Danh mục đầu tư — thông tin nhạy cảm về thị trường

Biết trước quỹ sắp mua hay bán cổ phiếu nào là lợi thế lớn trên thị trường. Rò rỉ thông tin này gây thiệt hại cho chính nhà đầu tư của quỹ, vì giá sẽ bị đẩy trước khi quỹ giao dịch xong.

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu. Bảy biện pháp:

• Giới hạn tối đa số người biết kế hoạch giao dịch;
• Phân mảnh thông tin — người phân tích, người ra quyết định, người thực hiện lệnh mỗi bên biết phần của mình;
• Không thảo luận qua kênh không được kiểm soát — ứng dụng nhắn tin cá nhân, điện thoại cá nhân;
• Ghi nhật ký mọi lần truy cập tài liệu về danh mục;
• Kiểm soát tài liệu in — đánh số, thu hồi, hủy có kiểm soát;
• Giám sát bất thường — truy cập ngoài giờ, tải tài liệu số lượng lớn;
• Cam kết bảo mật có hiệu lực sau khi nghỉ việc.

Điểm thứ ba đáng nhấn mạnh: trao đổi về giao dịch sắp thực hiện qua ứng dụng nhắn tin cá nhân vừa là rủi ro rò rỉ vừa khiến không có bằng chứng khi cần chứng minh quy trình đúng.

Dữ liệu nhà đầu tư

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Hồ sơ nhà đầu tư cho biết: tài sản, nguồn thu nhập, mức chấp nhận rủi ro, danh mục nắm giữ. Với nhà đầu tư cá nhân, đây là thông tin họ thường không chia sẻ với ai.

Sáu biện pháp:

• Phân quyền chặt — nhân viên chăm sóc chỉ xem khách mình phụ trách;
• Không tiết lộ danh sách nhà đầu tư của quỹ;
• Ghi nhật ký truy cập hồ sơ;
• Không gửi báo cáo danh mục qua kênh không mã hóa;
• Xác minh danh tính trước khi cung cấp thông tin qua điện thoại;
• Xóa hồ sơ sau khi hết thời hạn lưu theo quy định.

Điểm thứ hai quan trọng: danh sách nhà đầu tư của một quỹ là thông tin mà nhiều bên muốn có — từ công ty bảo hiểm, ngân hàng tới đơn vị bán bất động sản.

Minh bạch với nhà đầu tư

Khoản 5 Điều 41 Luật 148/2025/QH15 quy định người dùng được lựa chọn sử dụng hoặc ngừng sử dụng sản phẩm, dịch vụ số trên cơ sở được cung cấp thông tin đầy đủ, rõ ràng, chính xác, minh bạch, kịp thời về điều khoản, điều kiện sử dụng; không bị áp đặt điều kiện bất hợp lý hoặc bị phân biệt đối xử khi sử dụng sản phẩm, dịch vụ số.

Sáu nội dung cần rõ:

• Mọi loại phí — phí quản lý, phí phát hành, phí mua lại, phí hiệu quả;
• Cách tính giá trị tài sản ròng;
• Chiến lược đầu tư và giới hạn của quỹ;
• Rủi ro — nêu thật, không giảm nhẹ;
• Kết quả quá khứ trình bày đầy đủ, gồm cả giai đoạn kém;
• Điều kiện rút vốn.

Nguyên tắc thông tin phải chính xác đặc biệt quan trọng với điểm thứ năm: chọn giai đoạn có lợi để trình bày kết quả là hình thức thông tin không đầy đủ.

Ứng dụng cho nhà đầu tư

Nhiều quỹ có ứng dụng riêng để nhà đầu tư theo dõi danh mục. Năm yêu cầu:

• Xác thực nhiều lớp bắt buộc;
• Cảnh báo đăng nhập từ thiết bị lạ;
• Không xin quyền truy cập không cần thiết;
• Tự động đăng xuất sau thời gian không hoạt động;
• Không hiển thị số dư trên màn hình chờ hoặc thông báo đẩy.

Điểm cuối là chi tiết nhỏ nhưng có ý nghĩa: thông báo hiện trên màn hình khóa với nội dung về giá trị tài khoản là rò rỉ thông tin cho bất kỳ ai nhìn thấy điện thoại.

An ninh hệ thống

Điều 16 Luật 116/2025/QH15 quy định về các hoạt động bảo vệ an ninh mạng. Công ty quản lý quỹ là mục tiêu giá trị cao vì hai lý do: thông tin giao dịch có giá trị thị trường; và hệ thống có thể liên quan tới việc chuyển tiền.

Sáu biện pháp:

• Phân tách hệ thống giao dịch khỏi hệ thống văn phòng;
• Xác thực nhiều lớp cho mọi tài khoản;
• Phân tách nhiệm vụ — người tạo lệnh khác người duyệt;
• Quy tắc xác minh cho mọi yêu cầu chuyển tiền, kể cả từ lãnh đạo;
• Kiểm thử xâm nhập định kỳ;
• Kế hoạch ứng phó sự cố có diễn tập.

Điểm thứ tư đáng nhấn mạnh: lừa đảo giả danh lãnh đạo yêu cầu chuyển tiền gấp là hình thức tấn công phổ biến nhắm vào ngành tài chính.

Xung đột lợi ích

Nhân sự công ty quản lý quỹ biết trước các giao dịch của quỹ. Đây là vấn đề pháp lý nghiêm trọng theo pháp luật chứng khoán, và cũng là vấn đề kiểm soát dữ liệu.

Bốn biện pháp:

• Ghi nhận tài khoản giao dịch cá nhân của nhân sự;
• Quy định về giao dịch cá nhân — thời gian nắm giữ tối thiểu, danh mục cấm;
• Giám sát và đối chiếu định kỳ;
• Ghi nhật ký ai biết thông tin gì, khi nào.

Điểm cuối vừa là biện pháp phòng ngừa vừa là công cụ điều tra khi có nghi vấn.

Nhà cung cấp dịch vụ bên ngoài

Công ty quản lý quỹ thuê ngoài nhiều dịch vụ: lưu ký, định giá, kế toán quỹ, phần mềm giao dịch. Mỗi bên tiếp cận một phần dữ liệu.

Bốn nguyên tắc: thẩm định năng lực bảo mật trước khi hợp tác; giới hạn phạm vi dữ liệu chia sẻ; cam kết bảo mật và trách nhiệm rõ trong hợp đồng; và rà soát định kỳ danh sách bên có quyền truy cập.

Danh sách kiểm tra

• Có bao nhiêu người biết kế hoạch giao dịch trước khi thực hiện?
• Có thảo luận về giao dịch qua kênh không kiểm soát không?
• Nhân viên có xem được hồ sơ mọi nhà đầu tư không?
• Báo cáo danh mục gửi qua kênh mã hóa không?
• Có quy tắc xác minh cho yêu cầu chuyển tiền không?
• Ứng dụng có hiển thị số dư trên thông báo đẩy không?
• Có giám sát giao dịch cá nhân của nhân sự không?

Đọc thêm cùng chủ đề

• Dịch vụ xác minh thông tin cho doanh nghiệp có giới hạn pháp lý nào?
• Đơn vị quản lý ký túc xá sinh viên số hoá cần lưu ý những gì?
• Trung tâm huấn luyện thể thao xử lý dữ liệu vận động viên ra sao?

Căn cứ pháp lý

• Luật 116/2025/QH15 Điều 26
• Luật 116/2025/QH15 Điều 16
• Luật 148/2025/QH15 Điều 27
• Luật 148/2025/QH15 Điều 41

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.