eKYC (electronic Know Your Customer, định danh khách hàng điện tử) là cách một doanh nghiệp xác minh "người đang đăng ký có đúng là người trên giấy tờ không" mà không cần gặp mặt: khách chụp căn cước, quay khuôn mặt, hệ thống đọc giấy tờ, kiểm tra đó là người thật đang đứng trước máy, rồi so khuôn mặt với ảnh trên giấy tờ hoặc trong chip. Nhận định của bài: với doanh nghiệp không thuộc ngành bị luật bắt buộc, mua eKYC là nhận thêm trách nhiệm giữ dữ liệu sinh trắc học của khách, nên chỉ mua khi thiệt hại do gian lận danh tính lớn hơn cái giá của trách nhiệm đó.
Bài viết cho người đọc báo giá: chủ doanh nghiệp, giám đốc vận hành, người phụ trách sản phẩm số ở công ty tài chính, cho thuê, bán hàng trả góp. Bài không phải tư vấn pháp lý; phần văn bản chỉ nêu số hiệu và nội dung chính để bạn đem đi hỏi luật sư hoặc nhà cung cấp.
Nghĩa bằng lời thường: bốn bước thay cho một lần gặp mặt
Ở quầy giao dịch, nhân viên cầm căn cước của bạn, nhìn ảnh, nhìn mặt bạn, rồi chép thông tin vào sổ. eKYC làm lại đúng việc đó qua điện thoại, chia thành bốn bước. Mỗi bước là một dòng tiền và một chỗ có thể sai:
- Đọc giấy tờ: chụp hai mặt căn cước, phần mềm nhận dạng chữ (OCR) đọc ra họ tên, số định danh, ngày sinh. Với căn cước gắn chip, điện thoại có NFC đọc thẳng dữ liệu trong chip, chính xác hơn đọc ảnh chụp và khó làm giả hơn.
- Kiểm tra người thật (liveness): yêu cầu khách quay mặt, chớp mắt hoặc nhìn theo hướng dẫn, để loại trường hợp giơ ảnh in, màn hình điện thoại khác hay video dựng sẵn.
- So khớp khuôn mặt (face match): so khuôn mặt vừa quay với ảnh trong chip hoặc ảnh trên giấy tờ, trả về một điểm giống nhau. Doanh nghiệp tự chọn ngưỡng: ngưỡng cao thì ít người gian lận lọt qua nhưng nhiều khách thật bị từ chối.
- Đối chiếu nguồn dữ liệu: kiểm tra giấy tờ còn hiệu lực, hoặc xác thực qua tài khoản định danh điện tử của công dân (ứng dụng VNeID) nếu doanh nghiệp được kết nối với hệ thống định danh và xác thực điện tử.
Ba bước đầu làm được bằng phần mềm mua ngoài. Bước thứ tư phụ thuộc vào việc doanh nghiệp có được phép kết nối với hệ thống của Nhà nước hay không, và thường đi qua một đơn vị cung cấp dịch vụ xác thực điện tử. Khi nhà cung cấp nói "eKYC đầy đủ", câu đầu tiên nên hỏi là đầy đủ mấy bước trong bốn bước trên.
Một điểm hay bị trộn: eKYC xác minh danh tính một lần, lúc mở tài khoản. Xác thực đăng nhập hằng ngày (mật khẩu, mã OTP, xác thực hai lớp) là chuyện khác. Một hệ thống có thể có eKYC rất kỹ lúc đăng ký nhưng để lộ tài khoản vì mật khẩu yếu về sau.
Văn bản đang áp dụng: ngành nào bị buộc, ngành nào tự chọn
Khung chung là Nghị định 69/2024/NĐ-CP quy định về định danh và xác thực điện tử, ban hành 25/06/2024, hiệu lực từ 01/07/2024. Nghị định này quy định danh tính điện tử, tài khoản định danh điện tử, việc kết nối với hệ thống định danh và xác thực điện tử, và dịch vụ xác thực điện tử mà tổ chức khác được dùng.
Ngày 13/08/2026, Chính phủ ban hành Nghị định 320/2026/NĐ-CP sửa đổi, bổ sung một số điều của Nghị định 69/2024/NĐ-CP, hiệu lực từ 28/09/2026. Theo bản giới thiệu trên Cổng thông tin Chính phủ, hai điểm chạm tới doanh nghiệp là: cơ quan, tổ chức không được yêu cầu cá nhân nộp bản chính hoặc bản sao các giấy tờ đã tích hợp trên ứng dụng định danh quốc gia; và cơ quan, tổ chức thành lập tại Việt Nam cũng được cấp tài khoản định danh điện tử, tích hợp các loại giấy tờ như giấy phép kinh doanh. Với quy trình mở tài khoản khách hàng, điểm thứ nhất có nghĩa là màn hình "tải lên bản chụp giấy tờ" nên được thiết kế lại để nhận dữ liệu đã tích hợp thay vì bắt khách chụp lại.
Ngành bị buộc làm eKYC theo quy định riêng rõ nhất là ngân hàng và tổ chức cung ứng dịch vụ thanh toán. Thông tư 17/2024/TT-NHNN quy định việc mở và sử dụng tài khoản thanh toán, trong đó mở tài khoản bằng phương thức điện tử phải thu thập và đối chiếu thông tin sinh trắc học của chủ tài khoản. Thông tư 25/2025/TT-NHNN ban hành ngày 31/08/2025 đã sửa đổi, bổ sung một số điều của Thông tư 17. Các ngành tài chính khác như chứng khoán, bảo hiểm, ví điện tử có quy định riêng của ngành; doanh nghiệp trong các ngành này nên đọc bản hợp nhất mới nhất thay vì dựa vào tài liệu bán hàng của nhà cung cấp eKYC.
Ngoài các ngành đó, phần lớn doanh nghiệp tự chọn có làm eKYC hay không. Luật không cấm một cửa hàng online hay một nền tảng đặt lịch dùng eKYC, nhưng cũng không bắt. Và khi đã tự chọn thu thập khuôn mặt của khách, doanh nghiệp bước vào phạm vi của một luật khác.
Cái giá thật của eKYC nằm ở dữ liệu sinh trắc học, không ở phí mỗi lượt
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ 01/01/2026, Nghị định 356/2025/NĐ-CP hướng dẫn luật có hiệu lực cùng ngày và thay Nghị định 13/2023/NĐ-CP. Dữ liệu sinh trắc học, tức dữ liệu về đặc điểm sinh học ổn định dùng để nhận diện một người như khuôn mặt, vân tay, thuộc nhóm dữ liệu cá nhân nhạy cảm, và luật có điều riêng cho dữ liệu sinh trắc học cùng dữ liệu vị trí. Theo bài giới thiệu của Bộ Công an, mức phạt tối đa với vi phạm chung là 3 tỷ đồng, chuyển dữ liệu ra nước ngoài trái quy định có thể bị phạt tới 5% doanh thu năm trước, và mua bán dữ liệu cá nhân bị phạt tới 10 lần khoản thu có được.
Đọc theo góc người mua: một gói eKYC không chỉ là phần mềm đọc giấy tờ. Nó là một kho ảnh căn cước và khuôn mặt của khách hàng, nằm ở đâu đó, do ai đó giữ. Nếu kho đó bị lộ, người chịu trách nhiệm trước khách và trước cơ quan quản lý là doanh nghiệp đã thu thập, dù nhà cung cấp mới là bên vận hành máy chủ. Bài checklist tuân thủ Luật Bảo vệ dữ liệu cá nhân cho website liệt kê những việc cần làm khi thu thập dữ liệu cá nhân nói chung; với sinh trắc học, mọi mục trong đó đều nặng hơn một bậc.
Vì vậy câu hỏi đáng giá nhất khi thiết kế luồng eKYC là: sau khi xác minh xong, doanh nghiệp có cần giữ lại ảnh khuôn mặt không. Nhiều luồng chỉ cần giữ kết quả (đạt hay không, thời điểm, mã giao dịch với nhà cung cấp) và vài trường thông tin tối thiểu. Giữ càng ít thì khi có sự cố càng ít thứ để mất.
eKYC trong báo giá và hợp đồng: bốn dòng tiền, ba điều khoản
Báo giá eKYC thường gồm bốn loại phí. Phí tích hợp một lần để gắn bộ công cụ (SDK) vào ứng dụng hoặc website, hoặc nối qua API. Phí theo lượt cho từng bước: đọc giấy tờ, kiểm tra người thật, so khớp khuôn mặt, đối chiếu nguồn; có nhà cung cấp gộp thành một lượt, có nơi tính riêng từng bước. Phí cam kết tối thiểu theo tháng hoặc theo năm, trả dù dùng ít. Và phí lưu trữ, nếu nhà cung cấp giữ ảnh hộ doanh nghiệp. Bảng giá công khai của các nhà cung cấp eKYC trong nước ít khi có sẵn trên website, nên bài không nêu con số; hãy yêu cầu bảng giá theo từng bước bằng văn bản.
Ba điều khoản cần đọc kỹ trong hợp đồng: ai là bên kiểm soát dữ liệu, ai là bên xử lý dữ liệu, và bên xử lý được làm gì với ảnh của khách (có được dùng để huấn luyện mô hình nhận diện không); dữ liệu nằm ở máy chủ trong nước hay nước ngoài; và khi chấm dứt hợp đồng thì dữ liệu được xoá hay trả lại thế nào, trong bao lâu, có biên bản không.
Có một chi phí không nằm trên báo giá: khách thật bị từ chối. Ngưỡng so khớp càng chặt, càng nhiều khách lớn tuổi, khách dùng điện thoại camera kém, khách đứng chỗ thiếu sáng bị hỏng giữa chừng. Mỗi người bỏ cuộc ở màn quay mặt là một đơn hàng mất. Nhà cung cấp nào cũng quảng cáo tỷ lệ chính xác cao; con số đáng hỏi là tỷ lệ khách hoàn tất luồng trên dữ liệu thật của khách hàng hiện có của họ, cùng ngành với bạn.
Câu nên hỏi nhà cung cấp eKYC
- Gói của anh chị làm những bước nào: đọc ảnh giấy tờ, đọc chip NFC, kiểm tra người thật, so khớp khuôn mặt, đối chiếu nguồn dữ liệu? Bước nào tính phí riêng?
- Bên anh chị có được phép cung cấp dịch vụ xác thực điện tử kết nối với hệ thống định danh và xác thực điện tử theo Nghị định 69/2024/NĐ-CP không? Có giấy tờ nào chứng minh?
- Ảnh giấy tờ và ảnh khuôn mặt của khách được lưu ở đâu, bao lâu, ai truy cập được? Có tuỳ chọn không lưu ảnh, chỉ trả kết quả không?
- Dữ liệu có bị dùng để huấn luyện mô hình của anh chị không? Điều đó được ghi ở điều khoản nào?
- Tỷ lệ khách hoàn tất luồng eKYC ở các khách hàng cùng ngành với chúng tôi là bao nhiêu, đo trên bao nhiêu lượt, trong khoảng thời gian nào?
- Khi hệ thống của anh chị ngừng hoạt động, luồng đăng ký của chúng tôi xử lý thế nào? Cam kết thời gian hoạt động và bồi hoàn ra sao?
- Khi chấm dứt hợp đồng, dữ liệu được xoá trong bao lâu và có biên bản xác nhận không?
Khi nào không cần eKYC
Phần lớn giao dịch của doanh nghiệp không cần biết chắc khách là ai theo giấy tờ, chỉ cần biết khách có trả tiền và nhận hàng không. Những trường hợp sau thường không cần eKYC:
- Bán hàng online giao tận nơi, thu tiền khi nhận hoặc thanh toán trước qua ngân hàng: ngân hàng của khách đã làm eKYC thay bạn khi họ mở tài khoản.
- Chương trình thành viên, tích điểm, nhận ưu đãi: số điện thoại xác minh bằng mã OTP là đủ, và ít dữ liệu nhạy cảm hơn nhiều.
- Phần mềm nội bộ cho nhân viên: danh tính nhân viên đã được xác minh lúc ký hợp đồng lao động. Chấm công bằng khuôn mặt là một bài toán khác, cũng dính sinh trắc học, và cần được cân nhắc riêng.
- Giao dịch giá trị nhỏ, thiệt hại tối đa khi bị lừa nhỏ hơn chi phí eKYC cộng chi phí tuân thủ trong một năm.
Ngược lại, nên cân nhắc eKYC khi doanh nghiệp giao hàng hoặc giao tiền trước rồi mới thu (cho vay, trả góp, cho thuê thiết bị giá trị cao), khi nền tảng để người lạ giao dịch với nhau và mạo danh gây thiệt hại thật, hoặc khi ngành của bạn bị quy định riêng bắt buộc. Kể cả khi đó, hãy bắt đầu từ bước ít dữ liệu nhất đủ chặn loại gian lận bạn đang gặp, rồi mới thêm bước.
Câu hỏi thường gặp
eKYC là viết tắt của gì?
eKYC là electronic Know Your Customer, nghĩa là định danh khách hàng bằng phương thức điện tử. Khách tự chụp giấy tờ và quay khuôn mặt, hệ thống đọc, kiểm tra người thật và so khớp thay cho việc gặp mặt tại quầy.
Doanh nghiệp bán lẻ có bắt buộc làm eKYC không?
Thông thường là không. Quy định bắt buộc eKYC rõ nhất hiện nằm ở ngành ngân hàng và thanh toán (Thông tư 17/2024/TT-NHNN, sửa bởi Thông tư 25/2025/TT-NHNN) và các ngành tài chính có quy định riêng. Doanh nghiệp ở ngành khác nên hỏi luật sư nếu mô hình có yếu tố cho vay hoặc giữ tiền của khách.
eKYC và VNeID khác nhau thế nào?
VNeID là ứng dụng định danh quốc gia, nơi công dân có tài khoản định danh điện tử theo Nghị định 69/2024/NĐ-CP. eKYC là quy trình xác minh của một doanh nghiệp; quy trình đó có thể tự đọc giấy tờ và khuôn mặt, hoặc xác thực qua tài khoản định danh điện tử nếu được kết nối hợp lệ.
Ảnh khuôn mặt khách hàng có phải dữ liệu nhạy cảm không?
Có. Dữ liệu sinh trắc học như khuôn mặt, vân tay thuộc nhóm dữ liệu cá nhân nhạy cảm theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP, nên việc thu thập, lưu trữ và chia sẻ phải chặt hơn dữ liệu thông thường.
Có nên tự viết phần eKYC thay vì mua?
Hiếm khi nên. Phần kiểm tra người thật và so khớp khuôn mặt cần dữ liệu huấn luyện lớn và được thử với nhiều kiểu tấn công giả mạo; doanh nghiệp thường chỉ nên tự làm phần luồng giao diện, lưu kết quả và phân quyền, còn phần nhận diện mua của nhà cung cấp chuyên.
