Làm lộ thông tin của khách hàng, nhân viên ngân hàng bị xử lý thế nào?

1. Trách nhiệm bảo mật thông tin khách hàng của tổ chức tín dụng

Thông tin khách hàng được quy định tại Khoản 1 Điều 3 Nghị định 117/2018/NĐ-CP như sau:

"Thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài (sau đây gọi là thông tin khách hàng) là thông tin do khách hàng cung cấp, thông tin phát sinh trong quá trình khách hàng đề nghị hoặc được tổ chức tín dụng, chi nhánh ngân hàng nước ngoài cung ứng các nghiệp vụ ngân hàng, sản phẩm, dịch vụ trong hoạt động được phép, bao gồm thông tin định danh khách hàng và thông tin sau đây: thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch, thông tin về tổ chức, cá nhân là bên bảo đảm tại tổ chức tín dụng, chi nhánh ngân hàng nước ngoài và các thông tin có liên quan khác."

Như vậy, thông tin khách hàng là những thông tin mà các tổ chức tín dụng có được thông qua hoạt động nghiệp vụ của mình có thể gồm: thông tin thuộc về lý lịch của cá nhân như CMND/CCCD, tên, tuổi, địa chỉ,...tên gọi tổ chức, trụ sở của tổ chức; thông tin liên quan đến tiền gửi, tài sản gửi của khách hàng …

Vấn đề bảo mật thông tin trong giao kết hợp đồng được đề cập tại Khoản 2 Điều 387 Bộ luật Dân sự 2015: “Trường hợp một bên nhận được thông tin bí mật của bên kia trong quá trình giao kết hợp đồng thì có trách nhiệm bảo mật thông tin và không được sử dụng thông tin đó cho mục đích riêng của mình hoặc cho mục đích trái pháp luật khác”. Đồng thời, tại Điều 517 Bộ luật Dân sự 2015 quy định về nghĩa vụ của bên cung ứng dịch vụ có quy định các bên phải giữ bí mật thông tin mà mình biết được trong thời gian thực hiện công việc, nếu có thỏa thuận hoặc pháp luật có quy định và phải bồi thường thiệt hại cho bên sử dụng dịch vụ, nếu tiết lộ bí mật thông tin.

Cũng theo Điều 4 Nghị định 117/2018/NĐ-CP quy định về nguyên tắc giữ bí mật, cung cấp thông tin khách hàng. Theo đó, thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài phải được giữ bí mật và chỉ được cung cấp theo quy định của Luật các tổ chức tín dụng năm 2010, sửa đổi, bổ sung năm 2017, Nghị định 117 và pháp luật có liên quan.

(Luật Các tổ chức tín dụng 2010 sửa đổi, bổ sung năm 2017 hết hiệu lực từ ngày 01/7/2024 và được thay thế bởi Luật các tổ chức tín dụng 2024)

Như vậy, pháp luật Việt Nam quy định bảo mật thông tin khách hàng là nghĩa vụ bắt buộc các tổ chức tín dụng phải tuân thủ, các chủ thể khác không được tự do tiếp cận, khai thác thông tin của khách hàng nếu những thông tin đó tổ chức tín dụng có được do khách hàng cung cấp hoặc phát sinh trong quá trình giao dịch, cung ứng dịch vụ.

Luật các tổ chức tín dụng 2024 đã quy định rõ tổ chức tín dụng, chi nhánh ngân hàng nước ngoài không được cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài cho tổ chức, cá nhân khác, tuy nhiên nghĩa vụ đó sẽ bị giới hạn trong 02 trường hợp sau:

 - Khi có yêu cầu của cơ quan nhà nước có thẩm quyền theo quy định của pháp luật;

- Khi được sự đồng ý của khách hàng.

2. Làm lộ thông tin của khách hàng, nhân viên ngân hàng bị xử lý thế nào?

Nếu làm lộ thông tin khách hàng thì nhân viên ngân hàng đó có thể bị xử phạt hành chính, bị truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại dân sự.

Xử phạt hành chính:

Tại khoản 4 Điều 47 Nghị định 88/2019/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực tiền tệ và ngân hàng quy định:

4. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

…

b) Cung cấp những thông tin có liên quan đến hoạt động của Ngân hàng Nhà nước, tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài không đúng quy định của pháp luật;

…

d) Làm lộ, sử dụng thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài không đúng mục đích theo quy định của pháp luật.

Như vậy, khi cung cấp thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài không đúng quy định của pháp luật hoặc làm lộ, sử dụng thông tin khách hàng của tổ chức tín dụng, chi nhánh ngân hàng nước ngoài không đúng mục đích có thể bị phạt từ 30 triệu đồng đến 40 triệu đồng.

Truy cứu trách nhiệm hình sự:

Tại Bản án về tội lừa đảo chiếm đoạt tài sản; làm giả tài liệu của tổ chức; sử dụng con dấu hoặc tài liệu giả của cơ quan, tổ chức và mua bán trái phép thông tin tài khoản ngân hàng số 09/2021/HS-ST có nội dung như sau:

“Khoảng tháng 9/2019, Nguyễn Lê Thanh T gặp Đoàn Lê Trí V (là nhân viên Ngân hàng TMCP Đầu tư và Phát triển Việt Nam- Chi nhánh TS) vào đặt vấn đề muốn mua thông tin về tài khoản ngân hàng của các doanh nghiệp trên địa bàn cả nước. T nói với V mục đích mua là để kiểm tra các thông tin mà các doanh nghiệp đưa ra có chính xác không dùng làm căn cứ để T cho các doanh nghiệp này vay tiền và thỏa thuận mỗi thông tin về tài khoản ngân hàng T trả cho V 10.000.000đ, bao gồm: thông tin về mẫu hình dấu; mẫu hình chữ ký của chủ tài khoản; mẫu hình chữ ký của kế toán trưởng; số tài khoản, số điện thoại đăng ký số dư tài khoản cũ của công ty; nếu có thêm sao kê 10 giao dịch gần nhất của công ty mà các giao dịch có số lượng tiền lớn thì T sẽ trả cho V từ 13.000.000đ- 15.000.000đ/ 1 thông tin tài khoản ngân hàng.

Để có được thông tin tài khoản bán cho T, Đoàn Lê Trí V dùng User cá nhân do Ngân hàng TMCP Đầu tư và Phát triển Việt Nam cấp để truy cập vào mạng nội bộ của ngân hàng bằng máy tính tra cứu thông tin tài khoản của các công ty mở tại các chi nhánh Ngân hàng TMCP Đầu tư và Phát triển Việt Nam theo D sách Nguyễn Lê Thanh T cung cấp. Sau đó V dùng điện thoại di động chụp lại màn hình máy tính rồi gửi cho Nguyễn Lê Thanh T qua mạng xã hội “Telegram”. Trong tổng số thông tin 54 tài khoản ngân hàng Đoàn Lê Trí V bán cho Nguyễn Lê Thanh T, V trực tiếp lấy thông tin 12 tài khoản mở tại Ngân hàng TMCP Đầu tư và Phát triển Việt Nam; còn lại thông tin 42 tài khoản, Đoàn Lê Trí V mua của nhân viên ngân hàng là bạn của V.

Trong thời gian từ tháng 10 đến tháng 11/2019, T đã mua của V tổng số thông tin về 54 tài khoản ngân hàng của 50 công ty mở tại 06 ngân hàng. T đã thanh toán cho V số tiền 742.000.000đ.”

Quyết định của Tòa án: Căn cứ điểm b khoản 3 Điều 291; Điểm s khoản 1, khoản 2 Điều 51; Điều 35 BLHS về tội “Mua bán trái phép thông tin về tài khoản ngân hàng”. Xử phạt bị cáo Đoàn Lê Trí V 200.000.000đ, bị cáo phải nộp một lần sau khi án có hiệu lực pháp luật.

Theo nội dung vụ án trên, có thể thấy nếu nhân viên ngân hàng có hành vi trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng thì không chỉ vi phạm nguyên tắc mà còn vi phạm quy định pháp luật hình sự.

Theo đó, tại Điều 291 Bộ luật hình sự 2015 quy định về tội thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng như sau:

1. Người nào thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng của người khác với số lượng từ 20 tài khoản đến dưới 50 tài khoản hoặc thu lợi bất chính từ 20.000.000 đồng đến dưới 50.000.000 đồng, thì bị phạt tiền từ 20.000.000 đồng đến 100.000.000 đồng hoặc phạt cải tạo không giam giữ đến 03 năm.

2. Phạm tội thuộc một trong những trường hợp sau đây, thì bị phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng hoặc phạt tù từ 03 tháng đến 02 năm:

a) Thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng của người khác với số lượng từ 50 tài khoản đến dưới 200 tài khoản;

b) Có tổ chức;

c) Có tính chất chuyên nghiệp;

d) Thu lợi bất chính từ 50.000.000 đồng đến dưới 200.000.000 đồng;

đ) Tái phạm nguy hiểm.

3. Phạm tội thuộc một trong những trường hợp sau đây, thì bị phạt tiền từ 200.000.000 đồng đến 500.000.000 đồng hoặc phạt tù từ 02 năm đến 07 năm:

a) Thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng của người khác với số lượng 200 tài khoản trở lên;

b) Thu lợi bất chính 200.000.000 đồng trở lên.

4. Người phạm tội còn có thể bị phạt tiền từ 10.000.000 đồng đến 50.000.000 đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm hoặc tịch thu một phần hoặc toàn bộ tài sản.

Như vậy, nhân viên ngân hàng có hành vi thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng của người khác có thể bị phạt tù lên đến 07 năm, tùy theo mức độ vi phạm.

Bồi thường thiệt hại dân sự:

Tại Bản án về tranh chấp bồi thường thiệt hại do lộ thông tin khách hàng trong hoạt động tín dụng số 02/2020/DS-PT có nội dung như sau:

“Bà B có quen biết bà Vân B’ (giữ chức vụ Trưởng bộ phận hành chính nhân sự Ngân hàng Q - Chi nhánh Hải Phòng) nên bà B đã gửi tiền tiết kiệm tại Ngân hàng Q từ tháng 5, tháng 6/2018. Đến tháng 8/2018, bà B nghe thấy bà H’ (là chị của chồng bà B) nói bà B hay đến Ngân hàng giao dịch và có mấy chục tỷ gửi tại đó nên bà B nghi ngờ có việc Ngân hàng đã để lộ thông tin về việc bà B gửi tiền tiết kiệm. Bà Vân B’ đã trấn an và khẳng định mọi thông tin giao dịch của bà B tại Ngân hàng đều được bảo mật nên bà B tiếp tục duy trì gửi tiền tiết kiệm. Tuy nhiên, sau đó việc bà B vẫn đến Ngân hàng giao dịch thì bà H’ vẫn biết. Theo tìm hiểu Bà B biết tại Ngân hàng có bà G’ hiện là kế toán, là bạn thân của bà H’ nên bà B nghi ngờ có thể mọi thông tin giao dịch đã được bà G’ trao đổi với bà H’. Bà B đã đề nghị bà G’ chấm dứt việc để lộ thông tin giao dịch của bà B tại Ngân hàng và xác minh, xử lý nhân viên để lộ thông tin nhưng việc lộ thông tin cá nhân của bà B về việc giao dịch, số dư tại Ngân hàng vẫn được phản ánh đến gia đình bà B thông qua bà H’ làm ảnh hưởng đến cuộc sống của gia đình bà B. 

Do vậy, ngày 04/12/2018, bà B buộc phải rút toàn bộ số tiền đang gửi tại Ngân hàng trước thời hạn dẫn đến thiệt hại lớn về tiền lãi. Do đó, bà B khởi kiện yêu cầu: Buộc Ngân hàng phải bồi thường thiệt hại cho bà B số tiền lãi không được hưởng do phải rút tiền trước thời hạn là 894.328.768 đồng. Buộc Ngân hàng phải bồi thường về tổn thất tinh thần cho bà B theo quy định của pháp luật và phải xin lỗi bà B công khai do để rò rỉ thông tin giao dịch của bà B tại Ngân hàng và tung tin bà B bị bệnh hoang tưởng làm ảnh hưởng đến danh dự của bà B.”

Trong vụ án này, mặc dù bà B đã không cung cấp được các chứng cứ về việc nhân viên ngân hàng G’ làm lộ thông tin cá nhân của mình cho bà H’ nên Tòa án nhân định chưa có căn cứ để xác định Ngân hàng Q - Chi nhánh Hải Phòng đã làm lộ thông tin giao dịch liên quan đến số tiền 19 tỷ đồng của bà B gửi tiết kiệm tại Ngân hàng và không chấp nhận yêu cầu khởi kiện, không chấp nhận kháng cáo của nguyên đơn bà B. 

Tuy nhiên, ta có thể thấy quan hệ tranh chấp trong vụ án là tranh chấp kiện đòi bồi thường thiệt hại do lộ thông tin khách hàng trong hoạt động tín dụng thuộc thẩm quyền giải quyết của Tòa án. Vì vậy nếu khách hàng có thể chứng minh nhân viên ngân hàng, ngân hàng đã làm lộ thông tin cá nhân thì có thể khởi kiện yêu cầu bồi thường thiệt hại dân sự theo Điều 517 Bộ luật Dân sự 2015.