Trong nhiều năm, giá trị của một ngân hàng thường được nhìn qua quy mô vốn, chất lượng tài sản, mạng lưới chi nhánh hay thị phần tín dụng. Nhưng trong kỷ nguyên số, một tài sản khác đang ngày càng quyết định sức hấp dẫn của các thương vụ M&A: dữ liệu khách hàng.
Đối với nhà đầu tư, dữ liệu về hành vi giao dịch, lịch sử tín dụng, nhu cầu tài chính hay mức độ gắn kết của khách hàng không chỉ phản ánh chất lượng hoạt động của ngân hàng mà còn mở ra cơ hội tích hợp hệ sinh thái, phát triển sản phẩm và tạo ra giá trị sau giao dịch. Chính vì vậy, trong nhiều thương vụ, dữ liệu gần như được xem là một phần của "giá trị cộng thêm" mà bên mua kỳ vọng nhận được cùng với quyền kiểm soát ngân hàng.
Mọi thương vụ M&A đều tồn tại một điểm giao thoa giữa lợi ích kinh doanh và yêu cầu tuân thủ.
Tuy nhiên, pháp luật lại không nhìn vấn đề theo cách của thị trường. Nhà đầu tư có thể mua quyền kiểm soát ngân hàng, nhưng điều đó không đồng nghĩa họ mặc nhiên có quyền tiếp cận, sao chép hoặc khai thác toàn bộ dữ liệu của hàng triệu khách hàng. Đối với ngân hàng, dữ liệu không chỉ là một tài sản thương mại mà còn là đối tượng của hai chế độ bảo vệ pháp lý song song: pháp luật về bảo vệ dữ liệu cá nhân và nghĩa vụ bảo mật thông tin khách hàng trong hoạt động ngân hàng. Hai lớp bảo vệ này khiến dữ liệu trở thành loại "tài sản đặc biệt", không thể tự động đi theo thương vụ như cổ phần, tài sản hữu hình hay hệ thống công nghệ.
Đó cũng là lý do một câu hỏi tưởng như đơn giản lại trở thành vấn đề pháp lý trung tâm của nhiều thương vụ M&A ngân hàng hiện nay: M&A có mặc nhiên cho phép chuyển giao dữ liệu khách hàng hay không?
Thị trường muốn dữ liệu, pháp luật muốn giới hạn
Mọi thương vụ M&A đều tồn tại một điểm giao thoa giữa lợi ích kinh doanh và yêu cầu tuân thủ. Với ngân hàng, điểm giao thoa đó chính là dữ liệu khách hàng.
Bên mua luôn có xu hướng mong muốn tiếp cận càng nhiều dữ liệu càng tốt. Điều này hoàn toàn dễ hiểu. Chất lượng danh mục khách hàng, lịch sử giao dịch, tỷ lệ sử dụng sản phẩm, hành vi tài chính hay dữ liệu phân tích rủi ro đều ảnh hưởng trực tiếp đến việc định giá ngân hàng và chiến lược khai thác sau giao dịch. Một nhà đầu tư không chỉ mua một ngân hàng của ngày hôm nay mà còn mua khả năng tạo ra doanh thu từ tập khách hàng trong nhiều năm tiếp theo.
Ở chiều ngược lại, ngân hàng mục tiêu lại chịu nghĩa vụ bảo vệ dữ liệu của chính những khách hàng đã tạo nên giá trị của thương vụ. Việc chia sẻ quá nhiều thông tin có thể dẫn đến vi phạm nghĩa vụ bảo mật, ảnh hưởng đến quyền riêng tư của khách hàng, thậm chí làm phát sinh trách nhiệm pháp lý trước cả khi giao dịch được ký kết.
Trong khi đó, khách hàng - chủ thể của dữ liệu - thường không biết dữ liệu của mình đang được xem xét trong quá trình thẩm định, càng không có cơ hội kiểm soát việc dữ liệu sẽ được sử dụng như thế nào sau khi ngân hàng đổi chủ.
Chính vì vậy, pháp luật không lựa chọn bảo vệ tuyệt đối bất kỳ lợi ích nào. Thay vào đó, hệ thống pháp luật hiện hành cố gắng cân bằng ba mục tiêu cùng lúc: tạo điều kiện cho hoạt động M&A diễn ra thuận lợi, bảo đảm quyền kinh doanh của nhà đầu tư và bảo vệ quyền riêng tư của khách hàng.
Đó cũng là lý do M&A không được xem là "tấm vé thông hành" để dữ liệu khách hàng tự động đi theo thương vụ.
Mua cổ phần không đồng nghĩa với quyền kiểm soát dữ liệu
Một trong những ngộ nhận phổ biến nhất trong thực tiễn M&A là đồng nhất quyền kiểm soát doanh nghiệp với quyền kiểm soát dữ liệu.
Giả sử một nhà đầu tư mua 90% cổ phần của một ngân hàng. Sau giao dịch, nhà đầu tư trở thành cổ đông kiểm soát. Liệu điều đó có đồng nghĩa họ được quyền yêu cầu ngân hàng chuyển toàn bộ dữ liệu khách hàng sang hệ thống của tập đoàn?
Nếu nhìn dưới góc độ kinh tế, nhiều người có thể trả lời là có. Nhưng dưới góc độ pháp lý, đây lại là hai vấn đề hoàn toàn khác nhau.
Trong một giao dịch mua cổ phần, đối tượng được chuyển giao là cổ phần, không phải dữ liệu. Ngân hàng mục tiêu vẫn tiếp tục tồn tại với tư cách là một pháp nhân độc lập và vẫn là chủ thể trực tiếp cung cấp dịch vụ cho khách hàng. Việc thay đổi cơ cấu cổ đông không làm thay đổi ngay lập tức chủ thể đang xử lý dữ liệu cá nhân.
Đây là điểm cần được phân biệt rất rõ giữa quyền kiểm soát doanh nghiệp và quyền xử lý dữ liệu.
Quyền biểu quyết, quyền bổ nhiệm hội đồng quản trị hay quyền quyết định chiến lược kinh doanh không mặc nhiên kéo theo quyền đưa cơ sở dữ liệu khách hàng ra khỏi hệ thống của ngân hàng để chuyển sang công ty mẹ hoặc các công ty khác trong tập đoàn.
Nói cách khác, quyền sở hữu doanh nghiệp không đồng nhất với quyền khai thác dữ liệu của doanh nghiệp.
Đây cũng là lý do pháp luật về bảo vệ dữ liệu cá nhân không vận hành theo logic của pháp luật về sở hữu hay pháp luật doanh nghiệp.
Không phải mọi giao dịch M&A đều dẫn đến việc chuyển dữ liệu
Một nguyên nhân khác dẫn đến hiểu nhầm là khái niệm "M&A" trong thực tiễn rộng hơn rất nhiều so với các trường hợp mà pháp luật quy định.
Luật Bảo vệ dữ liệu cá nhân 2025 cho phép chuyển giao dữ liệu trong một số trường hợp tổ chức lại như chia, tách, hợp nhất, sáp nhập hoặc chuyển đổi hình thức sở hữu. Tuy nhiên, điều này không đồng nghĩa mọi giao dịch được thị trường gọi là M&A đều tự động thuộc phạm vi đó.
Một thương vụ mua cổ phần, một thương vụ mua tài sản và một cuộc sáp nhập ngân hàng có cấu trúc pháp lý hoàn toàn khác nhau.
Trong trường hợp sáp nhập, ngân hàng bị sáp nhập chấm dứt tồn tại và quyền, nghĩa vụ được chuyển sang ngân hàng nhận sáp nhập. Việc dữ liệu tiếp tục được xử lý bởi chủ thể kế thừa có cơ sở pháp lý tương đối rõ ràng. Ngược lại, trong giao dịch mua cổ phần, ngân hàng mục tiêu vẫn tồn tại. Về nguyên tắc, không có dữ liệu nào bắt buộc phải "đi" sang một pháp nhân khác chỉ vì cổ đông đã thay đổi.
Sự khác biệt này đặc biệt quan trọng trong các thương vụ có yếu tố nước ngoài. Nhà đầu tư nước ngoài có thể sở hữu ngân hàng Việt Nam nhưng điều đó không đồng nghĩa dữ liệu khách hàng được phép chuyển về hệ thống của tập đoàn ở nước ngoài.
Nếu không phân biệt các cấu trúc giao dịch này, rất dễ dẫn đến cách hiểu rằng cứ có M&A là dữ liệu được quyền chuyển giao Đó là cách hiểu mà pháp luật hiện hành không hướng tới.
Hai lớp bảo vệ khiến dữ liệu ngân hàng trở thành loại tài sản đặc biệt
Khác với nhiều doanh nghiệp khác, dữ liệu của ngân hàng đồng thời chịu sự điều chỉnh của hai hệ thống pháp luật.
Lớp thứ nhất là pháp luật về bảo vệ dữ liệu cá nhân. Lớp thứ hai là quy định về bảo mật thông tin khách hàng trong Luật Các tổ chức tín dụng.
Điều này tạo ra một khác biệt rất lớn. Một hoạt động xử lý dữ liệu có thể đáp ứng yêu cầu của pháp luật về bảo vệ dữ liệu cá nhân nhưng vẫn chưa đủ điều kiện để ngân hàng cung cấp thông tin khách hàng theo quy định chuyên ngành.
Nói cách khác, việc tìm được căn cứ xử lý theo một đạo luật chưa chắc đã đồng nghĩa ngân hàng được phép cung cấp dữ liệu theo đạo luật còn lại.
Đây chính là điểm khiến M&A ngân hàng có mức độ phức tạp cao hơn nhiều lĩnh vực khác.
Trong nhiều thương vụ, nhà đầu tư thường kỳ vọng khai thác dữ liệu để bán chéo bảo hiểm, chứng khoán, quản lý tài sản hoặc các sản phẩm tài chính khác trong hệ sinh thái.
Thẩm định giao dịch không chỉ là thẩm định pháp lý mà còn là thẩm định dữ liệu
Điều thú vị là rủi ro dữ liệu thường không xuất hiện sau khi thương vụ hoàn tất mà xuất hiện ngay từ những ngày đầu tiên. Đó là thời điểm nhà đầu tư muốn nhìn thấy nhiều thông tin nhất để quyết định có nên mua ngân hàng hay không.
Một nhà đầu tư có thể cần đánh giá chất lượng danh mục tín dụng, mức độ tập trung khách hàng, tỷ lệ sử dụng sản phẩm hoặc hiệu quả từng phân khúc khách hàng. Nhưng điều đó không có nghĩa ngân hàng phải mở toàn bộ hồ sơ của từng khách hàng. Trên thực tế, đây chính là nơi nguyên tắc tối thiểu hóa dữ liệu cần được áp dụng mạnh mẽ nhất. Bên mua cần thông tin để định giá. Nhưng không phải mọi thông tin phục vụ định giá đều cần dữ liệu nhận dạng cá nhân.
Một báo cáo tổng hợp, dữ liệu đã ẩn danh hoặc dữ liệu đã giả danh trong nhiều trường hợp vẫn đủ để phục vụ việc đánh giá thương vụ.
Điều này cũng lý giải vì sao thẩm định dữ liệu đang dần trở thành một cấu phần độc lập trong các thương vụ M&A lớn, thay vì chỉ được xem như một phần nhỏ của thẩm định pháp lý hoặc thẩm định công nghệ thông tin. Nếu thẩm định tài chính trả lời câu hỏi "ngân hàng đáng giá bao nhiêu", thì thẩm định dữ liệu cần trả lời một câu hỏi không kém phần quan trọng: Sau khi mua ngân hàng, bên mua thực sự được phép làm gì với dữ liệu đang có? Đây mới là câu hỏi quyết định giá trị thực của tài sản dữ liệu.
Giá trị của dữ liệu không chỉ nằm ở số lượng mà còn ở khả năng được sử dụng hợp pháp
Trong nhiều thương vụ, nhà đầu tư thường kỳ vọng khai thác dữ liệu để bán chéo bảo hiểm, chứng khoán, quản lý tài sản hoặc các sản phẩm tài chính khác trong hệ sinh thái. Nhưng nếu dữ liệu chỉ được phép tiếp tục phục vụ mục đích cung cấp dịch vụ ngân hàng ban đầu thì giá trị thương mại thực tế của tập dữ liệu có thể thấp hơn đáng kể so với kỳ vọng.
Điều này cho thấy một khía cạnh ít được thảo luận: rủi ro dữ liệu không chỉ là rủi ro tuân thủ mà còn là rủi ro định giá. Một ngân hàng có bảng cân đối kế toán rất tốt nhưng hệ thống quản trị dữ liệu còn nhiều khiếm khuyết hoàn toàn có thể khiến giá trị của thương vụ giảm xuống.
Ngược lại, một ngân hàng xây dựng được nền tảng quản trị dữ liệu minh bạch, đầy đủ căn cứ pháp lý và kiểm soát tốt quyền xử lý dữ liệu sẽ tạo ra mức độ chắc chắn cao hơn cho bên mua trong việc khai thác giá trị sau M&A.
Dữ liệu không phải tài sản "đi theo" thương vụ
Có lẽ sự thay đổi lớn nhất mà các ngân hàng và nhà đầu tư cần nhận thức là dữ liệu cá nhân không thể được đối xử giống những tài sản hữu hình khác trong một thương vụ M&A.
Một tòa nhà, một hệ thống công nghệ hay một danh mục tài sản có thể được chuyển giao cùng với ngân hàng. Nhưng dữ liệu khách hàng luôn gắn với mục đích thu thập, căn cứ xử lý và quyền của chủ thể dữ liệu. Những giới hạn đó không biến mất chỉ vì ngân hàng đã đổi chủ.
Bởi vậy, câu hỏi quan trọng nhất trong M&A ngân hàng không phải là "có được chuyển dữ liệu hay không", mà là "dữ liệu nào thực sự cần được chuyển, chuyển cho ai, để làm gì và trên cơ sở pháp lý nào". Đó sẽ là câu hỏi phải được trả lời từ khi mở data room, trong suốt quá trình đàm phán và tiếp tục được xem xét khi hai hệ thống bắt đầu tích hợp sau giao dịch.
Trong nhiều năm, giới đầu tư coi dữ liệu là một phần giá trị của ngân hàng. Điều đó không sai. Nhưng trong kỷ nguyên của bảo vệ dữ liệu cá nhân, giá trị kinh tế của dữ liệu không còn được quyết định đơn thuần bởi quy mô hay chất lượng của tập dữ liệu, mà còn bởi khả năng sử dụng dữ liệu đó một cách hợp pháp. Đó mới là yếu tố quyết định liệu một thương vụ M&A ngân hàng có thực sự tạo ra giá trị bền vững hay không.
