Tình huống: một công ty marketing chào mua “data khách hàng sàn TMĐT”: 500.000 hồ sơ gồm tên, số điện thoại, địa chỉ, lịch sử mua hàng — giá 200 triệu đồng. Bên bán là nhân viên cũ của một sàn, tuồn dữ liệu ra ngoài. Cả bên mua và bên bán đối mặt với chế tài gì?
Mua bán dữ liệu cá nhân: bị cấm và bị phạt nặng
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP (hiệu lực 01/01/2026, thay thế Nghị định 13/2023/NĐ-CP) đặt ra khung pháp lý nghiêm ngặt cho dữ liệu cá nhân. Mua bán dữ liệu cá nhân trái phép là hành vi bị cấm; tổ chức, cá nhân vi phạm có thể bị xử phạt vi phạm hành chính với mức phạt lên tới 5% doanh thu của năm liền trước (Điều 8 Nghị định 356/2025/NĐ-CP) — mức phạt đủ sức “xóa sổ” lợi nhuận của nhiều doanh nghiệp. Trong tình huống trên, nhân viên tuồn dữ liệu vi phạm nghĩa vụ bảo mật, có thể bị truy cứu trách nhiệm hình sự nếu đủ yếu tố cấu thành tội phạm (ví dụ các tội xâm phạm bí mật, an toàn thông tin theo Bộ luật Hình sự 2015); công ty marketing mua dữ liệu “chợ đen” vi phạm quy định về thu thập, sử dụng dữ liệu cá nhân không có cơ sở pháp lý.
Chia sẻ dữ liệu hợp pháp: cần sự đồng ý
Không phải mọi chia sẻ dữ liệu đều bị cấm — ranh giới nằm ở cơ sở pháp lý. Doanh nghiệp được chia sẻ, chuyển giao dữ liệu cá nhân cho đối tác khi: có sự đồng ý của chủ thể dữ liệu (đồng ý phải cụ thể, rõ ràng cho từng mục đích chia sẻ); hoặc có căn cứ pháp lý khác theo luật (ví dụ thực hiện hợp đồng mà chủ thể dữ liệu là một bên, tuân thủ nghĩa vụ pháp lý). Chia sẻ dữ liệu xuyên biên giới (cho công ty mẹ, đối tác nước ngoài) chịu thêm điều kiện chặt chẽ: phải đánh giá tác động chuyển dữ liệu qua biên giới và có thể bị yêu cầu dừng chuyển giao (Điều 20 Nghị định 356/2025/NĐ-CP). Thực tiễn: các sàn TMĐT chia sẻ dữ liệu khách hàng cho đơn vị vận chuyển, cổng thanh toán là hoạt động thường ngày — hợp pháp khi nằm trong phạm vi thực hiện hợp đồng và đã thông báo cho người dùng trong chính sách bảo mật.
Trách nhiệm của sàn khi dữ liệu bị tuồn
Khi dữ liệu khách hàng bị nhân viên tuồn ra ngoài, sàn không đương nhiên vô can. Bên kiểm soát, xử lý dữ liệu có nghĩa vụ áp dụng biện pháp bảo vệ dữ liệu cá nhân tương xứng: phân quyền truy cập, ghi nhật ký truy cập, mã hóa, đào tạo nhân sự. Nếu sàn để nhân viên dễ dàng trích xuất 500.000 hồ sơ mà không có kiểm soát, đó là lỗi trong bảo vệ dữ liệu — sàn có thể bị xử phạt vi phạm hành chính về bảo vệ dữ liệu cá nhân, đồng thời phải thông báo cho chủ thể dữ liệu và cơ quan chức năng về sự cố theo quy định. Người bị lộ dữ liệu có quyền yêu cầu bồi thường thiệt hại theo Bộ luật Dân sự 2015 nếu chứng minh được thiệt hại từ việc lộ dữ liệu.
Câu hỏi thường gặp
Mua “data” để telesales có vi phạm không?
Có, nếu dữ liệu được thu thập, mua bán không có sự đồng ý của chủ thể dữ liệu. Telesales dùng data chợ đen vừa vi phạm pháp luật bảo vệ dữ liệu cá nhân, vừa vi phạm quy định về chống tin nhắn rác, cuộc gọi rác.
Nhân viên cũ mang data khách hàng sang công ty mới?
Vi phạm nghĩa vụ bảo mật — kể cả sau khi nghỉ việc, nếu thông tin thuộc bí mật kinh doanh/dữ liệu cá nhân mà nhân viên có nghĩa vụ bảo mật theo hợp đồng, thỏa thuận bảo mật (NDA). Công ty mới sử dụng dữ liệu đó cũng vi phạm vì không có cơ sở pháp lý thu thập.
Ẩn danh hóa dữ liệu rồi bán có được không?
Dữ liệu đã được ẩn danh hóa đúng chuẩn (không thể xác định lại danh tính cá nhân) không còn là dữ liệu cá nhân và có thể được sử dụng, chia sẻ. Nhưng “ẩn danh hóa nửa vời” (chỉ xóa tên, giữ lại số điện thoại, địa chỉ chi tiết) vẫn là dữ liệu cá nhân — việc mua bán vẫn vi phạm.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng.
