场景：某营销公司被兜售”电商平台客户数据”：50万份档案含姓名、电话、地址、购买记录——售价2亿越南盾。卖方是某平台离职员工，把数据偷带出来。买卖双方面临什么制裁？
买卖个人信息：被禁止并重罚
第91/2025/QH15号《个人信息保护法》与第356/2025/ND-CP号法令（2026年1月1日生效，取代第13/2023/ND-CP号法令）为个人信息设下严格框架。非法买卖个人信息是被禁止行为；违法组织、个人可被行政处罚，罚金最高达上一年度营业收入的5%（第356/2025/ND-CP号法令第8条）——足以”抹掉”许多企业的利润。上例中，偷带数据的员工违反保密义务，符合犯罪构成的可能被追究刑事责任（如2015年《刑法》侵犯信息安全类犯罪）；购买”黑市”数据的营销公司违反无法律依据收集、使用个人信息的规定。
合法分享数据：同意是边界
并非一切分享都被禁——边界在法律依据。企业在下列情形可向伙伴分享、移交个人信息：数据主体同意（同意须针对每个分享目的具体、明确）；或有其他法律依据（如履行数据主体为一方当事人的合同、遵守法定义务）。跨境分享（给母公司、境外伙伴）另有严格条件：须做跨境传输影响评估，并可能被要求停止传输（第356/2025/ND-CP号法令第20条）。实践中，平台向承运商、支付网关分享客户数据是日常操作——在合同履行范围内并已在隐私政策告知的，即合法。
数据被偷带时平台的责任
员工偷带客户数据，平台不当然无责。数据控制方、处理方有义务采取相称的保护措施：权限分级、访问日志、加密、人员培训。若平台让员工轻易导出50万份档案而无管控，就是数据保护失职——可能被按个人信息保护规定行政处罚，还须按规定向数据主体与主管机关通报事件。数据被泄露者可按2015年《民法典》要求赔偿，须证明泄露造成的损失。
常见问题
买”数据”做电话销售违法吗？
违法，若数据系未经数据主体同意收集、买卖。用黑市数据电话销售既违反个人信息保护法，也违反反垃圾短信、骚扰电话规定。
离职员工把客户数据带到新公司？
违反保密义务——即使离职后，若信息属商业秘密/个人信息且员工按合同、保密协议（NDA）负保密义务。新公司使用该数据也因无合法收集依据而违法。
匿名化后再卖行吗？
按标准匿名化（无法再识别个人身份）的数据不再是个人信息，可以使用、分享。但”半吊子”匿名化（只删名字，保留电话、详细地址）仍是个人信息——买卖仍违法。