Làm sao biết ai đã bán số điện thoại của mình?

Vì sao khó tra

Anh Hùng điền số điện thoại để nhận ưu đãi ở một cửa hàng, rồi quên. Vài tháng sau, anh nhận cuộc gọi mời vay tiền từ một công ty anh chưa nghe tên. Anh tự hỏi: ai đã đưa số cho họ?

Có nhiều đường có thể xảy ra, và từ bên ngoài bạn gần như không phân biệt được:

• bạn từng để lại số trên form khuyến mãi, hội thảo, khảo sát, app;
• một nơi bạn đã đăng ký chia sẻ dữ liệu cho đối tác (đôi khi nằm trong dòng chữ nhỏ bạn đã tick);
• dữ liệu bị lộ từ một hệ thống rồi bị người khác thu gom;
• ai đó mua bán danh sách số điện thoại.

Số điện thoại lại không có "dấu vân tay" cho biết nó đi từ nơi nào. Vì thế, đừng mất công đoán. Hãy dùng quyền hỏi.

Bạn có quyền hỏi gì

Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 4, cho chủ thể dữ liệu các quyền chính như được biết, xem, và yêu cầu cung cấp dữ liệu của mình. Bạn có thể yêu cầu công ty gọi bạn cho biết:

1. họ đang giữ những dữ liệu nào của bạn;
2. họ có được từ nguồn nào;
3. họ đã cung cấp cho những ai.

Theo Nghị định 356/2025/NĐ-CP, yêu cầu xem, cung cấp dữ liệu phải được thực hiện trong 10 ngày (15 ngày nếu cần bên thứ ba, và có thể gia hạn một lần, tối đa 10 ngày).

Nếu công ty nói họ nhận danh sách từ một đối tác, bạn hỏi tiếp đối tác đó, bằng chính cách trên. Mỗi đơn vị giữ dữ liệu của bạn đều có nghĩa vụ với bạn. Từng bước, bạn có thể lần ngược lên.

Mua bán dữ liệu cá nhân bị cấm

Điều 7 của luật liệt kê hành vi bị nghiêm cấm, trong đó có mua bán dữ liệu cá nhân (trừ trường hợp luật khác quy định). Điều 8 nói người vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự, kèm bồi thường nếu gây thiệt hại. Với mua bán dữ liệu, mức phạt tiền tối đa là 10 lần khoản thu có được từ vi phạm. Theo Nghị định 330/2026/NĐ-CP, Điều 53, mức phạt với mua bán trái phép dữ liệu cá nhân là từ 02 đến 10 lần khoản thu; nếu không có khoản thu thì từ 70 triệu đồng, tăng theo số người bị mua bán, có thể lên tới 500 triệu–1 tỷ đồng (từ 10.000 người, hoặc từ 2.000 người với dữ liệu nhạy cảm), và 1–3 tỷ đồng nếu xâm phạm quốc phòng, an ninh, tính mạng, sức khoẻ hay tài sản của người có dữ liệu. Cá nhân bị phạt bằng một nửa mức của tổ chức. Ngoài tiền phạt, bên vi phạm còn bị buộc xoá dữ liệu đã mua bán, nộp lại khoản thu và thông báo cho những người bị ảnh hưởng.

Nghĩa là nếu một công ty trả lời "chúng tôi mua danh sách này", họ vừa tự nói ra một điều có thể gây rắc rối cho họ. Còn nếu họ không trả lời được, đó cũng là thông tin hữu ích cho bạn khi phản ánh.

Mẫu một câu để thêm vào thư

Trong thư yêu cầu, bạn có thể ghi:

Đề nghị công ty cho tôi biết công ty có dữ liệu cá nhân của tôi từ nguồn nào, vào thời điểm nào, và đã cung cấp cho những tổ chức, cá nhân nào.

Công cụ /xoa-du-lieu đã có sẵn mục này (mục "cho biết giữ dữ liệu gì, lấy từ đâu").

Hạn chế bạn cần biết

• Công ty có thể trả lời chung chung. Khi đó, hãy hỏi lại bằng email, nêu rõ phần còn thiếu.
• Một số thông tin họ có thể chưa trả lời đầy đủ nếu có quy định khác. Nếu họ từ chối, bạn nên yêu cầu họ nêu rõ lý do bằng văn bản.
• Bạn khó tự mình chứng minh có người mua bán dữ liệu. Việc điều tra thuộc cơ quan chức năng. Phần của bạn là gửi yêu cầu, giữ bằng chứng, và phản ánh nếu bị phớt lờ.

Bạn cần làm gì

• Ghi lại công ty gọi, số gọi, ngày giờ, nội dung họ mời.
• Nhớ lại những nơi bạn từng để lại số gần đây, nhưng đừng cố đoán chắc.
• Gửi thư hỏi nguồn dữ liệu, kèm yêu cầu ngừng quảng cáo.
• Đặt lịch nhắc 10 ngày; yêu cầu ngừng quảng cáo thì phản hồi 2 ngày làm việc, thực hiện 15 ngày.
• Nếu họ trả lời nêu tên đối tác, gửi tiếp thư cho đối tác đó.
• Từ nay, khi điền form, đọc kỹ các ô đồng ý chia sẻ cho "đối tác". Xem thêm 10 việc nên làm để bảo vệ dữ liệu cá nhân.

Soạn thư tại /xoa-du-lieu: miễn phí, bạn tự gửi bằng Gmail của mình, không lưu dữ liệu của bạn.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 4 (quyền của chủ thể dữ liệu), Điều 7 (hành vi bị nghiêm cấm), Điều 8 (xử lý vi phạm).
• Nghị định 356/2025/NĐ-CP (thời hạn xử lý yêu cầu của chủ thể dữ liệu).

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.