Mua bán dữ liệu cá nhân bị phạt thế nào?

Luật cấm gì?

Điều 7 Luật 91/2025/QH15 liệt kê các hành vi bị nghiêm cấm. Trong đó có:

• xử lý dữ liệu cá nhân trái pháp luật;
• mua bán dữ liệu cá nhân (trừ trường hợp luật khác có quy định);
• chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân;
• cản trở hoạt động bảo vệ dữ liệu cá nhân.

Chữ "mua bán" ở đây không chỉ là chuyện trao tay một file lấy tiền mặt. Chuyển danh sách khách cho bên khác để đổi lấy tiền hay lợi ích cũng cần được xem xét kỹ. Luật nêu rõ việc cấm, nhưng cách áp dụng cho từng tình huống nhỏ còn cần hướng dẫn và thực tiễn xử lý.

Chuyện mua "data khách hàng" để telesales

Đây là tình huống nhiều doanh nghiệp nhỏ gặp nhất.

Ví dụ: một công ty bất động sản nhận lời chào "5.000 số điện thoại người từng hỏi mua căn hộ, 500 đồng một số". Nhân viên kinh doanh mua về, nạp vào tổng đài và gọi từng người. Xem thêm môi giới bất động sản và dữ liệu khách hàng.

Có ít nhất ba vấn đề:

1. Mua bán dữ liệu có thể vi phạm Điều 7. Bên mua là bên trả tiền, nên khó nói là "chỉ nhận thôi".
2. Không có đồng ý. Những người trong danh sách thường chưa từng đồng ý cho công ty bạn gọi. Sự đồng ý là điều kiện quan trọng khi xử lý dữ liệu (Điều 9).
3. Chất lượng danh sách. Danh sách bán lại thường lẫn người đã bị gọi làm phiền nhiều lần, và họ có thể gửi yêu cầu xoá dữ liệu về công ty bạn. Xem cách người dân làm việc này ở bài cách yêu cầu công ty xoá dữ liệu cá nhân.

Điều 28 còn có quy định về kinh doanh dịch vụ quảng cáo: chỉ dùng dữ liệu được chuyển giao theo thoả thuận hoặc thu qua hoạt động kinh doanh của mình, phải có đồng ý của khách và phải có cách để khách từ chối. Điều này viết cho bên kinh doanh dịch vụ quảng cáo, nên khi áp vào một shop tự gọi khách thì cần hiểu thận trọng. Dù vậy, hướng đi an toàn là như nhau: chỉ gọi người đã đồng ý, cho họ cách từ chối.

Chi tiết về gọi và nhắn tin quảng cáo xem thêm bài gọi điện, nhắn tin quảng cáo.

Mức phạt: 10 lần cái gì?

Điều 8 Luật 91/2025/QH15 cho biết vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, kèm bồi thường nếu gây thiệt hại. Mức phạt tiền tối đa:

Với cá nhân, mức phạt tối đa bằng một nửa mức của tổ chức.

Hãy đọc kỹ dòng đầu. Ví dụ minh hoạ: nếu một hành vi mua bán thu về 200 triệu đồng thì 10 lần khoản thu là 2 tỷ đồng. Tuy vậy, Nghị định 330/2026/NĐ-CP, Điều 7 khoản 4 điểm a quy định: nếu mức phạt tính theo khoản thu thấp hơn 3 tỷ đồng thì áp dụng khung phạt đến tối đa 3 tỷ đồng (đây là cách đọc từ câu chữ, chưa có hướng dẫn chính thức; Điều 53 khoản 2 chỉ nêu trường hợp không có khoản thu). Con số 10 lần ở đây gắn với khoản thu từ vi phạm, không gắn với doanh thu cả năm. Ví dụ này chỉ để dễ hình dung cách tính. Mức phạt thực tế do cơ quan có thẩm quyền quyết định trong từng vụ việc.

Mức phạt cụ thể theo Nghị định 330/2026/NĐ-CP

Điều 53 của Nghị định 330/2026/NĐ-CP quy định về mua, bán trái phép dữ liệu cá nhân như sau. Các mức áp cho tổ chức, cá nhân bị phạt một nửa:

• Từ 02 lần đến 10 lần khoản thu (khoản 1): áp dụng với các hành vi như cung cấp, chia sẻ, trao đổi dữ liệu nhằm thu tài sản hoặc lợi ích khác, hoặc chuyển giao dữ liệu có thu phí hay lợi ích vật chất mà không có thoả thuận chuyển giao. Xem thoả thuận khi chia sẻ dữ liệu cho đối tác.
• Nếu không có khoản thu (khoản 3), mức phạt tính theo số người bị mua bán:
  • 70–100 triệu đồng: dữ liệu cơ bản của dưới 1.000 người, hoặc dữ liệu nhạy cảm của dưới 200 người;
  • 100–300 triệu đồng: từ 1.000 đến dưới 2.000 người, hoặc nhạy cảm từ 200 đến dưới 400 người;
  • 300–500 triệu đồng: từ 2.000 đến dưới 10.000 người, hoặc nhạy cảm từ 400 đến 2.000 người;
  • 500 triệu–1 tỷ đồng: từ 10.000 người trở lên, hoặc dữ liệu nhạy cảm từ 2.000 người trở lên;
  • 1–3 tỷ đồng: mua bán trái phép xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khoẻ, danh dự, nhân phẩm, tài sản của người có dữ liệu, hoặc quyền và lợi ích hợp pháp của tổ chức, cá nhân.
• Biện pháp khắc phục (khoản 5): buộc huỷ, xoá tới mức không thể khôi phục toàn bộ dữ liệu đã mua bán trên mọi hệ thống lưu trữ; nộp lại khoản thu có được; thông báo cho toàn bộ người bị ảnh hưởng về hành vi vi phạm và cách khắc phục.

Ai dễ dính nhất?

• Người mua danh sách để gọi, nhắn tin, chạy quảng cáo.
• Người bán: nhân viên, đối tác, hoặc bên môi giới thu thập số liệu rồi bán lại.
• Doanh nghiệp để lộ dữ liệu do không phân quyền, không kiểm soát việc nhân viên xuất file. Nếu dữ liệu bị lộ, còn có nghĩa vụ báo trong 72 giờ, xem bài lộ dữ liệu khách hàng.

Bạn cần làm gì

• Ngừng mua danh sách số điện thoại, email của người chưa từng liên hệ với bạn.
• Hỏi nguồn gốc mọi danh sách đang có: ai thu, khi nào, khách đã đồng ý gì.
• Với danh sách không rõ nguồn, cân nhắc ngừng sử dụng và xoá, nhất là khi có người yêu cầu.
• Thu dữ liệu khách của chính mình, qua form có ô đồng ý và nhật ký lưu lại.
• Quy định nội bộ: cấm nhân viên xuất, chia sẻ, bán danh sách khách.
• Mỗi lần gọi hay nhắn quảng cáo phải có cách để người nhận từ chối.

Bắt đầu bằng việc kiểm tra website của bạn đang thu dữ liệu gì và đã xin đồng ý chưa: dùng máy quét website miễn phí của DuLieuCaNhan.vn, hoặc kiểm tra nghĩa vụ của doanh nghiệp.

Căn cứ pháp lý

• Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 7 (hành vi bị nghiêm cấm), Điều 8 (xử lý vi phạm), Điều 9 (sự đồng ý), Điều 28 (kinh doanh dịch vụ quảng cáo).
• Luật có hiệu lực từ 1/1/2026.
• Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026), Điều 7 khoản 4, Điều 53: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.