Trong thời đại số, thông tin như họ tên, số điện thoại, địa chỉ, thông tin tài khoản, dữ liệu định danh hay thông tin khách hàng có giá trị rất lớn. Tình trạng thu thập, mua bán, trao đổi các “data khách hàng” không được phép vì mục đích quảng cáo, kinh doanh hoặc trục lợi có thể xâm phạm nghiêm trọng quyền riêng tư của cá nhân.
Đáng chú ý, từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 chính thức có hiệu lực và đặt ra quy định nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Tùy tính chất, mức độ và hậu quả, người vi phạm có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường nếu gây thiệt hại.
Thu thập, mua bán trái phép thông tin cá nhân là hành vi gì?
Pháp luật hiện nay sử dụng thuật ngữ “dữ liệu cá nhân” thay vì chỉ gọi chung là thông tin cá nhân. Theo quy định, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn với một người cụ thể hoặc giúp xác định một người cụ thể.
Dữ liệu này có thể bao gồm những thông tin quen thuộc như:
- Họ tên, ngày tháng năm sinh;
- Số điện thoại;
- Địa chỉ nơi ở, địa chỉ liên hệ;
- Thông tin định danh;
- Thông tin tài khoản;
- Dữ liệu về vị trí;
- Thông tin khách hàng;
- Thông tin về sức khỏe, đời sống riêng tư;
- Một số dữ liệu nhạy cảm khác.
Theo Điều 2 Nghị định 13/2023/NĐ-CP, hoạt động “xử lý dữ liệu cá nhân” được hiểu khá rộng, bao gồm thu thập, lưu trữ, truy cập, sao chép, chia sẻ, truyền đưa, cung cấp, chuyển giao, xóa, hủy và các hoạt động khác liên quan đến dữ liệu cá nhân.
Thu thập thông tin cá nhân không phải lúc nào cũng trái pháp luật
Doanh nghiệp có thể thu thập dữ liệu khách hàng để thực hiện hoạt động kinh doanh nếu có căn cứ pháp lý phù hợp và tuân thủ các nguyên tắc bảo vệ dữ liệu.
Tuy nhiên, việc một cá nhân hoặc tổ chức tự ý thu thập dữ liệu của người khác để bán, trao đổi hoặc sử dụng ngoài mục đích được phép có thể bị xem là hành vi vi phạm pháp luật.
Luật Bảo vệ dữ liệu cá nhân năm 2025 quy định dữ liệu cá nhân được thu thập phải có sự đồng ý của chủ thể dữ liệu trước khi thu thập, trừ trường hợp pháp luật có quy định khác.
Mua bán dữ liệu cá nhân có bị cấm không?
Có.
Đây là một trong những điểm đáng chú ý của pháp luật về bảo vệ dữ liệu cá nhân áp dụng từ năm 2026.
Theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, các hành vi bị nghiêm cấm bao gồm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Đồng thời, luật cũng cấm chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân và xử lý dữ liệu cá nhân trái quy định pháp luật.
Như vậy, các hoạt động như:
Thu thập số điện thoại → lập danh sách khách hàng → bán cho bên quảng cáo → bên mua tiếp tục gọi điện, nhắn tin
có thể phát sinh trách nhiệm pháp lý nếu việc thu thập, chuyển giao hoặc mua bán không có căn cứ hợp pháp.
Quy định trước đây tại Nghị định 13/2023/NĐ-CP
Trước khi Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực, Điều 22 Nghị định 13/2023/NĐ-CP đã quy định việc thiết lập hệ thống, biện pháp kỹ thuật hoặc tổ chức hoạt động thu thập, chuyển giao, mua, bán dữ liệu cá nhân không có sự đồng ý của chủ thể dữ liệu là vi phạm pháp luật.
Điều này cho thấy việc mua bán dữ liệu cá nhân trái phép đã được pháp luật xác định là hành vi vi phạm từ trước, còn quy định của Luật năm 2025 tiếp tục củng cố và nâng mức độ bảo vệ dữ liệu cá nhân.
Thu thập, mua bán trái phép dữ liệu cá nhân bị phạt thế nào?
Từ năm 2026, Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định cơ chế xử lý vi phạm theo hướng khá nghiêm khắc.
Tùy tính chất, mức độ và hậu quả, tổ chức, cá nhân vi phạm có thể:
- Bị xử phạt vi phạm hành chính;
- Bị truy cứu trách nhiệm hình sự;
- Phải bồi thường thiệt hại nếu hành vi gây thiệt hại cho người khác.
Đáng chú ý, đối với hành vi mua, bán dữ liệu cá nhân, mức phạt tiền tối đa trong xử phạt vi phạm hành chính có thể lên đến 10 lần khoản thu có được từ hành vi vi phạm. Nếu không có khoản thu hoặc mức tính theo khoản thu thấp hơn mức phạt tối đa theo luật thì áp dụng mức phạt theo quy định của pháp luật.
Đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa được quy định là 03 tỷ đồng; đối với tổ chức. Cá nhân thực hiện cùng hành vi thì mức phạt tiền tối đa bằng một phần hai mức phạt đối với tổ chức.
Lưu ý từ Luật sư Nguyễn Văn Hùng: Không nên hiểu rằng cứ có danh sách số điện thoại hoặc thông tin khách hàng là mặc nhiên bị phạt. Cơ quan có thẩm quyền phải xác định nguồn dữ liệu, cách thức thu thập, mục đích sử dụng, sự đồng ý của chủ thể dữ liệu, hành vi chuyển giao hoặc mua bán và hậu quả thực tế để xác định trách nhiệm pháp lý.
Khi nào mua bán thông tin cá nhân có thể bị truy cứu hình sự?
Không phải mọi hành vi vi phạm quy định về dữ liệu cá nhân đều đương nhiên cấu thành tội phạm.
Trong trường hợp hành vi được thực hiện trên mạng máy tính, mạng viễn thông và đáp ứng các dấu hiệu luật định, người vi phạm có thể bị xem xét về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo Điều 288 Bộ luật Hình sự.
Theo khoản 1 Điều 288 Bộ luật Hình sự, người thực hiện hành vi mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hóa thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân trên mạng máy tính, mạng viễn thông mà không được phép của chủ sở hữu thông tin, nếu đồng thời đáp ứng điều kiện về thu lợi bất chính, thiệt hại hoặc gây dư luận xấu làm giảm uy tín, có thể bị xử lý hình sự.
Khung hình phạt cơ bản theo Điều 288
Người phạm tội có thể bị:
- Phạt tiền từ 30 triệu đồng đến 200 triệu đồng;
- Phạt cải tạo không giam giữ đến 03 năm;
- Hoặc phạt tù từ 06 tháng đến 03 năm.
Điều kiện về hậu quả hoặc lợi ích bất chính trong khoản 1 gồm:
- Thu lợi bất chính từ 50 triệu đồng đến dưới 200 triệu đồng;
- Gây thiệt hại từ 100 triệu đồng đến dưới 500 triệu đồng;
- Hoặc gây dư luận xấu làm giảm uy tín của cơ quan, tổ chức, cá nhân.
Trường hợp bị phạt tù từ 02 năm đến 07 năm
Theo khoản 2 Điều 288 Bộ luật Hình sự, người phạm tội có thể bị phạt tiền từ 200 triệu đồng đến 1 tỷ đồng hoặc phạt tù từ 02 năm đến 07 năm nếu thuộc một trong các trường hợp:
- Có tổ chức;
- Lợi dụng quyền quản trị mạng máy tính, mạng viễn thông;
- Thu lợi bất chính từ 200 triệu đồng trở lên;
- Gây thiệt hại từ 500 triệu đồng trở lên;
- Xâm phạm bí mật cá nhân dẫn đến người bị xâm phạm tự sát;
- Gây ảnh hưởng xấu đến an ninh, trật tự, an toàn xã hội hoặc quan hệ đối ngoại của Việt Nam;
- Dẫn đến biểu tình.
Ngoài hình phạt chính, người phạm tội còn có thể bị phạt tiền từ 20 triệu đồng đến 200 triệu đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm.
Ví dụ về hành vi mua bán thông tin cá nhân
A làm việc tại một doanh nghiệp và có quyền truy cập hệ thống chứa thông tin của hàng chục nghìn khách hàng. A tự ý sao chép danh sách gồm họ tên, số điện thoại, địa chỉ và lịch sử giao dịch rồi bán cho B để B sử dụng vào hoạt động kinh doanh.
Trong trường hợp này, hành vi của A có thể đồng thời đặt ra vấn đề về vi phạm quy định bảo vệ dữ liệu cá nhân và, nếu đáp ứng các dấu hiệu luật định, có thể bị xem xét trách nhiệm hình sự theo Điều 288 Bộ luật Hình sự.
Nếu A chỉ truy cập dữ liệu được giao quản lý để thực hiện công việc đúng mục đích và có căn cứ pháp lý phù hợp thì không thể chỉ dựa vào việc “A đã thu thập dữ liệu” để kết luận A phạm tội.
Điểm cần chứng minh là A thu thập, sử dụng hoặc chuyển giao dữ liệu như thế nào, có được phép hay không, có thu lợi hoặc gây thiệt hại hay không và hành vi có đáp ứng đầy đủ dấu hiệu của tội phạm hay không.
Người bị thu thập, mua bán thông tin cá nhân có quyền gì?
Luật Bảo vệ dữ liệu cá nhân trao cho chủ thể dữ liệu nhiều quyền quan trọng, trong đó có quyền được biết, quyền đồng ý, quyền truy cập, quyền rút lại sự đồng ý, quyền xóa dữ liệu, quyền hạn chế xử lý và quyền yêu cầu bồi thường thiệt hại khi xảy ra vi phạm.
Vì vậy, nếu phát hiện thông tin cá nhân của mình bị thu thập hoặc mua bán trái phép, người bị ảnh hưởng có thể lưu giữ các chứng cứ liên quan như:
- Tin nhắn chào bán dữ liệu;
- Hợp đồng hoặc giao dịch mua bán data;
- File dữ liệu bị phát tán;
- Nội dung quảng cáo sử dụng thông tin cá nhân;
- Lịch sử cuộc gọi, tin nhắn;
- Thông tin tài khoản hoặc nguồn phát tán dữ liệu.
Những tài liệu này có thể giúp làm rõ nguồn dữ liệu và hành vi của người thu thập, sử dụng hoặc mua bán.
Luật sư Đặng Quý Tiên lưu ý: Nếu bạn phát hiện thông tin cá nhân của mình bị thu thập, mua bán hoặc phát tán trái phép, việc lưu giữ chứng cứ ngay từ đầu có ý nghĩa rất quan trọng. Trường hợp vụ việc có dấu hiệu nghiêm trọng, nên được luật sư đánh giá trước khi thực hiện các bước pháp lý tiếp theo.
Phân biệt vi phạm bảo vệ dữ liệu cá nhân và tội phạm hình sự
Đây là vấn đề cần đặc biệt lưu ý.
Vi phạm quy định về bảo vệ dữ liệu cá nhân có thể bị xử phạt hành chính mà chưa nhất thiết cấu thành tội phạm. Ngược lại, nếu hành vi đồng thời đáp ứng đầy đủ dấu hiệu của một tội phạm được quy định trong Bộ luật Hình sự, người thực hiện có thể bị truy cứu trách nhiệm hình sự.
Do đó, không nên sử dụng cách hiểu đơn giản rằng:
“Mua data = đi tù”
mà cần đánh giá từng trường hợp dựa trên:
nguồn dữ liệu → cách thức thu thập → sự đồng ý → mục đích sử dụng → hành vi mua bán/chuyển giao → lợi ích thu được → thiệt hại → phương thức thực hiện → hậu quả thực tế.
Đặc biệt, từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân năm 2025 đã chính thức có hiệu lực và Nghị định 356/2025/NĐ-CP cũng có hiệu lực cùng ngày để quy định chi tiết một số điều và biện pháp thi hành Luật.
Kết luận
Hành vi thu thập, mua bán trái phép thông tin cá nhân hiện được pháp luật Việt Nam kiểm soát chặt chẽ hơn, đặc biệt từ khi Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực ngày 01/01/2026. Mua, bán dữ liệu cá nhân về nguyên tắc là hành vi bị nghiêm cấm, trừ trường hợp pháp luật có quy định khác; người vi phạm có thể bị xử phạt hành chính và phải bồi thường nếu gây thiệt hại.
Trong trường hợp nghiêm trọng, đặc biệt khi hành vi mua bán, sử dụng trái phép thông tin riêng được thực hiện trên mạng và đáp ứng các điều kiện của Điều 288 Bộ luật Hình sự, người vi phạm có thể bị phạt tiền hoặc phạt tù đến 07 năm. Vì vậy, khi xử lý một vụ việc cụ thể cần xác định chính xác loại dữ liệu, cách thức thu thập và mua bán, mức lợi bất chính, thiệt hại và hậu quả để áp dụng đúng quy định pháp luật.
Nếu bạn cần hỗ trợ, hãy đăng ký tư vấn trực tiếp hoặc online với Luật Thiên Mã để được giải đáp chi tiết, xây dựng phương án xử lý tối ưu với chi phí hợp lý, phải chăng và phù hợp với từng trường hợp cụ thể.
