Mua bán data khách hàng là hành vi bị cấm theo khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, và gọi telesale tới người chưa đồng ý là xử lý dữ liệu cá nhân trái phép. Trong ngành bất động sản, hai hành vi này thường đi cùng nhau: sale mua các tệp "chủ biệt thự", "khách gửi tiết kiệm trên 5 tỷ", "phụ huynh trường quốc tế" từ hội nhóm rồi gọi chào dự án. Từ ngày 19/08/2026, Nghị định 330/2026/NĐ-CP quy định mức phạt cụ thể cho từng hành vi, áp dụng cho cả sàn giao dịch lẫn từng nhân viên môi giới. Bài này dành cho môi giới, sàn giao dịch và đội telesale bất động sản; nguyên tắc chung cho mọi ngành có trong cẩm nang về mua bán dữ liệu cá nhân, gồm cả ranh giới giữa mua bán bị cấm và chuyển giao dữ liệu hợp pháp.
1. Chế tài với hành vi mua bán data khách hàng bất động sản#
a) Xử phạt hành chính theo Nghị định 330/2026/NĐ-CP#
- Mua, bán dữ liệu cá nhân trái phép: phạt từ 2 đến 10 lần khoản thu có được. Nếu không có khoản thu, mức phạt tính theo số người bị ảnh hưởng: từ 70 đến 100 triệu đồng với dữ liệu cơ bản của dưới 1.000 người, từ 500 triệu đến 1 tỷ đồng với dữ liệu cơ bản của từ 10.000 người trở lên, và từ 1 tỷ đến tối đa 3 tỷ đồng nếu xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô hoặc tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, quyền và lợi ích hợp pháp của tổ chức, cá nhân (Điều 53). Kèm theo là buộc xóa toàn bộ dữ liệu đã mua, bán và thông báo cho những người bị ảnh hưởng (khoản 5 Điều 53).
- Gọi điện, nhắn tin quảng cáo khi chưa có sự đồng ý: phạt từ 30 đến 50 triệu đồng (điểm a khoản 1 Điều 43) và buộc xóa dữ liệu đã xử lý khi không có sự đồng ý hợp lệ (điểm a khoản 4 Điều 43).
- Các mức trên áp dụng cho tổ chức; cá nhân, như nhân viên môi giới, có cùng hành vi bị phạt bằng một phần hai (khoản 1 Điều 7).
Cuộc gọi, tin nhắn quảng cáo còn phải tuân theo quy định về chống tin nhắn rác, cuộc gọi rác (khoản 4 Điều 28 Luật 91/2025); Mục 5 Chương II Nghị định 330 có các điều xử phạt riêng cho lĩnh vực này. Trước khi lập kịch bản gọi, doanh nghiệp cần đối chiếu văn bản hiện hành về khung giờ, tần suất gọi và định danh cuộc gọi.
b) Trách nhiệm hình sự#
Tùy tính chất, mức độ, hậu quả, người vi phạm pháp luật về bảo vệ dữ liệu cá nhân có thể bị truy cứu trách nhiệm hình sự thay vì xử phạt hành chính, và phải bồi thường nếu gây thiệt hại (khoản 1 Điều 8 Luật 91/2025). Tội danh và ngưỡng cụ thể được xác định theo Bộ luật Hình sự tại thời điểm xảy ra hành vi; khi có vụ việc, cần luật sư đánh giá riêng. Theo Bộ luật Hình sự hiện hành, trách nhiệm hình sự về mua bán thông tin cá nhân (Điều 288) đặt ra với cá nhân môi giới, nhân viên; sàn giao dịch là pháp nhân thương mại không thuộc danh sách tội tại Điều 76. Ngưỡng của Điều 288 và cách trách nhiệm được phân bổ giữa sàn, quản lý và nhân viên được phân tích tại bài làm lộ thông tin khách hàng thì ai chịu trách nhiệm.
2. Sàn giao dịch có chịu trách nhiệm khi sale tự mua bán data khách hàng?#
Nhiều chủ sàn cho rằng sale tự bỏ tiền mua data rồi tự gọi thì công ty không liên quan. Cách hiểu này không an toàn. Theo khoản 1 Điều 37 Luật 91/2025, doanh nghiệp là bên kiểm soát dữ liệu phải thực hiện biện pháp quản lý, kỹ thuật phù hợp và ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống của mình. Nếu sàn không có quy chế nội bộ, không kiểm soát nguồn gốc số điện thoại được nạp vào CRM và để sale dùng data mua ngoài để bán hàng cho công ty, sàn có thể phải chịu trách nhiệm cùng nhân viên.
3. Làm sạch dữ liệu CRM cũ#
Sàn đang giữ tệp CRM hàng chục nghìn số điện thoại cũ nên làm sạch theo 3 bước:
- Phân loại nguồn gốc: tách data có nguồn hợp pháp (khách tự đăng ký trên website, landing page; khách dự sự kiện có ký phiếu đăng ký) khỏi data không rõ nguồn.
- Xóa data không rõ nguồn: xóa các tệp mua từ bên ngoài hoặc không có bằng chứng về sự đồng ý. Bên kiểm soát phải lưu sự đồng ý và chịu trách nhiệm chứng minh khi có tranh chấp (khoản 2 Điều 6 Nghị định 356/2025/NĐ-CP); không chứng minh được sự đồng ý khi cơ quan có thẩm quyền kiểm tra bị phạt từ 30 đến 50 triệu đồng (điểm g khoản 1 Điều 43 Nghị định 330).
- Xin lại sự đồng ý khi mục đích đã thay đổi: với khách có nguồn hợp pháp nhưng chỉ đồng ý nhận thông tin một dự án, cần xin đồng ý riêng trước khi gửi thông tin dự án khác, vì sự đồng ý phải thể hiện với từng mục đích (điểm a khoản 4 Điều 9 Luật).
4. Kịch bản telesale xin phép và nguồn lead hợp pháp#
Kịch bản gọi nên cho khách biết ngay số điện thoại lấy từ đâu và cho khách quyền từ chối:
- Chào và nêu nguồn: "Em chào anh/chị [Tên], em là [Tên sale] gọi từ [Tên công ty]. Anh/chị đã đăng ký nhận bảng phân tích dự án [Tên dự án] trên website công ty em ngày [Ngày đăng ký]."
- Xin phép tiếp tục: "Anh/chị có tiện dành 2 phút để em cập nhật chính sách mới của dự án không ạ?"
- Tôn trọng lời từ chối: nếu khách nói không có nhu cầu hoặc đề nghị không gọi lại, sale cảm ơn, kết thúc cuộc gọi và cập nhật trạng thái "Ngừng liên hệ" trên CRM chung để các sale khác không gọi tiếp.
Nguồn lead hợp pháp cho sàn bất động sản thường gồm:
- Quảng cáo dẫn về landing page cung cấp tài liệu thị trường, bảng giá dự án. Form có ô đồng ý nhận tư vấn để trống, kèm liên kết tới thông báo xử lý dữ liệu. Ô đồng ý không được tích sẵn (khoản 3 Điều 6 Nghị định 356).
- Sự kiện mở bán, workshop: phiếu đăng ký nêu rõ mục đích sử dụng thông tin khách mời và có chỗ để khách chọn có nhận thông tin các dự án khác hay không.
- Lưu nguồn gốc từng số điện thoại trong CRM: thời điểm đăng ký, trang nguồn, nội dung khách đã đồng ý.
5. Quy tắc nội bộ của sàn về cấm mua bán data khách hàng#
Sàn nên bổ sung vào hợp đồng lao động, cam kết bảo mật và nội quy của nhân viên môi giới các điều khoản: cấm nạp data không rõ nguồn vào CRM công ty, cấm mua, bán, trao đổi danh sách khách hàng, và mức xử lý kỷ luật khi vi phạm theo nội quy lao động. Quy tắc này cần đi cùng phân quyền trên CRM, ví dụ chặn tải xuống hàng loạt số điện thoại.
6. Câu hỏi thường gặp về telesale bất động sản và mua bán data khách hàng#
Q1: Nhận số điện thoại khách do đồng nghiệp giới thiệu có hợp pháp không?
A1: Chỉ hợp pháp khi chính khách hàng đã đồng ý cho người giới thiệu chuyển số điện thoại của mình cho bạn để tư vấn. Sale tự trao đổi danh bạ với nhau vẫn là vi phạm.
Q2: Khách yêu cầu không gọi lại thì sale phải làm gì?
A2: Gắn nhãn "Ngừng liên hệ" trên CRM chung của sàn ngay, để không sale nào trong công ty gọi lại khách đó.
7. Làm sạch tệp data khách hàng trước đợt mở bán tới#
Rà lại nguồn gốc các tệp đang có trong CRM, xóa phần không chứng minh được sự đồng ý và sửa form, phiếu sự kiện trước chiến dịch mở bán kế tiếp. Nếu đội sale đông, đào tạo nhận thức bảo vệ dữ liệu cá nhân giúp nhân viên hiểu ranh giới giữa lead hợp pháp và data mua ngoài. Với sàn cần rà soát cả CRM, hợp đồng với đại lý và quy chế nội bộ, có thể dùng dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân. Toàn bộ nghĩa vụ và luật chuyên ngành cho doanh nghiệp bất động sản có tại trang bảo vệ dữ liệu cá nhân ngành bất động sản.
