Mua bán dữ liệu cá nhân: khi nào vi phạm và khi nào là chuyển giao hợp pháp?
Mua bán dữ liệu cá nhân là hành vi bị nghiêm cấm theo khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, trừ trường hợp luật có quy định khác. Việc chuyển giao dữ liệu cá nhân trong 6 trường hợp tại khoản 1 Điều 17 của Luật, dù có thu phí hay không, không bị xác định là mua bán dữ liệu cá nhân.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 & Nghị định 356/2025/NĐ-CP
Nguồn văn bản chính thức
3 Điểm cốt lõi doanh nghiệp cần nhớ
- Khoản 6 Điều 7 Luật 91/2025/QH15 nghiêm cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
- Chuyển giao dữ liệu cá nhân thuộc 6 trường hợp tại khoản 1 Điều 17 Luật 91/2025, có thu phí hay không, đều không bị xác định là mua bán (khoản 2 Điều 17). Nếu có thu phí, doanh nghiệp phải đáp ứng thêm 6 điều kiện tại khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP, trong đó có sự đồng ý của chủ thể dữ liệu theo từng lần chuyển giao.
- Mức phạt tiền tối đa với hành vi mua bán dữ liệu cá nhân là 10 lần khoản thu có được từ vi phạm; nếu không có khoản thu hoặc khoản thu thấp thì tối đa 3 tỷ đồng với tổ chức (khoản 3, khoản 5 Điều 8 Luật 91/2025). Mức phạt cụ thể quy định tại Điều 53 Nghị định 330/2026/NĐ-CP.
Mua bán dữ liệu cá nhân có bị cấm không?
Có. Khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 liệt kê "mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác" là hành vi bị nghiêm cấm. Theo Nghị định 13/2023/NĐ-CP, việc không mua bán dữ liệu là một nguyên tắc. Luật 91/2025 đã đưa nội dung này thành hành vi bị cấm với mức phạt tối đa riêng, đến 10 lần khoản thu có được từ hành vi vi phạm (Khoản 3 Điều 8).
Luật không đưa ra định nghĩa riêng về mua bán dữ liệu cá nhân. Thay vào đó, Luật xác định những việc không phải là mua bán: chuyển giao dữ liệu trong 6 trường hợp tại khoản 1 Điều 17, có thu phí hay không, đều không bị coi là mua bán dữ liệu cá nhân (khoản 2 Điều 17). Vì vậy, cách kiểm tra thực tế là đi theo chiều ngược lại: nếu một giao dịch trao đổi dữ liệu để lấy tiền hoặc lợi ích không thuộc 6 trường hợp này, thì có nguy cơ bị xác định là mua bán dữ liệu cá nhân.
Theo bản tóm tắt Nghị định 330/2026/NĐ-CP của LexData, Điều 53 Nghị định này xử phạt các nhóm hành vi sau: mua bán, trao đổi dữ liệu nhằm thu lợi trái phép; chuyển giao dữ liệu có thu phí nhưng không có thỏa thuận hoặc sai mục đích; và đưa dữ liệu cá nhân lên sàn giao dịch mà không khử nhận dạng.
6 trường hợp chuyển giao không bị coi là mua bán dữ liệu cá nhân
Khoản 1 Điều 17 Luật 91/2025/QH15 cho phép chuyển giao dữ liệu cá nhân trong các trường hợp sau:
Các trường hợp chuyển giao dữ liệu cá nhân hợp pháp theo khoản 1 Điều 17 Luật 91/2025
| Điểm | Trường hợp chuyển giao | Ví dụ thực tế |
|---|---|---|
| a | Có sự đồng ý của chủ thể dữ liệu cá nhân | Khách hàng đồng ý để ngân hàng chuyển thông tin cho công ty bảo hiểm đối tác |
| b | Chia sẻ giữa các bộ phận trong cùng một cơ quan, tổ chức, phù hợp mục đích đã xác lập | Phòng kinh doanh chuyển hồ sơ khách hàng cho phòng chăm sóc khách hàng |
| c | Chia, tách, sáp nhập, hợp nhất, tổ chức lại hoặc kết thúc hoạt động của tổ chức | Công ty con sáp nhập vào công ty mẹ, dữ liệu khách hàng chuyển sang để tiếp tục phục vụ |
| d | Chuyển cho bên xử lý dữ liệu hoặc bên thứ ba để xử lý theo quy định | Thuê đơn vị tổng đài, CRM, vận chuyển xử lý dữ liệu theo hợp đồng |
| đ | Theo yêu cầu của cơ quan nhà nước có thẩm quyền | Cung cấp dữ liệu theo văn bản yêu cầu của cơ quan điều tra |
| e | Các trường hợp không cần sự đồng ý tại khoản 1 Điều 19 | Chuyển dữ liệu để bảo vệ tính mạng, sức khỏe trong tình huống khẩn cấp |
Chi tiết các trường hợp tại điểm e xem trong cẩm nang xử lý dữ liệu không cần sự đồng ý. Lưu ý thêm: khi doanh nghiệp cung cấp dữ liệu cho chính chủ thể dữ liệu theo yêu cầu của họ, việc này không được coi là chuyển giao (khoản 6 Điều 7 Nghị định 356/2025/NĐ-CP). Cách phân biệt chuyển giao với cung cấp, chia sẻ nội bộ và chuyển ra nước ngoài xem tại chuyển giao dữ liệu cá nhân là gì.
Điều kiện khi chuyển giao dữ liệu cá nhân có thu phí
Đây là điểm mà nhiều bài viết về mua bán dữ liệu cá nhân bỏ qua. Khi chuyển giao theo điểm a hoặc điểm d khoản 1 Điều 17 và có thu phí để cung cấp dịch vụ hoặc phục vụ lợi ích hợp pháp của chủ thể dữ liệu, khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu:
- Có hệ thống kỹ thuật và cơ chế minh bạch để chủ thể dữ liệu đồng ý chính xác, rõ ràng theo từng lần chuyển giao, biết rõ mục đích chuyển giao và tổ chức, cá nhân tiếp nhận.
- Chỉ xử lý dữ liệu đúng mục đích chuyển giao đã được đồng ý và phù hợp ngành, nghề đăng ký kinh doanh.
- Loại dữ liệu chuyển giao giới hạn trong phạm vi mục đích chuyển giao.
- Không được thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao để dùng cho mục đích khác ngoài các mục đích chủ thể dữ liệu đã đồng ý.
- Xác định rõ vai trò bên kiểm soát, bên xử lý, bên thứ ba trong hoạt động chuyển giao (xem phân biệt bên kiểm soát và bên xử lý dữ liệu).
- Có thỏa thuận chuyển giao, xử lý dữ liệu trước khi chuyển và cam kết trách nhiệm với chủ thể dữ liệu.
Thỏa thuận chuyển giao phải có những nội dung gì?
Với chuyển giao theo điểm a, c, d khoản 1 Điều 17, khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP yêu cầu thỏa thuận với bên nhận nêu rõ: mục đích chuyển giao; đối tượng chủ thể và loại dữ liệu; thời hạn xử lý và yêu cầu xóa, hủy sau khi hoàn thành mục đích; cơ sở pháp lý; trách nhiệm bảo vệ dữ liệu; trách nhiệm thực hiện quyền của chủ thể dữ liệu; và trách nhiệm phối hợp khi phát hiện vi phạm. Với dữ liệu cá nhân nhạy cảm, bên chuyển giao còn phải áp dụng biện pháp bảo mật vật lý, mã hóa, ẩn danh trong quá trình chuyển giao (khoản 2 Điều 7).
Những tình huống dễ bị xem là mua bán dữ liệu cá nhân
Từ các hồ sơ rà soát tuân thủ mà LexData đã thực hiện, dưới đây là những tình huống doanh nghiệp thường nghĩ là "chia sẻ dữ liệu bình thường" nhưng có rủi ro cao bị xác định là mua bán dữ liệu cá nhân:
- Mua danh sách khách hàng tiềm năng (lead list) từ bên môi giới để telesale hoặc chạy quảng cáo. Bên bán hầu như không chứng minh được sự đồng ý theo từng lần chuyển giao. Xem phân tích chi tiết trong bài telesale bất động sản và ranh giới pháp lý khi mua data khách hàng.
- Trao đổi tệp khách hàng với đối tác theo kiểu "anh cho tôi data, tôi cho anh data". Không có tiền nhưng vẫn là trao đổi để lấy lợi ích, và thường không thuộc trường hợp nào của Điều 17.
- Nhân viên tự mang dữ liệu khách hàng đi bán khi nghỉ việc. Doanh nghiệp phải có quy trình kiểm soát chia sẻ nội bộ và biện pháp phòng, chống nhân sự chia sẻ trái phép dữ liệu cho bên thứ ba (khoản 4 Điều 7 Nghị định 356/2025/NĐ-CP).
- Bên xử lý dùng dữ liệu của khách hàng cho mục đích riêng, ví dụ đơn vị tổng đài dùng lại danh sách số điện thoại để bán cho khách hàng khác của mình.
- Bán dữ liệu "đã ẩn danh" nhưng chưa đạt chuẩn khử nhận dạng, chỉ che tên nhưng giữ ngày sinh, địa chỉ, lịch sử giao dịch. Xem khử nhận dạng dữ liệu là gì.
Mức phạt hành vi mua bán dữ liệu cá nhân
Khoản 3 Điều 8 Luật 91/2025/QH15 quy định mức phạt tiền tối đa với hành vi mua bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm. Nếu không có khoản thu, hoặc mức phạt tính theo khoản thu thấp hơn 3 tỷ đồng, thì áp dụng mức tối đa 3 tỷ đồng (khoản 5 Điều 8). Các mức này áp dụng với tổ chức; cá nhân vi phạm chịu tối đa một nửa (khoản 6 Điều 8).
Theo bản tóm tắt Nghị định 330/2026/NĐ-CP của LexData, Điều 53 Nghị định này phạt từ 2 đến 10 lần khoản thu. Khi không có khoản thu, mức phạt tính theo số lượng chủ thể dữ liệu bị ảnh hưởng, từ 70 triệu đồng (dưới 1.000 chủ thể dữ liệu cơ bản) đến 1 tỷ đồng, và 1–3 tỷ đồng nếu xâm phạm quốc phòng, an ninh hoặc tính mạng, sức khỏe, tài sản của chủ thể dữ liệu. Biện pháp khắc phục gồm buộc nộp lại khoản thu bất hợp pháp và buộc xóa, hủy dữ liệu. Ngoài xử phạt hành chính, hành vi vi phạm còn có thể bị truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại nếu có (khoản 1 Điều 8 Luật 91/2025). Tổng hợp các khung phạt khác xem tại cẩm nang mức phạt vi phạm dữ liệu cá nhân.
Checklist trước khi chia sẻ hoặc nhận dữ liệu cá nhân có thu phí
- Xác định giao dịch thuộc điểm nào của khoản 1 Điều 17 Luật 91/2025. Nếu không thuộc điểm nào, dừng lại.
- Xác định vai trò các bên: bên nhận là bên xử lý (làm theo yêu cầu của mình) hay bên kiểm soát mới (tự dùng cho mục đích riêng).
- Nếu dựa vào sự đồng ý: lưu được bằng chứng đồng ý cho đúng lần chuyển giao này, đúng bên nhận và đúng mục đích.
- Ký thỏa thuận chuyển giao hoặc hợp đồng xử lý dữ liệu (DPA) có đủ 7 nội dung tại khoản 1 Điều 7 Nghị định 356/2025/NĐ-CP.
- Giới hạn trường dữ liệu chuyển giao ở mức cần thiết cho mục đích.
- Mã hóa và bảo mật đường truyền nếu có dữ liệu cá nhân nhạy cảm.
- Ghi nhận luồng chuyển giao vào bản đồ dữ liệu và hồ sơ đánh giá tác động nếu doanh nghiệp thuộc diện phải lập.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Câu hỏi nên đặt ra không phải là 'có thu tiền hay không', mà là 'giao dịch này thuộc trường hợp nào của Điều 17'. Luật 91/2025 cho phép chuyển giao có thu phí, nhưng Nghị định 356/2025 đặt ra điều kiện rất chặt: đồng ý theo từng lần chuyển giao và không được hình thành kho dữ liệu riêng. Doanh nghiệp đang mua data khách hàng từ bên ngoài nên dừng và rà soát lại nguồn dữ liệu trước khi tiếp tục sử dụng."
Câu hỏi thường gặp (FAQ)
Doanh nghiệp mua danh sách khách hàng tiềm năng từ bên môi giới để gọi telesale có vi phạm không?
Rủi ro rất cao. Bên bán chỉ được chuyển giao dữ liệu nếu thuộc một trong các trường hợp tại khoản 1 Điều 17 Luật 91/2025/QH15, thông thường là khi chủ thể dữ liệu đã đồng ý cho chuyển giao (điểm a). Nếu có thu phí, khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP còn yêu cầu chủ thể dữ liệu đồng ý theo từng lần chuyển giao, biết chính xác mục đích và bên nhận. Các danh sách data khách hàng bán trên thị trường gần như không đáp ứng được điều kiện này, nên cả bên bán và bên mua đều có thể bị xử phạt theo Điều 53 Nghị định 330/2026/NĐ-CP.
Doanh nghiệp trả phí cho nhà cung cấp CRM, tổng đài hoặc dịch vụ gửi tin nhắn để xử lý dữ liệu khách hàng thì có phải mua bán dữ liệu cá nhân không?
Không. Chuyển giao dữ liệu cho bên xử lý dữ liệu cá nhân để xử lý theo yêu cầu của bên kiểm soát là trường hợp tại điểm d khoản 1 Điều 17 Luật 91/2025/QH15. Phí ở đây là phí dịch vụ, không phải giá mua dữ liệu. Bên xử lý chỉ được tiếp nhận dữ liệu sau khi có thỏa thuận, hợp đồng xử lý dữ liệu với bên kiểm soát (điểm a khoản 2 Điều 37) và không được dùng dữ liệu cho mục đích riêng.
Bán dữ liệu đã được ẩn danh có vi phạm không?
Dữ liệu đã được khử nhận dạng đúng nghĩa, tức không thể xác định hoặc giúp xác định một con người cụ thể, không còn là dữ liệu cá nhân (khoản 1 Điều 2 Luật 91/2025/QH15). Khoản 5 Điều 7 Nghị định 356/2025/NĐ-CP cũng yêu cầu dữ liệu cá nhân phải được khử nhận dạng trước khi giao dịch trên sàn dữ liệu. Tuy nhiên, nếu chỉ che tên hoặc số điện thoại mà dữ liệu vẫn có thể ghép lại để nhận dạng, thì đó vẫn là dữ liệu cá nhân và việc bán vẫn có thể bị coi là mua bán dữ liệu cá nhân.
Khi bán doanh nghiệp hoặc sáp nhập, việc chuyển cơ sở dữ liệu khách hàng cho bên mua có phải mua bán dữ liệu cá nhân không?
Tùy cấu trúc giao dịch. Nếu bên mua chỉ mua cổ phần hoặc phần vốn góp, pháp nhân nắm giữ dữ liệu không thay đổi nên không phát sinh chuyển giao. Nếu là chia, tách, sáp nhập, hợp nhất tổ chức, điểm c khoản 1 Điều 17 Luật 91/2025/QH15 cho phép chuyển giao để tiếp tục xử lý dữ liệu. Trường hợp chỉ bán riêng tài sản hoặc tệp khách hàng thì cần xem xét kỹ căn cứ chuyển giao và sự đồng ý của chủ thể dữ liệu. Vấn đề này nên được rà soát trong quá trình thẩm định (due diligence).
Nội dung bài viết được rà soát và kiểm chứng tính chuẩn xác pháp lý theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và các văn bản quy phạm pháp luật hiện hành.
Xem hồ sơ năng lực chuyên gia & đội ngũ LexDataKhám phá chuyên sâu & Giải pháp từ LexData
Dịch vụ Tư vấn Tuân thủ Bảo vệ Dữ liệu Cá nhân cho Doanh nghiệp
Đồng hành cùng luật sư LexData thực hiện trọn gói thủ tục và hồ sơ cho doanh nghiệp.
Tìm hiểu dịch vụ