Bảo vệ dữ liệu cá nhân ngành bất động sản: chủ đầu tư, sàn giao dịch, môi giới và quản lý tòa nhà
Bảo vệ dữ liệu cá nhân ngành bất động sản là nghĩa vụ của chủ đầu tư, sàn giao dịch, môi giới và đơn vị quản lý tòa nhà, vì ngành này thu thập dữ liệu ở mọi khâu: tìm khách, đặt cọc, ký hợp đồng mua bán, vay vốn, bàn giao và vận hành tòa nhà. Rủi ro lớn nhất là mua bán data khách hàng và telesale không có sự đồng ý, bị Luật 91/2025/QH15 nghiêm cấm; tiếp theo là bản sao căn cước, thông tin tài khoản ngân hàng, camera và nhận diện khuôn mặt tại các tòa nhà.
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Điều 7, 17, 20, 28, 31, 32); Nghị định 356/2025/NĐ-CP; Nghị định 330/2026/NĐ-CP; Luật Phòng, chống rửa tiền số 14/2022/QH15; Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, cuộc gọi rác
Nguồn văn bản chính thức
Điểm cốt lõi về bảo vệ dữ liệu cá nhân ngành bất động sản
- Rủi ro lớn nhất khi bảo vệ dữ liệu cá nhân ngành bất động sản là mua bán data khách hàng: mua, bán dữ liệu cá nhân là hành vi bị nghiêm cấm (khoản 6 Điều 7 Luật 91/2025/QH15). Theo Điều 53 Nghị định 330/2026/NĐ-CP, tổ chức vi phạm bị phạt từ 2 đến 10 lần khoản thu; nếu không có khoản thu, mức phạt từ 70 triệu đồng đến 3 tỷ đồng tùy số chủ thể bị ảnh hưởng và mức độ xâm phạm.
- Telesale bất động sản, nhắn tin giới thiệu dự án là xử lý dữ liệu để quảng cáo: phải có sự đồng ý của khách hàng, cho khách biết nội dung, phương thức, tần suất và cung cấp cách từ chối nhận quảng cáo (khoản 3, 5 Điều 28).
- Ban quản lý tòa nhà dùng nhận diện khuôn mặt, vân tay là xử lý dữ liệu sinh trắc học, một nhóm dữ liệu nhạy cảm: cần sự đồng ý của cư dân, bảo mật vật lý thiết bị, hạn chế truy cập và nên có phương án thay thế như thẻ từ (khoản 4 Điều 31).
Dữ liệu cá nhân ngành bất động sản thường xử lý
| Nhóm dữ liệu | Ví dụ | Phân loại |
|---|---|---|
| Thông tin liên hệ của khách tiềm năng | Họ tên, số điện thoại, email, nhu cầu và ngân sách để lại qua form, sự kiện mở bán, nhà mẫu | Cơ bản |
| Thông tin nhân thân trong hồ sơ giao dịch | Số định danh cá nhân, ngày sinh, nơi cư trú, tình trạng hôn nhân, thông tin vợ/chồng đồng sở hữu | Cơ bản |
| Ảnh thẻ căn cước, tài khoản định danh điện tử | Ảnh chụp hai mặt CCCD trong hồ sơ đặt cọc, hợp đồng mua bán, đăng ký cư dân | Nhạy cảm |
| Tài khoản, thẻ ngân hàng và giao dịch | Số tài khoản, sao kê, chứng từ thanh toán theo tiến độ, hồ sơ vay mua nhà | Nhạy cảm |
| Dữ liệu sinh trắc học | Khuôn mặt, vân tay dùng cho thang máy, cổng ra vào, bãi xe của tòa nhà | Nhạy cảm |
| Hình ảnh từ camera | Camera sảnh, hành lang, bãi xe, nhà mẫu (trở thành dữ liệu sinh trắc học nếu hệ thống nhận diện khuôn mặt) | Cơ bản |
Phân loại theo danh mục tại Điều 3 và Điều 4 Nghị định 356/2025/NĐ-CP. Cùng một loại thông tin có thể đổi phân loại tùy ngữ cảnh xử lý.
1. Ai phải tuân thủ bảo vệ dữ liệu cá nhân ngành bất động sản?
Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 áp dụng cho mọi tổ chức xử lý dữ liệu cá nhân tại Việt Nam, kể cả doanh nghiệp có vốn đầu tư nước ngoài và tổ chức nước ngoài xử lý dữ liệu của công dân Việt Nam (khoản 2 Điều 1). Trong bảo vệ dữ liệu cá nhân ngành bất động sản, các nhóm sau xử lý nhiều dữ liệu khách hàng bất động sản nhất và chịu rủi ro cao nhất:
- Chủ đầu tư dự án: dữ liệu khách mua, người đồng sở hữu, hồ sơ thanh toán theo tiến độ, hồ sơ vay qua ngân hàng liên kết.
- Sàn giao dịch, đại lý phân phối, môi giới: danh sách khách tiềm năng, lịch sử tư vấn, ghi âm cuộc gọi, dữ liệu từ quảng cáo trực tuyến.
- Đơn vị quản lý vận hành tòa nhà, khu đô thị: danh sách cư dân, thẻ ra vào, camera, nhận diện khuôn mặt, ứng dụng cư dân.
- Nền tảng tin đăng, proptech: tài khoản người dùng, hành vi tìm kiếm, vị trí, dữ liệu chủ nhà và người thuê.
Doanh nghiệp nhỏ không trực tiếp xử lý dữ liệu nhạy cảm được lựa chọn chưa lập hồ sơ DPIA, chưa chỉ định bộ phận bảo vệ dữ liệu trong 5 năm (khoản 2 Điều 38). Tuy nhiên, phần lớn doanh nghiệp bất động sản có lưu ảnh CCCD hoặc thông tin tài khoản ngân hàng, là hai nhóm dữ liệu nhạy cảm theo Điều 4 Nghị định 356/2025/NĐ-CP, nên thực tế ít khi thuộc diện này.
2. Năm rủi ro thường gặp khi bảo vệ dữ liệu cá nhân ngành bất động sản
Năm rủi ro dưới đây là những tình huống LexData gặp nhiều nhất khi tư vấn bảo vệ dữ liệu cá nhân ngành bất động sản. Mỗi rủi ro đi kèm căn cứ pháp lý và mức phạt tương ứng.
Mua bán data khách hàng bất động sản
Các danh sách "chủ biệt thự", "khách VIP", "khách đã mua dự án khác" được mua bán trên mạng xã hội là rủi ro lớn nhất của ngành. Khoản 6 Điều 7 Luật 91/2025/QH15 nghiêm cấm mua, bán dữ liệu cá nhân. Mức phạt theo Điều 53 Nghị định 330/2026/NĐ-CP là 2 đến 10 lần khoản thu; nếu không xác định được khoản thu, mức phạt tính theo số chủ thể bị ảnh hưởng, từ 70 triệu đến 1 tỷ đồng, và đến 3 tỷ đồng khi xâm phạm tính mạng, sức khỏe, tài sản của chủ thể. Doanh nghiệp còn có thể bị buộc xóa dữ liệu và thông báo cho toàn bộ chủ thể bị ảnh hưởng.
Chuyển giao dữ liệu hợp pháp theo khoản 1 Điều 17, ví dụ khi khách đã đồng ý hoặc khi đại lý xử lý dữ liệu theo hợp đồng với chủ đầu tư, không bị coi là mua bán dù có thu phí (khoản 2 Điều 17). Ranh giới nằm ở căn cứ pháp lý và hợp đồng, không nằm ở việc có trả tiền hay không. Tuy vậy, chuyển giao có thu phí phải có thỏa thuận chuyển giao và cơ chế để khách đồng ý theo từng lần chuyển giao (khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP); thiếu các điều kiện này, việc chuyển giao bị xử phạt như mua bán trái phép theo Điều 53 Nghị định 330/2026/NĐ-CP.
Telesale bất động sản và tin nhắn giới thiệu dự án
Telesale bất động sản, nhắn tin, gửi email giới thiệu dự án là sử dụng dữ liệu cá nhân để quảng cáo. Theo Điều 28 Luật 91/2025/QH15, doanh nghiệp phải:
- Có sự đồng ý của khách hàng, trên cơ sở khách biết rõ nội dung, phương thức, hình thức và tần suất giới thiệu sản phẩm (khoản 3).
- Cung cấp cách để khách từ chối nhận quảng cáo, và ngừng ngay khi khách yêu cầu (khoản 3, 5).
- Tuân thủ pháp luật về chống tin nhắn rác, cuộc gọi rác và pháp luật về quảng cáo (khoản 4), xem mục 3 bên dưới.
Sự im lặng hoặc không phản hồi không phải là đồng ý (điểm d khoản 4 Điều 9). Coi sự im lặng là đồng ý bị phạt 50 đến 70 triệu đồng theo Điều 43 Nghị định 330/2026/NĐ-CP.
Bản sao căn cước công dân trong hồ sơ giao dịch
Ảnh thẻ căn cước là dữ liệu nhạy cảm. Hồ sơ đặt cọc, hợp đồng mua bán thường chuyển qua Zalo, email cá nhân của nhân viên kinh doanh, rồi nằm lại trên điện thoại sau khi nhân viên nghỉ việc. Khi xử lý dữ liệu nhạy cảm, doanh nghiệp phải thông báo cho khách hàng rằng dữ liệu được xử lý là dữ liệu nhạy cảm; không thông báo bị phạt theo Điều 43 Nghị định 330/2026/NĐ-CP. Chuyển giao dữ liệu nhạy cảm mà không có biện pháp bảo mật như mã hóa bị phạt 50 đến 80 triệu đồng (Điều 52).
Camera và nhận diện khuôn mặt tại tòa nhà
Camera tại sảnh, bãi xe, khu vực cung cấp dịch vụ phải có biển thông báo dễ nhận biết (khoản 2 Điều 32 Luật 91/2025/QH15); không thông báo bị phạt 10 đến 20 triệu đồng theo Điều 71 Nghị định 330/2026/NĐ-CP. Nếu hệ thống dùng nhận diện khuôn mặt, dữ liệu trở thành dữ liệu sinh trắc học, phải có biện pháp bảo mật vật lý thiết bị, hạn chế quyền truy cập và hệ thống theo dõi xâm phạm (điểm a khoản 4 Điều 31). Dùng hình ảnh camera để nhận diện khuôn mặt, lập hồ sơ cá nhân mà không có sự đồng ý hợp lệ bị phạt 30 đến 50 triệu đồng (khoản 2 Điều 71 Nghị định 330/2026/NĐ-CP).
Chia sẻ dữ liệu giữa chủ đầu tư, đại lý và đơn vị vận hành
Một dự án thường có nhiều bên cùng chạm vào dữ liệu khách hàng bất động sản. Nếu không xác định ai là bên kiểm soát, ai là bên xử lý, sẽ không rõ ai phải trả lời yêu cầu xóa dữ liệu, ai phải thông báo khi rò rỉ. Thỏa thuận chuyển giao không xác định rõ trách nhiệm bảo vệ dữ liệu bị phạt 20 đến 30 triệu đồng (khoản 1 Điều 52 Nghị định 330/2026/NĐ-CP).
3. Luật chuyên ngành về bảo vệ dữ liệu cá nhân ngành bất động sản
Chống tin nhắn rác, cuộc gọi rác
Nghị định 91/2020/NĐ-CP vẫn đang có hiệu lực và đặt thêm giới hạn cụ thể cho telesale bất động sản, bổ sung cho yêu cầu bảo vệ dữ liệu cá nhân ngành bất động sản theo Luật 91:
- Chỉ được gửi tin nhắn, email hoặc gọi điện quảng cáo khi người nhận đã đồng ý trước (khoản 2 Điều 11).
- Không quá 03 tin nhắn quảng cáo, 03 email quảng cáo và 01 cuộc gọi quảng cáo tới một người trong 24 giờ, trừ khi đã có thỏa thuận khác (khoản 5 Điều 13).
- Chỉ nhắn tin quảng cáo từ 07 giờ đến 22 giờ, gọi điện quảng cáo từ 08 giờ đến 17 giờ, trừ khi đã có thỏa thuận khác (khoản 6 Điều 13).
- Lưu bằng chứng về sự đồng ý và từ chối của người nhận tối thiểu 01 năm (khoản 7 Điều 11).
Phòng, chống rửa tiền
Kinh doanh bất động sản (trừ cho thuê, cho thuê lại và tư vấn bất động sản) là ngành nghề phi tài chính có liên quan theo điểm b khoản 2 Điều 4 Luật Phòng, chống rửa tiền số 14/2022/QH15. Doanh nghiệp phải nhận biết khách hàng khi cung cấp dịch vụ kinh doanh bất động sản (điểm b khoản 3 Điều 9) và lưu hồ sơ nhận biết khách hàng tối thiểu 05 năm kể từ khi kết thúc giao dịch (Điều 38).
Đây là nghĩa vụ theo luật, nên việc thu thập giấy tờ tùy thân để nhận biết khách hàng có căn cứ pháp lý riêng, và hồ sơ trong thời hạn 05 năm không phải xóa ngay khi khách yêu cầu. Doanh nghiệp vẫn phải nêu mục đích này trong thông báo xử lý dữ liệu, chỉ dùng dữ liệu đúng mục đích phòng, chống rửa tiền, và xóa, hủy khi hết thời hạn lưu trữ (điểm c khoản 1 Điều 14 Luật 91/2025/QH15). Không được dùng hồ sơ nhận biết khách hàng để telesale dự án khác.
4. Nghĩa vụ bảo vệ dữ liệu cá nhân ngành bất động sản và căn cứ pháp lý
Bảng dưới đây tóm tắt các nghĩa vụ chính. Mỗi dòng là một hạng mục cần có trong kế hoạch bảo vệ dữ liệu cá nhân ngành bất động sản của doanh nghiệp.
Bảng nghĩa vụ bảo vệ dữ liệu cá nhân ngành bất động sản
| Nghĩa vụ | Căn cứ | Áp dụng trong ngành |
|---|---|---|
| Không mua, bán dữ liệu cá nhân | Khoản 6 Điều 7 Luật 91/2025; Điều 53 NĐ 330/2026 | Cấm mua danh sách khách hàng, cấm nhân viên bán data khi nghỉ việc |
| Có sự đồng ý trước khi thu thập | Điều 9, khoản 1 Điều 11 Luật 91/2025 | Form landing page, phiếu đăng ký tham quan nhà mẫu, sự kiện mở bán |
| Đồng ý riêng cho quảng cáo, có cách từ chối | Điều 28 Luật 91/2025 | Telesale, SMS, Zalo OA, email giới thiệu dự án |
| Bảo vệ dữ liệu sinh trắc học | Khoản 4 Điều 31 Luật 91/2025 | FaceID thang máy, cổng ra vào, bãi xe |
| Thông báo khi ghi hình | Điều 32 Luật 91/2025; Điều 71 NĐ 330/2026 | Camera sảnh, hành lang, nhà mẫu |
| Lập hồ sơ DPIA, gửi Cục A05 trong 60 ngày | Điều 21 Luật 91/2025; Mẫu số 10 NĐ 356/2025 | Chủ đầu tư, sàn, đơn vị vận hành xử lý dữ liệu nhạy cảm |
| Hồ sơ chuyển dữ liệu xuyên biên giới | Điều 20 Luật 91/2025; Mẫu số 09 NĐ 356/2025 | CRM, phần mềm quản lý tòa nhà đặt máy chủ ở nước ngoài |
| Chỉ gọi, nhắn quảng cáo trong khung giờ và giới hạn số lần | Điều 11, 13 NĐ 91/2020 | Gọi 08h–17h, 01 cuộc gọi và 03 tin nhắn mỗi ngày, trừ khi có thỏa thuận khác |
| Nhận biết khách hàng, lưu hồ sơ 05 năm | Điều 9, 38 Luật Phòng, chống rửa tiền 2022 | Hồ sơ mua bán, môi giới; không dùng lại cho marketing |
| Thông báo vi phạm trong 72 giờ | Điều 23 Luật 91/2025 | Rò rỉ danh sách khách hàng, hồ sơ CCCD, dữ liệu cư dân |
5. Bảo vệ dữ liệu cá nhân ngành bất động sản cho doanh nghiệp FDI
Với chủ đầu tư và nhà vận hành có vốn nước ngoài, bảo vệ dữ liệu cá nhân ngành bất động sản có thêm hai điểm cần lưu ý. Doanh nghiệp FDI thường dùng CRM, hệ thống quản lý tòa nhà hoặc trung tâm dịch vụ khách hàng dùng chung của tập đoàn đặt ở nước ngoài. Sử dụng nền tảng ở ngoài lãnh thổ Việt Nam để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu cá nhân xuyên biên giới (điểm c khoản 1 Điều 20 Luật 91/2025/QH15), cần hồ sơ đánh giá tác động riêng gửi Cục A05 trong 60 ngày. Chính sách quyền riêng tư của tập đoàn theo chuẩn GDPR cũng cần được điều chỉnh: Luật Việt Nam không có căn cứ "lợi ích hợp pháp" (legitimate interests) mang tính tổng quát như GDPR, nên hoạt động marketing gần như luôn cần sự đồng ý.
Nhận định từ Luật sư Hồ Thị Hà Nhi
"Với bảo vệ dữ liệu cá nhân ngành bất động sản, việc cần làm trước tiên là làm sạch nguồn data, trước cả việc soạn chính sách quyền riêng tư. Doanh nghiệp cần biết mỗi số điện thoại trong CRM đến từ đâu và khách đã đồng ý nhận cuộc gọi hay chưa. Một hệ thống thu thập khách tiềm năng có sự đồng ý rõ ràng vừa giảm rủi ro bị phạt, vừa giúp đội kinh doanh tiếp cận đúng người thật sự quan tâm."
Checklist bảo vệ dữ liệu cá nhân ngành bất động sản
- Rà soát toàn bộ nguồn dữ liệu khách hàng bất động sản trong CRM và trên máy của nhân viên kinh doanh; xóa các danh sách không chứng minh được nguồn gốc hợp pháp hoặc sự đồng ý.
- Thiết kế form thu thập khách tiềm năng (landing page, sự kiện, nhà mẫu) có thông báo xử lý dữ liệu và ô đồng ý riêng cho việc nhận cuộc gọi, tin nhắn giới thiệu dự án.
- Ban hành quy chế nội bộ cấm nhân viên mua, bán, chia sẻ data khách hàng; đưa cam kết bảo mật vào hợp đồng lao động và hợp đồng cộng tác viên môi giới.
- Ký thỏa thuận xử lý dữ liệu (DPA) hoặc thỏa thuận chuyển giao dữ liệu giữa chủ đầu tư, đại lý phân phối, sàn giao dịch và đơn vị quản lý vận hành; xác định rõ ai là bên kiểm soát.
- Giới hạn việc thu và lưu ảnh CCCD ở khâu cần thiết (đặt cọc, ký hợp đồng), lưu trong hệ thống có phân quyền thay vì Zalo, email cá nhân.
- Với tòa nhà: đặt biển thông báo camera, xin đồng ý khi đăng ký FaceID, cho phép cư dân dùng thẻ từ thay thế, quy định thời hạn lưu hình ảnh.
- Lập hồ sơ DPIA và gửi Cục A05 trong 60 ngày; nếu CRM hoặc phần mềm quản lý tòa nhà đặt máy chủ ở nước ngoài, lập thêm hồ sơ chuyển dữ liệu xuyên biên giới.
- Thiết lập kênh tiếp nhận yêu cầu ngừng nhận quảng cáo, rút lại đồng ý, xóa dữ liệu và đồng bộ danh sách từ chối cho toàn bộ đội telesale, đại lý.
- Đào tạo định kỳ về bảo vệ dữ liệu cá nhân ngành bất động sản cho nhân viên kinh doanh, cộng tác viên môi giới và ban quản lý tòa nhà.
Câu hỏi thường gặp về bảo vệ dữ liệu cá nhân ngành bất động sản
Sàn giao dịch mua danh sách khách hàng từ bên ngoài để telesale có vi phạm không?
Có. Mua bán data khách hàng bất động sản là vi phạm phổ biến nhất khi xét về bảo vệ dữ liệu cá nhân ngành bất động sản. Mua, bán dữ liệu cá nhân bị nghiêm cấm theo khoản 6 Điều 7 Luật 91/2025/QH15, trừ trường hợp luật có quy định khác, và bị xử phạt theo Điều 53 Nghị định 330/2026/NĐ-CP. Việc dùng danh sách mua được để gọi điện còn vi phạm yêu cầu có sự đồng ý khi xử lý dữ liệu để quảng cáo (khoản 3 Điều 28). Hành vi nghiêm trọng có thể bị truy cứu trách nhiệm hình sự.
Chủ đầu tư có được chia sẻ danh sách khách hàng cho đại lý phân phối không?
Được, nếu có căn cứ theo Điều 17 Luật 91/2025/QH15, chẳng hạn khách hàng đã đồng ý, hoặc đại lý xử lý dữ liệu thay chủ đầu tư theo hợp đồng xử lý dữ liệu. Thỏa thuận phải xác định rõ vai trò, loại dữ liệu, mục đích, thời hạn và việc xóa dữ liệu khi kết thúc. Chuyển giao hợp lệ theo khoản 1 Điều 17 không bị coi là mua bán, kể cả khi có thu phí (khoản 2 Điều 17), nhưng chuyển giao có thu phí phải đáp ứng thêm các điều kiện tại khoản 3 Điều 7 Nghị định 356/2025/NĐ-CP.
Nhân viên môi giới tự mua data, công ty có phải chịu trách nhiệm không?
Có rủi ro. Doanh nghiệp là bên kiểm soát dữ liệu đối với dữ liệu được đưa vào hoạt động kinh doanh của mình, có trách nhiệm thực hiện biện pháp quản lý, kỹ thuật phù hợp và ngăn chặn thu thập trái phép (điểm c, h khoản 1 Điều 37). Doanh nghiệp nên có quy chế cấm, kiểm soát nguồn data nhập vào CRM, đào tạo và xử lý kỷ luật để chứng minh đã thực hiện đầy đủ trách nhiệm.
Ban quản lý tòa nhà có bắt buộc cư dân đăng ký khuôn mặt để đi thang máy không?
Không nên bắt buộc. Dữ liệu sinh trắc học là dữ liệu nhạy cảm; xử lý cần sự đồng ý tự nguyện của cư dân, và sự đồng ý không được kèm điều kiện bắt buộc cho mục đích khác (điểm b khoản 4 Điều 9 Luật 91/2025/QH15). Ban quản lý nên cung cấp phương án thay thế như thẻ từ, và phải áp dụng biện pháp bảo vệ tại khoản 4 Điều 31.
Khách hàng yêu cầu xóa hồ sơ mua bán, bản sao CCCD thì có phải xóa ngay không?
Không nhất thiết. Hồ sơ nhận biết khách hàng theo Luật Phòng, chống rửa tiền số 14/2022/QH15 phải lưu tối thiểu 05 năm kể từ khi kết thúc giao dịch (Điều 38), và hợp đồng, chứng từ kế toán cũng có thời hạn lưu trữ riêng. Khi không thể xóa vì lý do chính đáng, doanh nghiệp phải thông báo cho khách hàng (khoản 5 Điều 14 Luật 91/2025/QH15), ngừng dùng dữ liệu cho mục đích khác như marketing, và xóa khi hết thời hạn lưu trữ.
Công ty BĐS vốn nước ngoài dùng CRM đặt tại nước ngoài cần lưu ý gì?
Dùng nền tảng ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam là chuyển dữ liệu cá nhân xuyên biên giới (điểm c khoản 1 Điều 20 Luật 91/2025/QH15). Doanh nghiệp phải lập hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới theo Mẫu số 09 Nghị định 356/2025/NĐ-CP và gửi Cục A05 trong 60 ngày kể từ lần chuyển đầu tiên.
Luật sư Hồ Thị Hà Nhi
Luật sư Sáng lập LexData Consulting · Đoàn Luật sư TP.HCM
Nội dung trang được rà soát theo Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15, các nghị định hướng dẫn và văn bản pháp luật chuyên ngành được trích dẫn.
