Mua bán dữ liệu cá nhân và danh sách khách hàng: Khi nào bị truy cứu hình sự?

Khung pháp lý hiện hành về dữ liệu cá nhân và danh sách khách hàng

Từ ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 có hiệu lực, đặt nền tảng pháp lý trực tiếp cho việc bảo vệ dữ liệu cá nhân trong mọi hoạt động thu thập, xử lý, lưu trữ, chia sẻ và chuyển giao dữ liệu. Hành vi mua bán dữ liệu cá nhân bị xác định là hành vi bị nghiêm cấm theo khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025. Đây là quy định trọng tâm vì danh sách khách hàng, số điện thoại, email, lịch sử giao dịch, hồ sơ hành vi tiêu dùng đều có thể là dữ liệu cá nhân nếu gắn với một cá nhân xác định hoặc xác định được.

Văn bản hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân 2025 đã có hiệu lực từ ngày 01/01/2026, làm rõ nghĩa vụ đánh giá tác động, điều kiện chuyển dữ liệu và trách nhiệm kiểm soát rủi ro trong quá trình xử lý dữ liệu. Cùng với đó, Luật Bảo vệ dữ liệu cá nhân 2025 xác lập cơ chế xử lý đa tầng đối với hành vi vi phạm, bao gồm xử phạt hành chính, buộc khắc phục hậu quả, bồi thường thiệt hại và truy cứu trách nhiệm hình sự khi thỏa mãn dấu hiệu của tội phạm.

Khi nào việc mua bán dữ liệu bị coi là hành vi có dấu hiệu hình sự

Không phải mọi hành vi trao đổi hoặc chuyển giao dữ liệu đều tự động cấu thành tội phạm. Trách nhiệm hình sự chỉ đặt ra khi hành vi thỏa mãn đầy đủ dấu hiệu của một tội danh trong Bộ luật Hình sự 2015, được sửa đổi, bổ sung năm 2017. Trong thực tiễn hiện nay, hành vi mua bán danh sách khách hàng, dữ liệu cá nhân trái phép thường được xem xét dưới góc độ điểm b khoản 1 Điều 288 Bộ luật Hình sự 2015 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông.

Theo điểm b khoản 1 Điều 288 Bộ luật Hình sự 2015, hành vi mua bán, trao đổi, tặng cho, sửa đổi, làm sai lệch hoặc công khai hóa trái phép thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân trên mạng máy tính, mạng viễn thông, nếu không được phép của chủ thể thông tin, là hành vi bị xử lý hình sự khi đạt ngưỡng định lượng hoặc gây hậu quả luật định. Đây là cơ sở pháp lý trực tiếp nhất đối với tình huống mua bán danh sách khách hàng, dữ liệu cá nhân qua môi trường số.

Ngưỡng để bị truy cứu trách nhiệm hình sự

Để bị truy cứu theo Điều 288 Bộ luật Hình sự 2015, hành vi phải gắn với một trong các dấu hiệu: thu lợi bất chính từ 50 triệu đồng trở lên; gây thiệt hại từ 100 triệu đồng trở lên; hoặc tạo ra dư luận xấu làm giảm uy tín của cơ quan, tổ chức, cá nhân theo tiêu chí luật định. Khi có các dấu hiệu này, hành vi không còn dừng ở vi phạm hành chính mà chuyển sang trách nhiệm hình sự.

Khung hình phạt cơ bản theo khoản 1 Điều 288 Bộ luật Hình sự 2015 là phạt tiền, cải tạo không giam giữ đến 03 năm hoặc phạt tù từ 06 tháng đến 03 năm. Trường hợp phạm tội có tổ chức, có tính chất chuyên nghiệp, thu lợi bất chính lớn hơn, tái phạm nguy hiểm hoặc gây hậu quả nghiêm trọng hơn, người phạm tội có thể bị áp dụng khung hình phạt nghiêm khắc hơn theo khoản 2 Điều 288 Bộ luật Hình sự 2015, với mức phạt tù đến 07 năm.

Các tình huống thường gặp trong thực tiễn

Hành vi bán danh sách khách hàng cho bên thứ ba để tiếp thị, khai thác thương mại hoặc sử dụng vào mục đích không được người có dữ liệu đồng ý là tình huống điển hình. Nếu danh sách đó được chuyển nhượng qua nền tảng số, thư điện tử, nhóm kín, hệ thống quản trị dữ liệu hoặc hạ tầng viễn thông, yếu tố “trên mạng máy tính, mạng viễn thông” trong Điều 288 Bộ luật Hình sự 2015 được đặt ra rõ ràng. Việc người giữ dữ liệu không có quyền định đoạt hợp pháp hoặc vượt quá mục đích thu thập ban đầu càng làm tăng khả năng bị xử lý.

Trường hợp nhân viên nội bộ trích xuất dữ liệu khách hàng từ hệ thống doanh nghiệp để bán cho đối thủ, hành vi thường đồng thời vi phạm nghĩa vụ bảo mật, quy chế lao động, hợp đồng và pháp luật về bảo vệ dữ liệu cá nhân. Nếu dữ liệu bị chuyển giao trái phép với số lượng lớn, gây thiệt hại cho doanh nghiệp hoặc làm phát sinh thu lợi bất chính đáng kể, cơ quan tiến hành tố tụng có căn cứ xem xét trách nhiệm hình sự. Người mua dữ liệu cũng không đương nhiên vô can nếu biết rõ nguồn gốc trái phép của dữ liệu và vẫn tiếp nhận, khai thác hoặc tiếp tục chuyển nhượng.

Đối với tổ chức, trách nhiệm pháp lý không chỉ phát sinh từ hành vi của cá nhân trực tiếp thực hiện mà còn từ cơ chế kiểm soát nội bộ lỏng lẻo, cố ý dung túng hoặc chỉ đạo. Khi doanh nghiệp xây dựng mô hình kinh doanh dựa trên việc thu gom, trao đổi hoặc thương mại hóa dữ liệu cá nhân không có căn cứ hợp pháp, toàn bộ chuỗi hành vi đều có thể bị soi chiếu dưới góc độ vi phạm hành chính, dân sự và hình sự tùy mức độ.

Phân biệt xử phạt hành chính, bồi thường dân sự và trách nhiệm hình sự

Xử phạt hành chính áp dụng đối với hành vi vi phạm chưa đạt ngưỡng truy cứu hình sự hoặc chưa thỏa mãn dấu hiệu cấu thành tội phạm. Luật Bảo vệ dữ liệu cá nhân 2025 và văn bản hướng dẫn cho phép áp dụng mức phạt tiền, biện pháp khắc phục hậu quả và các chế tài bổ sung tương ứng với tính chất, mức độ vi phạm. Bên cạnh đó, chủ thể vi phạm còn phải bồi thường thiệt hại nếu việc mua bán, tiết lộ hoặc làm lộ dữ liệu gây tổn thất cho người có dữ liệu hoặc cho tổ chức quản lý dữ liệu.

Trách nhiệm hình sự chỉ đặt ra khi hành vi vượt qua ranh giới vi phạm hành chính và đáp ứng dấu hiệu của tội phạm theo Bộ luật Hình sự 2015. Điểm cần đặc biệt lưu ý là cùng một hành vi có thể đồng thời làm phát sinh cả trách nhiệm hình sự và nghĩa vụ dân sự bồi thường thiệt hại. Vì vậy, việc đã bị phạt tiền trong lĩnh vực bảo vệ dữ liệu cá nhân không loại trừ khả năng bị khởi tố nếu kết quả điều tra cho thấy dấu hiệu tội phạm.

Khuyến nghị tuân thủ đối với doanh nghiệp và cá nhân

Doanh nghiệp cần thiết lập cơ chế phân loại dữ liệu, ghi nhận căn cứ xử lý, giới hạn mục đích sử dụng và kiểm soát quyền truy cập vào danh sách khách hàng. Mọi hoạt động chia sẻ dữ liệu cho bên thứ ba phải dựa trên căn cứ pháp lý rõ ràng, có thông báo minh bạch và bảo đảm quyền của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2025. Hợp đồng với đối tác xử lý dữ liệu cần quy định chặt chẽ về mục đích, phạm vi, bảo mật và trách nhiệm khi xảy ra rò rỉ.

Cá nhân đang lưu giữ dữ liệu khách hàng, đặc biệt là nhân sự kinh doanh, marketing, chăm sóc khách hàng, công nghệ thông tin và quản trị hệ thống, phải coi dữ liệu là tài sản được bảo vệ pháp luật chặt chẽ. Việc sao chép danh sách khách hàng để sử dụng cho công việc riêng, chuyển cho bên khác hoặc bán lấy tiền đều tiềm ẩn rủi ro hình sự nếu thỏa mãn dấu hiệu của Điều 288 Bộ luật Hình sự 2015. Tuân thủ quy trình nội bộ, thỏa thuận bảo mật và nguyên tắc tối thiểu hóa dữ liệu là biện pháp phòng ngừa hữu hiệu nhất.

Kết luận

Mua bán dữ liệu cá nhân, danh sách khách hàng không còn là hành vi bị xem nhẹ như một tranh chấp thuần túy dân sự hay vi phạm nội quy doanh nghiệp. Trong bối cảnh Luật Bảo vệ dữ liệu cá nhân 2025 đã có hiệu lực, hành vi này trước hết là hành vi bị cấm, và khi đạt ngưỡng thu lợi, thiệt hại hoặc hậu quả theo Điều 288 Bộ luật Hình sự 2015 thì phát sinh trách nhiệm hình sự. Việc xác định đúng bản chất pháp lý của dữ liệu, nguồn gốc thu thập, mục đích sử dụng và cách thức chuyển giao là yếu tố quyết định trong đánh giá trách nhiệm.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025, số 91/2025/QH15.
• Nghị định số 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân.
• Bộ luật Hình sự 2015, sửa đổi, bổ sung năm 2017.
• Bộ luật Dân sự 2015.
• Nghị định xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân đang có hiệu lực năm 2026.