Mua danh sách số điện thoại khách hàng để telesales: rủi ro pháp lý nào?

Khung pháp lý điều chỉnh hoạt động mua và sử dụng danh sách số điện thoại

Danh sách số điện thoại khách hàng không phải là một nguồn dữ liệu thương mại “tự do” để mua bán rồi khai thác cho telesales. Trong hệ thống pháp luật Việt Nam hiện hành, số điện thoại gắn với một cá nhân cụ thể được xem là dữ liệu cá nhân; việc thu thập, mua bán, chia sẻ và sử dụng phải có căn cứ hợp pháp và tuân thủ điều kiện xử lý dữ liệu. Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự gắn với một con người cụ thể hoặc giúp xác định một con người cụ thể.

Đối với hoạt động tiếp thị qua điện thoại, cơ chế đồng ý trước là ranh giới pháp lý trọng yếu. Theo điểm a khoản 1 Điều 3 Nghị định 91/2020/NĐ-CP, cuộc gọi quảng cáo là spam call nếu được thực hiện khi chưa có sự đồng ý trước của người sử dụng. Đồng thời, theo khoản 2 Điều 7 Nghị định 91/2020/NĐ-CP, chỉ được gửi quảng cáo hoặc thực hiện cuộc gọi quảng cáo cho người dùng đã đồng ý trước, trừ các trường hợp pháp luật cho phép khác. Vì vậy, việc sở hữu một danh sách số điện thoại không tự động tạo ra quyền gọi tiếp thị.

Rủi ro pháp lý cốt lõi khi mua danh sách số điện thoại

Rủi ro lớn nhất nằm ở chỗ doanh nghiệp thường không chứng minh được nguồn gốc hợp pháp của dữ liệu và không chứng minh được sự đồng ý hợp lệ của từng chủ thể dữ liệu. Khi danh sách được mua từ bên thứ ba, dữ liệu có thể đã được thu thập trái phép, chuyển giao không đúng mục đích hoặc thiếu căn cứ xử lý. Theo điểm b khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân 2025, việc xử lý dữ liệu cá nhân phải bảo đảm có căn cứ pháp luật và đúng mục đích đã thông báo, trong khi các giao dịch “mua danh sách” thường không đáp ứng được yêu cầu này nếu không có hồ sơ chứng minh đồng ý rõ ràng của từng cá nhân.

Rủi ro thứ hai là nguy cơ bị coi là hành vi xâm phạm quyền riêng tư, quyền được bảo vệ dữ liệu cá nhân và quyền từ chối nhận quảng cáo. Theo Điều 9 Luật Bảo vệ quyền lợi người tiêu dùng 2023, người tiêu dùng có quyền được bảo mật thông tin, bao gồm thông tin cá nhân do tổ chức kinh doanh hàng hóa, dịch vụ thu thập trong quá trình giao dịch; việc sử dụng thông tin đó phải phù hợp mục đích đã thông báo và được sự đồng ý theo quy định. Nếu doanh nghiệp mua dữ liệu rồi gọi ra ngoài phạm vi đồng ý, hành vi này xâm chạm trực tiếp vào quyền của người tiêu dùng.

Rủi ro thứ ba là phát sinh trách nhiệm từ hoạt động quảng cáo, khuyến mại và chống spam. Theo khoản 1 Điều 12 Nghị định 91/2020/NĐ-CP, tổ chức chỉ được gọi quảng cáo trong khung thời gian, tần suất và điều kiện pháp luật cho phép; theo khoản 4 Điều 12 Nghị định 91/2020/NĐ-CP, người nhận có quyền từ chối và việc từ chối phải được tôn trọng. Nếu vẫn tiếp tục gọi sau khi người nhận đã từ chối, doanh nghiệp không chỉ vi phạm quy tắc quảng cáo mà còn làm tăng mức độ rủi ro xử phạt hành chính.

Những tình huống vi phạm thường gặp trong thực tiễn

Mua danh sách nhưng không có chứng cứ đồng ý

Đây là tình huống phổ biến nhất. Doanh nghiệp chỉ nhận file dữ liệu, không có log đồng ý, không có bản ghi thu thập hợp lệ, không có thông báo bảo mật hay điều khoản chuyển giao dữ liệu. Khi đó, việc gọi điện telesales không thể chứng minh được tính hợp pháp của nguồn dữ liệu và dễ bị xem là xử lý dữ liệu không có căn cứ.

Gọi tiếp thị vượt mục đích đã thông báo

Nhiều danh sách được thu thập cho mục đích chăm sóc khách hàng, khảo sát hoặc đăng ký nhận thông tin, nhưng lại được sử dụng để bán hàng trực tiếp. Theo nguyên tắc mục đích xử lý dữ liệu, việc thay đổi sang mục đích telesales phải có cơ sở hợp lệ và thường phải có sự đồng ý tương ứng của chủ thể dữ liệu. Nếu không, doanh nghiệp đối mặt với nguy cơ vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân và quyền của người tiêu dùng.

Không kiểm soát danh sách từ chối và danh sách không quảng cáo

Ngay cả khi ban đầu có đồng ý, doanh nghiệp vẫn phải có cơ chế loại trừ số đã từ chối nhận quảng cáo hoặc thuộc danh sách không nhận quảng cáo theo quy định. Theo khoản 1 Điều 7 Nghị định 91/2020/NĐ-CP, không được gửi quảng cáo hoặc gọi quảng cáo tới các số trong Danh sách Không Quảng cáo. Việc thiếu cơ chế cập nhật danh sách chặn thường dẫn tới vi phạm lặp lại và bị đánh giá là không tuân thủ có hệ thống.

Chế tài và hậu quả pháp lý mà doanh nghiệp phải đối mặt

Hậu quả pháp lý không chỉ dừng ở phạt tiền. Doanh nghiệp còn có thể bị buộc dừng khai thác dữ liệu, xóa dữ liệu thu thập trái phép, cải chính quy trình xử lý, thu hồi chiến dịch telesales và khắc phục hậu quả đối với người bị ảnh hưởng. Trong các trường hợp dữ liệu được mua từ nguồn trái phép, trách nhiệm còn có thể lan sang bên bán dữ liệu, đơn vị trung gian và cá nhân quản lý vận hành chiến dịch.

Về xử phạt hành chính, các quy định xử phạt trong lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân và chống spam hiện nay đặt mức răn đe đáng kể đối với hành vi xử lý dữ liệu trái phép, sử dụng thông tin cá nhân không có sự đồng ý và gọi quảng cáo trái quy định. Trên thực tế quản trị tuân thủ, doanh nghiệp không nên chờ đến khi bị phản ánh hoặc bị xử phạt mới rà soát nguồn dữ liệu, vì lúc đó thiệt hại về uy tín, tỷ lệ chặn cuộc gọi và rủi ro tranh chấp thường đã phát sinh.

Điều kiện tối thiểu để telesales hợp pháp

Muốn sử dụng dữ liệu số điện thoại cho telesales một cách hợp pháp, doanh nghiệp cần chứng minh được ít nhất bốn lớp tuân thủ. Thứ nhất, dữ liệu phải có nguồn gốc hợp pháp và có hồ sơ truy xuất được. Thứ hai, phải có sự đồng ý rõ ràng, cụ thể và tách bạch cho mục đích nhận cuộc gọi quảng cáo, không gộp chung với các điều khoản chung chung.

Thứ ba, phải có cơ chế ghi nhận, lưu trữ và rút lại đồng ý để dừng gọi ngay khi người nhận yêu cầu. Thứ tư, phải áp dụng quy trình lọc danh sách không quảng cáo, giới hạn thời gian gọi, tần suất gọi và nội dung giới thiệu đúng sự thật. Đây không chỉ là yêu cầu quản trị rủi ro mà còn là điều kiện để doanh nghiệp chứng minh thiện chí tuân thủ khi bị kiểm tra hoặc khiếu nại.

Kết luận

Mua danh sách số điện thoại khách hàng để telesales không phải là giải pháp “rút ngắn thị trường” mà là một hoạt động tiềm ẩn rủi ro pháp lý cao nếu thiếu hồ sơ đồng ý hợp lệ và thiếu cơ chế kiểm soát sử dụng dữ liệu. Trong bối cảnh pháp luật Việt Nam hiện hành đã đặt trọng tâm mạnh vào bảo vệ dữ liệu cá nhân, quyền riêng tư và chống spam, doanh nghiệp chỉ nên triển khai telesales trên nền tảng dữ liệu có nguồn gốc hợp pháp, đồng ý rõ ràng và quy trình tuân thủ có thể kiểm chứng.

Tài liệu tham khảo

• Luật Bảo vệ dữ liệu cá nhân 2025.
• Luật Bảo vệ quyền lợi người tiêu dùng 2023.
• Nghị định 91/2020/NĐ-CP về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác.
• Luật An ninh mạng 2018.
• Bộ luật Dân sự 2015.
• Luật Quảng cáo 2012.