Thêm khách hàng vào nhóm Zalo, Telegram khi chưa xin phép: có vi phạm dữ liệu cá nhân không?

Thêm khách hàng vào nhóm chat: vấn đề pháp lý cốt lõi

Việc thêm khách hàng vào nhóm Zalo hoặc Telegram mà chưa xin phép không chỉ là một thao tác giao tiếp thông thường. Trong nhiều trường hợp, hành vi này gắn với việc sử dụng số điện thoại, tên hiển thị, tài khoản liên lạc hoặc các thông tin nhận dạng khác của khách hàng để phục vụ một mục đích nhất định. Khi dữ liệu được dùng để lập nhóm, mời tham gia hoặc duy trì tương tác, đó là hoạt động liên quan đến xử lý dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP.

Vấn đề trọng tâm không nằm ở bản thân việc tạo nhóm, mà ở chỗ chủ thể thực hiện đã có căn cứ hợp pháp để sử dụng dữ liệu của khách hàng hay chưa. Nếu không có sự đồng ý rõ ràng, không thuộc trường hợp luật cho phép xử lý không cần đồng ý, thì hành vi này xâm phạm quyền đối với dữ liệu cá nhân và quyền về đời sống riêng tư của người đó.

Cơ sở pháp lý hiện hành

Theo khoản 1 Điều 2 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể. Số điện thoại, tài khoản liên lạc, thông tin nhận diện trong ứng dụng nhắn tin thường gắn trực tiếp với một cá nhân và vì vậy thuộc phạm vi điều chỉnh của quy định này.

Theo khoản 8 Điều 2 và Điều 11 Nghị định 13/2023/NĐ-CP, sự đồng ý của chủ thể dữ liệu phải là sự thể hiện rõ ràng, tự nguyện và khẳng định việc cho phép xử lý dữ liệu cá nhân. Sự đồng ý phải được thể hiện cụ thể bằng hành vi xác nhận như văn bản, tin nhắn, thao tác tích chọn hoặc một hình thức thể hiện tương đương; im lặng hoặc không phản hồi không được hiểu là đồng ý.

Theo khoản 1 Điều 38 Bộ luật Dân sự 2015, đời sống riêng tư, bí mật cá nhân và bí mật gia đình là bất khả xâm phạm và được pháp luật bảo vệ. Theo khoản 2 Điều 38 Bộ luật Dân sự 2015, việc thu thập, lưu giữ, sử dụng, công khai thông tin liên quan đến đời sống riêng tư, bí mật cá nhân phải được người đó đồng ý, trừ trường hợp luật có quy định khác.

Hành vi thêm vào nhóm có phải là xử lý dữ liệu cá nhân không?

Câu trả lời là có, nếu việc thêm nhóm dựa trên dữ liệu nhận dạng của khách hàng. Khi người tạo nhóm dùng số điện thoại, tên, tài khoản hoặc danh sách liên hệ để mời khách hàng tham gia, họ đã sử dụng dữ liệu cá nhân cho một mục đích xác định. Hành vi này thường đồng thời bao gồm thu thập, lưu giữ, khai thác và sử dụng dữ liệu.

Đặc biệt, nếu nhóm được lập để quảng cáo, bán hàng, chăm sóc khách hàng hoặc truyền thông dịch vụ, mục đích xử lý dữ liệu càng rõ ràng. Trong bối cảnh đó, việc không xin phép trước làm cho hoạt động xử lý thiếu căn cứ hợp pháp. Đây là điểm mấu chốt để xác định vi phạm.

Khi nào hành vi bị xem là vi phạm?

Hành vi thêm khách hàng vào nhóm Zalo, Telegram mà chưa xin phép bị xem là vi phạm dữ liệu cá nhân khi có đủ ba yếu tố: dữ liệu dùng để mời nhóm là dữ liệu cá nhân; chủ thể dữ liệu không đồng ý; và không có căn cứ pháp luật cho phép xử lý không cần đồng ý. Chỉ cần một trong các điều kiện hợp pháp này không tồn tại thì rủi ro vi phạm đã phát sinh.

Trường hợp khách hàng đã cung cấp số điện thoại cho giao dịch trước đó chưa đồng nghĩa với việc đã đồng ý cho đưa vào nhóm chat. Mục đích thu thập ban đầu và mục đích sử dụng sau đó phải phù hợp với nhau hoặc phải có sự đồng ý riêng cho mục đích mới. Việc suy diễn “đã có số điện thoại thì được quyền thêm nhóm” không phù hợp với nguyên tắc đồng ý rõ ràng của pháp luật hiện hành.

Hệ quả pháp lý có thể phát sinh

Trước hết, người bị thêm vào nhóm có quyền phản đối, yêu cầu chấm dứt xử lý dữ liệu và yêu cầu xóa dữ liệu liên quan theo cơ chế bảo vệ quyền dữ liệu cá nhân. Trong trường hợp chủ thể dữ liệu cho rằng quyền riêng tư bị xâm phạm, họ còn có thể yêu cầu bảo vệ theo Bộ luật Dân sự 2015.

Tùy tính chất, mức độ và hậu quả, hành vi còn có thể kéo theo trách nhiệm hành chính hoặc trách nhiệm dân sự. Nếu việc thêm nhóm gắn với nhắn tin quảng cáo trái phép, cung cấp thông tin không đúng mục đích, hoặc thu thập và sử dụng dữ liệu không phù hợp quy định, cơ quan có thẩm quyền có thể xem xét chế tài theo quy định chuyên ngành tương ứng. Việc đánh giá chế tài cụ thể phải căn cứ vào hành vi thực tế và quy định pháp luật đang áp dụng tại thời điểm xử lý.

Doanh nghiệp và cá nhân kinh doanh cần làm gì để tuân thủ?

Thứ nhất, phải thông báo rõ mục đích thu thập và sử dụng số điện thoại, tên tài khoản hoặc dữ liệu liên hệ ngay từ đầu. Nếu muốn thêm khách hàng vào nhóm chăm sóc, cần có cơ chế xin chấp thuận riêng, minh bạch và có thể chứng minh được.

Thứ hai, nên tách bạch giữa giao tiếp cá nhân và xử lý dữ liệu phục vụ kinh doanh. Danh sách khách hàng không được mặc định dùng cho mọi kênh truyền thông. Mỗi mục đích xử lý phải có cơ sở phù hợp, đúng phạm vi và đúng thời hạn lưu giữ.

Thứ ba, cần xây dựng quy trình xử lý yêu cầu từ chối tham gia nhóm, rút lại sự đồng ý, yêu cầu xóa dữ liệu và khiếu nại của khách hàng. Đây không chỉ là yêu cầu tuân thủ mà còn là biện pháp giảm rủi ro tranh chấp và rủi ro uy tín.

Kết luận pháp lý

Tự ý thêm khách hàng vào nhóm Zalo hoặc Telegram khi chưa xin phép là hành vi có dấu hiệu vi phạm quy định về bảo vệ dữ liệu cá nhân nếu việc thêm nhóm dựa trên dữ liệu định danh của khách hàng và không có sự đồng ý hợp lệ. Trong trường hợp này, quyền về đời sống riêng tư và bí mật cá nhân theo Bộ luật Dân sự 2015 cũng bị đặt vào trạng thái bị xâm phạm. Cách tiếp cận an toàn về pháp lý là xin chấp thuận rõ ràng trước khi sử dụng dữ liệu cho mục đích mời tham gia nhóm.

Tài liệu tham khảo

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân.
• Bộ luật Dân sự 2015, Điều 38 về quyền đối với đời sống riêng tư, bí mật cá nhân, bí mật gia đình.
• Nghị định 15/2020/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực bưu chính, viễn thông, công nghệ thông tin và giao dịch điện tử.
• Luật Bảo vệ quyền lợi người tiêu dùng 2023.
• Văn bản hợp nhất và tài liệu hướng dẫn hiện hành về bảo vệ dữ liệu cá nhân của cơ quan nhà nước có thẩm quyền.