Có. Từ 01/01/2026, mua, bán dữ liệu cá nhân bị cấm theo Luật Bảo vệ dữ liệu cá nhân 2025, trừ trường hợp luật có quy định khác. Bán data khách hàng trái phép có thể bị phạt hành chính tới 10 lần khoản thu có được. Nếu thu lợi lớn hoặc gây thiệt hại, bạn có thể bị truy cứu trách nhiệm hình sự (Điều 288, Điều 291 Bộ luật Hình sự), mức cao nhất tới 7 năm tù.
Tóm tắt nhanh
- Mua, bán dữ liệu cá nhân là hành vi bị nghiêm cấm theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026).
- Xử phạt hành chính: Nghị định 330/2026/NĐ-CP (ban hành 19/08/2026, có hiệu lực ngay). Tổ chức bị phạt từ 2 đến 10 lần khoản thu; cá nhân bị phạt bằng một nửa mức của tổ chức.
- Xử lý hình sự: có thể áp dụng Điều 288 (thông tin riêng của cá nhân trên mạng) hoặc Điều 291 (thông tin tài khoản ngân hàng) Bộ luật Hình sự khi đủ ngưỡng định tội.
- Người mua data để telesale, quảng cáo hay lừa đảo cũng có thể bị xử lý.
- Muốn chia sẻ dữ liệu khách hàng hợp pháp, cần có sự đồng ý rõ ràng của chủ thể dữ liệu hoặc thuộc trường hợp luật cho phép.
Data khách hàng có phải dữ liệu cá nhân không?
Trong thực tế, “data khách hàng” thường là danh sách gồm họ tên, số điện thoại, email, địa chỉ, ngày sinh, lịch sử mua hàng, nhu cầu vay vốn, bảo hiểm, bất động sản… Phần lớn các thông tin này gắn với một người xác định, nên được coi là dữ liệu cá nhân.
Luật Bảo vệ dữ liệu cá nhân chia dữ liệu thành hai nhóm: dữ liệu cá nhân cơ bản (họ tên, ngày sinh, địa chỉ, hình ảnh…) và dữ liệu cá nhân nhạy cảm (tài khoản ngân hàng, lịch sử giao dịch tài chính, sức khỏe…). Nhóm nhạy cảm được bảo vệ chặt hơn và khi bị mua bán thường bị phạt nặng hơn. Danh mục chi tiết do Nghị định 356/2025/NĐ-CP hướng dẫn.
Điểm mấu chốt: dữ liệu cá nhân không được coi là hàng hóa để mua đi bán lại tự do. Doanh nghiệp, cửa hàng hay nhân viên chỉ được giữ và xử lý dữ liệu khách hàng cho mục đích đã thông báo và được đồng ý. Việc bán danh sách đó cho bên khác thường vượt quá mục đích ban đầu.
Lưu ý: một số loại thông tin như mã số thuế cá nhân hay số căn cước cũng là dữ liệu gắn với danh tính của bạn. Bạn có thể xem thêm về mã số thuế cá nhân theo quy định hiện hành và cách tra cứu số căn cước công dân online để hiểu vì sao các thông tin này cần được bảo mật.
Bán data khách hàng bị phạt hành chính bao nhiêu?
Từ 01/01/2026, Luật Bảo vệ dữ liệu cá nhân 2025 nghiêm cấm mua, bán dữ liệu cá nhân (trừ trường hợp luật có quy định khác). Luật cũng đặt trần phạt riêng: với hành vi mua, bán dữ liệu cá nhân, mức phạt tiền tối đa là 10 lần khoản thu có được từ hành vi vi phạm. Nếu không có khoản thu hoặc phạt theo khoản thu thấp hơn mức sàn thì áp dụng mức tối đa theo luật (3 tỷ đồng đối với tổ chức, 1,5 tỷ đồng đối với cá nhân).
Ngày 19/08/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực ngay từ ngày ban hành. Điều 53 của Nghị định này quy định riêng về hành vi mua, bán trái phép dữ liệu cá nhân.
| Trường hợp | Mức phạt đối với tổ chức | Cá nhân |
|---|---|---|
| Có khoản thu từ việc bán data | Từ 2 lần đến 10 lần khoản thu | Bằng một nửa mức của tổ chức |
| Không có khoản thu: dữ liệu cơ bản của dưới 1.000 người hoặc dữ liệu nhạy cảm của dưới 200 người | 100 – 200 triệu đồng | Bằng một nửa, tức khoảng 50 – 100 triệu đồng |
| Không có khoản thu: dữ liệu cơ bản của từ 10.000 người trở lên hoặc dữ liệu nhạy cảm của từ 2.000 người trở lên | 500 triệu – 1 tỷ đồng | Bằng một nửa mức của tổ chức |
| Việc mua bán xâm phạm quốc phòng, an ninh, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu | 1 – 3 tỷ đồng | Bằng một nửa mức của tổ chức |
Ngoài tiền phạt, người vi phạm còn có thể bị tịch thu tang vật, phương tiện vi phạm. Họ cũng bị buộc hủy, xóa đến mức không thể khôi phục toàn bộ dữ liệu đã mua bán trái phép, nộp lại khoản thu có được và thông báo cho các chủ thể dữ liệu bị ảnh hưởng.
Lưu ý: “Khoản thu” được hiểu là toàn bộ giá trị tiền, vật, tài sản hoặc lợi ích khác mà người vi phạm có được từ việc mua bán, có thể xác định qua hợp đồng, tin nhắn, chuyển khoản, sao kê. Ví dụ bạn bán một file khách hàng với giá 20 triệu đồng thì cơ sở tính phạt là 20 triệu đồng. Khung phạt cụ thể do người có thẩm quyền xem xét theo từng hồ sơ; bảng trên chỉ để bạn hình dung quy mô chế tài.
Khi nào bán data khách hàng bị truy cứu hình sự?
Hiện nay Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017, 2025) chưa có tội danh riêng mang tên “mua bán dữ liệu cá nhân”. Tuy vậy, tùy loại dữ liệu và mức độ, hành vi vẫn có thể bị xử lý theo các điều sau.
Điều 288 – Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông
Điều này xử lý hành vi mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hóa thông tin riêng hợp pháp của cá nhân trên mạng máy tính, mạng viễn thông mà không được phép của chủ sở hữu thông tin. Hành vi cấu thành tội phạm khi có một trong các hậu quả như thu lợi bất chính từ 50 triệu đồng trở lên, gây thiệt hại cho người khác từ 100 triệu đồng trở lên, hoặc gây dư luận xấu làm giảm uy tín, danh dự, nhân phẩm của người bị lộ thông tin. Hình phạt có thể từ cảnh cáo, phạt tiền, cải tạo không giam giữ đến phạt tù tối đa 7 năm tùy khung.
Điều 291 – Tội thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng
Nếu danh sách bạn bán có kèm thông tin tài khoản ngân hàng của người khác thì Điều 291 có thể được áp dụng. Khung 1 áp dụng khi liên quan từ 20 đến dưới 50 tài khoản hoặc thu lợi bất chính từ 20 đến dưới 50 triệu đồng, phạt tiền 20 – 100 triệu đồng hoặc cải tạo không giam giữ đến 3 năm. Các khung sau nặng hơn (phạt tù, tối đa 7 năm), áp dụng khi số lượng tài khoản, số tiền thu lợi lớn hơn, phạm tội có tổ chức hoặc có các tình tiết tăng nặng khác.
Các tội khác có thể liên quan
- Nếu người mua dùng data để gọi điện, nhắn tin mạo danh nhằm chiếm đoạt tiền, người bán biết rõ mục đích này có thể bị xem xét về vai trò đồng phạm tội lừa đảo chiếm đoạt tài sản.
- Nếu data lấy từ hệ thống do cơ quan, tổ chức quản lý thông qua truy cập trái phép, có thể xem xét thêm các tội về lĩnh vực công nghệ thông tin, mạng viễn thông.
- Người có chức vụ, quyền hạn tiếp cận dữ liệu của cơ quan nhà nước mà bán cho người khác còn có thể bị xem xét ở các tội danh liên quan đến chức vụ.
Cảnh báo: Khi bị cơ quan điều tra xác định đã bán, trao đổi dữ liệu số lượng lớn thì không chỉ khoản tiền thu được mà toàn bộ lợi ích bất chính có thể bị thu hồi, đồng thời người vi phạm có thể phải bồi thường thiệt hại cho chủ thể dữ liệu.
Dự thảo sửa đổi Bộ luật Hình sự: có thể có tội danh riêng
Theo các thông tin công khai từ tháng 7/2026, Bộ Công an đã đề xuất trong dự thảo Bộ luật Hình sự (sửa đổi) bổ sung các tội về dữ liệu cá nhân, trong đó có hành vi mua, bán trái phép dữ liệu cá nhân, với mức phạt tù cao nhất được đề xuất lên tới 10 năm. Đây mới là nội dung dự thảo lấy ý kiến, chưa phải quy định đang có hiệu lực. Bạn cần theo dõi văn bản được Quốc hội thông qua chính thức để biết thời điểm áp dụng.
Các tình huống thực tế thường gặp
Nhân viên sao chép danh sách khách hàng bán cho bên khác
Anh T làm kinh doanh tại một công ty bảo hiểm, chép file khách hàng và bán cho đối tác với giá 30 triệu đồng. Hành vi này vi phạm quy định cấm mua bán dữ liệu cá nhân, anh T có thể bị phạt hành chính tính theo khoản thu. Nếu dữ liệu có thông tin nhạy cảm, số lượng lớn hoặc anh T thu lợi từ 50 triệu đồng trở lên qua mạng, hồ sơ có thể chuyển sang xem xét hình sự. Ngoài ra, theo Luật Lao động 2019, tiết lộ bí mật kinh doanh của người sử dụng lao động có thể là căn cứ để công ty xử lý kỷ luật sa thải theo nội quy lao động.
Chủ cửa hàng bán lại số điện thoại khách đã mua hàng
Bạn thu thập số điện thoại khách để bảo hành, tích điểm. Việc bán danh sách đó cho bên quảng cáo là dùng sai mục đích đã thông báo, thường không được chủ thể dữ liệu đồng ý, nên có thể bị xử phạt. Với quy mô nhỏ (vài trăm số), mức phạt hành chính vẫn có thể ở mức hàng chục triệu đồng tính theo quy định về cá nhân.
Môi giới, sale bán “data nóng” (data vay, data bất động sản, data học sinh – phụ huynh)
Đây là nhóm dễ bị cơ quan chức năng phát hiện vì dữ liệu thường được rao bán công khai trên mạng xã hội, nhóm chat. Dù bán qua mạng hay gặp trực tiếp, hành vi vẫn thuộc diện bị cấm. Việc rao bán trên mạng còn là một yếu tố khiến hành vi dễ rơi vào phạm vi Điều 288 BLHS.
Mua data khách hàng có vi phạm không?
Luật cấm cả hành vi mua lẫn bán dữ liệu cá nhân, nên bên mua cũng bị xử lý chứ không chỉ bên bán. Ngoài ra, nếu bạn dùng data mua được để gọi điện, nhắn tin quảng cáo mà chủ thể không đồng ý, bạn có thể bị phạt thêm theo quy định về quảng cáo, tiếp thị và xử lý dữ liệu khi chưa được đồng ý. Nghị định 330/2026 quy định phạt riêng với các hành vi này, ví dụ gửi thư điện tử, tin nhắn quảng cáo khi chưa được đồng ý bị phạt 10 – 20 triệu đồng đối với cá nhân.
Nếu data được sử dụng để lừa đảo, người mua chịu trách nhiệm chính về tội lừa đảo, còn người bán có thể bị xem xét đồng phạm khi biết rõ mục đích đó.
Cách chia sẻ, sử dụng data khách hàng hợp pháp
Pháp luật không cấm doanh nghiệp xử lý dữ liệu khách hàng, mà cấm xử lý trái phép và cấm mua bán. Nếu cần hợp tác tiếp thị hoặc chuyển dữ liệu cho đối tác, bạn nên làm như sau:
- Bước 1: Xác định rõ mục đích thu thập và thông báo cho khách hàng trước khi thu thập (loại dữ liệu, mục đích, bên nhận nếu có).
- Bước 2: Xin sự đồng ý rõ ràng, có thể kiểm chứng. Không đặt sẵn ô đồng ý mặc định, không coi sự im lặng là đồng ý.
- Bước 3: Chỉ chia sẻ cho bên thứ ba trong phạm vi khách hàng đã đồng ý, có thỏa thuận bằng văn bản về trách nhiệm bảo mật. Với giao dịch trên sàn dữ liệu, Nghị định 356/2025 yêu cầu dữ liệu phải được khử nhận dạng trước khi giao dịch.
- Bước 4: Lưu hồ sơ chứng minh sự đồng ý, phân quyền truy cập trong nội bộ và có biện pháp bảo mật.
- Bước 5: Khi khách hàng yêu cầu xóa, rút lại đồng ý hoặc dừng nhận quảng cáo, thực hiện theo thời hạn quy định.
Lưu ý: Cũng giống như nhiều hành vi khác liên quan đến giấy tờ, thông tin cá nhân (ví dụ mua giấy khám sức khỏe xin việc), cách làm đúng luật luôn là thực hiện đúng thủ tục và có sự đồng ý của người có thông tin. Nếu bạn là khách hàng, hãy thận trọng khi cung cấp giấy tờ tùy thân; bạn có thể tham khảo hướng dẫn đăng ký làm thẻ căn cước công dân online để biết thông tin nào là cần thiết khi làm thủ tục.
Căn cứ pháp lý
Căn cứ pháp lý
- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực từ 01/01/2026), gồm quy định hành vi bị nghiêm cấm và mức phạt tối đa.
- Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân (hiệu lực từ 01/01/2026).
- Nghị định 330/2026/NĐ-CP ngày 19/08/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
- Bộ luật Hình sự 2015 (sửa đổi, bổ sung 2017, 2025): Điều 288, Điều 291.
- Bộ luật Lao động 2019 (về xử lý kỷ luật khi tiết lộ bí mật kinh doanh).
Thông tin cập nhật tháng 10/2026. Quy định hình sự về dữ liệu cá nhân đang trong quá trình dự thảo sửa đổi, bạn cần đối chiếu với văn bản chính thức khi áp dụng.
Câu hỏi thường gặp
Bán data khách hàng có bị đi tù không?
Có thể, nhưng chỉ khi hành vi đủ dấu hiệu tội phạm. Ví dụ bán thông tin riêng của cá nhân trên mạng và thu lợi bất chính từ 50 triệu đồng trở lên (Điều 288), hoặc bán thông tin tài khoản ngân hàng đạt ngưỡng của Điều 291. Mức phạt tù cao nhất của các điều này là 7 năm. Trường hợp chưa đủ ngưỡng thì chủ yếu bị xử phạt hành chính.
Bán data khách hàng của chính công ty mình có hợp pháp không?
Không, nếu bạn không có sự đồng ý của khách hàng. Dữ liệu do công ty thu thập chỉ được dùng đúng mục đích đã thông báo. Việc bán cho bên thứ ba khác thường là xử lý trái phép. Ngoài bị xử phạt, bạn còn có thể bị kỷ luật lao động và phải bồi thường nếu gây thiệt hại.
Cá nhân bán data bị phạt bao nhiêu?
Theo Nghị định 330/2026, cá nhân có cùng hành vi bị phạt bằng một nửa mức phạt của tổ chức. Nếu có khoản thu, tổ chức bị phạt từ 2 đến 10 lần khoản thu. Luật Bảo vệ dữ liệu cá nhân đặt mức trần chung 1,5 tỷ đồng đối với cá nhân khi không xác định được khoản thu.
Mua số điện thoại khách hàng về chạy quảng cáo có sao không?
Có rủi ro. Việc mua dữ liệu cá nhân bị cấm, đồng thời gửi tin nhắn, thư điện tử quảng cáo khi chưa được người nhận đồng ý cũng là hành vi bị phạt riêng theo Nghị định 330/2026. Bạn nên xây dựng danh sách khách hàng từ nguồn có sự đồng ý rõ ràng.
Phát hiện dữ liệu của mình bị rao bán thì làm gì?
Bạn lưu lại bằng chứng (ảnh chụp màn hình, đường dẫn, tin nhắn), yêu cầu bên nắm giữ xóa dữ liệu và có thể gửi phản ánh, tố giác đến cơ quan Công an có thẩm quyền, trong đó có lực lượng chuyên trách về an ninh mạng và bảo vệ dữ liệu cá nhân. Nếu bị thiệt hại, bạn có quyền yêu cầu bồi thường theo pháp luật dân sự.
Tóm lại, dữ liệu khách hàng là dữ liệu cá nhân và không được mua bán tự do. Từ năm 2026, mức xử phạt đã tăng mạnh, và hành vi nghiêm trọng vẫn có thể bị truy cứu hình sự. Cách an toàn nhất là chỉ thu thập, sử dụng và chia sẻ data khi có sự đồng ý rõ ràng của khách hàng và đúng mục đích đã thông báo.
