Bán dữ liệu khách hàng cho bên thứ ba trái phép và cái giá phải trả

Trong kỷ nguyên số, thông tin cá nhân được ví như "tài sản mới", dẫn đến tình trạng bán dữ liệu khách hàng cho bên thứ ba diễn ra ngày càng tinh vi và phức tạp. Tuy nhiên, hành vi trục lợi trái phép này đang đối mặt với những chế tài xử phạt vô cùng nghiêm khắc từ pháp luật Việt Nam, đặc biệt là sau khi các nghị định về bảo vệ dữ liệu cá nhân có hiệu lực. Vậy ranh giới pháp lý nằm ở đâu và "cái giá phải trả" cho hành vi này lớn đến mức nào? Bài viết dưới đây sẽ làm rõ vấn đề.

I. Thực trạng liên quan đến bán dữ liệu khách hàng cho bên thứ ba

Trong bối cảnh bùng nổ công nghệ số, dữ liệu cá nhân của khách hàng đã trở thành vàng đen của nền kinh tế. Từ các giao dịch trực tuyến, đăng ký tài khoản mạng xã hội, đến việc sử dụng các ứng dụng di động, mỗi hành động của chúng ta đều tạo ra một lượng lớn dữ liệu. Tuy nhiên, cùng với sự phát triển đó là sự gia tăng đáng báo động của các hành vi thu thập, sử dụng và đặc biệt là bán dữ liệu khách hàng cho bên thứ ba một cách trái phép.

Thực tế hiện nay cho thấy, không khó để tìm thấy những lời rao bán data khách hàng công khai trên các diễn đàn, mạng xã hội, hay các nhóm kín. Các loại dữ liệu được rao bán rất đa dạng, từ thông tin cơ bản như họ tên, số điện thoại, email, địa chỉ, đến những thông tin nhạy cảm hơn như lịch sử mua sắm, sở thích cá nhân, tình trạng tài chính, thậm chí cả thông tin sức khỏe. Những dữ liệu này thường được các đối tượng thu thập thông qua nhiều con đường khác nhau, từ việc lợi dụng sơ hở bảo mật của các hệ thống, lừa đảo người dùng, hoặc chính từ việc các doanh nghiệp tự ý hoặc vô tình để lộ thông tin.

Hậu quả của việc này là vô cùng nghiêm trọng: khách hàng liên tục bị làm phiền bởi các cuộc gọi rác, tin nhắn quảng cáo không mong muốn, thậm chí là đối mặt với nguy cơ lừa đảo, chiếm đoạt tài sản, hoặc bị sử dụng thông tin vào các mục đích bất hợp pháp. Đối với doanh nghiệp, việc để lộ hoặc bán dữ liệu khách hàng cho bên thứ ba không chỉ gây mất uy tín nghiêm trọng mà còn phải đối mặt với các chế tài pháp luật nặng nề. 

Thực trạng này đặt ra một thách thức lớn cho các cơ quan quản lý và đòi hỏi sự chung tay của toàn xã hội trong việc nâng cao nhận thức và tăng cường các biện pháp bảo vệ dữ liệu cá nhân.

II. Khái niệm về bán dữ liệu khách hàng cho bên thứ ba

NPLaw nhận thấy, hiểu đúng bản chất hành vi bán dữ liệu là rất quan trọng. Phần này sẽ làm rõ khái niệm, hình thức và đối tượng liên quan đến việc bán dữ liệu khách hàng.

1. Bán dữ liệu khách hàng cho bên thứ ba là gì?

Bán dữ liệu khách hàng cho bên thứ ba có thể hiểu là hành vi một tổ chức, cá nhân (thường là bên đã thu thập dữ liệu) chuyển giao thông tin cá nhân của khách hàng cho một tổ chức, cá nhân khác (bên thứ ba) để nhận lại lợi ích vật chất, tiền bạc hoặc bất kỳ hình thức trao đổi có giá trị nào, mà không có sự đồng ý hợp lệ của chủ thể dữ liệu hoặc không tuân thủ các quy định pháp luật hiện hành.

Khái niệm này được hiểu rộng hơn ngoài việc chỉ trao đổi tiền mặt, bao gồm cả việc trao đổi lấy lợi ích khác hoặc dịch vụ. Bản chất của hành vi này là sự chuyển giao quyền sử dụng dữ liệu để thu lợi, vượt ra ngoài phạm vi mục đích ban đầu khi dữ liệu được thu thập.

2. Hành vi bán dữ liệu khách hàng cho bên thứ ba thường diễn ra dưới những hình thức nào?

Hành vi bán dữ liệu khách hàng cho bên thứ ba có thể diễn ra dưới nhiều hình thức tinh vi, khó nhận biết, bao gồm:

• Trao đổi trực tiếp: Đây là hình thức phổ biến nhất, nơi dữ liệu được chuyển giao dưới dạng các file điện tử, cơ sở dữ liệu (database) thông qua các kênh như email, ổ cứng di động, hoặc các nền tảng chia sẻ dữ liệu.
• Cung cấp quyền truy cập: Thay vì chuyển giao toàn bộ dữ liệu, bên bán có thể cung cấp cho bên thứ ba quyền truy cập vào hệ thống chứa dữ liệu khách hàng để khai thác thông tin.
• Sáp nhập, mua lại (có điều kiện): Trong một số trường hợp, việc sáp nhập hoặc mua lại doanh nghiệp có thể kèm theo điều khoản chuyển giao dữ liệu khách hàng. Nếu không có sự đồng ý rõ ràng và minh bạch từ khách hàng, đây cũng có thể bị xem là hành vi bán dữ liệu trái phép.
• Sử dụng dịch vụ của bên thứ ba không minh bạch: Doanh nghiệp thuê bên thứ ba để thực hiện các dịch vụ như tiếp thị, phân tích dữ liệu, nhưng không có hợp đồng rõ ràng về bảo mật và sử dụng dữ liệu, hoặc bên thứ ba sử dụng dữ liệu vượt quá mục đích đã thỏa thuận.
• Cho thuê dữ liệu: Bên sở hữu dữ liệu cho phép bên thứ ba tạm thời sử dụng dữ liệu trong một khoảng thời gian nhất định để thực hiện các chiến dịch marketing hoặc nghiên cứu thị trường, sau đó thu hồi quyền truy cập.

Hành vi bán dữ liệu có thể thực hiện thông qua nhiều cách thức, từ chuyển giao trực tiếp đến cung cấp quyền truy cập hoặc các hình thức hợp tác thiếu minh bạch, đều tiềm ẩn nguy cơ pháp lý.

3. Bên thứ ba trong hành vi bán dữ liệu khách hàng thường là những đối tượng nào?

Bên thứ ba mua dữ liệu khách hàng rất đa dạng, tùy thuộc vào mục đích sử dụng. Các đối tượng phổ biến bao gồm:

• Các công ty quảng cáo và marketing: Mua dữ liệu để thực hiện các chiến dịch quảng cáo nhắm mục tiêu.
• Các tổ chức tài chính, ngân hàng, bảo hiểm: Mua dữ liệu để tiếp cận, mời chào các sản phẩm tín dụng, bảo hiểm.
• Các công ty bất động sản: Mua dữ liệu của những người có tiềm năng tài chính để giới thiệu dự án.
• Các "nhà môi giới dữ liệu" (Data Brokers): Đây là những công ty chuyên thu thập, tổng hợp dữ liệu từ nhiều nguồn khác nhau để làm giàu và bán lại cho các bên có nhu cầu.
• Các đối tượng lừa đảo: Đây là trường hợp nguy hiểm nhất, mua dữ liệu để thực hiện các hành vi lừa đảo qua điện thoại, email hoặc các hình thức khác.

Tóm lại, bên thứ ba có thể là bất kỳ tổ chức, cá nhân nào muốn khai thác giá trị thương mại từ thông tin cá nhân của người khác, bao gồm cả các chủ thể hợp pháp và bất hợp pháp.

III. Quy định của pháp luật liên quan đến bán dữ liệu khách hàng cho bên thứ ba

Phần này, NPLaw sẽ đi sâu vào các khung pháp lý liên quan đến hành vi bán dữ liệu khách hàng cho bên thứ ba.

1. Bán dữ liệu khách hàng cho bên thứ ba có phải là hành vi vi phạm pháp luật không?

Bán dữ liệu khách hàng cho bên thứ ba là hành vi vi phạm pháp luật nếu không được sự đồng ý rõ ràng và tự nguyện của khách hàng.

Nguyên tắc cốt lõi được quy định tại Khoản 1 Điều 11 Nghị định 13/2023/NĐ-CP là sự đồng ý của chủ thể dữ liệu phải được áp dụng cho tất cả các hoạt động trong quá trình xử lý dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Việc bán dữ liệu là một hình thức "xử lý dữ liệu" và "chuyển giao cho bên thứ ba", do đó bắt buộc phải có sự đồng ý của khách hàng.

Tóm lại, bất kỳ hành vi mua bán dữ liệu cá nhân nào mà không có sự cho phép của chủ thể đều là bất hợp pháp.

2. Hành vi bán dữ liệu khách hàng cho bên thứ ba bị điều chỉnh bởi những văn bản pháp luật nào?

Hành vi bán dữ liệu khách hàng cho bên thứ ba bị điều chỉnh bởi một loạt các văn bản pháp luật quan trọng, bao gồm:

• Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân: Đây là văn bản pháp lý quan trọng nhất, quy định chi tiết về nguyên tắc, quyền của chủ thể dữ liệu, xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài và các biện pháp bảo vệ, chẳng hạn như Điều 3 về nguyên tắc xử lý dữ liệu cá nhân, Điều 9 về quyền của chủ thể dữ liệu (trong đó có quyền rút lại sự đồng ý, quyền yêu cầu xóa dữ liệu), Điều 25 quy định về chuyển dữ liệu cá nhân ra nước ngoài,...
• Luật An toàn thông tin mạng 2015: Quy định về bảo vệ thông tin cá nhân trên mạng, trách nhiệm của cơ quan, tổ chức, cá nhân trong việc bảo đảm an toàn thông tin mạng, cụ thể như Điều 16 về nguyên tắc bảo vệ thông tin cá nhân trên mạng, Điều 17 về thu thập và sử dụng thông tin cá nhân, Điều 19 về bảo đảm an toàn thông tin cá nhân trên mạng,...
• Bộ luật Dân sự 2015: Quy định chung về quyền nhân thân, bao gồm quyền về đời sống riêng tư, bí mật cá nhân, bí mật gia đình như Điều 38 hay các nguyên tắc cơ bản của pháp luật dân sự, trong đó có quy định việc xác lập, thực hiện, chấm dứt quyền, nghĩa vụ dân sự không được xâm phạm đến lợi ích quốc gia, dân tộc, lợi ích công cộng, quyền và lợi ích hợp pháp của người khác theo Điều 3,...
• Bộ luật Hình sự 2015 sửa đổi, bổ sung 2017: Các điều khoản liên quan đến tội phạm máy tính, mạng viễn thông, đặc biệt là tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo Điều 288.

Có thể thấy, pháp luật Việt Nam đã xây dựng một hành lang pháp lý đa tầng để ngăn chặn và xử lý hành vi mua bán dữ liệu cá nhân trái phép.

3. Theo quy định của pháp luật, dữ liệu khách hàng được phân loại và bảo vệ ra sao?

Theo Điều 2 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân được phân thành hai loại chính và được bảo vệ ở các mức độ khác nhau như:

• Dữ liệu cá nhân cơ bản: Bao gồm họ tên, ngày tháng năm sinh, giới tính, nơi sinh, quốc tịch, dân tộc, tôn giáo, số điện thoại, số CCCD, địa chỉ, thông tin về hoạt động trên không gian mạng,...
• Dữ liệu cá nhân nhạy cảm: Là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của chủ thể dữ liệu. Ví dụ: quan điểm chính trị, tôn giáo, tình trạng sức khỏe, thông tin về nguồn gốc chủng tộc, thông tin di truyền, dữ liệu về tội phạm, tài khoản ngân hàng, vị trí, dữ liệu sinh trắc học,...

Pháp luật quy định việc xử lý dữ liệu cá nhân nhạy cảm phải tuân thủ các điều kiện chặt chẽ hơn so với dữ liệu cá nhân cơ bản, yêu cầu sự đồng ý rõ ràng, cụ thể hơn từ chủ thể dữ liệu.

Việc phân loại dữ liệu giúp áp dụng các biện pháp bảo vệ phù hợp với mức độ nhạy cảm của thông tin, tăng cường khả năng bảo vệ quyền riêng tư của khách hàng.

4. Hành vi bán dữ liệu khách hàng cho bên thứ ba sẽ bị xử phạt như thế nào?

Hành vi bán dữ liệu khách hàng cho bên thứ ba trái phép có thể phải đối mặt với nhiều hình thức xử phạt, từ xử phạt hành chính đến truy cứu trách nhiệm hình sự, tùy thuộc vào mức độ vi phạm và hậu quả gây ra:

• Xử phạt vi phạm hành chính: Theo khoản 2 Điều 84 Nghị định 15/2020/NĐ-CP, sửa đổi bởi Nghị định 14/2022/NĐ-CP, quy định về vi phạm quy định về thu thập, sử dụng thông tin cá nhân, với mức phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với cá nhân và gấp đôi đối với tổ chức.
• Truy cứu trách nhiệm hình sự: Theo Điều 288 Bộ luật Hình sự 2015 sửa đổi bổ sung 2017 về tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông. Người nào thực hiện hành vi thu thập, tàng trữ, trao đổi, mua bán, công khai hóa trái phép thông tin về tài khoản ngân hàng, thông tin cá nhân của người khác... có thể bị phạt tiền từ 30.000.000 đồng đến 200.000.000 đồng, phạt cải tạo không giam giữ đến 03 năm hoặc bị phạt tù từ 06 tháng đến 03 năm. Nếu phạm tội thuộc các trường hợp nghiêm trọng hơn (ví dụ: gây hậu quả nghiêm trọng, thu lợi bất chính lớn, có tổ chức), mức phạt tù có thể lên đến 7 năm.
• Bồi thường thiệt hại: Ngoài các hình thức xử phạt trên, tổ chức, cá nhân vi phạm còn có thể phải bồi thường thiệt hại cho chủ thể dữ liệu theo quy định tại Điều 584 Bộ luật Dân sự 2015.

Có thể thấy, pháp luật đã có những quy định xử phạt nghiêm khắc đối với hành vi bán dữ liệu khách hàng trái phép, nhằm răn đe và bảo vệ quyền lợi của chủ thể dữ liệu.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến bán dữ liệu khách hàng cho bên thứ ba

NPLaw sẽ giải đáp các thắc mắc phổ biến xoay quanh hành vi bán dữ liệu khách hàng cho bên thứ ba, giúp bạn có cái nhìn toàn diện hơn về vấn đề này.

1. Hành vi tặng, chuyển nhượng hoặc chia sẻ dữ liệu khách hàng miễn phí có bị xem là “bán dữ liệu” không?

Hành vi tặng, chuyển nhượng hoặc chia sẻ dữ liệu khách hàng miễn phí không phải là bán dữ liệu theo nghĩa thu lợi nhuận, nhưng vẫn được xem là "chuyển giao dữ liệu cá nhân và chịu sự điều chỉnh của pháp luật.

Theo khoản 7 Điều 2 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân bao gồm hành vi chuyển giao dữ liệu cá nhân. Dù không thu lợi nhuận, việc tặng, chuyển nhượng hoặc chia sẻ miễn phí dữ liệu khách hàng vẫn là hành vi chuyển giao dữ liệu từ bên này sang bên khác. Hành vi này vẫn yêu cầu tuân thủ các nguyên tắc bảo vệ dữ liệu cá nhân tại Điều 3 Nghị định này. Nếu không có sự đồng ý của khách hàng hoặc không thuộc các trường hợp miễn trừ theo quy định pháp luật, hành vi này vẫn là vi phạm.

Như vậy, việc không nhận tiền không miễn trừ trách nhiệm pháp lý. Bất kỳ hình thức chuyển giao dữ liệu nào không có sự đồng ý đều là vi phạm.

2. Trong trường hợp khách hàng đã đồng ý cung cấp thông tin, doanh nghiệp có thể sử dụng dữ liệu đó cho mục đích thương mại khác không?

Khi khách hàng đã đồng ý cung cấp thông tin, doanh nghiệp không thể sử dụng dữ liệu đó cho mục đích thương mại khác. Theo nguyên tắc giới hạn mục đích tại Khoản 3 Điều 3 Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân chỉ được xử lý đúng với mục đích đã được Bên Kiểm soát dữ liệu cá nhân đăng ký, tuyên bố về xử lý dữ liệu cá nhân. Nếu doanh nghiệp thu thập dữ liệu để xử lý đơn hàng nhưng sau đó lại bán dữ liệu đó cho bên thứ ba để quảng cáo thì đã vi phạm mục đích đã cam kết với khách hàng.

Tóm lại, sự đồng ý của khách hàng chỉ có giá trị cho mục đích cụ thể, rõ ràng đã được thông báo. Mọi hành vi sử dụng ngoài mục đích đó đều là vi phạm.

3. Nếu doanh nghiệp bán dữ liệu cho bên thứ ba ở nước ngoài, có bị coi là chuyển dữ liệu xuyên biên giới trái phép không?

Doanh nghiệp bán dữ liệu cho bên thứ ba ở nước ngoài sẽ bị coi là chuyển dữ liệu xuyên biên giới trái phép. Đây là hành vi đặc biệt nghiêm trọng, cụ thể, Điều 25 Nghị định 13/2023/NĐ-CP quy định rất chặt chẽ về việc chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài. Doanh nghiệp phải lập Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân ra nước ngoài và phải có sự đồng ý của khách hàng. Việc tự ý bán dữ liệu cho đối tác nước ngoài mà không tuân thủ quy trình này là hành vi chuyển dữ liệu xuyên biên giới trái phép.

Như vậy, chuyển dữ liệu ra nước ngoài là một hoạt động có điều kiện và được giám sát chặt chẽ, việc vi phạm sẽ dẫn đến hậu quả pháp lý nặng nề.

4. Khách hàng có quyền yêu cầu doanh nghiệp xóa hoặc ngừng chia sẻ dữ liệu của họ đã bị bán không?

Khách hàng có các quyền rõ ràng đối với dữ liệu cá nhân của mình, bao gồm quyền yêu cầu xóa hoặc ngừng xử lý dữ liệu.

Theo khoản 4, 5 Điều 9 Nghị định 13/2023/NĐ-CP, chủ thể dữ liệu có quyền "rút lại sự đồng ý" và quyền "xóa dữ liệu". Khi khách hàng thực hiện quyền này, doanh nghiệp phải thực hiện các biện pháp cần thiết để xóa dữ liệu hoặc ngừng chia sẻ dữ liệu đã bị bán, đồng thời thông báo cho bên thứ ba đã nhận dữ liệu để họ cũng thực hiện các biện pháp tương tự.

Tóm lại, khách hàng có quyền mạnh mẽ trong việc kiểm soát dữ liệu cá nhân của mình, và doanh nghiệp có nghĩa vụ tuân thủ các yêu cầu hợp pháp đó.

5. Nếu doanh nghiệp chia sẻ dữ liệu khách hàng cho công ty con hoặc công ty cùng tập đoàn, có bị coi là “chuyển giao cho bên thứ ba” không?

Doanh nghiệp chia sẻ dữ liệu khách hàng cho công ty con hoặc công ty cùng tập đoàn, về mặt pháp lý sẽ bị coi là “chuyển giao cho bên thứ ba”. Mặc dù cùng một tập đoàn, nhưng nếu công ty con hoặc công ty cùng tập đoàn được xem là một pháp nhân độc lập với tư cách là "Bên Kiểm soát dữ liệu cá nhân" hoặc "Bên Xử lý dữ liệu cá nhân" khác thì việc chia sẻ dữ liệu giữa công ty mẹ và công ty con (hoặc giữa các công ty con với nhau) vẫn được xem là "chuyển giao cho bên thứ ba". 

Để thực hiện việc này một cách hợp pháp, cần có sự đồng ý rõ ràng của khách hàng cho phép chia sẻ trong nội bộ tập đoàn, hoặc phải có hợp đồng xử lý dữ liệu giữa các bên theo các trách nhiệm tại Điều 38, 39 Nghị định 13/2023/NĐ-CP.

Như vậy, ngay cả trong nội bộ tập đoàn, việc chia sẻ dữ liệu cá nhân giữa các pháp nhân vẫn cần sự xem xét kỹ lưỡng về tuân thủ pháp luật để tránh vi phạm.

V. Tại sao nên tìm luật sư tư vấn ở NP Law khi có vấn đề về bán dữ liệu khách hàng cho bên thứ ba

Việc tuân thủ đúng các quy định về bảo vệ dữ liệu cá nhân không chỉ giúp doanh nghiệp tránh được các khoản phạt nặng nề mà còn giữ vững uy tín, niềm tin của khách hàng. Tuy nhiên, với những quy định phức tạp, thường xuyên thay đổi và tính chất nhạy cảm của dữ liệu, việc tự mình tìm hiểu và thực hiện có thể gặp nhiều khó khăn, tiềm ẩn rủi ro lớn.

Nếu bạn đang gặp vướng mắc trong việc hiểu rõ quy định pháp luật về bảo vệ dữ liệu cá nhân, cần tư vấn về việc xử lý dữ liệu, đánh giá rủi ro pháp lý liên quan đến bán hoặc chia sẻ dữ liệu khách hàng, hay muốn tìm hiểu sâu hơn về các biện pháp tuân thủ pháp luật, hãy liên hệ với NPLaw ngay hôm nay. Chúng tôi sẽ cung cấp giải pháp pháp lý toàn diện, bảo vệ quyền lợi hợp pháp của bạn.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn chi tiết về trường hợp cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.