第三方在未通知的情况下转售客户数据的法律风险

近年来，第三方在没有通知的情况下转售客户数据的做法越来越多，给数据主体带来了许多负面后果，降低了公众对数字市场的信任。这种情况突出表明，迫切需要根据适用法律进行更严格的监督和有效的制裁。本文分析了当前形势，澄清了相关概念，回顾了适用的法律法规，并审查了企业的责任以及对此类非法数据转售活动的制裁。

近年来，第三方在没有通知的情况下转售客户数据 的做法越来越多，给数据主体带来了许多负面后果，降低了公众对数字市场的信任。这种情况突出表明，迫切需要根据适用法律进行更严格的监督和有效的制裁。本文分析了当前形势，澄清了相关概念，回顾了适用的法律法规，并审查了企业的责任以及对此类非法数据转售活动的制裁。

I.第三方未经通知转售客户数据的现状

第三方（如商业伙伴、服务提供商或广告公司）最初被授予出于特定目的访问个人数据的权限，但随后在不通知数据主体或原始数据提供商的情况下转售客户数据的做法已成为一个严重而普遍的问题。

因此，客户经常收到垃圾电话、未经请求的消息和促销电子邮件，在许多情况下甚至可能成为欺诈的受害者，导致经济和情感上的伤害。这种做法严重破坏了人们对数字服务的信任，需要加强法律干预和监管。

II、第三方在不通知的情况下转售客户数据的概念

1.第三方在没有通知的情况下转售客户数据的构成是什么？

未经通知转售客户数据是指未经数据主体同意，也未告知其转移的新目的，将客户的个人数据转移（包括出售、交换、赠送或以其他方式提供）给另一方的行为。这种行为严重违反了数据处理和保密承诺的基本原则。

因此，当第三方在未通知的情况下转售客户数据时，即构成非法数据传输，违反了处理个人数据时的同意、透明度和保密原则。

2.未经通知转售客户数据如何影响客户隐私权？

根据2015年《网络信息安全法》第7条第5款，非法收集、使用、传播或商业利用他人个人信息是被禁止的行为。

未经通知转售客户数据严重侵犯了隐私权，侵犯了个人机密。因此，客户可能面临垃圾邮件通信、欺诈计划、心理操纵、为未经授权的目的滥用个人信息，甚至网络攻击等风险，这可能会导致经济损失和声誉受损。

因此，在没有通知的情况下转售客户数据的行为不仅严重侵犯了客户隐私，还造成了与财产、声誉和信息安全有关的重大风险。这是法律禁止的行为，必须采取严格的执法措施。

3.什么动机可能导致第三方在没有通知的情况下转售客户数据？

未经通知转售数据的行为可能出于多种动机，包括：

利润驱动的动机：这是主要因素，因为出售个人数据是一项非法但利润丰厚的活动，需要最低的运营成本。
利用法律或合同漏洞：第三方可能会利用起草松散的合同条款或安全系统的弱点来提取和出售数据。
缺乏严格的内部规定：第三方员工可以独立出售数据以产生非法收入。

总之，在没有通知的情况下转售数据往往是由经济激励、利用法律或合同漏洞以及内部管理系统的弱点造成的。这些因素表明，迫切需要加强法律框架、合同保障和监督机制，以有效保护个人数据。

III、关于第三方在未通知的情况下转售客户数据的法律规定

1.哪些法律文书规范了对第三方使用客户数据的监督？

越南对第三方使用客户数据的监管主要受关于个人数据保护的第13/2023/ND-CP号法令的管辖。该法令对第三方施加了严格的义务，包括要求严格为特定目的处理数据，实施数据保护和安全措施，并配合调查。

它还规定了数据控制者的监督责任，要求遵守合同义务、影响评估文件和国家的法律责任。第13/2023/ND-CP号法令第38、39、40和41条具体规定了这些规定。

此外，相关规定载于《2015年网络信息安全法》、《2018年网络安全法》和《2015年民法典》。

因此，对第三方使用客户数据的监督受到多项重要法律文书的监管，第13/2023/ND-CP号法令是确立相关方合规义务、监督责任和法律责任的核心框架。

2.在发生争议的情况下，哪些机构有权处理涉及第三方在不通知的情况下转售客户数据的案件？

根据第13/2023/ND-CP号法令第29条，涉及第三方在未通知的情况下转售客户数据的纠纷可能由公安部网络安全和高科技犯罪预防司负责调查和执行。

此外，受影响的各方可以根据2005年《商法》第317条规定的争议解决机制，向人民法院提起诉讼或将争议提交商事仲裁（有仲裁协议的），以解决赔偿索赔并保护其合法权益。

企业还负责报告事件并与主管当局合作处理违规行为，而受影响的个人保留提起法律诉讼要求赔偿的权利。

因此，涉及第三方在未通知的情况下转售客户数据的案件可能属于监管机构和司法机构的管辖范围，以确保有效执行和保护受影响方的合法权益。

3.企业有什么监管责任防止第三方在未通知的情况下转售客户数据？

为防止第三方转售客户数据，企业必须建立严格的合同安排，明确规定数据处理的目的和范围。企业还应通过定期审计第三方活动来实施持续监督。

此外，企业必须要求第三方采取强有力的安全措施，进行影响评估，并在发生违规行为时遵守明确规定的合同制裁。还必须建立必要时检索或删除数据的机制。

企业，包括数据控制者和数据处理者，有义务根据第13/2023/ND-CP号法令，特别是第38、39和40条，实施适当的组织和技术措施以及安全保障措施。

总之，企业必须积极建立全面的监控机制，涵盖合同、技术和内部控制措施，以预防、发现和及时解决与第三方非法转售客户数据相关的风险。

4.对于在未通知的情况下转售客户数据的第三方，可能会实施哪些制裁？

非法收集、使用、传播或商业利用他人的个人信息，或利用信息系统中的漏洞收集或提取个人数据，构成违反《2015年网络信息安全法》第7条第5款的行为。

根据违规行为的性质和严重程度，第15/2020/ND-CP号法令第84条（经第14/2022/ND-CP号令第1条第30款修订）第c点第2款规定，对非法收集、使用、传播或交易个人信息的行为处以40000000越南盾至60000000越南盾的行政罚款。其他制裁可能包括暂停个人数据处理活动和强制销毁非法收集的数据。

在严重的情况下，出售个人数据也可能导致刑事责任。根据2015年《刑法典》（2017年修订）第288条，在计算机网络或电信网络上非法提供或使用信息的罪行可能导致30000000越南盾至200000000越南盾的罚款或6个月至3年的监禁。如果以有组织的方式实施犯罪，造成严重后果，产生大量非法利润，或构成累犯，最高可判处七年监禁。

除了行政和刑事制裁外，违反《2015年民法典》的第三方还可能承担民事赔偿责任。根据2015年《民法典》第584条第1款和第585条（以第02/2022/NQ-HDTP号决议第2条为指导），任何侵犯他人合法权益并造成损害的人必须及时提供全额赔偿。除非法律另有规定，否则双方可以就赔偿金额、赔偿形式（货币支付、财产转让或履行具体义务）以及赔偿是一次性支付还是分期支付达成一致。

因此，现行法律框架规定了从行政罚款到刑事起诉的严格制裁，以遏制非法数据利用，同时确认国家对保护所有个人隐私权和信息安全的坚定承诺。

IV、关于第三方在未通知的情况下转售客户数据的问题

1.如果客户怀疑他们的个人数据在没有通知的情况下被第三方转售，他们应该怎么做？

根据第13/2023/ND-CP号法令第9条第8款和第9款，如果客户怀疑或发现其个人数据在未经通知的情况下被转售，他们有权反对并要求第三方或企业停止处理其数据。

此外，客户还可以向主管当局提出投诉或谴责，或提起法律诉讼，要求赔偿因违反个人数据保护规定而造成的损害。

因此，当客户怀疑其个人数据被非法转售时，他们拥有充分的合法权利反对数据处理，要求停止违规行为，并利用现有的投诉、谴责和诉讼机制来维护其合法权利。

2.如果企业未能发现第三方非法出售客户数据，企业是否承担连带责任？

根据2015年《民法典》第288条，连带责任是指要求多方履行同一义务的情况，有权的一方可以要求任何负有连带责任的一方履行义务。

尽管个人数据保护法规没有明确规定，如果企业未能发现第三方非法销售数据，企业将自动承担连带责任，但根据《2025年个人数据保护法》第37条关于数据控制者和数据处理者的义务，如果合同中约定了此类责任，或者如果企业被证明在任命资格不足的第三方或未能按要求进行定期监督方面存在疏忽，企业可能会与第三方承担连带责任。

总之，尽管法律没有自动规定连带责任，但如果存在合同条款或第三方监督不足构成对数据主体造成损害的共同过错，企业仍可能承担连带责任。