Những vấn đề pháp lý liên quan đến bán dữ liệu khách hàng cho đối thủ cạnh tranh

Trong bối cảnh cạnh tranh kinh doanh ngày càng gay gắt, dữ liệu khách hàng trở thành tài sản có giá trị lớn đối với doanh nghiệp. Tuy nhiên, việc mua bán, tiết lộ dữ liệu khách hàng cho đối thủ cạnh tranh đang tiềm ẩn nhiều rủi ro pháp lý và ảnh hưởng trực tiếp đến quyền lợi của khách hàng cũng như uy tín doanh nghiệp. Bài viết sau đây sẽ làm rõ những vấn đề pháp lý xoay quanh hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh.

I. Thực trạng liên quan đến bán dữ liệu khách hàng cho đối thủ cạnh tranh

Hiện nay, tình trạng trao đổi, tiết lộ hoặc mua bán dữ liệu khách hàng cho đối thủ cạnh tranh đang diễn ra ngày càng phổ biến và tinh vi trong nhiều lĩnh vực kinh doanh như tài chính ngân hàng, bảo hiểm, bất động sản, thương mại điện tử và dịch vụ viễn thông. Dữ liệu thường bị khai thác trái phép bao gồm thông tin cá nhân cơ bản, thông tin liên hệ, lịch sử giao dịch, nhu cầu và hành vi tiêu dùng của khách hàng.

Trong thực tế, hành vi này không chỉ xuất phát từ chủ trương của doanh nghiệp mà còn do lỗ hổng trong công tác quản lý dữ liệu nội bộ, việc phân quyền truy cập không chặt chẽ hoặc ý thức tuân thủ pháp luật của một bộ phận nhân viên còn hạn chế. Một số trường hợp, dữ liệu khách hàng bị bán cho đối thủ cạnh tranh nhằm thu lợi bất chính, tạo lợi thế tiếp cận thị trường hoặc phục vụ hoạt động tiếp thị trái phép.

Bên cạnh đó, không ít doanh nghiệp chưa xây dựng đầy đủ quy trình bảo vệ dữ liệu cá nhân theo quy định pháp luật, dẫn đến việc chia sẻ dữ liệu vượt quá mục đích đã thông báo cho khách hàng hoặc không có sự đồng ý hợp pháp của chủ thể dữ liệu. Điều này làm gia tăng nguy cơ tranh chấp, khiếu nại và bị xử phạt từ cơ quan quản lý nhà nước.

II. Khái niệm về bán dữ liệu khách hàng cho đối thủ cạnh tranh

Để làm rõ bản chất pháp lý của hành vi này, cần tiếp cận từ góc độ khái niệm, xác định chủ thể thực hiện và phân biệt với các trường hợp chia sẻ dữ liệu hợp pháp trong hoạt động kinh doanh. Việc làm rõ các nội dung này là cơ sở quan trọng để đánh giá đúng tính chất vi phạm và trách nhiệm pháp lý liên quan.

1. Bán dữ liệu khách hàng cho đối thủ cạnh tranh là gì?

Bán dữ liệu khách hàng cho đối thủ cạnh tranh là hành vi doanh nghiệp chuyển giao hoặc thương mại hóa thông tin của khách hàng (như họ tên, số điện thoại, email, hành vi tiêu dùng, lịch sử giao dịch…) cho doanh nghiệp cạnh tranh trực tiếp.

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân quy định tại khoản 4 Điều 3 dữ liệu cá nhân không được mua bán dưới mọi hình thức, trừ trường hợp luật có quy định khác.

Hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh chỉ được coi là hợp pháp trong trường hợp rất hẹp:

• Việc xử lý dữ liệu cá nhân chỉ được thực hiện khi có sự đồng ý của chủ thể dữ liệu sự đồng ý của chủ thể dữ liệu phải là tự nguyện, rõ ràng, cụ thể, có thể kiểm chứng được quy định tại khoản 1 Điều 9 và khoản 1 Điều 11 Nghị định 13/2023/NĐ-CP. Bên cạnh đó, khoản 2 Điều 8 Luật Bảo vệ quyền lợi người tiêu dùng 2023 quy định rằng tổ chức, cá nhân kinh doanh không được cung cấp thông tin người tiêu dùng cho bên thứ ba khi chưa có sự đồng ý, trừ trường hợp pháp luật có quy định khác.
• Việc mua bán dữ liệu cá nhân cho đối thủ cạnh tranh không vi phạm pháp luật cạnh tranh: không vi phạm khoản 1 Điều 45 Luật Cạnh tranh 2018 trái với nguyên tắc thiện chí, trung thực và gây hoặc có khả năng gây thiệt hại đến quyền, lợi ích hợp pháp của doanh nghiệp khác. Đồng thời, không liên quan đến dữ liệu cá nhân nhạy cảm theo khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP.

Như vậy, bán dữ liệu khách hàng cho đối thủ cạnh tranh là hành vi doanh nghiệp chuyển giao hoặc thương mại hóa thông tin của khách cho doanh nghiệp cạnh tranh trực tiếp nhằm mục đích thu lợi.

2. Ai được xem là chủ thể thực hiện hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh?

Chủ thể thực hiện hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh được hiểu là cá nhân hoặc tổ chức có hành vi trực tiếp hoặc gián tiếp chuyển giao, mua bán dữ liệu khách hàng cho doanh nghiệp cạnh tranh. Cụ thể gồm các nhóm sau:

• Doanh nghiệp đang sở hữu hoặc kiểm soát dữ liệu khách hàng.
• Người quản lý, người đại diện theo pháp luật của doanh nghiệp các cá nhân có quyền quyết định, phê duyệt hoặc chỉ đạo việc bán dữ liệu
• Người lao động, nhân viên nội bộ tiếp xúc và làm việc trực tiếp với dữ liệu của khách tự ý hoặc theo chỉ đạo trích xuất, cung cấp bán dữ liệu cho đối thủ cạnh tranh.
• Bên thứ ba được doanh nghiệp giao xử lý dữ liệu là đối tác công nghệ, marketing, trung tâm dữ liệu có hành vi vượt quá phạm vi ủy quyền để bán hoặc chuyển dữ liệu cho đối thủ cạnh tranh.

Việc xác định đúng chủ thể vi phạm là cơ sở để áp dụng trách nhiệm pháp lý phù hợp và bảo vệ quyền lợi của khách hàng.

3. Hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh khác gì so với chia sẻ dữ liệu vì mục đích hợp tác kinh doanh?

Hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh khác với chia sẻ dữ liệu vì mục đích hợp tác kinh doanh ở chỗ:

• Về mục đích: hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh là nhằm thu lợi từ việc bán dữ liệu của khách hàng còn hợp tác kinh doanh là hỗ trợ, hợp tác hoạt động kinh doanh của các bên.
• Về mối quan hệ của các bên: bán cho đối thủ cạnh tranh là doanh nghiệp cạnh tranh trực tiếp, sử dụng dữ liệu độc lập cho lợi ích riêng. Đối với chia sẻ dữ liệu vì hợp tác kinh doanh bên nhận dữ liệu là đối tác, nhà cung cấp dịch vụ, không cạnh tranh trực tiếp, và không có quyền khai thác dữ liệu cho mục đích riêng.
• Về quyền kiểm soát dữ liệu: khi bán dữ liệu khách hàng cho đối thủ cạnh tranh thì sẽ không còn nắm toàn quyền kiểm soát dữ liệu và không thể can thiệp vào việc sử dụng của bên mua. Còn chia sẻ dữ liệu vì mục đích kinh doanh vẫn sẽ soát dữ liệu, đối tác chỉ được xử lý dữ liệu theo chỉ dẫn và phạm vi cho phép.

Tóm lại, bán dữ liệu khách hàng cho đối thủ cạnh tranh là hành vi chuyển giao dữ liệu vì mục đích thu lợi và làm thay đổi lợi thế cạnh tranh, dẫn đến mất quyền kiểm soát dữ liệu, trong khi chia sẻ dữ liệu vì mục đích hợp tác kinh doanh chỉ nhằm phục vụ hoạt động hợp pháp giữa các đối tác, không tạo cạnh tranh trực tiếp và vẫn bảo đảm quyền kiểm soát dữ liệu của doanh nghiệp.

III. Quy định của pháp luật liên quan đến bán dữ liệu khách hàng cho đối thủ cạnh tranh

Việc nắm được các quy định của pháp luật liên quan đến bán dữ liệu khách hàng cho đối thủ cạnh tranh giúp cho việc xử lý, sử dụng dữ liệu khách hàng được quản lý chặt chẽ hơn, tránh các trường hợp vi phạm pháp luật ảnh hưởng đến khách hàng lẫn doanh nghiệp.

1. Hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh có bị coi là vi phạm pháp luật không?

Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân quy định tại khoản 4 Điều 3 dữ liệu cá nhân không được mua bán dưới mọi hình thức, trừ trường hợp luật có quy định khác. Việc bán dữ liệu cho đối thủ cạnh tranh thường vượt quá mục đích thu thập ban đầu và không có sự đồng ý hợp lệ của khách hàng, nên bị coi là vi phạm (khoản 1 Điều 11 và khoản 1 Điều 17 Nghị định 13/2023/NĐ-CP, khoản 2 Điều 8 Luật Bảo vệ quyền lợi người tiêu dùng 2023). Theo khoản 1 Điều 45 Luật Cạnh tranh 2018, nếu việc bán dữ liệu tạo lợi thế cạnh tranh không công bằng, gây thiệt hại hoặc có khả năng gây thiệt hại cho doanh nghiệp khác, thì bị coi là hành vi cạnh tranh không lành mạnh.

Hành vi bán dữ liệu khách hàng cho đối thủ cạnh tranh có thể xâm phạm quyền dân sự vi phạm khoản 1 Điều 38 Bộ luật Dân sự 2015 về bảo vệ quyền đối với đời sống riêng tư, thông tin cá nhân.

2. Quy định của pháp luật về bảo vệ thông tin cá nhân của khách hàng trong hoạt động kinh doanh

Tại Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân:

• Quy định tại khoản 1, 2, 3 Điều 3 về nguyên tắc xử lý dữ liệu cá nhân phải có mục đích hợp pháp, rõ ràng, phù hợp với mục đích đã thông báo cho chủ thể dữ liệu. Đồng thời dữ liệu cá nhân phải được xử lý công khai, minh bạch, bảo đảm an ninh, an toàn, và chỉ trong phạm vi cần thiết.
• Việc xử lý dữ liệu cá nhân chỉ hợp pháp khi có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép khác được quy định tại và sự đồng ý phải là tự nguyện, rõ ràng, cụ thể, có thể kiểm chứng, không được suy đoán hoặc gộp chung theo khoản 1 Điều 9 và khoản 1 Điều 11.

Bảo vệ thông tin cá nhân của khách hàng trong hoạt động kinh doanh được quy định tại Luật Bảo vệ người tiêu dùng 2018, căn cứ trực tiếp điều chỉnh quan hệ giữa doanh nghiệp và khách hàng trong hoạt động thương mại.

• Khoản 1 Điều 6: người tiêu dùng có quyền được bảo mật, an toàn thông tin cá nhân.
• Khoản 2 Điều 8: tổ chức, cá nhân kinh doanh không được cung cấp thông tin người tiêu dùng cho bên thứ ba khi chưa có sự đồng ý, trừ trường hợp pháp luật có quy định khác.

Đặc biệt, bảo vệ thông tin cá nhân  được xem là quyền cơ bản của mỗi công dân được pháp luật dân sự quy định tại khoản 1, 2 Điều 38 BLDS 2015.

3. Cơ quan nào có thẩm quyền xử lý hành vi vi phạm liên quan đến việc mua bán, tiết lộ dữ liệu khách hàng?

Thẩm quyền xử lý hành vi vi phạm liên quan đến việc mua bán, tiết lộ dữ liệu khách hàng thuộc về:

• Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) theo khoản 6 Điều 23 Nghị định 13/2023/NĐ-CP quy định là cơ quan chủ trì quản lý nhà nước về bảo vệ dữ liệu cá nhân, có thẩm quyền thanh tra, kiểm tra và xử lý vi phạm.
• Cơ quan quản lý cạnh tranh (Ủy ban cạnh tranh Quốc gia - Bộ Công thương) khi việc mua bán dữ liệu nhằm tạo lợi thế cạnh tranh không công bằng, cơ quan cạnh tranh có thẩm quyền xử lý theo khoản 1 Điều 82 Luật Cạnh tranh 2018
• Cơ quan quản lý bảo vệ quyền lợi người tiêu dùng (Bộ Công thương), Ủy ban nhân dân cấp xã có quyền xử lý vi phạm khi có hành vi xâm phạm gây thiệt hại đến người tiêu dùng trong trường hợp dữ liệu cá nhân bị mua bán trái pháp luật theo khoản 10 Điều 75, khoản 2 Điều 77 Luật Bảo vệ quyền lợi người tiêu dùng 2023

Tùy vào tính chất và mức độ của hành vi mua bán dữ liệu khách hàng cho đối thủ cạnh tranh mà xác định cơ quan cụ thể có thẩm quyền xử lý vi phạm.

4. Mức phạt cụ thể đối với tổ chức, cá nhân có hành vi mua bán trái phép dữ liệu khách hàng là bao nhiêu?

Đối với hành vi mua bán trái phép dữ liệu khách hàng thì theo khoản 5 Điều 102 Nghị định 15/2020/NĐ-CP được sửa đổi, bổ sung bởi Nghị định 14/2022/NĐ-CP vi phạm quy định về lưu trữ, cho thuê, truyền đưa, cung cấp, truy nhập, thu thập, xử lý, trao đổi và sử dụng thông tin bị xử phạt vi phạm hành chính thì có thể phạt tiền từ 50 triệu đồng đến 70 triệu đồng đối với cá nhân và gấp 2 lần đối với tổ chức vi phạm tức từ 100 triệu đồng đến 140 triệu đồng được quy định tại điểm a khoản 3 Điều 84, khoản 5 Điều 4 Nghị định này.

Nếu hành vi mua bán trái phép dữ liệu khách hàng thực hiện trên không gian mạng thì có thể cấu thành tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288 Bộ luật Hình sự 2015 sửa đổi bổ sung 2025). Ngoài ra, tùy tính chất và phương thức thực hiện hành vi, người vi phạm còn có thể bị xem xét trách nhiệm hình sự theo Điều 291 BLHS 2015 sửa đổi bổ sung 2025 về tội thu thập, tàng trữ, trao đổi, mua bán trái phép thông tin về tài khoản ngân hàng, nếu dữ liệu cá nhân bị bán liên quan đến thông tin tài chính, tài khoản của khách hàng.

IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến bán dữ liệu khách hàng cho đối thủ cạnh tranh

Dưới đây là giải đáp các vấn đề thắc mắc thường gặp liên quan đến bán dữ liệu khách hàng cho đối thủ cạnh tranh

1. Công ty có thể miễn trách nhiệm pháp lý nếu khách hàng đồng ý trước khi bán dữ liệu cho đối thủ cạnh tranh không?

Việc khách hàng đồng ý không đương nhiên giúp công ty được miễn trách nhiệm pháp lý khi bán dữ liệu cho đối thủ cạnh tranh. Chỉ trong phạm vi rất hẹp, sự đồng ý của khách hàng mới có giá trị làm căn cứ hợp pháp.

Khoản 1 Điều 11 và Điều 17 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải có sự đồng ý rõ ràng, cụ thể, riêng biệt của chủ thể dữ liệu, trong đó mục đích, phạm vi, bên nhận dữ liệu phải được thông báo đầy đủ nên nếu chỉ có điều khoản đồng ý chung, mơ hồ hoặc suy đoán thì cũng không đáp ứng. Dù có sự đồng ý của khách hàng, việc bán dữ liệu cho đối thủ cạnh tranh vẫn bị cấm nếu tạo lợi thế cạnh tranh không lành mạnh, gây hạn chế, bóp méo cạnh tranh khoản 1 Điều 45 Luật Cạnh tranh 2018.

2. Khách hàng có thể kiện doanh nghiệp ra tòa để đòi bồi thường khi dữ liệu bị bán cho đối thủ không?

Khách hàng hoàn toàn có quyền khởi kiện doanh nghiệp ra Tòa án để yêu cầu bồi thường thiệt hại khi dữ liệu cá nhân của mình bị bán trái phép cho đối thủ cạnh tranh.

Quyền về đời sống riêng tư, bí mật cá nhân và thông tin cá nhân được pháp luật bảo vệ; việc thu thập, lưu giữ, sử dụng, công khai thông tin cá nhân phải được người đó đồng ý quy định tại khoản 1 Điều 38 BLDS 2015. Đồng thời khoản 3 Điều 38 BLDS 2015 cũng quy định người bị xâm phạm có quyền yêu cầu Tòa án buộc chấm dứt hành vi vi phạm, xin lỗi, cải chính công khai và bồi thường thiệt hại.

Như vậy khách hàng hoàn toàn có thể kiện doanh nghiệp ra tòa để đòi bồi thường khi dữ liệu bị bán cho đối thủ theo quy định tại khoản 1 Điều 585 BLDS 2015.

3. Việc bán dữ liệu khách hàng cho đối thủ có ảnh hưởng đến uy tín và thương hiệu của doanh nghiệp như thế nào?

Việc bán dữ liệu khách hàng cho đối thủ có ảnh hưởng đến uy tín và thương hiệu của doanh nghiệp:

• Mất niềm tin của khách hàng, khó khôi phục.
• Tổn hại hình ảnh và danh tiếng thương hiệu gắn doanh nghiệp với hình ảnh thiếu đạo đức kinh doanh, coi nhẹ quyền lợi khách hàng, làm suy giảm giá trị thương hiệu.
• Việc dữ liệu khách hàng rơi vào tay đối thủ giúp đối thủ tiếp cận trực tiếp tệp khách hàng, làm mất lợi thế cạnh tranh vốn có của doanh nghiệp, ảnh hưởng đến chiến lược kinh doanh dài hạn.
• Uy tín thương hiệu bị tổn hại không chỉ trong ngắn hạn mà còn ảnh hưởng đến quan hệ với đối tác, nhà đầu tư và cơ quan quản lý, làm giảm khả năng mở rộng thị trường và phát triển bền vững.

Việc bán dữ liệu khách hàng cho đối thủ cạnh tranh gây tác động rất nghiêm trọng đến uy tín và thương hiệu của doanh nghiệp, không chỉ về mặt pháp lý mà còn về niềm tin thị trường

4. Việc bán dữ liệu khách hàng cho đối thủ có thể bị coi là vi phạm hợp đồng dịch vụ với khách hàng không?

Khoản 1 Điều 516 Bộ luật Dân sự 2015 đặt ra nghĩa vụ chung của bên cung ứng dịch vụ là thực hiện công việc đúng thỏa thuận và bảo đảm quyền, lợi ích hợp pháp của bên sử dụng dịch vụ. Trong quan hệ dịch vụ, việc khách hàng cung cấp dữ liệu là điều kiện cần để doanh nghiệp thực hiện hợp đồng, không phải để khai thác cho mục đích riêng. Do đó, khi doanh nghiệp bán dữ liệu khách hàng cho đối thủ cạnh tranh trái phép và hành vi này làm lộ thông tin, vượt ra ngoài mục đích cung cấp dịch vụ, xâm phạm trực tiếp quyền riêng tư và lợi ích hợp pháp của khách hàng có thể coi đây là thực hiện dịch vụ không đúng nghĩa vụ hợp đồng.

5. Nếu dữ liệu bị lộ do nhân viên bán dữ liệu khách hàng, doanh nghiệp có bị liên đới trách nhiệm pháp lý không?

Trong nhiều trường hợp, doanh nghiệp vẫn phải liên đới (hoặc trực tiếp) chịu trách nhiệm pháp lý khi dữ liệu khách hàng bị lộ do nhân viên bán trái phép, dù doanh nghiệp không chỉ đạo hay không biết trước.

Nhân viên tiếp cận dữ liệu khách hàng do được giao nhiệm vụ, nên nếu lợi dụng vị trí công việc để bán dữ liệu, doanh nghiệp vẫn phải bồi thường cho khách hàng; sau đó có quyền yêu cầu nhân viên hoàn trả theo quy định tại Điều 597 BLDS 2015.  Tại khoản 1 Điều 516 BLDS 2015  bên cung ứng dịch vụ có nghĩa vụ bảo đảm quyền và lợi ích hợp pháp của bên sử dụng dịch vụ việc để nhân viên làm lộ dữ liệu thể hiện doanh nghiệp không tổ chức, kiểm soát đầy đủ việc bảo mật, bị coi là thực hiện hợp đồng không đúng nghĩa vụ.

V. Tại sao nên tìm luật sư tư vấn ở NPLaw khi có vấn đề về bán dữ liệu khách hàng cho đối thủ cạnh tranh

Khi phát sinh vấn đề bán dữ liệu khách hàng cho đối thủ cạnh tranh, việc tìm luật sư tư vấn tại NPLaw giúp khách hàng xác định rõ hành vi vi phạm và quyền lợi bị xâm phạm. Luật sư NPLaw sẽ tư vấn căn cứ pháp lý để khiếu nại, khởi kiện và yêu cầu bồi thường, đồng thời đại diện làm việc với cơ quan có thẩm quyền. Nhờ kinh nghiệm chuyên sâu về bảo vệ dữ liệu cá nhân và tranh chấp dân sự, NPLaw giúp khách hàng bảo vệ quyền riêng tư và lợi ích hợp pháp một cách hiệu quả.

Tóm lại việc bán dữ liệu khách hàng cho đối thủ cạnh tranh trái pháp luật xâm phạm nghiêm trọng quyền riêng tư của khách hàng, thường vi phạm pháp luật về bảo vệ dữ liệu cá nhân, luật cạnh tranh và nghĩa vụ hợp đồng dịch vụ. Hành vi này có thể làm phát sinh trách nhiệm pháp lý đối với cá nhân, tổ chức liên quan, kể cả trường hợp do nhân viên thực hiện. Khách hàng có quyền khiếu nại, khởi kiện yêu cầu bồi thường, còn doanh nghiệp phải đối mặt với rủi ro pháp lý và tổn hại uy tín.

Trên đây là các thông tin mang tính tham khảo, Quý khách hàng cần tư vấn về trường hợp chi tiết cụ thể, vui lòng liên hệ cho Hãng luật NPLaw để được tư vấn ngay.