Hành vi bên thứ ba bán lại dữ liệu khách hàng mà không thông báo là một vi phạm nghiêm trọng quyền riêng tư.
Thực trạng bên thứ ba bán lại dữ liệu khách hàng mà không thông báo đã và đang diễn ra gây ra nhiều hệ lụy cho chủ thể dữ liệu và làm suy giảm niềm tin vào thị trường số. Việc này đặt ra yêu cầu cấp thiết về sự giám sát chặt chẽ và các biện pháp trừng phạt nghiêm minh theo quy định của pháp luật. Bài viết phân tích thực trạng, khái niệm, các quy định pháp luật liên quan, trách nhiệm của doanh nghiệp và chế tài xử lý đối với hành vi bán lại dữ liệu trái phép này.
I. Thực trạng liên quan đến bên thứ ba bán lại dữ liệu khách hàng mà không thông báo
Việc các bên thứ ba (đối tác kinh doanh, nhà cung cấp dịch vụ, đơn vị quảng cáo...) được chia sẻ hoặc tự thu thập dữ liệu cá nhân để phục vụ một mục đích nhất định, nhưng sau đó lại âm thầm bán lại dữ liệu khách hàng mà không thông báo cho chủ thể dữ liệu và bên cung cấp ban đầu, đang là vấn nạn nhức nhối.
Hậu quả là khách hàng thường xuyên nhận được cuộc gọi, tin nhắn rác, email quảng cáo không mong muốn hoặc thậm chí là bị lừa đảo, dẫn đến thiệt hại về tài sản và tinh thần. Việc này làm suy giảm nghiêm trọng niềm tin vào các dịch vụ số và đòi hỏi sự can thiệp mạnh mẽ từ pháp luật và cơ quan quản lý.
II. Khái niệm về bên thứ ba bán lại dữ liệu khách hàng mà không thông báo
Để xác định đúng tính chất của hành vi vi phạm, trước hết cần làm rõ các thuật ngữ pháp lý và những tác động tiêu cực mà hành vi này gây ra cho người tiêu dùng.
1. Bên thứ ba bán lại dữ liệu khách hàng mà không thông báo là gì?
Bán lại dữ liệu khách hàng mà không thông báo là hành vi chuyển giao (bán, trao đổi, cho, tặng, cung cấp) dữ liệu cá nhân của khách hàng cho một bên khác mà không có sự đồng ý của chủ thể dữ liệu (khách hàng) và không thông báo về mục đích chuyển giao mới, vi phạm nghiêm trọng nguyên tắc xử lý dữ liệu và cam kết bảo mật. Như vậy, việc bên thứ ba bán lại dữ liệu khách hàng mà không thông báo là hành vi chuyển giao dữ liệu trái phép, vi phạm nguyên tắc đồng ý, minh bạch và cam kết bảo mật trong quá trình xử lý dữ liệu cá nhân.
2. Việc bán lại dữ liệu khách hàng mà không thông báo ảnh hưởng thế nào đến quyền riêng tư của khách hàng?
Hành vi thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác là hành vi bị nghiêm cấm theo khoản 5 Điều 7 Luật An toàn thông tin mạng 2015. Việc bán lại dữ liệu khách hàng mà không thông báo là vi phạm nghiêm trọng quyền riêng tư, xâm phạm bí mật cá nhân, dẫn đến khách hàng đối mặt nguy cơ spam, lừa đảo, thao túng tâm lý, bị sử dụng thông tin sai mục đích, thậm chí tấn công mạng, gây thiệt hại tài sản và danh dự của khách hàng.
Do đó, hành vi bán lại dữ liệu khách hàng mà không thông báo không chỉ xâm phạm nghiêm trọng quyền riêng tư của khách hàng mà còn tiềm ẩn nhiều rủi ro về tài sản, danh dự và an toàn thông tin, đồng thời là hành vi bị pháp luật nghiêm cấm và cần được xử lý nghiêm.
3. Hành vi bán lại dữ liệu mà không thông báo có thể xuất phát từ những động cơ nào của bên thứ ba?
Hành vi bán lại dữ liệu mà không thông báo có thể xuất phát từ những động cơ:
- Động cơ lợi nhuận: Đây là động cơ chủ yếu bởi việc bán dữ liệu cá nhân là một hình thức kinh doanh phi pháp mang lại lợi nhuận cao mà không tốn chi phí sản xuất.
- Lợi dụng sơ hở pháp lý, hợp đồng bên thứ ba có thể lợi dụng các điều khoản hợp đồng lỏng lẻo hoặc các lỗ hổng trong hệ thống bảo mật để trích xuất và bán dữ liệu.
- Do thiếu các quy định nội bộ nghiêm ngặt, nhân viên của bên thứ ba tự ý bán dữ liệu để kiếm thêm thu nhập bất chính.
Tóm lại, việc bán lại dữ liệu mà không thông báo thường bắt nguồn từ lợi ích kinh tế, sự lợi dụng các kẽ hở pháp lý và hợp đồng cũng như những hạn chế trong quản lý nội bộ cho thấy nhu cầu cấp thiết phải tăng cường khung pháp lý, điều khoản ràng buộc và cơ chế kiểm soát nhằm bảo vệ dữ liệu cá nhân một cách hiệu quả.
III. Quy định của pháp luật liên quan đến bên thứ ba bán lại dữ liệu khách hàng mà không thông báo
Hệ thống pháp luật Việt Nam đã thiết lập các khung hành lang pháp lý nghiêm ngặt nhằm giám sát và xử lý các sai phạm trong việc chuyển giao dữ liệu cá nhân trái phép.
1. Những văn bản nào điều chỉnh việc giám sát bên thứ ba trong việc sử dụng dữ liệu khách hàng?
Việc giám sát bên thứ ba sử dụng dữ liệu khách hàng tại Việt Nam chủ yếu được điều chỉnh bởi Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, quy định chặt chẽ nghĩa vụ của Bên thứ ba (như chỉ xử lý đúng mục đích, áp dụng biện pháp bảo vệ, bảo mật, hợp tác điều tra) và trách nhiệm giám sát của Bên Kiểm soát dữ liệu, yêu cầu tuân thủ hợp đồng, lập hồ sơ đánh giá tác động và chịu trách nhiệm pháp lý trước Nhà nước. Cụ thể, được quy định tại Điều 38, 39, 40, 41 Nghị định 13/2023/NĐ-CP. Ngoài ra, còn có sự điều chỉnh của Luật An toàn thông tin mạng 2015, Luật An ninh mạng 2018, Bộ luật Dân sự 2015.
Như vậy, việc giám sát bên thứ ba trong sử dụng dữ liệu khách hàng được điều chỉnh bởi nhiều văn bản pháp luật quan trọng, trong đó trọng tâm là Nghị định 13/2023/NĐ-CP, đặt ra nghĩa vụ tuân thủ, giám sát và trách nhiệm pháp lý rõ ràng đối với các bên liên quan.
2. Trong trường hợp tranh chấp, cơ quan nào có thẩm quyền xử lý hành vi bên thứ ba bán lại dữ liệu khách hàng mà không thông báo?
Theo Điều 29 Nghị định 13/2023/NĐ-CP, trong trường hợp tranh chấp bên thứ ba bán lại dữ liệu khách hàng mà không thông báo, các cơ quan có thẩm quyền bao gồm Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao thuộc Bộ Công an để xử lý vi phạm. Ngoài ra, các bên có quyền khởi kiện tại Tòa án nhân dân hoặc thông qua Trọng tài thương mại (nếu có thỏa thuận) để giải quyết yêu cầu bồi thường thiệt hại và bảo vệ quyền lợi (các hình thức giải quyết tranh chấp theo Điều 317 Luật thương mại 2005). Doanh nghiệp có trách nhiệm thông báo sự cố và phối hợp với cơ quan chức năng để xử lý, đồng thời người bị ảnh hưởng có quyền khởi kiện để đòi bồi thường.
Có thể thấy, hành vi bên thứ ba bán lại dữ liệu khách hàng mà không thông báo thuộc thẩm quyền xử lý của cả cơ quan quản lý nhà nước và cơ quan tài phán, nhằm bảo đảm việc xử lý vi phạm và bảo vệ quyền, lợi ích hợp pháp của các bên bị ảnh hưởng.
3. Doanh nghiệp có trách nhiệm giám sát như thế nào để ngăn chặn bên thứ ba bán lại dữ liệu khách hàng mà không thông báo?
Để ngăn bên thứ ba bán lại dữ liệu khách hàng, doanh nghiệp cần xây dựng hợp đồng chặt chẽ quy định rõ mục đích, phạm vi xử lý; giám sát liên tục hoạt động của bên thứ ba qua kiểm toán định kỳ; yêu cầu họ áp dụng biện pháp bảo mật mạnh mẽ, thực hiện đánh giá tác động; và có điều khoản phạt vi phạm rõ ràng, cùng cơ chế thu hồi, xóa bỏ dữ liệu khi cần thiết. Doanh nghiệp bao gồm bên kiểm soát dữ liệu và bên xử lý dữ liệu có trách nhiệm phải tuân thủ các biện pháp tổ chức và kỹ thuật cùng các biện pháp an toàn, bảo mật phù hợp theo Nghị định 13/2023/NĐ-CP (cụ thể tại Điều 38, 39, 40 Nghị định này).
Tóm lại, doanh nghiệp có trách nhiệm chủ động thiết lập cơ chế giám sát toàn diện, từ hợp đồng, kỹ thuật đến kiểm soát nội bộ, nhằm phòng ngừa, phát hiện và xử lý kịp thời nguy cơ bên thứ ba bán lại dữ liệu khách hàng trái phép.
4. Bên thứ ba bán lại dữ liệu khách hàng mà không thông báo có thể bị xử phạt như thế nào?
Việc bên thứ ba thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác hoặc lợi dụng sơ hở, điểm yếu của hệ thống thông tin để thu thập, khai thác thông tin cá nhân là hành vi vi phạm pháp luật theo khoản 5 Điều 7 Luật An toàn thông tin mạng 2015. Tùy theo tính chất, điểm c khoản 2 Điều 84 Nghị định 15/2020/NĐ-CP (sửa đổi, bổ sung tại khoản 30 Điều 1 Nghị định 14/2022/NĐ-CP) quy định, phạt tiền từ 40 - 60 triệu đồng đối với hành vi thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác. Ngoài ra, còn có thể bị áp dụng hình thức xử phạt bổ sung như đình chỉ hoạt động xử lý dữ liệu cá nhân, buộc tiêu hủy dữ liệu thu thập trái phép.
Trong trường hợp nghiêm trọng, hành vi mua bán dữ liệu cá nhân còn có thể bị xử lý hình sự. Theo Điều 288 Bộ luật Hình sự 2015 (sửa đổi, bổ sung năm 2017) quy định tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông, người vi phạm có thể bị phạt tiền từ 30 - 200 triệu đồng, hoặc phạt tù từ 6 tháng đến 3 năm. Mức phạt có thể lên đến 7 năm tù, nếu hành vi có tổ chức, gây hậu quả nghiêm trọng, thu lợi bất chính lớn hoặc tái phạm nguy hiểm.
Bên cạnh các chế tài hành chính và hình sự, bên thứ ba vi phạm còn phải chịu trách nhiệm bồi thường thiệt hại theo quy định của Bộ luật Dân sự 2015. Theo khoản 1 Điều 584 và Điều 585 Bộ luật Dân sự 2015 (được hướng dẫn bởi Điều 2 Nghị quyết 02/2022/NQ-HĐTP), người có hành vi xâm phạm quyền, lợi ích hợp pháp của người khác gây thiệt hại thì phải bồi thường toàn bộ và kịp thời. Các bên có thể thỏa thuận về mức bồi thường, hình thức bồi thường bằng tiền, bằng hiện vật hoặc thực hiện một công việc, phương thức bồi thường một lần hoặc nhiều lần, trừ trường hợp pháp luật có quy định khác.
Như vậy, khung pháp lý hiện hành đã thiết lập những chế tài nghiêm khắc từ xử phạt hành chính đến truy cứu trách nhiệm hình sự, nhằm ngăn chặn triệt để hành vi trục lợi dữ liệu trái phép, đồng thời khẳng định sự bảo hộ tuyệt đối của Nhà nước đối với quyền riêng tư và an toàn thông tin của mọi cá nhân.
IV. Giải đáp các vấn đề thắc mắc thường gặp liên quan đến bên thứ ba bán lại dữ liệu khách hàng mà không thông báo
Trong quá trình thực thi quyền bảo vệ dữ liệu, người dân và doanh nghiệp thường đối mặt với nhiều lúng túng về quy trình xử lý và trách nhiệm liên đới, cụ thể như sau.
1. Khách hàng nên làm gì khi nghi ngờ dữ liệu cá nhân bị bên thứ ba bán lại mà không được thông báo?
Nếu nghi ngờ, phát hiện bên thứ ba bán lại dữ liệu cá nhân mà không thông báo, khách hàng (chủ thể dữ liệu) có quyền phản đối, yêu cầu bên thứ ba hoặc doanh nghiệp không được xử lý dữ liệu của mình (khoản 8, 9 Điều 9 Nghị định 13/2023/NĐ-CP). Ngoài ra, khách hàng có quyền khiếu nại hoặc tố cáo lên cơ quan có thẩm quyền, khởi kiện yêu cầu bồi thường thiệt hại theo quy định của pháp luật khi xảy ra vi phạm quy định về bảo vệ dữ liệu cá nhân của mình.
Như vậy, khi nghi ngờ dữ liệu cá nhân bị bán lại trái phép, khách hàng có đầy đủ quyền pháp lý để phản đối việc xử lý dữ liệu, yêu cầu chấm dứt vi phạm và sử dụng các cơ chế khiếu nại, tố cáo, khởi kiện nhằm bảo vệ quyền lợi hợp pháp của mình.
2. Doanh nghiệp có phải chịu trách nhiệm liên đới nếu không phát hiện bên thứ ba bán dữ liệu trái phép không?
Theo Điều 288 Bộ luật Dân sự 2015, trách nhiệm liên đới được hiểu là trách nhiệm mà nhiều người cùng phải thực hiện một nghĩa vụ. Bên có quyền (ở đây là chủ thể dữ liệu) có thể yêu cầu bất cứ ai trong số những người có trách nhiệm liên đới phải thực hiện toàn bộ nghĩa vụ.
Pháp luật về bảo vệ dữ liệu không quy định cụ thể doanh nghiệp có nghĩa vụ liên đới do không phát hiện bên thứ ba bán dữ liệu trái phép hay không nhưng căn cứ theo quy định tại Điều 37 Luật Bảo vệ dữ liệu cá nhân 2025 về nghĩa vụ của bên kiểm soát dữ liệu, bên xử lý dữ liệu, bên kiểm soát và xử lý dữ liệu cá nhân, doanh nghiệp sẽ phải chịu trách nhiệm liên đới với bên thứ ba nếu trong hợp đồng đã có thỏa thuận trước về điều này hoặc chứng minh được doanh nghiệp có lỗi trong việc quản lý bên thứ ba không đủ năng lực bảo mật nhưng vẫn thuê, hoặc không kiểm tra định kỳ theo quy định.
Tóm lại, dù pháp luật không mặc nhiên quy định, doanh nghiệp vẫn phải chịu trách nhiệm liên đới nếu có thỏa thuận trong hợp đồng hoặc nếu việc thiếu giám sát bên thứ ba được xác định là lỗi hỗn hợp gây ra thiệt hại cho chủ thể dữ liệu theo quy định của Bộ luật Dân sự 2015 và Luật Bảo vệ dữ liệu cá nhân 2025.
3. Việc bán lại dữ liệu mà không thông báo bởi bên thứ ba có thể dẫn đến các rủi ro bảo mật nào?
Việc bán lại dữ liệu mà không thông báo bởi bên thứ ba có thể dẫn đến các rủi ro bảo mật bao gồm rủi ro lừa đảo tài chính: Dữ liệu bị bán cho các đối tượng lừa đảo, sử dụng thông tin cá nhân chi tiết để tạo lòng tin và chiếm đoạt tài sản (thông tin tài khoản ngân hàng, mã OTP...). Rủi ro khác là bị đánh cắp danh tính, dữ liệu bị sử dụng để mở tài khoản, đăng ký dịch vụ hoặc vay tiền trái phép dưới tên của chủ thể dữ liệu. Hành vi bán lại dữ liệu mà không thông báo tiềm ẩn nhiều rủi ro bảo mật nghiêm trọng, đặc biệt là nguy cơ lừa đảo tài chính và đánh cắp danh tính, gây thiệt hại lớn cho chủ thể dữ liệu.
4. Khách hàng có quyền yêu cầu doanh nghiệp công bố danh sách các bên thứ ba đã tiếp cận dữ liệu của họ không?
Theo Điều 9 Nghị định 13, chủ thể dữ liệu có quyền truy cập để xem, chỉnh sửa hoặc yêu cầu cung cấp chi tiết về hoạt động xử lý dữ liệu cá nhân của mình, bao gồm cả việc chuyển giao dữ liệu cho bên thứ ba. Doanh nghiệp có nghĩa vụ cung cấp thông tin về các bên thứ ba đã tiếp cận dữ liệu. Do đó, khách hàng có quyền yêu cầu doanh nghiệp minh bạch thông tin về các bên thứ ba đã tiếp cận dữ liệu cá nhân của mình, nhằm bảo đảm quyền được biết và quyền kiểm soát dữ liệu theo quy định pháp luật.
5. Khách hàng có thể yêu cầu doanh nghiệp cung cấp bằng chứng về việc dữ liệu của họ bị bên thứ ba bán lại không?
Khách hàng có quyền yêu cầu doanh nghiệp cung cấp bằng chứng về việc dữ liệu của họ bị bán lại vì họ có quyền truy cập, biết về việc xử lý dữ liệu của mình và rút lại sự đồng ý, đòi hỏi doanh nghiệp phải chứng minh việc tuân thủ và giải trình minh bạch. Doanh nghiệp có nghĩa vụ hợp tác cung cấp thông tin và bằng chứng trong phạm vi mà họ có thể tiếp cận để hỗ trợ việc chứng minh thiệt hại và hành vi vi phạm.
Như vậy, khách hàng có quyền yêu cầu doanh nghiệp cung cấp thông tin và bằng chứng liên quan đến việc xử lý, chuyển giao dữ liệu cá nhân, đồng thời doanh nghiệp có nghĩa vụ giải trình và hợp tác để bảo đảm tính minh bạch và trách nhiệm trong bảo vệ dữ liệu.
V. Tại sao nên tìm luật sư tư vấn ở NPLAW khi có vấn đề về bên thứ ba bán lại dữ liệu khách hàng mà không thông báo
Dịch vụ tư vấn pháp lý liên quan đến việc bên thứ ba bán lại dữ liệu khách hàng mà không thông báo tại NPLAW sẽ hỗ trợ quý khách hàng về:
- Xác định trách nhiệm pháp lý: Phân tích các điều khoản hợp đồng và quy định pháp luật để xác định lỗi của bên thứ ba, cũng như đánh giá trách nhiệm liên đới của doanh nghiệp (nếu có).
- Hỗ trợ thu thập bằng chứng: Tư vấn cách thức lưu trữ, thu thập các bằng chứng kỹ thuật và các dấu vết số chứng minh hành vi chuyển giao dữ liệu trái phép của bên thứ ba.
- Đại diện đàm phán và xử lý khủng hoảng: Thay mặt khách hàng hoặc doanh nghiệp làm việc với bên thứ ba để yêu cầu chấm dứt hành vi vi phạm, thu hồi dữ liệu và đàm phán mức bồi thường thiệt hại thỏa đáng.
- Thực hiện thủ tục khiếu nại, khởi kiện: Soạn thảo hồ sơ tố cáo gửi cơ quan Công an (Cục An ninh mạng) hoặc hồ sơ khởi kiện tại Tòa án/Trọng tài; tham gia tố tụng để bảo vệ quyền riêng tư và lợi ích hợp pháp của quý khách.
Trên đây là các thông tin mang tính tham khảo, quý khách hàng có thắc mắc liên quan đến vấn đề bên thứ ba bán lại dữ liệu khách hàng mà không thông báo, vui lòng liên hệ NPLAW để được đội ngũ luật sư của chúng tôi trực tiếp tư vấn và hỗ trợ toàn diện.
