MUA BÁN DỮ LIỆU CÁ NHÂN TRÁI PHÉP: MỨC PHẠT HÀNH CHÍNH VÀ TRÁCH NHIỆM HÌNH SỰ

 DỮ LIỆU CÁ NHÂN LÀ GÌ?

Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025: “Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân”.
Có thể thấy rằng cốt lõi của dữ liệu cá nhân là khả năng “xác định hoặc giúp xác định một con người cụ thể”. Nếu thông tin bị rò rỉ có thể đối chiếu để tìm ra chính xác danh tính của một cá nhân (như CCCD, số điện thoại gắn với tên tuổi, địa chỉ), đó là dữ liệu cá nhân. Việc chia dữ liệu thành hai nhóm cơ bản (họ tên, ngày sinh, nơi cư trú...) và nhạy cảm (quan điểm chính trị, hồ sơ y tế, sinh trắc học, dữ liệu tài chính...) theo khoản 2 và khoản 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025 giúp phân định mức độ nghiêm trọng khi xảy ra hành vi xâm phạm. Việc mua bán dữ liệu nhạy cảm gây ra hậu quả nặng nề hơn và có thể là căn cứ tăng nặng trách nhiệm pháp lý. Quy định cũng mở ra ranh giới rõ ràng cho các doanh nghiệp công nghệ: “Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân”. Điều này đồng nghĩa với việc, nếu các tổ chức tiến hành thu thập, phân tích dữ liệu nhưng đã áp dụng các biện pháp kỹ thuật xóa bỏ hoàn toàn khả năng định danh, họ sẽ không vi phạm các quy định cấm về mua bán, trao đổi dữ liệu cá nhân.
Theo Điều 3 Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 01/01/2026, dữ liệu cá nhân bao gồm:
“1. Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có);
2. Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích;
3. Giới tính;
4. Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ;
5. Quốc tịch;
6. Hình ảnh của cá nhân;
7. Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe;
8. Tình trạng hôn nhân;
9. Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng);
10. Thông tin về tài khoản số của cá nhân;
11. Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc quy định tại Điều 4 Nghị định này.”
Một trong những thay đổi tại Nghị định 356/2025/NĐ-CP là việc bổ sung thông tin về mối quan hệ vợ, chồng vào danh mục dữ liệu cá nhân cơ bản. So với quy định trước đây chủ yếu ghi nhận thông tin về mối quan hệ giữa cha, mẹ và con, quy định mới đã mở rộng phạm vi thông tin về quan hệ nhân thân được xác định là dữ liệu cá nhân cơ bản. Sự thay đổi này phù hợp với thực tiễn quản lý và thực hiện các giao dịch dân sự, tài chính, ngân hàng, bảo hiểm, trong đó thông tin về quan hệ vợ, chồng có thể liên quan đến việc xác định quyền, nghĩa vụ và trách nhiệm của các bên.
Bên cạnh đó, Nghị định 356/2025/NĐ-CP cũng có sự điều chỉnh đáng kể đối với danh mục dữ liệu cá nhân cơ bản. Theo đó, một số thông tin trước đây được xác định thuộc nhóm dữ liệu cá nhân cơ bản như mã số thuế cá nhân, số bảo hiểm xã hội và số thẻ bảo hiểm y tế không còn được liệt kê trong danh mục này. Việc điều chỉnh này cho thấy phạm vi dữ liệu cá nhân cơ bản đã được rà soát, phân định lại theo hướng phù hợp hơn với tính chất và mục đích quản lý của từng loại thông tin, đồng thời góp phần bảo đảm sự thống nhất giữa quy định về bảo vệ dữ liệu cá nhân với các quy định pháp luật chuyên ngành có liên quan.
Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp tới quyền và lợi ích hợp pháp của cá nhân theo khoản 1 Điều 4 Nghị định 356/2025/NĐ-CP gồm:
“1. Dữ liệu cá nhân nhạy cảm bao gồm:
a) Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc;
b) Quan điểm về chính trị, tôn giáo, tín ngưỡng;
c) Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình;
d) Tình trạng sức khỏe;
đ) Dữ liệu sinh trắc học, đặc điểm di truyền;
e) Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân;
g) Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật;
h) Vị trí của cá nhân được xác định qua dịch vụ định vị;
i) Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân;
k) Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác;
l) Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng;
m) Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.”
Trước đây, theo Nghị định 13/2023/NĐ-CP, “dữ liệu cá nhân phản ánh hoạt động, lịch sử hoạt động trên không gian mạng” chỉ được xếp vào nhóm cơ bản. Việc nâng cấp này thừa nhận rằng lịch sử duyệt web, thói quen tương tác trên mạng xã hội và các hoạt động truyền thông trực tuyến có thể tiết lộ sâu sắc về tâm lý, sở thích và bí mật cá nhân của người dùng.
Nghị định 356/2025/NĐ-CP cũng làm rõ và cụ thể hóa hơn phạm vi nhóm dữ liệu này bao gồm các thông tin liên quan đến tài khoản và giao dịch tài chính như tên đăng nhập, mật khẩu truy cập tài khoản ngân hàng, thông tin thẻ, lịch sử giao dịch, thông tin về tài sản gửi và các hoạt động giao dịch tài chính khác. Việc xác định cụ thể các loại thông tin này góp phần làm rõ phạm vi dữ liệu cần được áp dụng các biện pháp bảo vệ ở mức độ cao hơn. Bên cạnh đó, dữ liệu về vị trí cá nhân được xác định thông qua dịch vụ định vị cũng được xếp vào nhóm dữ liệu cá nhân nhạy cảm. Quy định này cho thấy phạm vi bảo vệ không chỉ tập trung vào thông tin tài chính mà còn bao gồm những dữ liệu có khả năng phản ánh vị trí và quá trình di chuyển của cá nhân.

TRÁCH NHIỆM HÀNH CHÍNH ĐỐI VỚI HÌNH VI THU, THẬP MUA BÁN DỮ LIỆU CÁ NHÂN
Căn cứ khoản 6 Điều 7 và khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, hành vi mua, bán dữ liệu cá nhân bị nghiêm cấm trừ trường hợp luật có quy định khác. Nếu tổ chức, cá nhân có hành vi mua, bán dữ liệu cá nhân thì tùy theo tính chất, mức độ, hậu quả của hành vi vi phạm có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
Theo khoản 3 và khoản 5 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, mức phạt tiền tối đa đối với hành vi mua, bán dữ liệu cá nhân trong xử phạt vi phạm hành chính được xác định bằng 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp hành vi vi phạm không phát sinh khoản thu hoặc mức phạt được tính theo khoản thu có được thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều 8 thì áp dụng mức phạt tiền theo quy định tại khoản này là 03 tỷ đồng.
Ngoài ra, Điều 53 Nghị định 330/2026/NĐ-CP về quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8/2026, quy định cụ thể mức phạt tiền đối với vi phạm quy định về mua bán, trái phép dữ liệu cá nhân:
"Điều 53. Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân
1. Phạt tiền từ 02 lần đến tối đa bằng 10 lần khoản thu đối với một trong các hành vi mua, bán trái phép dữ liệu cá nhân sau:
a) Cung cấp, chia sẻ, trao đổi nhằm thu tài sản hoặc lợi ích khác không thuộc các trường hợp quy định tại khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân;
b) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác không có thỏa thuận về việc chuyển giao dữ liệu cá nhân;
c) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định mục đích chuyển giao dữ liệu cá nhân hoặc không thực hiện theo đúng mục đích trong thỏa thuận chuyển giao dữ liệu cá nhân;
d) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân;
đ) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà xử lý dữ liệu cá nhân không đúng cho mục đích chuyển giao được chủ thể dữ liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;
e) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.
2. Trường hợp các hành vi vi phạm quy định tại khoản 1 Điều này không có khoản thu và mức phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm thấp hơn 3.000.000.000 đồng thì mức phạt tiền được xác định đến mức tối đa của khung tiền phạt là 3.000.000.000 đồng.
3. Trường hợp không có khoản thu từ hành vi vi phạm quy định tại khoản 1 Điều này thì mức phạt tiền được xác định như sau:
a) Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của dưới 1.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của dưới 200 chủ thể dữ liệu;
b) Phạt tiền từ 100.000.000 đồng đến 300.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 2.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của từ 200 đến dưới 400 chủ thể dữ liệu;
c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 2.000 đến dưới 10.000 chủ thể dữ liệu hoặc dữ liệu cá nhân nhạy cảm của từ 400 đến 2.000 chủ thể dữ liệu;
d) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 10.000 chủ thể dữ liệu trở lên, dữ liệu cá nhân nhạy cảm của từ 2.000 chủ thể dữ liệu trở lên;
đ) Mức phạt tiền từ 1.000.000.000 đồng đến tối đa 3.000.000.000 đồng đối với các hành vi mua, bán dữ liệu cá nhân trái phép xâm phạm tới quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân, quyền và lợi ích hợp pháp của tổ chức, cá nhân.
4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại Điều này.
5. Biện pháp khắc phục hậu quả:
a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã mua, bán trái phép trên tất cả hệ thống lưu trữ đối với hành vi vi phạm quy định tại Điều này;
b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều này;
c) Buộc thông báo đến toàn bộ chủ thể dữ liệu cá nhân bị ảnh hưởng về hành vi vi phạm và biện pháp khắc phục đối với hành vi vi phạm quy định tại Điều này.”
TRÁCH NHIỆM HÌNH SỰ TỘI ĐƯA HOẶC SỬ DỤNG TRÁI PHÉP THÔNG TIN MẠNG MÁY TÍNH, MẠNG VIỄN THÔNG
Hành vi mua, bán trái phép dữ liệu cá nhân là tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo Điều 288 Bộ luật Hình sự 2015. Để xác định hành vi mua bán dữ liệu cá nhân có bị xử lý hình sự không, trước tiên hãy tìm hiểu về cấu thành tội phạm của tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo quy định.
(1) Cấu thành tội phạm
a) Khách thể của tội phạm:
Là hành vi xâm phạm các quy định của Nhà nước về bảo đảm an toàn mạng máy tính, mạng viễn thông và mạng Internet. Các hành vi vi phạm trong lĩnh vực này có thể ảnh hưởng đến an toàn, bảo mật, ổn định và khả năng vận hành của hệ thống mạng, đồng thời tiềm ẩn nguy cơ gây thiệt hại đến quyền và lợi ích hợp pháp của tổ chức, cá nhân.
b) Mặt khách quan của tội phạm:
Thứ nhất, đưa lên mạng máy tính, mạng viễn thông hoặc mạng Internet những thông tin trái quy định của pháp luật, trừ các trường hợp thuộc phạm vi điều chỉnh của Điều 117 và Điều 326 Bộ luật Hình sự. Hành vi này có thể bao gồm việc đưa lên mạng những thông tin chưa được cơ quan, người có thẩm quyền cho phép hoặc truyền đưa, tuyên truyền các thông tin không lành mạnh thông qua thư điện tử, trang thông tin điện tử và các nền tảng trực tuyến khác…
Thứ hai, mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hóa thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân khác trên mạng mà không được chủ sở hữu thông tin cho phép. Thông tin riêng có thể bao gồm bí mật đời tư, thông tin về gia đình, quan hệ họ hàng, công việc và các thông tin cá nhân khác. Mặc dù những thông tin này được thu thập hoặc hình thành hợp pháp, việc tự ý công khai, đưa lên mạng hoặc cung cấp cho người khác khi chưa được phép có thể xâm phạm quyền và lợi ích hợp pháp của chủ thể thông tin, đồng thời ảnh hưởng đến đời sống, công việc và uy tín của họ.
Thứ ba, thực hiện các hành vi khác nhằm sử dụng trái phép thông tin trên mạng máy tính, mạng viễn thông hoặc mạng Internet. Hành vi này có thể bao gồm việc sử dụng, khai thác thông tin khi chưa được phép hoặc không đáp ứng điều kiện về giấy phép, đăng ký theo quy định của pháp luật; tự ý xóa dữ liệu dùng chung; làm sai lệch thông tin, dữ liệu trên Internet; lấy cắp thông tin cá nhân; phá hoặc vô hiệu hóa mật khẩu khi chưa được phép; hoặc sử dụng mật khẩu, tài khoản của người khác để truy cập mạng mà không được người có quyền sử dụng tài khoản cho phép.
c) Mặt chủ quan của tội phạm:
Tội phạm được thực hiện với lỗi cố ý hoặc vô ý.
d) Chủ thể của tội phạm:
Người có năng lực TNHS và từ đủ 16 tuổi trở lên.
(2) Khung hình phạt
Theo quy định tại Điều 288 Bộ luật hình sự 2015 về hành vi đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông, cụ thể:
“1. Người nào thực hiện một trong các hành vi sau đây, thu lợi bất chính từ 50.000.000 đồng đến dưới 200.000.000 đồng hoặc gây thiệt hại từ 100.000.000 đồng đến dưới 500.000.000 đồng hoặc gây dư luận xấu làm giảm uy tín của cơ quan, tổ chức, cá nhân, thì bị phạt tiền từ 30.000.000 đồng đến 200.000.000 đồng, phạt cải tạo không giam giữ đến 03 năm hoặc bị phạt tù từ 06 tháng đến 03 năm:
a) Đưa lên mạng máy tính, mạng viễn thông những thông tin trái với quy định của pháp luật, nếu không thuộc một trong các trường hợp quy định tại các điều 117, 155, 156 và 326 của Bộ luật này;
b) Mua bán, trao đổi, tặng cho, sửa chữa, thay đổi hoặc công khai hóa thông tin riêng hợp pháp của cơ quan, tổ chức, cá nhân trên mạng máy tính, mạng viễn thông mà không được phép của chủ sở hữu thông tin đó;
c) Hành vi khác sử dụng trái phép thông tin trên mạng máy tính, mạng viễn thông.
2. Phạm tội thuộc một trong các trường hợp sau đây, thì bị phạt tiền từ 200.000.000 đồng đến 1.000.000.000 đồng hoặc phạt tù từ 02 năm đến 07 năm:
a) Có tổ chức;
b) Lợi dụng quyền quản trị mạng máy tính, mạng viễn thông;
c) Thu lợi bất chính 200.000.000 đồng trở lên;
d) Gây thiệt hại 500.000.000 đồng trở lên;
đ) Xâm phạm bí mật cá nhân dẫn đến người bị xâm phạm tự sát;
e) Gây ảnh hưởng xấu đến an ninh, trật tự, an toàn xã hội hoặc quan hệ đối ngoại của Việt Nam;
g) Dẫn đến biểu tình.
3. Người phạm tội còn có thể bị phạt tiền từ 20.000.000 đồng đến 200.000.000 đồng, cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm.”
KẾT LUẬN
Như vậy hành vi thu thập, mua bán và sử dụng trái phép dữ liệu cá nhân không chỉ xâm phạm quyền riêng tư mà còn có thể ảnh hưởng đến quyền và lợi ích hợp pháp của cá nhân, tổ chức. Tùy theo tính chất, mức độ và hậu quả của hành vi, chủ thể vi phạm có thể bị xử phạt vi phạm hành chính hoặc truy cứu trách nhiệm hình sự, đồng thời phải áp dụng các biện pháp khắc phục hậu quả theo quy định của pháp luật.
Liên hệ Luật sư tư vấn:
Trên đây là những phân tích của Công ty Luật Tân Cảng về mua, bán dữ liệu cá nhân trái phép: mức phạt hành chính và trách nhiệm hình sự . Để được tư vấn cụ thể hơn về các vấn đề pháp lý liên quan, cũng như được giải đáp các thắc mắc, được hỗ trợ rà soát hồ sơ pháp lý, đánh giá chứng cứ và xây dựng phương án giải quyết phù hợp khi gặp phải các vướng mắc pháp lý tương tự, quý khách hàng có thể liên hệ với Công ty Luật Tân Cảng qua thông tin bên dưới. Với đội ngũ Luật sư chuyên nghiệp và nhiều kinh nghiệm, Công ty Luật Tân Cảng luôn sẵn sàng lắng nghe những khó khăn và đồng hành cùng quý khách hàng trong suốt quá trình bảo vệ quyền và lợi ích hợp pháp của mình.
Công ty Luật TNHH MTV Tân Cảng
Địa chỉ: Tầng 2, số 85, đường số 13, Khu dân cư Vạn Phúc 1, phường Hiệp Bình, TP. Hồ Chí Minh
Điện thoại: 0965 921 058
Email: luattancang@gmail.com
Website: luattancang.com