Nhận diện hành vi chuyển giao, mua bán dữ liệu cá nhân trái phép trong doanh nghiệp
Trong hoạt động vận hành thực tế, nhiều doanh nghiệp vô tình hoặc cố ý thực hiện hành vi chuyển giao dữ liệu cá nhân trái phép dưới hình thức chia sẻ danh sách khách hàng. Các hành vi thu thập, trao đổi hoặc kinh doanh danh tính cá nhân khi chưa được chủ thể dữ liệu đồng ý đều dẫn tới nguy cơ xử phạt mua bán dữ liệu.
Khi hành vi mua bán dữ liệu cá nhân khách hàng phát sinh và bị phát hiện, cơ quan chức năng sẽ tiến hành thanh tra toàn bộ luồng luân chuyển dữ liệu. Doanh nghiệp mua dữ liệu khách hàng không chỉ chịu trách nhiệm phạt tiền mà còn đối mặt với nguy cơ dừng hoạt động xử lý thông tin.
Ví dụ: Công ty A thu thập thông tin 100.000 khách hàng dịch vụ tài chính, sau đó chuyển giao cho Công ty B để thu về 500 triệu đồng mà không có sự đồng ý của khách hàng. Hành vi này cấu thành việc buôn bán dữ liệu cá nhân và bị áp dụng quy định xử phạt mua bán dữ liệu.
Mức phạt tiền khi kinh doanh, chuyển giao dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP
Theo Điều 7 Nghị định 330/2026/NĐ-CP quy định về mức phạt tiền, thẩm quyền xử phạt mức phạt tối đa áp dụng cho các vi phạm. Mức phạt tiền khi kinh doanh, chuyển giao dữ liệu cá nhân tối đa đối với tổ chức có thể đạt mức 3 tỷ đồng hoặc 5% tổng doanh thu năm trước liền kề.
- Đối với cá nhân: Mức phạt tối đa vi phạm dữ liệu dao động theo khung cố định từ 100 triệu đến 1,5 tỷ đồng.
- Đối với tổ chức: Áp dụng mức phạt tối đa vi phạm dữ liệu gấp 2 lần cá nhân, tối đa 3 tỷ đồng hoặc tính theo 5% doanh thu toàn hệ thống.
Phạt gấp 10 lần khoản thu có được từ hành vi xử phạt mua bán dữ liệu cá nhân
Một trong những điểm mới quan trọng là cơ chế phạt tiền dựa trên khoản thu từ vi phạm. Căn cứ Khoản 1 Điều 53 Nghị định 330/2026/NĐ-CP, phạt tiền từ 02 lần đến tối đa bằng 10 lần khoản thu đối với một trong các hành vi mua, bán trái phép dữ liệu cá nhân sau:
- Cung cấp, chia sẻ, trao đổi nhằm thu tài sản hoặc lợi ích khác không thuộc các trường hợp quy định tại khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân;
- Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác không có thỏa thuận về việc chuyển giao dữ liệu cá nhân;
- Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định mục đích chuyển giao dữ liệu cá nhân hoặc không thực hiện theo đúng mục đích trong thỏa thuận chuyển giao dữ liệu cá nhân;
- Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân;
- Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà xử lý dữ liệu cá nhân không đúng cho mục đích chuyển giao được chủ thể dữ liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;
- Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.
Quy định phạt gấp 10 lần khoản thu có được từ hành vi xử phạt mua bán dữ liệu đảm bảo tính răn đe triệt để. Hành vi vi phạm càng thu lời lớn thì tiền phạt càng tăng theo bội số, loại bỏ hoàn toàn động cơ trục lợi kinh tế.
Khung phạt tiền tối đa lên đến 3 tỷ đồng hoặc 5% doanh thu trên hành vi chuyển giao, mua bán dữ liệu cá nhân
Bên cạnh hình thức phạt theo khoản thu, Khoản 2 Điều 53 Nghị định 330/2026/NĐ-CP quy định trường hợp các hành vi vi phạm quy định tại khoản 1 Điều này không có khoản thu và mức phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm thấp hơn 3 tỷ đồng thì mức phạt tiền được xác định đến mức tối đa của khung tiền phạt là 3 tỷ đồng.
Quy tắc xác định và cơ chế tịch thu tiền bán dữ liệu theo Điều 6
Xác định doanh thu thực tế không khấu trừ chi phí phát sinh
Khi cơ quan chức năng xem xét tịch thu tiền bán dữ liệu, theo Điểm a Khoản 2 Điều 6 Nghị định 330/2026/NĐ-CP, tổng số tiền thu được từ giao dịch trái phép sẽ tính là số lợi bất hợp pháp. Toàn bộ các chi phí vận hành, chi phí tiếp thị hay chi phí máy chủ phát sinh trong quá trình vi phạm đều không được khấu trừ.
Do đó, số tiền tịch thu tiền bán dữ liệu là doanh thu gộp. Việc tính toán này giúp quá trình thu hồi số lợi từ dữ liệu diễn ra minh bạch, triệt để và công bằng.
Biện pháp buộc nộp lại toàn bộ số lợi bất hợp pháp
Theo Khoản 5 Điều 53 Nghị định 330/2026/NĐ-CP, khi xử lý vi phạm mua bán chuyển giao dữ liệu cá nhân trái phép, các biện pháp khắc phục hậu quả bắt buộc áp dụng bao gồm:
- Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã mua, bán trái phép trên tất cả hệ thống lưu trữ đối với hành vi vi phạm quy định tại Điều này;
- Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định;
- Buộc thông báo đến toàn bộ chủ thể dữ liệu cá nhân bị ảnh hưởng về hành vi vi phạm và biện pháp khắc phục đối với hành vi vi phạm quy định tại Điều này.
Song song với việc phạt tiền, biện pháp buộc thu hồi số lợi từ dữ liệu là yêu cầu bắt buộc trong mọi quyết định xử phạt mua bán, chuyển giao dữ liệu cá nhân trái phép. Doanh nghiệp vi phạm phải nộp toàn bộ số tiền thu được vào ngân sách nhà nước đồng thời thông báo và khắc phục hậu quả cho cá nhân bị ảnh hưởng.
Xem thêm: Thủ tục đăng ký doanh nghiệp qua mạng mới nhất năm 2026
