Mức phạt tiền tối đa với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm. Cách tính này khiến con số không có trần cố định.
Đây là câu hỏi được tra nhiều nhất kể từ khi Luật Bảo vệ dữ liệu cá nhân được thông qua, và câu trả lời không phải một con số cố định.
Nghĩa vụ trước, chế tài sau
Khoản 6 Điều 7 Luật 91/2025/QH15 xếp hành vi mua, bán dữ liệu cá nhân vào nhóm bị nghiêm cấm, trừ trường hợp luật có quy định khác. Điều 8 của cùng đạo luật quy định việc xử lý vi phạm.
Mức phạt tối đa được tính theo khoản thu
Khoản 3 Điều 8 quy định mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm.
Cùng khoản này nêu tiếp: trường hợp không có khoản thu từ hành vi vi phạm, hoặc mức phạt tính theo khoản thu thấp hơn mức phạt tiền tối đa quy định tại khoản 5 Điều này, thì áp dụng mức phạt tiền theo khoản 5.
Khoản 5 là mức trần chung
Khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. Đây cũng là mức được dùng làm sàn cho trường hợp mua bán dữ liệu không xác định được khoản thu.
Ghép hai khoản lại: một tổ chức bán dữ liệu thu về 500 triệu đồng thì mức tối đa tính theo khoản thu là 5 tỷ đồng, cao hơn 3 tỷ nên áp dụng cách tính theo khoản thu. Ngược lại, nếu chỉ thu 100 triệu thì mười lần là 1 tỷ, thấp hơn 3 tỷ, nên áp dụng mức 3 tỷ đồng.
Cá nhân chịu một nửa
Khoản 6 Điều 8 quy định mức phạt tiền tối đa tại các khoản 3, 4 và 5 được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.
Không chỉ có phạt tiền
Khoản 1 Điều 8 nêu rõ tổ chức, cá nhân vi phạm thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.
Ba lớp trách nhiệm này độc lập với nhau. Nộp phạt hành chính không loại trừ nghĩa vụ bồi thường cho những người bị ảnh hưởng, và cũng không loại trừ trách nhiệm hình sự nếu hành vi đủ yếu tố cấu thành tội phạm.
Cách tính khoản thu do Chính phủ quy định
Khoản 7 Điều 8 giao Chính phủ quy định phương pháp tính khoản thu có được từ hành vi vi phạm. Đây là chi tiết quan trọng với doanh nghiệp, vì nó quyết định con số cuối cùng.
Điều đáng lưu ý nhất với doanh nghiệp
Rủi ro không chỉ nằm ở bên bán. Điều 7 cấm cả hành vi mua. Một doanh nghiệp bỏ tiền mua danh sách khách hàng tiềm năng để chạy chiến dịch tiếp thị đang thực hiện đúng hành vi bị cấm, dù họ không phải bên thu lợi từ việc bán.
Trong thực tế, nhiều danh sách được trao đổi dưới các tên gọi khác: "chia sẻ dữ liệu đối tác", "hợp tác khai thác tệp khách hàng", "phí giới thiệu khách hàng". Tên gọi trên hợp đồng không quyết định bản chất giao dịch.
Việc nên làm ngay
Rà lại toàn bộ nguồn dữ liệu đang dùng cho tiếp thị và bán hàng. Với mỗi danh sách, trả lời được ba câu: lấy từ đâu, dựa trên cơ sở pháp lý nào, và có chứng minh được không. Danh sách nào không trả lời được thì ngừng sử dụng — chi phí của việc dừng luôn nhỏ hơn nhiều so với mức phạt tính theo bội số khoản thu.
Đọc thêm cùng chủ đề
- Thu thập dữ liệu không xin đồng ý bị xử lý sao?
- Cá nhân vi phạm bị phạt bằng bao nhiêu tổ chức?
- Công khai dữ liệu cá nhân trái phép bị xử lý sao?
Căn cứ pháp lý
- Luật 91/2025/QH15 Điều 7
- Luật 91/2025/QH15 Điều 8
Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.
Bình luận (0)
Chưa có bình luận nào. Hãy là người đầu tiên chia sẻ ý kiến.