Tình trạng thu thập, mua bán dữ liệu cá nhân trái phép đang trở thành một vấn nạn nhức nhối, đe dọa trực tiếp đến quyền riêng tư và an ninh của người dân. Để siết chặt quản lý, Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) đã chính thức được ban hành với những quy định xử phạt mang tính răn đe cực cao, có hiệu lực từ năm 2026.

Hành vi mua bán dữ liệu cá nhân bị nghiêm cấm tuyệt đối

Trong bối cảnh các sàn thương mại điện tử và mạng xã hội bùng nổ, thông tin cá nhân thường xuyên bị rao bán công khai. Nhằm chấm dứt tình trạng này, tại khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025, Nhà nước quy định rõ:

“Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác, là hành vi bị nghiêm cấm.”

Quy định này tạo cơ sở pháp lý vững chắc để các cơ quan chức năng xử lý triệt để các đường dây mua bán thông tin, từ số điện thoại, địa chỉ đến các dữ liệu nhạy cảm hơn.

Mức phạt "khủng": Gấp 10 lần khoản thu bất chính

Điểm mới đáng chú ý nhất trong luật lần này chính là cơ chế xử phạt dựa trên lợi nhuận thu được từ hành vi vi phạm. Cụ thể, theo khoản 3 Điều 8:

“Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm.”

Đây là một đòn giáng mạnh vào kinh tế của các tổ chức, cá nhân trục lợi từ dữ liệu người dùng. Ví dụ, nếu một doanh nghiệp thu lợi bất chính 1 tỷ đồng từ việc bán danh sách khách hàng, họ có thể phải đối mặt với mức phạt lên đến 10 tỷ đồng.

Xử phạt khi không xác định được khoản thu

Trong trường hợp không thể xác định chính xác số tiền thu lợi hoặc khoản thu thấp hơn mức phạt cố định, pháp luật vẫn đưa ra khung hình phạt rất nặng tại khoản 5 và khoản 6 Điều 8:

• Đối với tổ chức: Mức phạt cố định tối đa là 3 tỷ đồng.
• Đối với cá nhân: Mức phạt cố định tối đa là 1,5 tỷ đồng.

Không chỉ dừng lại ở phạt tiền

Bên cạnh chế tài hành chính, các đối tượng vi phạm còn phải đối mặt với nhiều hệ lụy pháp lý khác. Theo khoản 1 Điều 8, tùy theo tính chất và mức độ, người vi phạm có thể bị:

• Truy cứu trách nhiệm hình sự: Nếu hành vi gây hậu quả nghiêm trọng hoặc tái phạm nhiều lần.
• Bồi thường thiệt hại: Phải đền bù cho chủ thể dữ liệu nếu việc mua bán gây ra tổn thất về vật chất hoặc tinh thần.
• Các hình thức xử phạt bổ sung: Tước quyền sử dụng giấy phép, đình chỉ hoạt động có thời hạn hoặc buộc tiêu hủy dữ liệu đã thu thập trái phép.

Việc ban hành Luật Bảo vệ dữ liệu cá nhân 2025 là bước tiến quan trọng trong việc bảo vệ quyền con người trong kỷ nguyên số. Người dân và doanh nghiệp cần nắm rõ các quy định này để tránh những rủi ro pháp lý đáng tiếc từ năm 2026.