Luật sư Đinh Thị Chúc, Đoàn luật sư thành phố Hà Nội trao đổi về quy định liên quan đến hành vi tự ý sao chép, cung cấp danh sách khách hàng cho người khác khi chưa được cho phép:

Thính giả Trần Thị H ở thành phố Hà Nội nêu băn khoăn:

Tôi là nhân viên kinh doanh, được công ty giao quản lý danh sách khách hàng. Cuối tháng trước, một người bạn của tôi khai trương hệ thống dịch vụ làm đẹp nên đã nhờ tôi cung cấp danh sách khách hàng để giới thiệu, quảng bá hệ thống. Nể bạn và nghĩ rằng đây chỉ là việc chia sẻ thông tin thông thường, tôi đã sao chép danh sách khách hàng từ máy tính của công ty rồi gửi qua Zalo cho bạn mà không xin phép công ty và cũng không thông báo, xin sự đồng ý của khách hàng. Sau khi nhận được danh sách, người bạn này đã gọi điện quảng cáo, chào mời khách hàng sử dụng dịch vụ. Nhiều khách hàng cảm thấy bị làm phiền, bức xúc và phản ánh đến công ty. Lúc này, công ty tiến hành xác minh và biết tôi là người đã tự ý sao chép, cung cấp danh sách khách hàng ra bên ngoài. Lãnh đạo cho rằng tôi đã vi phạm quy định về bảo vệ dữ liệu cá nhân, gây ảnh hưởng đến công ty và sẽ có biện pháp xử lý kỷ luật. Xin hỏi, việc tôi gửi thông tin cho bạn có bị vi phạm pháp luật không?

Luật sư Đinh Thị Chúc, Đoàn luật sư thành phố Hà Nội cho biết, căn cứ khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 01/01/2026, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Danh sách khách hàng của công ty đều là những thông tin có khả năng xác định hoặc giúp xác định một cá nhân cụ thể. Vì vậy, danh sách khách hàng này được xác định là dữ liệu cá nhân và thuộc phạm vi điều chỉnh của pháp luật về bảo vệ dữ liệu cá nhân.

Đối với hành vi tự ý sao chép danh sách khách hàng từ hệ thống máy tính của công ty và gửi cho người khác để phục vụ hoạt động quảng cáo dịch vụ là hành vi cung cấp và chuyển giao dữ liệu cá nhân cho bên thứ ba.

Theo điểm a khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân, việc chuyển giao dữ liệu cá nhân được thực hiện khi có sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp khác được pháp luật quy định.

Theo khoản 1,2 Điều 9 Luật Bảo vệ dữ liệu cá nhân, sự đồng ý của chủ thể dữ liệu cá nhân là việc chủ thể dữ liệu cá nhân cho phép xử lý dữ liệu cá nhân của mình, trừ trường hợp pháp luật có quy định khác.

Sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ các thông tin sau đây:

a) Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân;

b) Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân;

c) Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân.

Do đó, việc tự ý cung cấp danh sách khách hàng cho người khác khi chưa được khách hàng đồng ý là hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân. Ngoài ra, hành vi này còn có dấu hiệu vi phạm khoản 4 và khoản 7 Điều 7 Luật Bảo vệ dữ liệu cá nhân năm 2025 về các hành vi bị nghiêm cấm, bao gồm xử lý dữ liệu cá nhân trái quy định pháp luật và chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.

Đối với hành vi cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác sẽ bị phạt tiền từ 20 triệu đồng đến 30 triệu đồng theo quy định tại Khoản 2 Điều 49 Nghị định 330/2026/NĐ-CP. Trường hợp là cá nhân vi phạm thì theo khoản 1 Điều 7 Nghị định này, mức phạt áp dụng bằng một phần hai mức phạt đối với tổ chức, tức là từ 10 triệu đồng đến 15 triệu đồng. Ngoài ra, còn phải thực hiện các biện pháp khắc phục hậu quả: Buộc thu hồi dữ liệu cá nhân đã cung cấp sai quy định đối với hành vi vi phạm; Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm.

Ngoài ra, theo khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025, nếu hành vi vi phạm gây thiệt hại thì người vi phạm phải bồi thường theo quy định pháp luật. Đồng thời, khoản 1 Điều 4 Luật này ghi nhận quyền của chủ thể dữ liệu cá nhân được khiếu nại, tố cáo, khởi kiện và yêu cầu bồi thường thiệt hại khi quyền, lợi ích hợp pháp bị xâm phạm. Như vậy, nếu khách hàng chứng minh được thiệt hại thực tế phát sinh từ việc thông tin cá nhân bị tiết lộ và có căn cứ xác định trách nhiệm của người gây thiệt hại thì có thể yêu cầu bồi thường theo quy định pháp luật.

Trong trường hợp hành vi có đủ yếu tố cấu thành tội phạm, tùy theo tính chất và hậu quả, người vi phạm có thể bị truy cứu trách nhiệm hình sự theo quy định của Bộ luật Hình sự.

Trong trường hợp này, chủ động phối hợp với công ty để khắc phục sự cố, thông báo đầy đủ việc chuyển giao dữ liệu. Đề nghị người được cung cấp danh sách khách hàng ngừng sử dụng dữ liệu, xóa các thông tin đã nhận và không tiếp tục liên hệ quảng cáo trái phép. Không tiếp tục sao chép, chia sẻ hoặc sử dụng dữ liệu khách hàng ngoài phạm vi được công ty giao. Rà soát lại các quy định về bảo mật thông tin và bảo vệ dữ liệu cá nhân trong nội quy lao động, hợp đồng lao động của công ty./.