Mua bán dữ liệu cá nhân dưới mọi hình thức bị pháp luật Việt Nam cấm, trừ những trường hợp luật cho phép. Nguyên tắc này đã có trong Nghị định 13/2023/NĐ-CP và được Luật Bảo vệ dữ liệu cá nhân 2025 khẳng định mạnh hơn. Những tệp “data khách hàng” rao bán theo ngành, theo khu vực — chủ xe, phụ huynh học sinh, người vừa mua nhà — gần như chắc chắn được thu thập và chuyển giao trái phép.
Với chủ doanh nghiệp nhỏ đang cần khách, lời chào bán những tệp này nghe rất hấp dẫn, nhất là khi đi kèm lời hứa dùng AI để gọi điện, nhắn tin tự động. Bài này giải thích vì sao đây là con đường rủi ro cả về pháp lý lẫn kinh doanh, và gợi ý những cách tìm khách hợp pháp thay thế.
Mua bán dữ liệu cá nhân xuất hiện dưới những dạng nào
Không phải lúc nào cũng có chữ “bán data”. Các hình thức thường gặp gồm:
- Tệp Excel danh sách tên, số điện thoại theo ngành hoặc khu vực, rao trên nhóm mạng xã hội và diễn đàn.
- “Gói dịch vụ marketing” trong đó bên cung cấp tự có sẵn danh sách số để gọi, nhắn thay bạn.
- Trao đổi danh sách khách giữa các cửa hàng “không cạnh tranh” với nhau, ví dụ cửa hàng nội thất đổi danh sách với công ty bất động sản.
- Công cụ “quét” số điện thoại từ các nhóm mạng xã hội, bình luận công khai, rồi bán lại.
- Nhân viên mang danh sách khách của công ty cũ sang công ty mới hoặc bán lại.
- Mua tài khoản mạng xã hội, tài khoản bán hàng “có sẵn khách”, thực chất là mua cả danh sách người theo dõi và lịch sử hội thoại.
Điểm chung là người có dữ liệu chưa bao giờ đồng ý cho dữ liệu của họ được chuyển sang bên mua và dùng cho mục đích mới. Đó chính là điều luật cấm.
Dạng cuối cùng hay bị coi nhẹ nhất. Ví dụ giả định: một shop quần áo mua lại tài khoản bán hàng có hai mươi nghìn người theo dõi từ một chủ cũ đã ngừng kinh doanh. Những người đó theo dõi một thương hiệu khác, đã nhắn tin với một người bán khác; giờ họ nhận tin chào hàng từ một bên lạ mà không hề được hỏi. Về bản chất, đây vẫn là chuyển giao dữ liệu cá nhân không có đồng ý, chỉ khoác vỏ mua bán tài khoản.
Vì sao pháp luật cấm, và vì sao bên mua cũng gánh rủi ro
Dữ liệu cá nhân được thu cho một mục đích cụ thể với sự đồng ý của người có dữ liệu. Khi tệp dữ liệu bị bán, cả hai điều kiện đều bị phá vỡ: mục đích mới là tiếp thị của một bên khác, và người có dữ liệu không hề được hỏi. Vì vậy hành vi mua bán bị xem là vi phạm nghiêm trọng, có thể bị xử phạt hành chính và trong trường hợp nặng có thể bị xử lý hình sự theo quy định hiện hành về các tội liên quan tới thông tin cá nhân.
Nhiều người nghĩ chỉ bên bán mới có lỗi. Thực tế, bên mua dữ liệu và dùng nó để gọi, nhắn là bên đang xử lý dữ liệu không có căn cứ hợp pháp — tức là cũng vi phạm. Khi khách hỏi bên gọi lấy số của họ ở đâu — câu mà nhân viên tổng đài nào cũng từng nghe — doanh nghiệp không có câu trả lời hợp pháp nào.
Mức xử lý cụ thể do văn bản quy định và phụ thuộc vào quy mô, tính chất; bài này không nêu con số vì chúng có thể thay đổi. Điều chắc chắn hơn là chi phí uy tín: một cửa hàng bị khách đăng lên mạng vì gọi chào hàng từ danh sách mua sẵn sẽ mất nhiều hơn số đơn thu được từ cả tệp đó. Nếu doanh nghiệp đang cân nhắc một hợp đồng dịch vụ có dính tới nguồn dữ liệu không rõ ràng, nên hỏi luật sư trên AI Cố Vấn (aicovan.com) trước khi ký.
AI làm việc dùng danh sách mua sẵn nguy hiểm hơn
Trước đây, một tệp mười nghìn số điện thoại cần cả chục nhân viên tổng đài để gọi, nên quy mô bị giới hạn tự nhiên. Công cụ AI xoá giới hạn đó: hệ thống gọi tự động bằng giọng nói tổng hợp có thể gọi hàng nghìn cuộc mỗi ngày, chatbot có thể nhắn tin cá nhân hoá cho từng số, mô hình ngôn ngữ có thể viết kịch bản khác nhau cho từng nhóm. Hành vi vi phạm vì thế được nhân lên theo cấp số.
Thêm một tầng nữa là “làm giàu dữ liệu”: dùng AI ghép tệp số điện thoại mua được với thông tin công khai trên mạng xã hội để đoán tuổi, nghề, sở thích, rồi chạy quảng cáo nhắm mục tiêu. Đây là xử lý thêm nhiều lớp trên một nền dữ liệu đã bất hợp pháp, và có thể tạo ra dữ liệu suy luận nhạy cảm.
Cũng cần biết: chính những tệp dữ liệu và công cụ này là nguyên liệu của kẻ lừa đảo. Cùng một danh sách “phụ huynh trường X” có thể đang được một nhóm lừa đảo dùng để gọi giả danh giáo viên. Doanh nghiệp tham gia vào thị trường dữ liệu đen dù với mục đích bán hàng chính đáng vẫn đang nuôi thị trường đó.
Những cách tìm khách hợp pháp thay thế
Không có cách nào nhanh bằng mua tệp, nhưng những cách dưới đây tạo ra khách thật sự quan tâm và dữ liệu bạn được quyền dùng.
| Cách làm | Dữ liệu có được | AI hỗ trợ ở đâu |
|---|---|---|
| Nội dung hữu ích trên trang web, mạng xã hội kèm biểu mẫu đăng ký nhận tin | Người tự điền, có đồng ý | Lên ý tưởng chủ đề, viết nháp bài, tóm tắt câu hỏi khách hay gặp |
| Chương trình giới thiệu: khách cũ mời người quen tự đăng ký | Người mới tự cung cấp, không qua tay khách cũ | Soạn thông điệp mời ngắn gọn, rõ quyền lợi |
| Quảng cáo trên nền tảng, nhắm theo nhóm sở thích do nền tảng quản lý | Bạn không cầm dữ liệu cá nhân, chỉ nhận người bấm vào | Viết nhiều phiên bản nội dung quảng cáo để thử |
| Sự kiện, hội thảo nhỏ, gian hàng hội chợ với phiếu đăng ký có ô đồng ý | Người tham dự tự điền | Chuẩn bị nội dung, kịch bản trình bày |
| Hợp tác với đối tác: đối tác tự gửi thông tin của bạn tới khách của họ | Khách quan tâm tự liên hệ bạn | Soạn thư giới thiệu để đối tác gửi |
| Chăm sóc khách cũ đã đồng ý nhận tin | Danh sách hợp lệ sẵn có | Phân nhóm theo sản phẩm đã mua, sau khi đã giả danh dữ liệu |
Ở mọi dòng, AI được dùng cho nội dung và ý tưởng, không phải để thu hay ghép dữ liệu cá nhân. Đó là cách dùng AI vừa hiệu quả vừa không tạo rủi ro pháp lý.
Nếu doanh nghiệp đã lỡ mua hoặc đang giữ danh sách không rõ nguồn
Nhiều chủ cửa hàng chỉ nhận ra vấn đề khi đọc về luật mới. Cách xử lý thận trọng:
- Ngừng ngay mọi hoạt động gọi, nhắn, chạy quảng cáo dựa trên danh sách đó, kể cả đang chạy dở.
- Kiểm kê: danh sách nằm ở đâu, đã được sao chép sang phần mềm nào, công cụ AI nào, nhân viên nào giữ bản riêng.
- Tách những khách thật sự đã giao dịch với bạn và đồng ý nhận tin — những người này giữ lại được.
- Xoá phần còn lại ở mọi nơi, bao gồm tài khoản công cụ gửi tin hàng loạt và lịch sử tải lên công cụ AI.
- Ghi biên bản nội bộ về việc đã ngừng sử dụng và xoá, ngày thực hiện, người thực hiện.
- Chấm dứt hợp tác với bên đã bán hoặc cung cấp dịch vụ dựa trên danh sách đó, lưu lại trao đổi.
- Cập nhật quy định nội bộ: mọi danh sách liên hệ phải ghi được nguồn gốc và căn cứ đồng ý.
Nếu khách đã khiếu nại hoặc có cơ quan chức năng hỏi tới, đừng tự xử lý một mình mà hãy có ý kiến pháp lý trước khi trả lời.
Khi bạn là người nhận cuộc gọi, tin nhắn từ nguồn lạ
Hỏi nguồn dữ liệu. Câu hỏi đơn giản “bên anh chị lấy số của em từ đâu” thường khiến bên gọi lúng túng. Ghi lại câu trả lời, thời gian, số gọi. Nếu họ nêu tên một nơi bạn từng giao dịch, bạn đã biết nơi nào để dữ liệu của mình lọt ra và có thể gửi yêu cầu cho chính nơi đó.
Yêu cầu ngừng liên hệ và xoá dữ liệu. Nói rõ bằng lời và nếu có thể nhắn lại một tin để có dấu vết. Một doanh nghiệp làm ăn đàng hoàng sẽ ghi nhận.
Không cung cấp thêm thông tin. Cuộc gọi chào hàng từ danh sách mua có thể là bước đầu của lừa đảo. Không xác nhận họ tên đầy đủ, ngày sinh, không đọc mã gửi về điện thoại.
Dùng tính năng chặn và báo cáo. Điện thoại và nhà mạng có tính năng chặn, báo cáo cuộc gọi và tin nhắn rác; tên và vị trí tính năng thay đổi theo máy, kiểm trên thiết bị hiện hành.
Phản ánh khi có dấu hiệu nghiêm trọng. Nếu bên gọi biết quá nhiều chi tiết về bạn, như khoản vay, con học trường nào, hãy phản ánh với cơ quan chức năng theo kênh chính thức hiện hành, vì đó là dấu hiệu dữ liệu bị mua bán quy mô lớn.
Kiểm một nhà cung cấp dịch vụ marketing trước khi thuê
Nếu bạn thuê ngoài việc chăm sóc khách, gọi điện hay nhắn tin, đặt những câu hỏi sau và yêu cầu câu trả lời bằng văn bản:
- Danh sách liên hệ lấy từ đâu — của chính bạn cung cấp hay của họ?
- Nếu của họ, người trong danh sách đã đồng ý nhận liên hệ từ bên nào, cho mục đích gì, có bằng chứng không?
- Dữ liệu khách bạn giao cho họ được dùng cho ai khác ngoài bạn không?
- Họ có dùng công cụ AI gọi, nhắn tự động không; nội dung hội thoại lưu ở đâu?
- Hợp đồng có điều khoản về bảo vệ dữ liệu, xoá dữ liệu khi kết thúc, trách nhiệm khi vi phạm không?
- Khi người nhận yêu cầu ngừng liên hệ, họ xử lý thế nào và báo lại cho bạn ra sao?
Một nhà cung cấp không trả lời rõ được câu thứ hai gần như chắc chắn đang dùng dữ liệu mua bán, và hợp đồng với họ sẽ kéo bạn vào cùng rủi ro.
Câu hỏi thường gặp
Mua danh sách email doanh nghiệp công khai có vi phạm không?
Email chung của doanh nghiệp như địa chỉ liên hệ của phòng kinh doanh thường không phải dữ liệu cá nhân. Nhưng email mang tên một người cụ thể là dữ liệu cá nhân của người đó, và danh sách mua bán thường trộn cả hai, nên rủi ro vẫn còn.
Số điện thoại khách tự đăng công khai trong nhóm mạng xã hội có được dùng để gọi chào hàng không?
Người đăng số để phục vụ mục đích của họ trong nhóm đó, không phải để mọi doanh nghiệp gọi chào hàng. Thu gom có hệ thống những số này để tiếp thị là thu thập không có căn cứ, dù dữ liệu nhìn thấy công khai.
Hai cửa hàng thân nhau chia sẻ danh sách khách cho nhau có được không?
Không, nếu khách chưa đồng ý cho việc chia sẻ đó. Cách hợp pháp là mỗi cửa hàng tự giới thiệu cửa hàng kia tới khách của mình, để khách quan tâm tự liên hệ.
Mua lại một cửa hàng thì có được dùng danh sách khách của chủ cũ không?
Chuyển nhượng doanh nghiệp là một trường hợp đặc biệt mà pháp luật có thể có quy định riêng về chuyển giao dữ liệu. Bạn nên kiểm quy định hiện hành, thông báo cho khách về chủ mới và cho họ quyền từ chối; trường hợp cụ thể nên hỏi luật sư.
Dùng AI tạo số điện thoại ngẫu nhiên rồi gọi thử có phải mua bán dữ liệu không?
Không phải mua bán, nhưng mỗi số gọi trúng là một người thật nhận cuộc gọi không mong muốn, và việc lưu lại số nào nghe máy để gọi tiếp là thu thập dữ liệu không có đồng ý. Cách này vừa phiền vừa rủi ro, không nên dùng.
Làm sao biết danh sách khách của chính mình có hợp lệ không?
Với mỗi nhóm trong danh sách, bạn trả lời được ba câu: người này đến từ đâu, đã đồng ý nhận liên hệ cho mục đích gì, bằng chứng nằm ở đâu. Nhóm nào không trả lời được thì nên xin lại đồng ý hoặc xoá.