Theo khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025, số 91/2025/QH15, mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác, là hành vi bị nghiêm cấm.
Đây là quy định mang tính răn đe, nhằm ngăn chặn tình trạng thu thập, buôn bán thông tin cá nhân đang diễn ra phổ biến trên thị trường, đặc biệt qua mạng xã hội, các sàn thương mại điện tử hoặc trung gian tiếp thị.
Các cuộc gọi lừa đảo gia tăng gần đây xuất phát từ việc lộ lọt dữ liệu cá nhân.
Khoản 3 Điều 8 quy định rõ:
“Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm”.
Ví dụ: Nếu một doanh nghiệp thu được 500 triệu đồng từ việc bán dữ liệu cá nhân, mức phạt có thể lên tới 5 tỷ đồng.
Trường hợp không xác định được khoản thu, hoặc khoản thu thấp hơn mức phạt cố định (theo khoản 5 Điều 8), thì áp dụng mức phạt cố định là:
Tối đa 3 tỷ đồng với tổ chức; tối đa 1,5 tỷ đồng với cá nhân (theo khoản 6 Điều 8).
Ngoài phạt tiền, việc mua bán dữ liệu cá nhân có thể bị truy cứu trách nhiệm hình sự, cụ thể theo khoản 1 Điều 8 Luật này cho phép: Truy cứu trách nhiệm hình sự nếu hành vi vi phạm gây hậu quả nghiêm trọng; buộc bồi thường thiệt hại cho chủ thể dữ liệu bị ảnh hưởng; xử phạt bổ sung hoặc khắc phục hậu quả, tùy theo tính chất và mức độ vi phạm.