Anh Tuấn vừa nhận bàn giao căn hộ ở Thành phố Hồ Chí Minh được đúng ba ngày thì điện thoại bắt đầu reo: nội thất trọn gói, rèm cửa, lọc nước, vay sửa nhà. Có người gọi đúng tên anh, đọc đúng tên dự án, đúng số tầng. Một tuần sau, vợ anh sinh bé ở bệnh viện, hôm sau đã có tin nhắn mời mua sữa, bảo hiểm cho trẻ sơ sinh. Anh tự hỏi: ai đã đưa thông tin của mình đi, và việc đó có hợp pháp không?
Đây là bực bội chung của rất nhiều người. Tin vui là từ ngày 1 tháng 1 năm 2026, Việt Nam có hẳn một đạo luật riêng cho chuyện này. Mình cùng xem nó cho bạn những quyền gì.
Dữ liệu của bạn không phải hàng hóa
Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực từ ngày 1 tháng 1 năm 2026, thay cho nghị định cũ về bảo vệ dữ liệu cá nhân. Luật định nghĩa dữ liệu cá nhân là thông tin giúp xác định một con người cụ thể. Họ tên, số điện thoại, địa chỉ, căn hộ bạn mua, ngày bạn sinh con đều là dữ liệu cá nhân.
Luật liệt kê các hành vi bị nghiêm cấm, trong đó có việc mua, bán dữ liệu cá nhân, trừ trường hợp luật khác quy định, và việc chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân. Nói gọn: danh sách khách hàng mua căn hộ được bán cho các đội gọi điện chào hàng là hành vi bị cấm.
Mức phạt hành chính cũng được nâng mạnh. Hành vi mua bán dữ liệu cá nhân có thể bị phạt tối đa gấp mười lần khoản thu có được từ vi phạm; nếu không có khoản thu, hoặc khoản thu nhỏ, mức tối đa là 3 tỷ đồng với tổ chức. Cá nhân vi phạm cùng hành vi thì mức tối đa bằng một nửa. Nếu thu lợi bất chính hoặc gây thiệt hại lớn, người mua bán thông tin riêng của người khác trên mạng máy tính, mạng viễn thông còn có thể bị truy cứu trách nhiệm hình sự theo Bộ luật Hình sự.
Đồng ý phải là đồng ý thật
Nhiều người nghĩ cứ bấm nút đồng ý ở đâu đó là coi như cho phép tất cả. Luật mới nói ngược lại. Sự đồng ý chỉ có hiệu lực khi tự nguyện và bạn biết rõ loại dữ liệu nào được xử lý, để làm gì, ai xử lý, và quyền của bạn là gì. Phải đồng ý cho từng mục đích, không được gói chung kiểu đồng ý mở thẻ thì đồng ý luôn chuyện chuyển cho đối tác quảng cáo. Và một điểm rất quan trọng: im lặng hoặc không phản hồi không được coi là đồng ý.
Luật Bảo vệ quyền lợi người tiêu dùng năm 2023 cũng đi cùng hướng. Bên bán không được đặt điều khoản buộc bạn phải đồng ý cho thu thập, sử dụng thông tin như điều kiện để mua hàng, trừ khi luật có quy định khác. Họ phải có cách để bạn chọn cho hay không cho chia sẻ thông tin với bên thứ ba, và cho hay không cho dùng thông tin của bạn để quảng cáo.
Riêng với hoạt động quảng cáo, luật dữ liệu yêu cầu bên kinh doanh dịch vụ quảng cáo chỉ dùng dữ liệu của khách khi khách đã đồng ý, phải cho khách cách từ chối nhận quảng cáo, và phải ngừng quảng cáo khi khách yêu cầu.
Những quyền bạn dùng được ngay
Bạn có quyền được biết dữ liệu của mình đang bị xử lý ra sao, quyền rút lại sự đồng ý, quyền xem và yêu cầu chỉnh sửa, yêu cầu xóa, hạn chế xử lý, phản đối xử lý dữ liệu. Bạn có quyền khiếu nại, tố cáo, khởi kiện và đòi bồi thường thiệt hại.
Cách dùng rất cụ thể. Với siêu thị, chuỗi cửa hàng nơi bạn làm thẻ thành viên, hãy gửi yêu cầu bằng văn bản hoặc thư điện tử, nói rõ bạn rút lại sự đồng ý cho việc dùng số điện thoại để quảng cáo và không cho chia sẻ cho bên thứ ba. Với một doanh nghiệp gọi điện chào bạn, hãy hỏi thẳng: "Anh chị lấy số này từ đâu, và chủ số đã đồng ý cho dùng khi nào?". Luật Bảo vệ quyền lợi người tiêu dùng cũng đòi hỏi người gọi giao dịch qua điện thoại phải nói ngay từ đầu tên, địa chỉ của mình và mục đích cuộc gọi. Bên chào hàng không trả lời được nguồn dữ liệu, đó là thông tin quý để bạn phản ánh.
Những chỗ hay ngộ nhận
Ngộ nhận thứ nhất: số điện thoại ai chẳng biết, không phải bí mật. Đúng là số điện thoại không bí mật như mật khẩu, nhưng nó vẫn là dữ liệu cá nhân và vẫn được bảo vệ. Việc nó lưu hành rộng không hợp pháp hóa việc mua bán nó.
Ngộ nhận thứ hai: chặn số là hết chuyện. Chặn từng số chỉ giải quyết phần ngọn. Nếu bạn không rút đồng ý ở nguồn, dữ liệu vẫn tiếp tục được chuyền tay.
Ngộ nhận thứ ba: kiện thì chẳng ai chứng minh được ai làm lộ. Khó, nhưng không phải không thể. Một mẹo hữu ích là dùng biến thể tên hoặc địa chỉ thư điện tử khác nhau cho từng nơi, ví dụ thêm một chữ cái lạ vào tên khi đăng ký thẻ ở một cửa hàng. Khi cuộc gọi rác gọi bạn bằng đúng biến thể ấy, bạn biết nguồn rò rỉ ở đâu.
Ngộ nhận thứ tư: doanh nghiệp nhỏ thì không phải lo chuyện dữ liệu. Luật có miễn cho hộ kinh doanh, doanh nghiệp siêu nhỏ một số thủ tục như lập hồ sơ đánh giá tác động, nhưng không miễn lệnh cấm mua bán dữ liệu. Một cửa hàng nội thất nhỏ mua danh sách cư dân để gọi chào hàng vẫn là vi phạm.
Gặp cuộc gọi rác thì làm gì
Thứ nhất, báo cáo số gọi rác qua kênh phản ánh của nhà mạng bạn đang dùng; các nhà mạng đều có cách tiếp nhận và có quy định về chống tin nhắn rác, cuộc gọi rác. Thứ hai, đăng ký không nhận quảng cáo theo hướng dẫn của nhà mạng. Thứ ba, với doanh nghiệp bạn xác định được, gửi yêu cầu rút đồng ý và xóa dữ liệu, giữ lại bản gửi.
Nếu bị lộ thông tin nghiêm trọng, như căn cước, tài khoản ngân hàng, hồ sơ bệnh án, hoặc bị lừa đảo nhờ thông tin bị lộ, hãy trình báo cơ quan công an. Đây không còn là chuyện bực mình mà có thể là dấu hiệu tội phạm.
Điều cần nhớ
Mua bán dữ liệu cá nhân là hành vi bị cấm, mức phạt cao nhất với tổ chức lên tới gấp mười lần khoản thu. Đồng ý phải rõ ràng, theo từng mục đích, im lặng không phải là đồng ý. Và quyền rút lại sự đồng ý, yêu cầu xóa dữ liệu nằm trong tay bạn; dùng nó một lần ở đúng nơi đã thu thông tin hiệu quả hơn chặn cả trăm số lạ.
Hỏi đáp nhanh
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ khi nào?
Từ ngày 1 tháng 1 năm 2026. Luật cấm mua bán dữ liệu cá nhân, trừ trường hợp luật khác quy định, và quy định rõ quyền của người có dữ liệu.
Đã lỡ bấm đồng ý khi làm thẻ thành viên, giờ có rút lại được không?
Được. Bạn có quyền rút lại sự đồng ý và yêu cầu hạn chế xử lý dữ liệu, gửi bằng văn bản hoặc dạng điện tử cho doanh nghiệp đó. Việc rút đồng ý không làm ảnh hưởng tới những gì đã xử lý trước thời điểm bạn yêu cầu.
Bán danh sách số điện thoại khách hàng bị phạt bao nhiêu?
Mức phạt hành chính tối đa với tổ chức là gấp mười lần khoản thu từ vi phạm, hoặc 3 tỷ đồng nếu không có khoản thu hay khoản thu thấp hơn. Cá nhân vi phạm thì tối đa bằng một nửa. Trường hợp nghiêm trọng có thể bị truy cứu trách nhiệm hình sự.
Lưu ý: Bài viết tổng hợp quy định đang có hiệu lực tại thời điểm đăng và chỉ mang tính tham khảo, không thay thế ý kiến pháp lý cho một vụ việc cụ thể. Văn bản pháp luật có thể được sửa đổi; vui lòng đối chiếu bản mới nhất hoặc trao đổi với luật sư trước khi quyết định.
