1. Một số khái niệm cần biết
   1. Khái niệm thông tin cá nhân

Hiện nay, khái niệm thông tin cá nhân được quy định tại Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân. Theo đó, “dữ liệu cá nhân” là thông tin dưới dạng ký hiệu, chữ viết, chữ số, hình ảnh, âm thanh hoặc dạng tương tự trên môi trường điện tử gắn liền với một cá nhân cụ thể hoặc giúp xác định một cá nhân cụ thể.

1. 2. Những loại thông tin cá nhân thường bị mua bán

Trên thực tế, hành vi mua bán thông tin cá nhân diễn ra dưới nhiều hình thức khác nhau, từ giao dịch trực tiếp đến trao đổi trên các nền tảng mạng xã hội, diễn đàn hoặc ứng dụng trực tuyến. Các loại dữ liệu thường bị mua bán trái phép bao gồm:

- Danh sách họ tên, số điện thoại và địa chỉ của khách hàng;

- Thông tin căn cước công dân (CCCD), chứng minh nhân dân (CMND), hộ chiếu;

- Địa chỉ email cá nhân hoặc email doanh nghiệp;

- Thông tin tài khoản ngân hàng, ví điện tử;

- Dữ liệu về sức khỏe, bảo hiểm, hồ sơ khám chữa bệnh;

Những dữ liệu này thường bị lợi dụng để thực hiện các hành vi như gọi điện quảng cáo trái phép, gửi tin nhắn rác, giả mạo cơ quan nhà nước, lừa đảo chiếm đoạt tài sản, mở tài khoản ngân hàng hoặc vay tiền trái phép, thậm chí phục vụ cho các hoạt động phạm tội có tổ chức.

2. Mua bán thông tin cá nhân có bị xử lý hình sự không?

Theo quy định của pháp luật Việt Nam hiện hành, việc mua bán thông tin cá nhân trái phép là hành vi bị nghiêm cấm. Tùy theo tính chất, mức độ vi phạm và hậu quả gây ra, tổ chức hoặc cá nhân thực hiện hành vi này có thể bị xử phạt vi phạm hành chính, buộc khắc phục hậu quả hoặc bị truy cứu trách nhiệm hình sự theo quy định của pháp luật.

1. 1. Quy định của pháp luật về bảo vệ dữ liệu cá nhân

Theo Điều 3 Nghị định 13/2023/NĐ-CP, việc xử lý dữ liệu cá nhân phải tuân thủ các nguyên tắc cơ bản sau:

- Dữ liệu cá nhân chỉ được xử lý theo đúng quy định của pháp luật.

- Chủ thể dữ liệu có quyền được biết về hoạt động xử lý dữ liệu của mình, trừ trường hợp pháp luật có quy định khác.

- Dữ liệu chỉ được xử lý đúng mục đích đã thông báo hoặc đã được chủ thể dữ liệu đồng ý.

- Dữ liệu được thu thập phải phù hợp, cần thiết và giới hạn trong phạm vi phục vụ mục đích xử lý.

- Dữ liệu cá nhân phải được áp dụng các biện pháp bảo vệ, bảo mật trong suốt quá trình xử lý.

- Đặc biệt, dữ liệu cá nhân không được mua, bán dưới mọi hình thức, trừ trường hợp pháp luật có quy định khác.

Bên cạnh đó, việc xử lý dữ liệu cá nhân về nguyên tắc phải có sự đồng ý của chủ thể dữ liệu, trừ một số trường hợp ngoại lệ do pháp luật quy định như phục vụ quốc phòng, an ninh, phòng chống dịch bệnh, tình trạng khẩn cấp hoặc các trường hợp khác được pháp luật cho phép. Điều này đồng nghĩa với việc một cá nhân hoặc doanh nghiệp không được tự ý thu thập, chuyển giao hoặc bán thông tin của người khác nhằm mục đích kinh doanh khi chưa có căn cứ pháp lý hoặc chưa được chủ thể dữ liệu đồng ý.

1. 2. Các hành vi bị pháp luật nghiêm cấm

Không phải mọi hoạt động xử lý dữ liệu cá nhân đều vi phạm pháp luật. Chỉ những hành vi không đáp ứng điều kiện luật định hoặc xâm phạm quyền của chủ thể dữ liệu mới bị coi là trái pháp luật.

Theo Điều 8 và Điều 22 Nghị định 13/2023/NĐ-CP, các hành vi sau đây bị nghiêm cấm:

- Thu thập dữ liệu cá nhân trái phép hoặc vượt quá phạm vi cần thiết.

- Mua bán dữ liệu cá nhân dưới mọi hình thức khi không có căn cứ pháp luật.

- Chuyển giao, chia sẻ dữ liệu cá nhân cho bên thứ ba trái quy định hoặc không được sự đồng ý của chủ thể dữ liệu.

- Tiết lộ, công khai dữ liệu cá nhân trái phép.

- Sử dụng dữ liệu cá nhân sai mục đích đã thông báo hoặc đã được chủ thể dữ liệu đồng ý.

- Thiết lập hệ thống, phần mềm hoặc tổ chức hoạt động nhằm thu thập, chuyển giao, mua bán dữ liệu cá nhân trái phép.

- Lợi dụng hoạt động xử lý dữ liệu cá nhân để xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân khác hoặc thực hiện các hành vi vi phạm pháp luật.

Đáng chú ý, Điều 22 Nghị định 13/2023/NĐ-CP còn quy định rõ ràng việc thiết lập hệ thống hoặc tổ chức hoạt động nhằm thu thập, chuyển giao, mua bán dữ liệu cá nhân khi không có sự đồng ý của chủ thể dữ liệu là hành vi vi phạm pháp luật. Quy định này tạo cơ sở pháp lý để xử lý các đường dây mua bán dữ liệu khách hàng, danh sách số điện thoại, thông tin tài khoản ngân hàng, hồ sơ vay vốn hoặc các cơ sở dữ liệu cá nhân đang được giao dịch trái phép trên môi trường mạng.

3. Mức hình phạt đối với hành vi mua bán thông tin cá nhân
   1. Trường hợp bị xử phạt vi phạm hành chính

Đối với các hành vi mua bán, chuyển giao hoặc sử dụng trái phép thông tin cá nhân nhưng chưa đủ yếu tố cấu thành tội phạm, cơ quan có thẩm quyền có thể áp dụng các chế tài xử phạt vi phạm hành chính theo quy định của pháp luật về an ninh mạng, viễn thông, công nghệ thông tin và bảo vệ dữ liệu cá nhân.

Ngoài hình thức phạt tiền, cá nhân hoặc tổ chức vi phạm còn có thể bị áp dụng các biện pháp khắc phục hậu quả như buộc xóa bỏ dữ liệu đã thu thập trái phép, chấm dứt hành vi vi phạm, thu hồi hoặc tiêu hủy dữ liệu, đồng thời thực hiện các biện pháp bảo đảm quyền và lợi ích hợp pháp của chủ thể dữ liệu.

1. 2. Trường hợp bị truy cứu trách nhiệm hình sự

Hiện nay, Bộ luật Hình sự năm 2015 (được sửa đổi, bổ sung năm 2017) không quy định tội danh độc lập đối với hành vi "mua bán thông tin cá nhân". Tuy nhiên, tùy từng vụ việc cụ thể, người thực hiện hành vi vẫn có thể bị truy cứu trách nhiệm hình sự theo một hoặc nhiều tội danh sau đây:

Thứ nhất, Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông (Điều 288 Bộ luật Hình sự).

- Đây là tội danh được áp dụng phổ biến nhất đối với các hành vi mua bán dữ liệu cá nhân trên môi trường mạng. Người nào đưa lên mạng, mua bán, trao đổi hoặc sử dụng trái phép thông tin của tổ chức, cá nhân nhằm thu lợi bất chính, gây thiệt hại về tài sản hoặc xâm phạm quyền, lợi ích hợp pháp của người khác thì có thể bị truy cứu trách nhiệm hình sự nếu đáp ứng các điều kiện luật định.

- Tùy theo tính chất và mức độ vi phạm, người phạm tội có thể bị phạt tiền, phạt cải tạo không giam giữ hoặc phạt tù. Trường hợp phạm tội có tổ chức, thu lợi bất chính lớn, gây thiệt hại nghiêm trọng hoặc ảnh hưởng xấu đến an ninh, trật tự, an toàn xã hội thì mức hình phạt sẽ nghiêm khắc hơn.

Thứ hai, các tội danh khác có liên quan. Trong thực tiễn, việc mua bán thông tin cá nhân thường chỉ là bước đầu để thực hiện các hành vi phạm tội khác. Chẳng hạn, người phạm tội sử dụng dữ liệu cá nhân để lừa đảo chiếm đoạt tài sản, chiếm đoạt tài khoản ngân hàng, giả mạo hồ sơ vay vốn, xâm nhập trái phép vào hệ thống thông tin hoặc thực hiện các hành vi xâm phạm bí mật đời tư của cá nhân. Khi đó, ngoài Điều 288 Bộ luật Hình sự, người vi phạm còn có thể bị truy cứu về các tội danh tương ứng nếu đủ yếu tố cấu thành tội phạm.

4. Mức hình phạt đối với hành vi mua bán thông tin cá nhân

Như đã phân tích, pháp luật hình sự hiện hành không quy định tội danh riêng đối với hành vi mua bán thông tin cá nhân. Tuy nhiên, nếu hành vi này đủ yếu tố cấu thành Tội đưa hoặc sử dụng trái phép thông tin mạng máy tính, mạng viễn thông theo Điều 288 Bộ luật Hình sự năm 2015 (sửa đổi, bổ sung năm 2017) hoặc các tội danh khác có liên quan, người vi phạm có thể phải chịu các hình phạt sau:

1. 1. Hình phạt chính

Tùy thuộc vào tính chất, mức độ nguy hiểm của hành vi và hậu quả gây ra, người phạm tội có thể bị áp dụng một trong các hình phạt chính sau:

- Phạt tiền từ 30 triệu đồng đến 200 triệu đồng;

- Phạt cải tạo không giam giữ đến 03 năm;

- Phạt tù từ 06 tháng đến 03 năm.

Trường hợp phạm tội có tổ chức, lợi dụng quyền quản trị hệ thống thông tin, thu lợi bất chính với số tiền lớn, gây thiệt hại nghiêm trọng về tài sản hoặc xâm phạm quyền, lợi ích hợp pháp của nhiều người thì mức hình phạt có thể tăng lên từ 02 năm đến 07 năm tù theo quy định tại khoản 2 Điều 288 Bộ luật Hình sự.

1. 2. Hình phạt bổ sung

Ngoài hình phạt chính, người phạm tội còn có thể bị Tòa án áp dụng một hoặc nhiều hình phạt bổ sung nhằm ngăn ngừa tái phạm và bảo đảm hiệu quả xử lý, bao gồm:

- Phạt tiền từ 20 triệu đồng đến 200 triệu đồng;

- Cấm đảm nhiệm chức vụ, cấm hành nghề hoặc làm công việc nhất định từ 01 năm đến 05 năm.

Trên thực tế, đối với các vụ việc liên quan đến doanh nghiệp, tổ chức cung cấp dịch vụ hoặc cá nhân được giao quản lý cơ sở dữ liệu khách hàng, hình phạt bổ sung cấm đảm nhiệm chức vụ hoặc cấm hành nghề được áp dụng khá phổ biến nhằm hạn chế nguy cơ tiếp tục lợi dụng vị trí công tác để thực hiện hành vi vi phạm.

Trên đây là toàn bộ tư vấn của chúng tôi, hy vọng rằng, những ý kiến tư vấn này, sẽ giúp làm sáng tỏ các vấn đề mà Quý vị đang quan tâm. Để có thể làm rõ hơn và chi tiết từng vấn đề nêu trên cũng như các vấn đề pháp lý mà Quý vị đang cần tham khảo thêm ý kiến chuyên môn. Xin vui lòng liên hệ ngay cho chúng tôi theo địa chỉ email: luatsaosang@gmail.com hoặc qua tổng đài tư vấn: 0936.65.3636 để nhận được sự tư vấn, giải đáp và hỗ trợ từ Luật Sao Sáng. Trân trọng cảm ơn!