Doanh nghiệp có được tự ý thu thập, sử dụng và chia sẻ dữ liệu cá nhân của khách hàng? - Luật sư Đà Nẵng

Tình huống tư vấn:

Chị Nguyễn Thị A hỏi: Tôi thường xuyên phải cung cấp họ tên, số điện thoại, địa chỉ, hình ảnh và một số thông tin cá nhân khác khi mua hàng, đăng ký tài khoản hoặc sử dụng dịch vụ. Gần đây, tôi nhận được nhiều cuộc gọi, tin nhắn quảng cáo từ những đơn vị mà tôi chưa từng trực tiếp cung cấp thông tin. Tôi muốn biết pháp luật quy định như thế nào về việc doanh nghiệp thu thập, sử dụng và cung cấp dữ liệu cá nhân của tôi, cụ thể:

Câu hỏi 1: Doanh nghiệp có được thu thập và xử lý dữ liệu cá nhân của khách hàng khi chưa có sự đồng ý của khách hàng hay không?

Câu hỏi 2: Nếu tôi cung cấp thông tin cho một doanh nghiệp để mua hàng, doanh nghiệp có được cho bên thứ ba sử dụng thông tin của tôi không?

Câu hỏi 3: Nếu tôi không muốn doanh nghiệp tiếp tục xử lý dữ liệu cá nhân của mình thì tôi có thể yêu cầu ngừng xử lý không? Doanh nghiệp phải giải quyết trong bao lâu?

Câu hỏi 4: Nếu tôi đã yêu cầu doanh nghiệp ngừng xử lý dữ liệu nhưng doanh nghiệp vẫn tiếp tục xử lý thì có bị xử phạt không?

Trả lời:

Cảm ơn Quý Khách hàng đã gửi câu hỏi đến Công ty Luật FDVN (“FDVN”). Đối với các yêu cầu tư vấn của Quý Khách hàng, sau khi nghiên cứu các quy định pháp luật liên quan, FDVN có ý kiến tư vấn đối với yêu cầu của Quý khách hàng như sau:

Câu hỏi 1: Doanh nghiệp có được thu thập và xử lý dữ liệu cá nhân của khách hàng khi chưa có sự đồng ý không?

Theo khoản 1 Điều 11 Luật Bảo vệ dữ liệu cá nhân 2025 quy định: “Dữ liệu cá nhân được thu thập phải được sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập, trừ trường hợp pháp luật có quy định khác”.

Bên cạnh đó, khoản 2 và khoản 4 Điều 9 Luật Bảo vệ dữ liệu cá nhân 2025 quy định sự đồng ý của chủ thể dữ liệu cá nhân chỉ có hiệu lực khi dựa trên sự tự nguyện và biết rõ: Loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân; Bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân; Các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân. Sự đồng ý của chủ thể dữ liệu cá nhân phải bảo đảm các nguyên tắc sau đây: Thể hiện sự đồng ý đối với từng mục đích; Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận; Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật; Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

Như vậy, việc khách hàng cung cấp thông tin cho doanh nghiệp không đồng nghĩa với việc doanh nghiệp được tùy ý sử dụng thông tin đó cho mọi mục đích. Doanh nghiệp phải xác định rõ loại dữ liệu, mục đích xử lý và bảo đảm sự đồng ý đáp ứng điều kiện luật định, trừ trường hợp thuộc trường hợp xử lý dữ liệu không cần sự đồng ý theo quy định pháp luật. Doanh nghiệp về nguyên tắc phải có sự đồng ý hợp lệ của khách hàng trước khi thu thập dữ liệu cá nhân, đồng thời không được mặc nhiên coi sự im lặng hoặc không phản hồi của khách hàng là sự đồng ý.

Câu hỏi 2: Nếu khách hàng cung cấp thông tin cho một doanh nghiệp để mua hàng, doanh nghiệp có cho bên thứ ba sử dụng thông tin của khách hàng không?

Theo Điều 18 Luật Bảo vệ quyền lợi người tiêu dùng năm 2023 việc sử dụng thông tin của người tiêu dùng quy định trong Luật Bảo vệ quyền lợi người tiêu dùng năm 2023 bao gồm cả việc chia sẻ, tiết lộ và chuyển giao thông tin của người tiêu dùng cho bên thứ ba.

Theo khoản 2 Điều 15 Luật Bảo vệ quyền lợi người tiêu dùng 2023 quy định về bảo vệ thông tin của người tiêu dùng: “Trường hợp tổ chức, cá nhân kinh doanh ủy quyền hoặc thuê bên thứ ba thực hiện việc thu thập, lưu trữ, sử dụng, chỉnh sửa, cập nhật, hủy bỏ thông tin của người tiêu dùng thi phải được sự đồng ý của người tiêu dùng. Việc ủy quyền hoặc thuê bên thứ ba phải được thực hiện bằng văn bản, trong đó quy định rõ phạm vi, trách nhiệm của mỗi bên trong việc bảo vệ thông tin của người tiêu dùng theo quy định của Luật này và quy định khác của pháp luật có liên quan.”

Như vậy, việc khách hàng đã cung cấp thông tin cho doanh nghiệp không đồng nghĩa với việc doanh nghiệp đương nhiên được chuyển thông tin đó cho bất kỳ bên thứ ba nào. Doanh nghiệp không được tự ý thuê hoặc ủy quyền cho bên thứ ba xử lý thông tin của khách hàng. Trường hợp thực hiện việc này phải có sự đồng ý của người tiêu dùng và việc ủy quyền, thuê phải được lập thành văn bản với phạm vi, trách nhiệm rõ ràng.

Câu hỏi 3: Nếu khách hàng không muốn doanh nghiệp tiếp tục xử lý dữ liệu cá nhân của mình thì khách hàng có thể yêu cầu ngừng xử lý không? Doanh nghiệp phải giải quyết trong bao lâu?

Theo khoản 2 Điều 5 Nghị định 356/2025/NĐ-CP quy định chi tiết một số điều và biện pháp thi hành Luật Bảo vệ dữ liệu cá nhân: “Khi nhận được yêu cầu rút lại sự đồng ý cho phép xử lý dữ liệu cá nhân, hạn chế xử lý dữ liệu cá nhân, phản đối xử lý dữ liệu cá nhân theo đúng thủ tục của chủ thể dữ liệu cá nhân, bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân phải phản hồi trong thời hạn 02 ngày làm việc, cung cấp đầy đủ thông tin cho chủ thể dữ liệu cá nhân về thủ tục ngừng xử lý dữ liệu cá nhân và thực hiện trong thời hạn 15 ngày, trừ trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân theo quy định tại Điều 19 Luật Bảo vệ dữ liệu cá nhân.Trường hợp cần yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba ngừng xử lý dữ liệu cá nhân của chủ thể dữ liệu cá nhân thì thực hiện trong thời hạn 20 ngày.:”

Đối với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân, khoản 3 Điều 5 Nghị định 356/2025/NĐ-CP quy định phải phản hồi trong thời hạn 02 ngày làm việc và thực hiện trong thời hạn 10 ngày; trường hợp phải yêu cầu bên xử lý hoặc bên thứ ba thực hiện thì thời hạn là 15 ngày. Như vậy, pháp luật đã quy định cụ thể về trình tự và thời hạn để doanh nghiệp tiếp nhận, phản hồi và thực hiện yêu cầu của chủ thể dữ liệu cá nhân. Doanh nghiệp không được bỏ qua yêu cầu hợp lệ hoặc tùy ý kéo dài thời gian giải quyết. Khách hàng có thể thực hiện quyền rút lại sự đồng ý, yêu cầu hạn chế hoặc phản đối xử lý dữ liệu cá nhân theo đúng thủ tục. Doanh nghiệp phải phản hồi và thực hiện trong thời hạn luật định.

Câu hỏi 4. Nếu khách hàng đã yêu cầu doanh nghiệp ngừng xử lý dữ liệu nhưng doanh nghiệp vẫn tiếp tục xử lý thì có bị xử phạt không?

Theo điểm a khoản 2 Điều 43 Nghị định 330/2026/NĐ-CP: “Hành vi cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản thì bị phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng.”

Ngoài ra, điểm b khoản 2 Điều 43 Nghị định 330/2026/NĐ-CP cũng quy định mức phạt này đối với hành vi: “Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu câu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.” Như vậy, sau khi chủ thể dữ liệu đã thực hiện quyền yêu cầu ngừng hoặc hạn chế xử lý, doanh nghiệp phải tôn trọng yêu cầu đó, trừ trường hợp pháp luật cho phép tiếp tục xử lý mà không cần sự đồng ý. Doanh nghiệp có thể bị phạt từ 50.000.000 đồng đến 70.000.000 đồng nếu cố ý tiếp tục xử lý dữ liệu sau khi khách hàng đã yêu cầu ngừng, hạn chế xử lý hoặc tự ý coi sự im lặng của khách hàng là sự đồng ý.

Từ các quy định trên có thể thấy, việc khách hàng cung cấp thông tin cho doanh nghiệp không đồng nghĩa với việc doanh nghiệp được toàn quyền sử dụng, chia sẻ hoặc tiếp tục xử lý dữ liệu cá nhân cho mọi mục đích. Doanh nghiệp phải bảo đảm căn cứ xử lý dữ liệu, sự đồng ý hợp lệ khi pháp luật yêu cầu, kiểm soát việc sử dụng thông tin bởi bên thứ ba và tôn trọng các yêu cầu của chủ thể dữ liệu cá nhân theo đúng trình tự, thời hạn pháp luật quy định.

Trường hợp doanh nghiệp vi phạm các quy định về sự đồng ý hoặc cố ý tiếp tục xử lý dữ liệu sau khi khách hàng đã yêu cầu ngừng, doanh nghiệp có thể bị xử phạt vi phạm hành chính theo quy định hiện hành.

Trên đây là ý kiến tư vấn của FDVN đối với yêu cầu của Quý Khách hàng trên cơ sở các thông tin được cung cấp và các quy định pháp luật hiện hành có liên quan. Trường hợp Quý Khách hàng cần làm rõ thêm các nội dung nêu trên hoặc có các vấn đề pháp lý khác cần hỗ trợ, vui lòng liên hệ với FDVN để được tư vấn và hỗ trợ kịp thời.

………………….

Luật sư tại Đà Nẵng:

Tầng 2 Tòa nhà Thư Dung Plaza, 87 Nguyễn Văn Linh, phường Hải Châu, thành phố Đà Nẵng

Luật sư tại Huế:

366 Phan Chu Trinh, phường An Cựu, Thành phố Huế

Luật sư tại TP. Hồ Chí Minh:

146 Hoàng Hoa Thám, phường Gia Định, thành phố Hồ Chí Minh

Luật sư tại Hà Nội:

P.301, Tầng 3, số 63 Vũ Ngọc Phan, phường Láng, thành phố Hà Nội

Luật sư tại Nghệ An:

1421 Nguyễn Tất Thành, phường Quỳnh Mai, Nghệ An

Tầng 2, tòa nhà Cửa Tiền Phố, đường Hồ Hữu Nhân, phường Trường Vinh Tân, tỉnh Nghệ An