Tội mua bán dữ liệu cá nhân trong dự thảo Bộ luật Hình sự sửa đổi

Dự thảo Bộ luật Hình sự (sửa đổi) do Bộ Công an chủ trì đề xuất bổ sung ba tội danh mới về dữ liệu cá nhân: xâm phạm dữ liệu cá nhân (Điều 159a), mua bán trái phép dữ liệu cá nhân (Điều 159b) và cản trở hoạt động bảo vệ dữ liệu cá nhân (Điều 159c). Theo bản đề xuất, mức cao nhất của tội mua bán là phạt tiền 1–2 tỷ đồng hoặc tù 7–10 năm. Quốc hội đã thảo luận dự thảo tại hội trường sáng 27/10/2026; đến thời điểm viết bài, văn bản vẫn đang được chỉnh lý, chưa thông qua.

Tiến trình dự thảo đến tháng 11/2026

Theo Tạp chí Luật sư Việt Nam, ngày làm việc thứ mười của Kỳ họp thứ 2, Quốc hội khóa XVI, đại biểu đã thảo luận tại hội trường về dự thảo. Văn bản bổ sung 11 tội danh mới, thêm 63 hành vi, tình tiết định tội, định khung mới, đồng thời bỏ 3 tội danh và 38 hành vi khỏi các tội hiện hành; bỏ hình phạt tử hình ở 6 tội danh. Thường trực Ủy ban Pháp luật và Tư pháp đề nghị tiếp tục nghiên cứu, cân nhắc việc bổ sung tội danh mới, nghĩa là nội dung cuối cùng có thể khác bản đề xuất ban đầu.

Các ngưỡng và khung phạt dưới đây lấy từ bản đề xuất được LSVN đăng ngày 28/7/2026. Người đọc nên coi đây là định hướng, không phải quy định đang có hiệu lực.

Điều 159b: mua bán trái phép dữ liệu cá nhân

Đây là tội danh gắn trực tiếp với "chợ đen" dữ liệu, nơi các bộ dữ liệu khách hàng được rao bán qua nhóm chat, diễn đàn và cả các trang ẩn danh. Dự thảo dùng hai thước đo định tội: số người bị ảnh hưởng (tách dữ liệu cơ bản và dữ liệu nhạy cảm) và số tiền thu lợi bất chính.

Một chi tiết đáng chú ý: tình tiết "sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử" nằm ở khoản 2. Trên thực tế, hầu hết giao dịch dữ liệu hiện nay đều diễn ra qua mạng, nên phần lớn vụ việc có thể rơi vào khung từ khoản 2 trở lên. Pháp nhân thương mại cũng có thể bị phạt: 300 triệu – 1 tỷ đồng ở khoản 1, 1 – 3 tỷ đồng hoặc đình chỉ hoạt động 1 – 3 năm ở khoản 2.

Điều 159a: xâm phạm dữ liệu cá nhân

Tội này bao trùm rộng hơn: thu thập, xử lý, trao đổi, công khai, chiếm đoạt hoặc sử dụng trái phép dữ liệu người khác, kể cả cố ý làm lộ, mất dữ liệu. Ngưỡng định tội ở khoản 1 gồm thu lợi 100 – dưới 400 triệu đồng, gây thiệt hại 200 triệu – dưới 1 tỷ đồng, hoặc xâm phạm dữ liệu cơ bản của từ 10.000 người, dữ liệu nhạy cảm của từ 2.000 người. Hình phạt ở khoản 2 lên đến tù 3 – 7 năm, áp dụng cả khi dùng dữ liệu người khác để lập doanh nghiệp hoặc mở tài khoản tài chính, tài sản số. Với pháp nhân, khung nặng nhất là phạt 3 – 10 tỷ đồng hoặc đình chỉ hoạt động 3 – 5 năm.

Điều 159c: cản trở bảo vệ dữ liệu

Tội này nhắm vào người đã bị xử phạt hành chính mà còn tiếp tục vi phạm, gồm việc không thông báo, che giấu hoặc cung cấp sai lệch thông tin về sự cố vi phạm dữ liệu cá nhân, hay dựng rào cản kỹ thuật trái phép để vô hiệu hóa giám sát, thu thập chứng cứ của cơ quan có thẩm quyền. Pháp nhân vi phạm có thể bị cấm huy động vốn và cấm tham gia đấu thầu cung cấp dịch vụ công nghệ thông tin 1 – 3 năm.

Với doanh nghiệp, đây là điều khoản cần đọc kỹ nhất. Nó biến việc giấu sự cố rò rỉ từ rủi ro hành chính thành rủi ro hình sự khi tái phạm.

Doanh nghiệp nên chuẩn bị gì từ bây giờ

1. Phân loại dữ liệu theo số chủ thể. Ngưỡng định tội tính theo số người, nên doanh nghiệp cần biết mỗi hệ thống đang giữ dữ liệu của bao nhiêu người và có dữ liệu nhạy cảm hay không.
2. Kiểm soát người có quyền xuất dữ liệu. Nhiều vụ mua bán bắt nguồn từ nhân viên hoặc đối tác có quyền tải danh sách khách hàng. Ghi nhật ký mọi thao tác xuất, giới hạn số bản ghi mỗi lần.
3. Quy trình thông báo sự cố rõ ràng. Ai quyết định, trong bao lâu, thông báo cho ai. Điều 159c cho thấy im lặng có thể trả giá đắt.
4. Ràng buộc hợp đồng với bên thứ ba. Đưa điều khoản bảo vệ dữ liệu, quyền kiểm tra và nghĩa vụ báo cáo sự cố vào hợp đồng với nhà cung cấp.
5. Phát hiện sớm dữ liệu bị rao bán. Khi dữ liệu khách hàng xuất hiện trên chợ đen, doanh nghiệp vừa là nạn nhân vừa có nghĩa vụ xử lý. Dịch vụ giám sát rò rỉ dữ liệu trên dark web giúp có bằng chứng sớm để báo cơ quan chức năng.

Ý nghĩa với người dùng

Nếu được thông qua theo hướng đề xuất, quy định sẽ tạo cơ sở xử lý hình sự những đường dây mua bán dữ liệu, nguồn cung cấp thông tin cho các cuộc gọi lừa đảo nhắm đúng tên, địa chỉ, khoản vay của nạn nhân. Người dùng vẫn nên tự hạn chế cung cấp thông tin khi không cần thiết; các lưu ý cụ thể có trong bài rủi ro rò rỉ dữ liệu cá nhân khi đăng ký tài khoản.

Bài viết tóm tắt nội dung dự thảo để tham khảo, không phải tư vấn pháp lý. Doanh nghiệp nên theo dõi văn bản chính thức khi Quốc hội biểu quyết và tham vấn luật sư cho trường hợp cụ thể.