Công ty mua dữ liệu xét nghiệm qua đối tác không có quyền bán, nếu phát hiện có phải đền khách hàng không?

Có hai vấn đề pháp lý tách biệt trong câu hỏi của bạn, và cả hai đều đáng lo ngại hơn bạn nghĩ — không chỉ dừng ở việc "có phải đền khách hàng không" mà còn ở chỗ chính mô hình kinh doanh mua-bán dữ liệu trung gian này có thể đã vi phạm quy định cấm của Luật Bảo vệ dữ liệu cá nhân ngay từ đầu. 1) VỀ TRÁCH NHIỆM VỚI KHÁCH HÀNG NẾU DỮ LIỆU ĐẦU VÀO CÓ VẤN ĐỀ: căn cứ Điều 444 Bộ luật Dân sự 91/2015/QH13 về bảo đảm quyền sở hữu của bên bán đối với tài sản mua bán: nếu tài sản (ở đây là dữ liệu/report) bị người thứ ba tranh chấp về quyền sở hữu/quyền sử dụng hợp pháp, bên mua (khách hàng doanh nghiệp của bạn) có quyền hủy hợp đồng và YÊU CẦU BÊN BÁN (tức công ty bạn) BỒI THƯỜNG THIỆT HẠI — trừ trường hợp bên mua đã biết hoặc phải biết về tranh chấp này khi giao kết hợp đồng. Nói cách khác: nếu khách hàng của bạn không biết dữ liệu gốc có vấn đề về quyền sở hữu/cấp phép, CÔNG TY BẠN CÓ THỂ PHẢI CHỊU TRÁCH NHIỆM BỒI THƯỜNG cho khách hàng — dù chính công ty bạn cũng là "nạn nhân" của việc đối tác cung cấp dữ liệu không có quyền bán. Đây là nguyên tắc "bảo đảm chuỗi cung ứng hợp pháp" — công ty bán sản phẩm cuối cùng (report) vẫn phải chịu trách nhiệm với khách hàng của mình, dù lỗi gốc nằm ở đối tác cung cấp dữ liệu. 2) VỀ VIỆC BẢN THÂN MÔ HÌNH KINH DOANH CÓ HỢP PHÁP HAY KHÔNG — ĐÂY LÀ ĐIỂM QUAN TRỌNG HƠN CẦN LƯU Ý NGAY: khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 quy định về các hành vi bị nghiêm cấm: "Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác." Đây là ĐIỀU CẤM CHUNG, áp dụng cho bất kỳ hoạt động mua bán dữ liệu cá nhân nào, trừ khi có luật khác cho phép cụ thể. Với mô hình công ty bạn mô tả — lấy dữ liệu từ trung tâm xét nghiệm (dữ liệu SỨC KHỎE, thuộc nhóm dữ liệu NHẠY CẢM theo quy định), tổng hợp thành report, rồi BÁN cho khách hàng doanh nghiệp — đây có dấu hiệu RẤT GẦN với hành vi "mua, bán dữ liệu cá nhân" bị cấm, bất kể có thông qua trung gian hay không. Đây là rủi ro pháp lý cần được đánh giá nghiêm túc, không chỉ là vấn đề "đối tác có quyền bán hay không." Một quy định liên quan khác, khoản 2 Điều 26 Luật này (dù không hoàn toàn khớp 100% với tình huống của bạn) quy định các đơn vị trong lĩnh vực y tế không được cung cấp dữ liệu cá nhân về sức khỏe cho bên thứ ba (dịch vụ y tế, bảo hiểm...) khi chưa có sự đồng ý BẰNG VĂN BẢN của chủ thể dữ liệu — cho thấy tinh thần chung của luật là bảo vệ đặc biệt nghiêm ngặt với dữ liệu sức khỏe, đúng loại dữ liệu công ty bạn đang xử lý. 3) VỀ MỐI QUAN HỆ GIỮA TRÁCH NHIỆM HÌNH SỰ/HÀNH CHÍNH VÀ TRÁCH NHIỆM DÂN SỰ VỚI KHÁCH HÀNG: khoản 1 Điều 8 Luật Bảo vệ dữ liệu cá nhân quy định: người vi phạm "tùy theo tính chất, mức độ, hậu quả... có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật." Đây xác nhận rõ: xử lý hình sự/hành chính (nếu công ty bị truy tố vì sử dụng dữ liệu trái phép) và trách nhiệm bồi thường dân sự với khách hàng là HAI HƯỚNG XỬ LÝ ĐỘC LẬP, KHÔNG TỰ ĐỘNG KÉO THEO NHAU — công ty có thể bị xử lý hình sự về hành vi mua bán dữ liệu trái phép (với Nhà nước), ĐỒNG THỜI vẫn có thể (hoặc không) phải bồi thường hợp đồng cho khách hàng tùy vào việc khách hàng có bị thiệt hại thực tế và có căn cứ hợp đồng để đòi bồi thường hay không — đây là hai quan hệ pháp lý tách biệt (một là Nhà nước xử lý vi phạm, một là quan hệ hợp đồng dân sự giữa công ty và khách hàng). Đáng chú ý: khoản 3 Điều 8 quy định mức phạt hành chính cho hành vi mua bán dữ liệu cá nhân có thể lên tới 10 LẦN khoản thu lợi bất chính có được từ vi phạm — đây là mức phạt rất nặng, cho thấy mức độ nghiêm trọng mà pháp luật đặt ra cho loại hành vi này. Công ty bạn nên làm gì NGAY: 1) Rà soát lại toàn bộ mô hình kinh doanh hiện tại: việc "tổng hợp dữ liệu từ đối tác thành report rồi bán" có đang thực chất là mua bán dữ liệu cá nhân trá hình dưới danh nghĩa "report" hay không — đây là câu hỏi cần luật sư chuyên về bảo vệ dữ liệu cá nhân đánh giá kỹ, vì ranh giới giữa "cung cấp dịch vụ phân tích dữ liệu" hợp pháp và "mua bán dữ liệu cá nhân" bị cấm có thể khá mong manh tùy cách thiết kế hợp đồng và bản chất dữ liệu trong report. 2) Yêu cầu đối tác cung cấp dữ liệu (trung tâm xét nghiệm/bên trung gian) xuất trình đầy đủ căn cứ pháp lý về quyền thu thập, xử lý, và đặc biệt là quyền CHIA SẺ/BÁN dữ liệu này cho bên thứ ba — bao gồm bằng chứng đã có sự đồng ý của chủ thể dữ liệu (bệnh nhân) cho việc chia sẻ này, trước khi tiếp tục hợp tác. 3) Rà soát hợp đồng với khách hàng doanh nghiệp hiện tại — xem có điều khoản giới hạn trách nhiệm, cam kết về nguồn gốc hợp pháp của dữ liệu hay không, để đánh giá mức độ rủi ro bồi thường nếu phát sinh tranh chấp. 4) Nên tham vấn luật sư chuyên sâu về bảo vệ dữ liệu cá nhân càng sớm càng tốt để đánh giá toàn diện rủi ro của mô hình kinh doanh, trước khi vấn đề phát sinh trên thực tế — đây không chỉ là câu hỏi "nếu xảy ra thì sao" mà là vấn đề cần rà soát ngay cả khi chưa có sự cố.Nguồn: Điều 444 Bộ luật Dân sự 91/2015/QH13; Điều 7, Điều 8, Điều 26 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15