Mua bán dữ liệu cá nhân bị xử phạt thế nào?

Mua bán dữ liệu cá nhân bị cấm, trừ khi luật có quy định khác (Điều 7 khoản 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, hiệu lực từ 01/01/2026). Vi phạm có thể bị phạt hành chính rất nặng hoặc đi tù. Phạt hành chính theo Điều 53 Nghị định 330/2026/NĐ-CP (hiệu lực từ 19/08/2026). Các mức dưới đây áp dụng cho tổ chức; cá nhân bị phạt bằng một nửa (Điều 7 khoản 4): 1) Có khoản thu từ việc mua bán: phạt từ 2 đến 10 lần khoản thu. Nếu không có khoản thu, hoặc 10 lần khoản thu vẫn thấp hơn 3 tỷ đồng, thì mức tối đa là 3 tỷ đồng. 2) Không có khoản thu thì tính theo số người bị mua bán dữ liệu: • Dữ liệu cơ bản của dưới 1.000 người (nhạy cảm dưới 200 người): 70 đến 100 triệu đồng; • 1.000 đến dưới 2.000 người (nhạy cảm 200 đến dưới 400): 100 đến 300 triệu; • 2.000 đến dưới 10.000 người (nhạy cảm 400 đến 2.000): 300 đến 500 triệu; • Từ 10.000 người trở lên (nhạy cảm từ 2.000): 500 triệu đến 1 tỷ; • Xâm phạm an ninh trật tự, tính mạng, sức khỏe, danh dự, tài sản của người có dữ liệu: 1 đến 3 tỷ đồng. Kèm theo: tịch thu phương tiện vi phạm, buộc xóa toàn bộ dữ liệu, nộp lại khoản thu và thông báo cho tất cả người bị ảnh hưởng. Hình sự: mua bán thông tin riêng của người khác trên mạng máy tính, mạng viễn thông mà thu lợi bất chính từ 50 triệu đồng hoặc gây thiệt hại từ 100 triệu đồng thì bị phạt tiền 30 đến 200 triệu đồng, cải tạo không giam giữ hoặc tù 6 tháng đến 3 năm; thu lợi từ 200 triệu, gây thiệt hại từ 500 triệu hoặc có tổ chức thì tù 2 đến 7 năm (Điều 288 Bộ luật Hình sự).Nguồn: Điều 7 khoản 6, Điều 8 khoản 3, 6 Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15; Điều 53 và Điều 7 khoản 4 Nghị định 330/2026/NĐ-CP; Điều 288 Bộ luật Hình sự 100/2015/QH13