Mua data khách hàng để telesales có hợp pháp không?

Doanh nghiệp mua tệp số điện thoại, họ tên và nhu cầu của khách hàng để nhân viên gọi chào bán sản phẩm có nguy cơ vi phạm quy định cấm mua, bán dữ liệu cá nhân tại khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân năm 2025. Một hợp đồng ghi “cung cấp data hợp pháp” hoặc lời cam kết của người bán không giải quyết được vấn đề này. Pháp luật có quy định riêng về những trường hợp chuyển giao dữ liệu cá nhân hợp pháp; doanh nghiệp phải xác định giao dịch thực tế thuộc trường hợp nào và có quyền sử dụng thông tin để telesales hay không.

Pháp luật quy định thế nào về việc mua, bán dữ liệu cá nhân?

Khoản 6 Điều 7 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cấm mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác. Khi tệp được chào bán có số điện thoại gắn với tên người, địa chỉ, lịch sử mua sắm hoặc nhu cầu tư vấn của một cá nhân cụ thể, doanh nghiệp cần xem xét tệp đó theo quy định về dữ liệu cá nhân tại Điều 2 của Luật.

Cũng theo khoản 1 và khoản 2 Điều 17 của Luật, có những trường hợp chuyển giao dữ liệu cá nhân được pháp luật cho phép; việc chuyển giao trong các trường hợp này, dù có thu phí hoặc không thu phí, không bị xác định là hành vi mua, bán dữ liệu cá nhân. Ví dụ, bên kiểm soát chuyển dữ liệu cho bên xử lý theo một hợp đồng dịch vụ phù hợp quy định. Để áp dụng Điều 17, phải kiểm tra mục đích chuyển giao, vai trò của từng bên, căn cứ xử lý và việc sử dụng dữ liệu sau khi chuyển.

Vì vậy, hai giao dịch có thể cùng có tên “phí dữ liệu” trên báo giá nhưng khác nhau về bản chất. Trả tiền để nhận một tệp số điện thoại rồi tùy ý gọi quảng cáo khác với việc thuê đơn vị có trách nhiệm tiếp nhận thông tin đăng ký từ chính người quan tâm và chuyển kết quả theo phạm vi được phép. Cách đặt tên hợp đồng không quyết định tính hợp pháp của giao dịch.

Riêng trong kinh doanh dịch vụ quảng cáo, khoản 1–3 Điều 28 Luật 91/2025/QH15 quy định việc sử dụng, chuyển giao dữ liệu khách hàng phải tuân thủ pháp luật và yêu cầu về sự đồng ý trong phạm vi được điều khoản này điều chỉnh. Doanh nghiệp không nên viện dẫn một mình Điều 28 để hợp thức hóa việc mua bất kỳ danh sách nào được rao bán trên thị trường.

Những loại danh sách cần kiểm tra trước khi sử dụng

Danh sách có nguồn từ mạng xã hội hoặc tài liệu công khai vẫn cần kiểm tra mục đích sử dụng. Điều 16 Luật 91/2025/QH15 quy định việc công khai dữ liệu cá nhân phải có mục đích, phạm vi phù hợp và cơ chế bảo vệ. Việc một cá nhân đăng số điện thoại để nhận hồ sơ tuyển dụng, bán căn hộ hay hỏi thông tin hội thảo cần được xem xét theo mục đích đó.

Khi thuê agency tìm khách hàng, doanh nghiệp cần yêu cầu tài liệu gì?

Dịch vụ tạo khách hàng tiềm năng (lead generation) có nhiều cách vận hành. Có đơn vị lập biểu mẫu mang tên doanh nghiệp thuê dịch vụ, chạy quảng cáo và chuyển những người tự gửi yêu cầu tư vấn. Có đơn vị sử dụng tệp liên hệ đã tích lũy từ nhiều khách hàng trước đây. Hai cách này cần được đánh giá riêng.

Với mô hình thu thập thông tin mới theo yêu cầu của doanh nghiệp, hồ sơ tối thiểu nên có: nội dung quảng cáo và biểu mẫu khách nhìn thấy; mục đích liên hệ; tên đơn vị kiểm soát dữ liệu; thông tin về bên tiếp nhận; phiên bản lời đồng ý nếu được sử dụng; thời điểm, nguồn và thông tin đăng ký; hợp đồng quy định vai trò, phương thức chuyển, quyền truy cập và việc xóa hoặc trả dữ liệu. Khoản 1 Điều 17 Luật 91/2025/QH15 và Điều 7 Nghị định 356/2025/NĐ-CP là những căn cứ cần đối chiếu khi có chuyển giao dữ liệu giữa các bên.

Agency cũng phải xác định liệu mình chỉ xử lý theo chỉ dẫn hay được quyết định các mục đích sử dụng riêng. Nếu agency định sử dụng thông tin đã thu được để tiếp tục quảng cáo cho những khách hàng khác, hoạt động đó phải được đánh giá theo căn cứ và thỏa thuận riêng. Doanh nghiệp thuê dịch vụ không nên nhận một tệp dữ liệu chung mà không biết thông tin được thu cho thương hiệu nào.

Khách đã đồng ý với người thu thập dữ liệu thì doanh nghiệp có được gọi quảng cáo không?

Cần đọc đúng nội dung đồng ý. Theo khoản 2–4 Điều 9 Luật 91/2025/QH15, chủ thể dữ liệu phải biết loại thông tin được xử lý, mục đích và đơn vị kiểm soát; sự đồng ý phải rõ ràng, tự nguyện, có thể kiểm chứng và thể hiện đối với từng mục đích. Khoản 1 và khoản 2 Điều 6 Nghị định 356/2025/NĐ-CP yêu cầu phương thức có khả năng xác minh người đồng ý, thời điểm, nội dung và lưu bằng chứng.

Ví dụ, câu “Tôi đồng ý để Công ty A liên hệ về báo giá thiết bị điện” chỉ có thể được xem xét trong phạm vi đã được nêu. Để Công ty B gọi giới thiệu bảo hiểm, cần xác định riêng căn cứ cho việc chuyển và dùng thông tin tại B. Trường hợp biểu mẫu nêu “chia sẻ cho đối tác” nhưng không giải thích đầy đủ bên nhận, mục đích hoặc cách liên hệ, doanh nghiệp cần đánh giá khả năng đáp ứng Điều 9 thay vì tự kết luận đã đủ điều kiện.

Với khách đăng ký qua biểu mẫu, có thể tham khảo bài Thu thập thông tin qua form quảng cáo có phải xin đồng ý không? để thiết kế phần mục đích tư vấn và lựa chọn nhận quảng cáo.

Điều kiện cần kiểm tra trước cuộc gọi telesales

Ngoài nguồn dữ liệu, doanh nghiệp còn phải tuân thủ quy định về cuộc gọi quảng cáo. Khoản 4 Điều 28 Luật 91/2025/QH15 yêu cầu hoạt động quảng cáo tuân thủ pháp luật về chống cuộc gọi rác. Theo Điều 13 Nghị định 91/2020/NĐ-CP, doanh nghiệp cần kiểm tra việc người sử dụng đã đồng ý nhận cuộc gọi quảng cáo, danh sách không quảng cáo và yêu cầu từ chối đã tiếp nhận. Quy định này cũng đặt giới hạn về số cuộc gọi và khung giờ, có tính đến trường hợp các bên có thỏa thuận khác theo điều khoản cụ thể.

Đối với nhân viên telesales, doanh nghiệp nên có quy trình xử lý ngay khi khách nói không muốn nhận cuộc gọi. Yêu cầu phải được cập nhật vào danh sách từ chối dùng chung cho các nhóm bán hàng và nhà cung cấp dịch vụ, tránh tình trạng người này dừng gọi nhưng người khác tiếp tục sử dụng cùng số điện thoại.

Quy định cho từng kênh và nội dung quảng cáo được phân tích riêng ở bài DL114 về gửi email, SMS và cuộc gọi quảng cáo. Bài này chỉ tập trung vào nguồn dữ liệu đầu vào của hoạt động telesales.

Phiếu kiểm tra nguồn danh sách khách hàng trước khi tiếp nhận

Doanh nghiệp có thể giao phòng marketing hoặc người phụ trách dữ liệu sử dụng phiếu dưới đây. Đây là mẫu kiểm tra nội bộ do Justix đề xuất, không phải biểu mẫu bắt buộc của cơ quan nhà nước.

Cách dùng: Nếu chưa xác định được nguồn thu thập, chủ thể nhận dữ liệu hoặc căn cứ chuyển giao, phòng kinh doanh chưa được đưa tệp vào danh sách gọi. Người phụ trách pháp lý ghi rõ điểm cần bổ sung và phương án xử lý. Chỉ ghi “được sử dụng” sau khi đã đánh giá toàn bộ nguồn, mục đích và quy định áp dụng đối với cuộc gọi.

Tình huống doanh nghiệp được chào bán 5.000 số điện thoại

Tình huống giả định: Công ty M kinh doanh dịch vụ du lịch được một đơn vị giới thiệu tệp 5.000 số điện thoại “khách thích du lịch nước ngoài”. Báo giá tính theo số liên hệ; bên cung cấp không đưa được biểu mẫu gốc, chỉ nói dữ liệu được lấy từ một hệ thống đối tác và “đã đồng ý nhận thông tin”. Công ty M định nhập toàn bộ dữ liệu vào CRM để gọi giới thiệu tour.

Trước hết, Công ty M cần đánh giá giao dịch có thuộc hành vi mua, bán dữ liệu cá nhân bị cấm tại khoản 6 Điều 7 hay thuộc trường hợp chuyển giao hợp pháp theo Điều 17 Luật 91/2025/QH15. Dữ kiện hiện có chưa cho thấy đơn vị bán có căn cứ chuyển thông tin hoặc khách cho phép Công ty M liên hệ. Việc đưa tệp vào CRM và tổ chức gọi trong tình trạng này phát sinh rủi ro pháp lý. Phương án phù hợp là dừng nhận và sử dụng tệp, yêu cầu tài liệu nguồn và chỉ xem xét mô hình tiếp nhận khách do chính người quan tâm đăng ký qua một chiến dịch được thiết kế đúng quy định.

Nếu doanh nghiệp đã mua và nhập dữ liệu vào CRM thì xử lý thế nào?

Người quản lý cần kiểm tra ngay những trường dữ liệu đã nhập, người đã truy cập, số bản sao đã xuất và các hoạt động đã thực hiện. Trong thời gian rà soát, nên tạm dừng việc sử dụng danh sách cho chiến dịch mới, hạn chế quyền truy cập và bảo quản tài liệu liên quan đến giao dịch để đánh giá. Nếu phát hiện hành vi trái pháp luật, doanh nghiệp phải xác định biện pháp chấm dứt xử lý, xóa hoặc hủy dữ liệu phù hợp Điều 14 Luật 91/2025/QH15, đồng thời rà soát nghĩa vụ xử lý vi phạm và quyền của chủ thể dữ liệu.

Trường hợp danh sách đã được giao cho nhiều nhân viên hoặc agency, cần lập danh sách người nhận, yêu cầu ngừng dùng dữ liệu không có căn cứ, kiểm tra bản sao và ghi nhận việc xử lý. Không nên tiếp tục gọi cho những người trong tệp chỉ nhằm tìm kiếm sự đồng ý bổ sung khi chưa có căn cứ hợp pháp để sử dụng số điện thoại của họ cho mục đích liên hệ đó.

Cách tổ chức hoạt động tìm khách hàng phù hợp hơn

Doanh nghiệp có thể tự triển khai biểu mẫu yêu cầu báo giá, đăng ký tư vấn, hội thảo hoặc chương trình nhận tài liệu. Nội dung tại điểm thu cần giải thích mục đích liên hệ và tách riêng lựa chọn nhận quảng cáo tiếp theo khi áp dụng. Nếu thuê agency tổ chức chiến dịch, phải thống nhất vai trò, mẫu thông báo, kênh nhận, quyền sử dụng thông tin và thủ tục trả hoặc xóa dữ liệu sau hợp đồng.

Với doanh nghiệp bán hàng cho doanh nghiệp khác (B2B), cần phân biệt số tổng đài công ty với số di động, email cá nhân của nhân viên, người đại diện hoặc người phụ trách mua hàng. Mỗi trường hợp phải xác định thông tin có giúp nhận diện cá nhân hay không và cách liên hệ có thuộc hoạt động quảng cáo chịu điều chỉnh hay không.

Doanh nghiệp cần thực hiện

1. Phòng kinh doanh dừng tiếp nhận tự động các tệp số điện thoại không xác định nguồn. Trước mỗi chiến dịch, ghi rõ nguồn và mục đích dự kiến.
2. Phòng marketing lưu bản biểu mẫu, thông báo, phiên bản nội dung đồng ý và thông tin phát sinh của từng người đăng ký.
3. Bộ phận pháp lý đánh giá giao dịch chuyển giao, nội dung hợp đồng với agency và điều kiện tiếp thị qua điện thoại.
4. Người quản lý CRM giới hạn quyền tải, lập danh sách từ chối, xác định thời hạn lưu và lưu được lịch sử thay đổi trạng thái.
5. Trước khi cấp dữ liệu cho nhân viên gọi, trưởng nhóm kiểm tra danh sách đủ điều kiện sử dụng và phương án tiếp nhận yêu cầu ngừng liên hệ.

Câu hỏi thường gặp

Bên bán cam kết chịu mọi trách nhiệm thì công ty mua có được dùng dữ liệu không?

Cam kết có thể có ý nghĩa trong quan hệ hợp đồng giữa hai bên, nhưng doanh nghiệp nhận dữ liệu vẫn phải tự xác định căn cứ cho hoạt động tiếp nhận và sử dụng. Nếu giao dịch thuộc trường hợp bị cấm, điều khoản miễn trách nhiệm không làm cho hành vi trở thành hợp pháp.

Khách để công khai số điện thoại trên mạng xã hội có thể gọi chào hàng không?

Cần xem mục đích công khai và căn cứ liên hệ. Một số điện thoại công khai để bán đồ cũ hoặc đăng tuyển dụng không phải sự cho phép chung để mọi doanh nghiệp gọi quảng cáo. Doanh nghiệp cũng phải kiểm tra quy định về cuộc gọi quảng cáo và yêu cầu từ chối.

Mua báo cáo thị trường không có tên, số điện thoại cá nhân có bị cấm không?

Nếu sản phẩm chỉ gồm thống kê tổng hợp và không thể xác định hay giúp xác định cá nhân cụ thể, cần đánh giá theo định nghĩa dữ liệu cá nhân tại Điều 2 Luật 91/2025/QH15. Việc xác định thực tế phụ thuộc cấu trúc dữ liệu và khả năng kết hợp với nguồn khác; tên gọi “dữ liệu ẩn danh” trên báo giá chưa đủ căn cứ.

Justix hỗ trợ doanh nghiệp những công việc gì?

Trong dịch vụ bảo vệ dữ liệu khách hàng, website và marketing, Justix có thể rà soát nguồn dữ liệu và căn cứ sử dụng, biểu mẫu đăng ký, nội dung đồng ý, hợp đồng với agency, cách phân quyền CRM và quy trình tiếp nhận yêu cầu từ chối quảng cáo. Doanh nghiệp cần chuẩn bị hợp đồng hoặc báo giá cung cấp danh sách, biểu mẫu thu thập gốc, mô tả luồng dữ liệu và kịch bản tiếp thị dự kiến. Kết quả rà soát là nhận định theo từng nguồn, danh mục nội dung cần sửa và tài liệu pháp lý áp dụng trong phạm vi được thống nhất.