Thu thập dữ liệu công khai từ internet có hợp pháp không

Bài viết giải thích các nguyên tắc chung và không phải là tư vấn pháp lý. Với một dự án cụ thể, cần được rà soát có xét đến thẩm quyền pháp lý liên quan.

Đây là câu hỏi đầu tiên mà luật sư và lãnh đạo doanh nghiệp đặt ra khi nói đến việc thu thập dữ liệu từ các website. Câu trả lời ngắn gọn: thu thập những dữ liệu mà bất kỳ khách truy cập nào cũng xem được mà không cần đăng nhập tài khoản thì trong phần lớn các trường hợp là hợp pháp. Nhưng "công khai" không có nghĩa là "được làm mọi thứ", và quy tắc này có những giới hạn. Chúng ta sẽ xem các giới hạn đó nằm ở đâu.

Ranh giới chính: có phải đăng nhập tài khoản hay không

Cách kiểm tra đơn giản nhất như sau. Nếu bất kỳ ai mở trang cũng thấy được dữ liệu, đó là dữ liệu công khai. Nếu để truy cập phải đăng nhập tài khoản, trả phí đăng ký hoặc vượt qua một hạn chế, thì đó đã là khu vực không công khai.

Tòa án ở nhiều quốc gia ngày càng thường vạch ranh giới đúng ở điểm này. Website có quyền đặt một phần thông tin sau khâu đăng nhập hoặc sau quyền truy cập trả phí. Phần website để mở là phần chính website đã quyết định hiển thị cho mọi người.

Tòa án đã nói gì

Phần lớn án lệ về chủ đề này nằm ở Hoa Kỳ, vì vậy các quốc gia khác cũng thường viện dẫn đến nó.

Van Buren kiện Hoa Kỳ (2021). Tòa án Tối cao Hoa Kỳ đã thu hẹp khái niệm "vượt quá quyền truy cập được ủy quyền" trong đạo luật liên bang về gian lận máy tính (Computer Fraud and Abuse Act, CFAA). Tòa xem xét việc "cánh cửa" dẫn đến dữ liệu có mở ra cho người đó hay không, chứ không xét người đó sử dụng dữ liệu với mục đích gì.

hiQ Labs kiện LinkedIn. Tòa phúc thẩm Liên bang khu vực 9 hai lần, vào năm 2019 và năm 2022, đã đi đến kết luận rằng việc thu thập các hồ sơ công khai nhiều khả năng không phải là truy cập trái phép theo CFAA. Nhưng vụ việc này còn một phần thứ hai, ít được nhắc đến hơn. Cuối năm 2022, tòa sơ thẩm xác định rằng hiQ đã vi phạm thỏa thuận người dùng của LinkedIn, trong đó có việc sử dụng các tài khoản giả để xem dữ liệu sau khi đăng nhập. Tranh chấp kết thúc bằng thỏa thuận giữa các bên. Kết luận rất đơn giản: các trang công khai và dữ liệu sau khâu đăng nhập dẫn đến những hệ quả rất khác nhau.

Meta kiện Bright Data (2024). Tòa án ở California xác định rằng điều khoản sử dụng của Facebook và Instagram không cấm việc thu thập dữ liệu công khai khi không đăng nhập tài khoản. Không lâu sau, Meta đã rút đơn kiện.

Điều gì không trở thành được phép chỉ vì dữ liệu đang công khai

Dữ liệu cá nhân. Họ tên, số điện thoại, ảnh của một người vẫn là dữ liệu cá nhân, ngay cả khi nằm trên một trang công khai. Các luật riêng được áp dụng đối với loại dữ liệu này. Ở Liên minh châu Âu là GDPR. Tại Việt Nam, từ ngày 1/1/2026 có hiệu lực Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, thay thế Nghị định số 13/2023/NĐ-CP trước đây. Luật này, cụ thể, cấm mua bán dữ liệu cá nhân, trừ những trường hợp được luật quy định rõ. Vì vậy, câu hỏi đầu tiên với bất kỳ dự án nào là: nhiệm vụ có cần đến dữ liệu cá nhân hay không. Thường là không.

Quyền tác giả. Các dữ kiện, ví dụ giá, tình trạng còn hàng hoặc tên công ty, thông thường, không được bảo hộ bởi quyền tác giả. Văn bản mô tả, bài viết và ảnh thì được bảo hộ. Bạn có thể thu thập giá và so sánh với các mức giá khác. Nhưng không được sao chép mô tả và ảnh của người khác về website của mình.

Cơ sở dữ liệu. Tại EU, các cơ sở dữ liệu mà việc tạo lập đã đòi hỏi đầu tư đáng kể được bảo hộ riêng. Việc trích xuất một phần đáng kể của cơ sở dữ liệu như vậy có thể xâm phạm quyền của chủ sở hữu, ngay cả khi từng bản ghi riêng lẻ là công khai.

Tải đối với website. Việc thu thập không được gây cản trở hoạt động của nguồn. Tần suất yêu cầu hợp lý, phân bổ chúng theo thời gian và không giả danh người dùng được ủy quyền: đây không chỉ là vấn đề phép lịch sự mà còn là vấn đề rủi ro pháp lý.

Những gì chúng tôi kiểm tra trước khi bắt đầu dự án

Mỗi dự án đều được kiểm tra theo một số câu hỏi trước khi bắt đầu:

1. Thẩm quyền pháp lý. Nguồn nằm ở đâu và khách hàng nằm ở đâu. Quy tắc ở mỗi quốc gia khác nhau.
2. Tính công khai. Dữ liệu cần thiết có truy cập được mà không cần đăng nhập tài khoản và không cần trả phí hay không. Chúng tôi không vượt qua khâu đăng nhập, các mục trả phí và khu vực không công khai, đây là nguyên tắc của chúng tôi.
3. Dữ liệu cá nhân. Bộ dữ liệu cần thiết có chứa chúng hay không và nhiệm vụ có cần đến chúng hay không. Nếu không, chúng tôi không thu thập.
4. Mục đích sử dụng. Khách hàng dùng dữ liệu để làm gì: phân tích nội bộ, so sánh giá, huấn luyện mô hình. Các hạn chế phụ thuộc vào điều này.

Theo yêu cầu, khách hàng nhận được ý kiến pháp lý về dự án của mình.

Kết luận

Thu thập dữ liệu công khai là hợp pháp chừng nào nó vẫn là thu thập dữ liệu công khai: không đăng nhập tài khoản, không có dữ liệu cá nhân ở nơi không cần, không sao chép văn bản của người khác và không gây hại cho nguồn. Ranh giới giữa công khai và không công khai tồn tại không phải để bị vượt qua. Làm việc trung thực nghĩa là chấp nhận nó như một câu trả lời.