Công khai dữ liệu người khác để 'bóc phốt' có thể bị phạt 25 triệu đồng

Cá nhân công khai dữ liệu của người khác khi chưa được đồng ý có thể bị phạt tới 25 triệu đồng, đồng thời buộc gỡ bỏ, thu hồi thông tin đã công khai.

Nội dung này được quy định tại Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, được Chính phủ ban hành và có hiệu lực từ ngày 19/8. Nghị định gồm 4 chương, 82 điều.

Theo khoản 2 Điều 50, tổ chức công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác, bị phạt 30-50 triệu đồng. Mức tiền tại nhóm quy định về bảo vệ dữ liệu cá nhân áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi chịu mức bằng một nửa, tương ứng 15-25 triệu đồng.

Cùng mức phạt này còn áp dụng với việc công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Ngoài tiền phạt, người vi phạm có thể bị buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai.

Quy định đặt ra ranh giới pháp lý đáng chú ý với những trường hợp đưa dữ liệu của người khác lên mạng để tố cáo, phản ánh, tranh chấp hoặc "bóc phốt". Tuy nhiên, Nghị định không quy định cứ đăng thông tin liên quan đến người khác là bị xử phạt. Việc áp dụng còn phụ thuộc dữ liệu được công khai, sự đồng ý của chủ thể và trường hợp pháp luật cho phép.

Công khai đúng mục đích nhưng quá phạm vi cũng có thể bị phạt

Điều 50 không chỉ xử lý việc công khai dữ liệu khi chưa được đồng ý.

Tổ chức có thể bị phạt 20-30 triệu đồng nếu công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai; công khai vượt quá phạm vi, loại dữ liệu cần thiết cho mục đích công khai; hoặc công khai nhưng không phản ánh đúng dữ liệu từ nguồn gốc. Cá nhân thực hiện cùng hành vi chịu một nửa mức phạt.

Việc không kiểm soát, giám sát hoạt động công khai hoặc không có biện pháp ngăn chặn truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa, hủy trái phép dữ liệu đã công khai cũng thuộc nhóm bị xử phạt.

Như vậy, Nghị định không chỉ đặt vấn đề "có được công khai hay không", mà còn kiểm soát công khai để làm gì và đến mức nào. Một mục đích công khai không đồng nghĩa mọi dữ liệu liên quan đến một người đều có thể được đưa ra công chúng.

Đây là điểm có ý nghĩa trực tiếp với người dùng mạng xã hội: khi phản ánh một vụ việc, dữ liệu được đưa ra công khai vẫn phải nằm trong giới hạn mà pháp luật cho phép.

Khác gì so với trước?

Trước Nghị định 330, Nghị định 15/2020 đã xử phạt hành vi thu thập, sử dụng, chia sẻ, phát tán thông tin cá nhân trái quy định, mức cao nhất 30 triệu đồng với tổ chức.

Nghị định 330 tách "công khai dữ liệu cá nhân" thành hành vi riêng, quy định cụ thể về mục đích, phạm vi, sự đồng ý và nâng mức phạt hành vi công khai khi chưa được đồng ý lên 30-50 triệu đồng với tổ chức.

Sau Nghị định 13/2023 và Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 2026, Nghị định 330 tiếp tục cụ thể hóa các vi phạm thành mức phạt và biện pháp khắc phục tương ứng.

Công khai dữ liệu người khác để "bốc phốt" có thể bị phạt. Ảnh: Xuân Minh

Không được coi 'im lặng là đồng ý'

Một nhóm quy định khác đáng chú ý nằm ở Điều 43 về sự đồng ý của chủ thể dữ liệu cá nhân.

Nghị định phạt tổ chức 30-50 triệu đồng đối với nhiều hành vi như xử lý dữ liệu sau khi thu thập nhưng chưa có sự đồng ý; thiết lập phương thức mặc định đồng ý; tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý; không cung cấp đầy đủ thông tin về loại dữ liệu, mục đích xử lý và quyền, nghĩa vụ của chủ thể dữ liệu.

Hình thức xin phép cũng phải bảo đảm người dùng được đồng ý với từng mục đích xử lý dữ liệu.

Đặc biệt, hành vi thu thập, xử lý dữ liệu khi người dùng giữ im lặng hoặc không phản hồi rồi tự coi đó là đồng ý có thể bị phạt 50-70 triệu đồng đối với tổ chức. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa.

Như vậy, sự đồng ý không chỉ được xem xét ở việc người dùng có bấm nút "đồng ý" hay không, mà còn ở cách thức doanh nghiệp thiết kế và ghi nhận sự đồng ý đó.

Mua bán dữ liệu có thể bị phạt đến hàng tỷ đồng

Nhóm chế tài nặng nhất nằm ở hành vi mua, bán trái phép dữ liệu cá nhân.

Điều 53 quy định một số hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt từ hai lần đến tối đa 10 lần khoản thu từ hành vi vi phạm. Người vi phạm còn có thể bị buộc hủy, xóa toàn bộ dữ liệu đã mua bán, nộp lại khoản thu và thông báo cho các chủ thể bị ảnh hưởng.

Đối với hành vi mua, bán dữ liệu trái phép xâm phạm quốc phòng, an ninh, trật tự, kinh tế, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản hoặc quyền, lợi ích hợp pháp của tổ chức, cá nhân, mức phạt đến 3 tỷ đồng.

Với người dùng mạng xã hội, việc "bóc phốt" không đồng nghĩa với quyền công khai mọi thông tin về người bị phản ánh. Cần phân biệt nội dung cần thiết để phản ánh vụ việc và dữ liệu cá nhân không cần thiết phải công khai.

Phạm Hải