Theo Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Nghị định 330/2026/NĐ-CP có điểm mới so với Nghị định 15/2020/NĐ-CP khi quy định riêng đối với hành vi “công khai dữ liệu cá nhân”, đồng thời tăng cường mức xử phạt, qua đó cụ thể hóa và tiếp tục thực hiện các yêu cầu của Luật Bảo vệ dữ liệu cá nhân.
Văn bản này tạo hành lang pháp lý chặt chẽ hơn đối với việc “bóc phốt”, đăng tải thông tin cá nhân trên mạng xã hội, đồng thời quy định mức xử phạt tiền nghiêm khắc đối với các hành vi mua bán dữ liệu không được phép.
Đăng thông tin người khác lên mạng để “bóc phốt” bị phạt đến 25 triệu đồng?
Khoản 2 Điều 50 Nghị định quy định tổ chức có hành vi công khai dữ liệu cá nhân khi chưa được chủ thể đồng ý (hoặc công khai gây xâm phạm quyền, lợi ích hợp pháp của người khác) sẽ bị phạt từ 30 đến 50 triệu đồng. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa, tương ứng 15 đến 25 triệu đồng.
Cụ thể, theo khoản 2 Điều 50 Nghị định 330/2026/NĐ-CP, tổ chức bị phạt từ 30-50 triệu đồng đối với một trong các hành vi:
- Công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;
- Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu , trừ trường hợp pháp luật cho phép.
Mức phạt nêu trên được áp dụng đối với tổ chức. Theo khoản 1 Điều 7 Nghị định này, nếu cá nhân thực hiện cùng hành vi thì mức phạt bằng một nửa mức phạt đối với tổ chức.
Như vậy, tổ chức tự ý công khai dữ liệu cá nhân có thể bị phạt từ 30-50 triệu đồng; cá nhân vi phạm có thể bị phạt từ 15-25 triệu đồng.
Ngoài việc bị xử phạt bằng tiền, người vi phạm còn phải thực hiện biện pháp khắc phục hậu quả, trong đó bắt buộc gỡ bỏ và thu hồi toàn bộ dữ liệu cá nhân đã công khai trái quy định.
Đối với hộ kinh doanh, hộ gia đình và cộng đồng dân cư, mức xử phạt được áp dụng tương tự như đối với cá nhân. Bên cạnh tiền phạt, điểm b khoản 3 Điều 50 còn yêu cầu các chủ thể vi phạm phải gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai trái phép.
Do đó, một người tự ý đăng dữ liệu của người khác để “bóc phốt” có thể vừa bị phạt đến 25 triệu đồng, vừa phải gỡ bỏ hoặc thu hồi thông tin đã đưa lên mạng.
Dù vậy, Nghị định 330 không quy định cứ đăng thông tin liên quan đến người khác là đương nhiên bị phạt. Điểm b khoản 2 Điều 50 đã loại trừ trường hợp pháp luật cho phép công khai. Từng vụ việc phải được xem xét dựa trên loại dữ liệu, hoàn cảnh đăng tải, sự đồng ý của chủ thể dữ liệu và quy định pháp luật có liên quan.
Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao khuyến cáo, người dùng mạng xã hội cần hiểu rằng việc đăng tải nội dung nhằm phản ánh, tố cáo hoặc giải quyết tranh chấp không đồng nghĩa với việc được phép tùy ý công khai thông tin riêng tư của người khác. Những dữ liệu được đưa lên môi trường mạng phải nằm trong phạm vi pháp luật cho phép và chỉ nên công khai ở mức thực sự cần thiết.
Một điểm đáng chú ý là pháp luật hiện hành không có thuật ngữ chính thức “bóc phốt”. Đây là cách nói thường được sử dụng để chỉ việc đăng tải thông tin trên mạng xã hội với mục đích phản ánh, cảnh báo, tố cáo hoặc bày tỏ sự chỉ trích đối với một cá nhân hay tổ chức.
Trong thực tế, các bài đăng dạng “bóc phốt” có thể đi kèm nhiều thông tin như họ tên, hình ảnh, số điện thoại, địa chỉ, nội dung trao đổi qua tin nhắn, thông tin tài khoản hoặc hình ảnh giấy tờ của người bị phản ánh. Khi những dữ liệu này được công khai trên mạng, hành vi có thể được xem là công khai dữ liệu cá nhân và phải bảo đảm tuân thủ đầy đủ các quy định pháp luật có liên quan.
Không được tự coi sự im lặng là đồng ý cho sử dụng dữ liệu
Tại Điều 43, Nghị định siết chặt quy trình xin phép và ghi nhận sự đồng ý của người dùng đối với các doanh nghiệp, tổ chức thu thập dữ liệu.
Theo khoản 2 Điều 43, tổ chức có thể bị phạt từ 50-70 triệu đồng nếu tự động xem việc chủ thể dữ liệu im lặng hoặc không phản hồi yêu cầu xin ý kiến là sự đồng ý để thu thập, xử lý dữ liệu cá nhân.
Mức xử phạt này cũng áp dụng đối với tổ chức vẫn tiếp tục xử lý dữ liệu cá nhân dù chủ thể dữ liệu đã yêu cầu dừng hoặc hạn chế việc xử lý, hoặc trong trường hợp cơ quan có thẩm quyền đã có văn bản yêu cầu chấm dứt hoạt động xử lý dữ liệu.
Bên cạnh đó, khoản 1 Điều 43 quy định phạt từ 30 đến 50 triệu đồng đối với tổ chức thực hiện xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa được chủ thể dữ liệu chấp thuận, ngoại trừ những trường hợp pháp luật có quy định khác.
Không chỉ chịu phạt tiền, tổ chức vi phạm còn phải hủy hoặc xóa dữ liệu đã thu thập, xử lý khi chưa có sự đồng ý hợp lệ, bảo đảm dữ liệu bị loại bỏ đến mức không thể khôi phục. Đồng thời, tổ chức phải nộp lại toàn bộ khoản thu bất hợp pháp phát sinh từ hành vi vi phạm.
Theo Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt được quy định nêu trên áp dụng đối với tổ chức. Trường hợp cá nhân thực hiện hành vi vi phạm tương tự thì mức phạt được áp dụng bằng 50% mức phạt dành cho tổ chức.
