Trong một thời gian dài, việc nhiều người xử lý các mâu thuẫn bằng cách đăng tải công khai các hình ảnh, dữ liệu cá nhân của "đối thủ" lên mạng xã hội nhằm "bóc phốt' diễn ra tràn lan.
Việc làm này không chỉ gây gây sức ép cho người khác mà còn thu hút sự chú ý của cộng đồng.
Chính phủ vừa ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực từ ngày 19/8/2026, quy định cụ thể nhiều hành vi vi phạm liên quan đến thu thập, xử lý, công khai, mua bán dữ liệu cá nhân.
Phạt đến 25 triệu đồng với cá nhân
Theo Điều 50 Nghị định số 330/2026/NĐ-CP, tổ chức có hành vi công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép; hoặc công khai dữ liệu gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu có thể bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng. Cá nhân thực hiện cùng hành vi có thể bị phạt từ 15 triệu đồng đến 25 triệu đồng.
Ngoài phạt tiền, tổ chức, cá nhân vi phạm còn có thể bị buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai trái quy định.
Đối với hành vi công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai theo quy định của pháp luật; công khai vượt quá phạm vi cần thiết hoặc thông tin được công khai không đúng với dữ liệu từ nguồn gốc, tổ chức có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng; cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa.
Như vậy, khi xảy ra tranh chấp, người dân có quyền phản ánh, khiếu nại, tố cáo hoặc cung cấp chứng cứ cho cơ quan có thẩm quyền nhưng không được tùy tiện đưa toàn bộ thông tin riêng tư của người khác lên mạng xã hội.
Việc nắm giữ thông tin không đồng nghĩa với quyền công khai thông tin; cũng không thể nhân danh "bóc phốt", "cảnh báo cộng đồng" hoặc "đòi lại công bằng" để xâm phạm dữ liệu cá nhân, quyền riêng tư và lợi ích hợp pháp của người khác.
Ảnh minh họa. Tạo bằng AI.
Không được coi sự im lặng của người khác là đồng ý
Theo Điều 43 Nghị định số 330/2026/NĐ-CP, tổ chức có hành vi xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu; thiết lập phương thức mặc định đồng ý; tạo chỉ dẫn không rõ ràng, gây hiểu lầm hoặc không cung cấp đầy đủ thông tin về loại dữ liệu, mục đích xử lý có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng.
Đáng chú ý, tổ chức thực hiện việc thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý có thể bị phạt từ 50 triệu đồng đến 70 triệu đồng. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa.
Quy định này khẳng định sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể và có thể kiểm chứng; không thể áp đặt theo cách "không phản đối, không phát ngôn thì coi như đồng ý".
Mua, bán trái phép dữ liệu cá nhân có thể bị xử phạt hàng tỷ đồng
Một trong những nhóm hành vi bị xử lý nghiêm khắc nhất theo Nghị định số 330/2026/NĐ-CP là mua, bán trái phép dữ liệu cá nhân.
Theo Điều 53 Nghị định này, tổ chức có hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt từ 02 lần đến tối đa 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn mức phạt được quy định thì áp dụng mức phạt tương ứng theo Nghị định.
Đối với hành vi mua, bán trái phép dữ liệu cá nhân xâm phạm đến quốc phòng, an ninh, trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu hoặc quyền, lợi ích hợp pháp của tổ chức, cá nhân, mức phạt đối với tổ chức từ 1 tỷ đồng đến 3 tỷ đồng. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa mức phạt áp dụng đối với tổ chức.
Tổ chức, cá nhân vi phạm còn có thể bị tịch thu tang vật, phương tiện; buộc hủy, xóa đến mức không thể khôi phục toàn bộ dữ liệu cá nhân đã mua, bán trái phép; nộp lại khoản thu có được từ hành vi vi phạm và thực hiện các biện pháp khắc phục hậu quả khác theo quy định.
