Xã Hồng Châu

Từ một bức ảnh cá nhân, ảnh căn cước nhặt được, số điện thoại của người nợ tiền đến bài đăng “bóc phốt” một người bị cho là lừa đảo, chỉ vài thao tác trên mạng xã hội có thể khiến dữ liệu cá nhân được hàng nghìn người tiếp cận.

Từ ngày 19/8/2026, Nghị định 330/2026/NĐ-CP quy định cụ thể các chế tài đối với hành vi vi phạm về công khai dữ liệu cá nhân. Pháp luật không chỉ xem xét người đăng có “ý tốt” hay không mà tập trung vào căn cứ pháp lý, mục đích, phạm vi, tính chính xác và việc công khai có xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu hay không.

Mới đây, một phụ nữ ở Hà Tĩnh đăng ảnh căn cước của người khác lên mạng xã hội khi chưa được đồng ý và bị xử phạt 20 triệu đồng theo Nghị định 330.

Theo Điều 16 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân có thể được công khai khi có sự đồng ý của chủ thể dữ liệu, theo quy định pháp luật, trong một số trường hợp liên quan đến tình trạng khẩn cấp, phòng chống tội phạm, vi phạm pháp luật hoặc để thực hiện nghĩa vụ theo hợp đồng. Việc công khai phải có mục đích cụ thể, phạm vi phù hợp và không xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Điều này có nghĩa việc đăng thông tin của người khác không mặc nhiên là vi phạm, nhưng một thông tin “tình cờ có được” cũng không đồng nghĩa với việc người sở hữu thông tin đó có quyền tự do phát tán.

Điều 50 Nghị định 330/2026/NĐ-CP quy định phạt 20-30 triệu đồng đối với các hành vi như công khai dữ liệu không có mục đích cụ thể hoặc không thuộc trường hợp được phép; công khai vượt phạm vi, loại dữ liệu cần thiết; công khai dữ liệu không chính xác; không kiểm soát, giám sát hoặc không có biện pháp ngăn chặn việc sử dụng, sao chép, tiết lộ trái phép dữ liệu đã công khai.

Mức phạt 30-50 triệu đồng được áp dụng đối với hành vi công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu hoặc công khai khi chưa có sự đồng ý, trừ trường hợp pháp luật cho phép. Mức phạt đối với cá nhân bằng một nửa mức phạt đối với tổ chức. Ngoài phạt tiền, người vi phạm còn có thể bị buộc gỡ bỏ, thu hồi dữ liệu đã công khai.

“Mục đích tốt” cũng không đồng nghĩa với việc được tự do công khai dữ liệu. Chẳng hạn, nhặt được căn cước rồi đăng nguyên ảnh hai mặt để tìm chủ nhân có thể xuất phát từ thiện chí nhưng đồng thời làm lộ nhiều thông tin định danh. Cách an toàn hơn là giao giấy tờ cho cơ quan có thẩm quyền hoặc nếu cần đăng thông báo thì che các thông tin không cần thiết.

Tương tự, việc cảnh báo cộng đồng về một người bị nghi lừa đảo không đồng nghĩa với quyền công khai toàn bộ địa chỉ, số định danh, số điện thoại hoặc thông tin của người thân. Trường hợp có dấu hiệu tội phạm, việc cung cấp bằng chứng cho cơ quan chức năng sẽ phù hợp hơn so với tự đưa toàn bộ dữ liệu lên mạng xã hội.

Ngay cả khi có sự đồng ý, phạm vi công khai vẫn phải phù hợp với mục đích. Sự đồng ý phải tự nguyện, rõ ràng, cụ thể, có thể kiểm chứng và gắn với từng mục đích; im lặng hoặc không phản hồi không được coi là đồng ý.

Vì vậy, việc một người đồng ý gửi ảnh qua tin nhắn không có nghĩa họ đồng ý cho ảnh được đăng công khai. Tương tự, cung cấp số điện thoại để giao hàng không đồng nghĩa với việc doanh nghiệp được quyền công khai số điện thoại đó trên mạng. Người dùng cần cân nhắc kỹ trước khi đăng dữ liệu của người khác, đặc biệt là các thông tin định danh, liên hệ và dữ liệu có thể ảnh hưởng đến quyền, lợi ích hợp pháp của họ