Công khai dữ liệu người khác để 'bóc phốt' có thể bị phạt 25 triệu

Cá nhân tự ý công khai dữ liệu của người khác trên mạng khi chưa có sự đồng ý có thể bị phạt tới 25 triệu đồng. Ảnh minh họa: Xuân Sang.

Nội dung này được quy định tại Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8. Nghị định gồm 4 chương, 82 điều và bổ sung nhiều chế tài liên quan đến việc thu thập, xử lý, công khai và mua bán dữ liệu cá nhân.

Một trong những điểm đáng chú ý là hành vi “công khai dữ liệu cá nhân” được quy định riêng, qua đó đặt ra giới hạn rõ hơn đối với việc đưa thông tin của người khác lên mạng xã hội để phản ánh, tố cáo hoặc giải quyết tranh chấp.

Đăng bài “bóc phốt” khi nào có thể bị phạt?

Trên mạng xã hội, những bài đăng nhằm phản ánh, cảnh báo, tố cáo hoặc chỉ trích một cá nhân, tổ chức thường được gọi là “bóc phốt”. Các bài viết dạng này thường đi kèm họ tên, hình ảnh, số điện thoại, địa chỉ, nội dung tin nhắn, thông tin tài khoản hoặc giấy tờ của người bị phản ánh.

Khi những thông tin này thuộc dữ liệu cá nhân, việc đưa lên mạng không chỉ liên quan đến nội dung phản ánh mà còn phải tuân thủ các quy định về bảo vệ dữ liệu cá nhân.

Theo khoản 2 Điều 50 Nghị định 330, tổ chức công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép, có thể bị phạt 30-50 triệu đồng. Mức phạt tương tự cũng áp dụng nếu việc công khai xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Đối với cá nhân, mức phạt bằng một nửa mức áp dụng cho tổ chức, tương ứng 15-25 triệu đồng. Hộ kinh doanh, hộ gia đình và cộng đồng dân cư cũng áp dụng mức phạt như đối với cá nhân.

Cá nhân có thể bị phạt đến 25 triệu đồng nếu công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu. Ảnh minh họa: Reuters.

Ngoài tiền phạt, người vi phạm còn có thể bị buộc gỡ bỏ hoặc thu hồi dữ liệu đã công khai. Như vậy, một người đăng bài để phản ánh, tố cáo hay “bóc phốt” vẫn có thể bị xử phạt nếu tự ý công khai dữ liệu cá nhân của người khác hoặc việc công khai xâm phạm quyền, lợi ích hợp pháp của họ.

Tuy nhiên, Nghị định 330 không có nghĩa cứ đăng thông tin về người khác là vi phạm. Việc xử lý còn phụ thuộc vào loại dữ liệu được công khai, mục đích và phạm vi đăng tải, sự đồng ý của chủ thể cũng như những trường hợp pháp luật cho phép.

Như vậy, việc phản ánh một vụ việc không đồng nghĩa người đăng có thể công khai toàn bộ thông tin cá nhân của những người liên quan.

Im lặng không được xem là đồng ý

Bên cạnh quy định về công khai dữ liệu, Nghị định 330 còn quy định chặt hơn cách các tổ chức, doanh nghiệp xin và ghi nhận sự đồng ý của người dùng.

Theo Điều 43, tổ chức có thể bị phạt 30-50 triệu đồng nếu xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu, trừ những trường hợp pháp luật cho phép.

Các hành vi thiết lập sẵn trạng thái “đồng ý”, đưa ra lựa chọn thiếu rõ ràng hoặc khiến người dùng dễ nhầm lẫn giữa đồng ý và từ chối cũng có thể bị xử lý. Theo quy định, người dùng phải được thông tin cụ thể về loại dữ liệu được thu thập, mục đích sử dụng và phạm vi xử lý trước khi đưa ra sự đồng ý.

Đáng chú ý, tổ chức không được tự suy diễn sự im lặng hoặc việc không phản hồi là đồng ý. Nếu vẫn thu thập, xử lý dữ liệu trên cơ sở này, mức phạt có thể lên tới 50-70 triệu đồng.

Tổ chức không được tự suy diễn sự im lặng hoặc việc không phản hồi là đồng ý. Ảnh minh họa: pexels.

Mức phạt này cũng có thể áp dụng nếu tổ chức tiếp tục xử lý dữ liệu sau khi chủ thể đã yêu cầu ngừng hoặc hạn chế xử lý, hoặc sau khi cơ quan có thẩm quyền yêu cầu dừng.

Quy định này cho thấy sự đồng ý phải được thể hiện rõ ràng, thay vì được suy diễn từ việc người dùng không phản hồi.