Theo Cục An ninh mạng và phóng, chống tội phạm sử dụng công nghệ cao, so với Nghị định 15/2020/NĐ-CP trước đây, Nghị định 330/2026/NĐ-CP đã tách riêng hành vi "công khai dữ liệu cá nhân", đặt ra chế tài mạnh mẽ hơn nhằm tiếp nối Luật Bảo vệ dữ liệu cá nhân.
Văn bản này thiết lập ranh giới pháp lý nghiêm ngặt đối với hành vi "bóc phốt", công khai thông tin cá nhân trên mạng xã hội, đồng thời đưa ra các khung phạt tiền kỷ luật đối với hành vi mua bán dữ liệu trái phép.
Đăng thông tin người khác lên mạng để “bóc phốt” bị phạt đến 25 triệu đồng?
Khoản 2 Điều 50 Nghị định quy định tổ chức có hành vi công khai dữ liệu cá nhân khi chưa được chủ thể đồng ý (hoặc công khai gây xâm phạm quyền, lợi ích hợp pháp của người khác) sẽ bị phạt từ 30 đến 50 triệu đồng. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa, tương ứng 15 đến 25 triệu đồng.
Cụ thể, theo khoản 2 Điều 50 Nghị định 330/2026/NĐ-CP, tổ chức bị phạt từ 30-50 triệu đồng đối với một trong các hành vi:
- Công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;
- Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu , trừ trường hợp pháp luật cho phép.
Mức phạt nêu trên được áp dụng đối với tổ chức. Theo khoản 1 Điều 7 Nghị định này, nếu cá nhân thực hiện cùng hành vi thì mức phạt bằng một nửa mức phạt đối với tổ chức.
Như vậy, tổ chức tự ý công khai dữ liệu cá nhân có thể bị phạt từ 30-50 triệu đồng; cá nhân vi phạm có thể bị phạt từ 15-25 triệu đồng.
Ngoài bị phạt tiền, người vi phạm bắt buộc phải gỡ bỏ, thu hồi toàn bộ dữ liệu cá nhân đã công khai trái phép.
Hộ kinh doanh, hộ gia đình và cộng đồng dân cư thực hiện hành vi vi phạm bị áp dụng mức phạt như đối với cá nhân. Ngoài tiền phạt, điểm b khoản 3 Điều 50 còn quy định buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai đối với các hành vi trên.
Do đó, một người tự ý đăng dữ liệu của người khác để “bóc phốt” có thể vừa bị phạt đến 25 triệu đồng, vừa phải gỡ bỏ hoặc thu hồi thông tin đã đưa lên mạng.
Dù vậy, Nghị định 330 không quy định cứ đăng thông tin liên quan đến người khác là đương nhiên bị phạt. Điểm b khoản 2 Điều 50 đã loại trừ trường hợp pháp luật cho phép công khai. Từng vụ việc phải được xem xét dựa trên loại dữ liệu, hoàn cảnh đăng tải, sự đồng ý của chủ thể dữ liệu và quy định pháp luật có liên quan.
Cục An ninh mạng và phóng, chống tội phạm sử dụng công nghệ cao lưu ý, đối với người dùng mạng xã hội, việc đăng tải thông tin để phản ánh, tố cáo hay tranh chấp không đồng nghĩa với quyền công khai mọi thông tin riêng tư của người khác. Dữ liệu được đưa ra công khai bắt buộc phải nằm trong giới hạn pháp luật cho phép và đúng phạm vi cần thiết.
Cũng cần lưu ý rằng, pháp luật không sử dụng thuật ngữ "bóc phốt". Đây là cách gọi phổ biến đối với việc đăng thông tin lên mạng để phản ánh, cảnh báo, tố cáo hoặc chỉ trích một cá nhân, tổ chức.
Bài đăng "bóc phốt" thường kèm theo họ tên, hình ảnh, số điện thoại, địa chỉ, nội dung tin nhắn, thông tin tài khoản hoặc giấy tờ của người bị phản ánh. Việc đưa những dữ liệu này lên mạng có thể thuộc hoạt động công khai dữ liệu cá nhân và phải tuân thủ quy định của pháp luật.
Không được tự coi sự im lặng là đồng ý cho sử dụng dữ liệu
Tại Điều 43, Nghị định siết chặt quy trình xin phép và ghi nhận sự đồng ý của người dùng đối với các doanh nghiệp, tổ chức thu thập dữ liệu.
Theo khoản 2 Điều 43, tổ chức có thể bị phạt từ 50-70 triệu đồng nếu tự động xem việc chủ thể dữ liệu im lặng hoặc không phản hồi yêu cầu xin ý kiến là sự đồng ý để thu thập, xử lý dữ liệu cá nhân.
Mức phạt này cũng được áp dụng đối với tổ chức cố tình tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu yêu cầu ngừng hoặc hạn chế xử lý; hoặc sau khi cơ quan có thẩm quyền đã yêu cầu dừng xử lý bằng văn bản.
Ngoài ra, khoản 1 Điều 43 quy định phạt từ 30-50 triệu đồng đối với tổ chức xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa được chủ thể dữ liệu đồng ý, trừ trường hợp pháp luật có quy định khác.
Bên cạnh hình thức phạt tiền, tổ chức vi phạm còn bị buộc hủy, xóa dữ liệu đã thu thập hoặc xử lý khi chưa có sự đồng ý hợp lệ đến mức không thể khôi phục; đồng thời phải nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.
Theo Điều 7 Nghị định 330/2026/NĐ-CP, các mức phạt nêu trên được áp dụng đối với tổ chức. Nếu cá nhân thực hiện cùng hành vi vi phạm thì mức phạt bằng một nửa mức phạt của tổ chức.
