Cá nhân tự ý công khai dữ liệu của người khác khi chưa được đồng ý có thể bị phạt 15–25 triệu đồng, đồng thời bị buộc gỡ bỏ, thu hồi dữ liệu đã công khai. Tuy nhiên, không phải mọi bài đăng phản ánh, tố cáo hay tranh chấp trên mạng đều mặc nhiên bị xử phạt.
Nghị định 330/2026/NĐ-CP, được Chính phủ ban hành và có hiệu lực từ ngày 19/8/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Văn bản gồm 4 chương, 82 điều, trong đó dành riêng một nhóm quy định cho các hành vi thu thập, cung cấp, công khai, chuyển giao và xử lý dữ liệu cá nhân trái quy định.
Theo khoản 2 Điều 50, tổ chức có thể bị phạt 30–50 triệu đồng nếu công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép. Cùng khung xử phạt còn áp dụng khi việc công khai dữ liệu xâm phạm quyền, lợi ích hợp pháp của người có dữ liệu.
Đối với lĩnh vực bảo vệ dữ liệu cá nhân, mức tiền quy định tại Mục 6 Chương II của Nghị định được xác định cho tổ chức. Cá nhân thực hiện cùng hành vi chịu mức bằng một nửa, do đó khung tương ứng với hành vi trên là 15–25 triệu đồng.
Nghị định đồng thời quy định biện pháp khắc phục là buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai đối với các hành vi thuộc khoản 2 Điều 50.
Không phải cứ đăng thông tin người khác là bị phạt
Điểm cần phân biệt là pháp luật không sử dụng khái niệm “bóc phốt” để xác định vi phạm.
Điều 50 xử lý hành vi công khai dữ liệu cá nhân không đáp ứng điều kiện pháp luật, chứ không quy định mọi bài viết nhắc tên, phản ánh hoặc khiếu nại về người khác đều phải chịu mức phạt 25 triệu đồng.
Theo Điều 16 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân chỉ được công khai với mục đích cụ thể; loại dữ liệu và phạm vi công khai phải phù hợp với mục đích đó và không được xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.
Luật xác định bốn nhóm trường hợp có thể công khai dữ liệu cá nhân:
Có sự đồng ý của chủ thể dữ liệu;
Công khai theo quy định của pháp luật;
Một số trường hợp phục vụ giải quyết tình trạng khẩn cấp, nguy cơ đối với an ninh quốc gia hoặc phòng, chống tội phạm, vi phạm pháp luật theo điều kiện luật định;
Thực hiện nghĩa vụ theo hợp đồng.
Vì vậy, việc một người cho rằng mình đang “phản ánh sự thật” không tự động tạo ra quyền công khai toàn bộ dữ liệu cá nhân của bên còn lại. Cần xem dữ liệu nào thực sự cần thiết cho mục đích phản ánh, có căn cứ nào cho phép công khai và phạm vi đăng tải có vượt quá mức cần thiết hay không.
Công khai quá mức cần thiết cũng có thể bị xử phạt
Điều 50 không chỉ xử lý trường hợp thiếu sự đồng ý.
Tổ chức có thể bị phạt 20–30 triệu đồng nếu công khai dữ liệu không có mục đích cụ thể hoặc không thuộc trường hợp được phép; công khai vượt quá phạm vi, loại dữ liệu cần thiết; hoặc thông tin công khai không phản ánh đúng dữ liệu từ nguồn gốc. Cá nhân thực hiện cùng hành vi chịu mức bằng một nửa, tương ứng 10–15 triệu đồng.
Ví dụ về mặt nguyên tắc, một tranh chấp mua bán có thể cần công khai một số dữ kiện để chứng minh diễn biến vụ việc, nhưng điều đó không đồng nghĩa người đăng được tự do đưa lên mạng mọi thông tin nhận diện, tài khoản, địa chỉ hoặc dữ liệu khác của bên liên quan nếu chúng không cần thiết cho mục đích phản ánh.
Điều đáng chú ý ở quy định mới là pháp luật xem xét đồng thời ba yếu tố: mục đích công khai, phạm vi dữ liệu và căn cứ pháp lý. Có căn cứ để đề cập một vụ việc không có nghĩa mọi dữ liệu gắn với cá nhân trong vụ việc đều được phép công khai.
Sự đồng ý phải có thật, không thể mặc định từ im lặng
Nghị định 330 cũng tăng chế tài đối với việc xử lý dữ liệu khi chưa có sự đồng ý hợp lệ.
Theo Điều 43, tổ chức có thể bị phạt 30–50 triệu đồng nếu xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý, trừ trường hợp pháp luật cho phép. Việc thiết lập chế độ mặc định đồng ý, đưa ra chỉ dẫn gây nhầm lẫn hoặc không chứng minh được người dùng đã đồng ý cũng thuộc nhóm hành vi bị xử lý.
Đáng chú ý, nếu thu thập, xử lý dữ liệu trong trường hợp người dùng im lặng hoặc không phản hồi rồi tự coi đó là đồng ý, mức phạt đối với tổ chức có thể lên 50–70 triệu đồng; cá nhân thực hiện cùng hành vi chịu mức bằng một nửa.
Điều này cho thấy nguyên tắc bảo vệ dữ liệu không chỉ nằm ở việc “có hỏi ý kiến hay không”, mà còn ở việc sự đồng ý có được thể hiện rõ ràng, tự nguyện và có khả năng chứng minh hay không.
Phải phân biệt ‘xử lý không cần đồng ý’ với quyền công khai
Một điểm dễ bị diễn giải sai là Luật Bảo vệ dữ liệu cá nhân có quy định một số trường hợp xử lý dữ liệu không cần sự đồng ý, nhưng điều đó không đồng nghĩa cá nhân được tự do đưa dữ liệu lên mạng.
Điều 19 của Luật cho phép xử lý không cần đồng ý trong một số tình huống đặc biệt, như bảo vệ tính mạng, sức khỏe, quyền và lợi ích hợp pháp trong trường hợp cần thiết; phòng, chống tội phạm; phục vụ hoạt động quản lý nhà nước hoặc các trường hợp khác được pháp luật quy định.
Tuy nhiên, riêng việc công khai dữ liệu phải tuân theo Điều 16, với các điều kiện và trường hợp được phép công khai cụ thể hơn. Vì vậy, không nên suy luận rằng chỉ cần cho rằng mình đang bảo vệ quyền lợi thì có thể đăng toàn bộ dữ liệu của người khác lên mạng xã hội.
Cơ quan xử phạt phải xác định đúng hành vi
Nghị định 330 yêu cầu khi một hành vi có dấu hiệu thuộc nhiều quy định xử phạt khác nhau, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi và căn cứ pháp lý để xử lý.
Điều này có ý nghĩa với các vụ “bóc phốt” trên mạng, bởi cùng một bài đăng có thể phát sinh nhiều vấn đề pháp lý khác nhau: bảo vệ dữ liệu cá nhân, thông tin sai sự thật, xúc phạm danh dự hoặc các quy định chuyên ngành khác. Việc xử lý phải dựa trên nội dung cụ thể và chứng cứ của từng vụ việc, không thể chỉ dựa vào việc bài viết có được gọi là “bóc phốt” hay không.
Nghị định cũng công nhận thông tin, hình ảnh, âm thanh, tài liệu số và các dạng dữ liệu điện tử được thu thập hợp pháp có thể được sử dụng làm chứng cứ trong quá trình xử lý vi phạm hành chính trên môi trường điện tử; người có thẩm quyền phải kiểm tra độ tin cậy và tính toàn vẹn của chứng cứ.
Quy định đã có hiệu lực
Nghị định 330/2026/NĐ-CP được ban hành ngày 19/8/2026 và có hiệu lực ngay cùng ngày. Đây là quy định đã có hiệu lực pháp lý, không còn ở giai đoạn dự thảo.
Do đó, cách diễn đạt chính xác nhất là:
“Theo Nghị định 330/2026/NĐ-CP, cá nhân công khai dữ liệu của người khác khi chưa được đồng ý, trừ trường hợp pháp luật cho phép, có thể bị phạt 15–25 triệu đồng. Nghị định còn quy định biện pháp buộc gỡ bỏ, thu hồi dữ liệu đã công khai. Tuy nhiên, việc xử phạt phải căn cứ vào loại dữ liệu, mục đích, phạm vi công khai và căn cứ pháp luật của từng trường hợp, không phải mọi bài phản ánh hoặc ‘bóc phốt’ đều mặc nhiên bị xử phạt.”
