Tổ chức lắp camera hoặc thiết bị ghi âm, ghi hình tại không gian công cộng, khu vực phục vụ khách hàng nhưng không đặt cảnh báo ở vị trí dễ nhận biết có thể bị phạt 10–20 triệu đồng. Với cá nhân, mức phạt tương ứng là 5–10 triệu đồng. Quy định đã có hiệu lực từ ngày 19/8.
Nghị định 330/2026/NĐ-CP, ban hành và có hiệu lực ngày 19/8/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Văn bản gồm 82 điều, trong đó Điều 71 dành riêng cho dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng.
Theo khoản 1 Điều 71, tổ chức có thể bị phạt 10–20 triệu đồng nếu lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng hoặc khu vực cung cấp dịch vụ cho khách hàng mà không thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết để người có dữ liệu hiểu rằng mình đang được ghi âm, ghi hình.
Điều 7 của Nghị định xác định các mức phạt tại phần bảo vệ dữ liệu cá nhân được quy định cho tổ chức; cá nhân vi phạm cùng hành vi chịu bằng một nửa. Vì vậy, trường hợp trên tương ứng 5–10 triệu đồng đối với cá nhân, không phải cá nhân cũng bị phạt tối đa 20 triệu đồng. Quy định không yêu cầu một hình thức biển báo duy nhất.
Điều 71 cho phép cảnh báo bằng biển vật lý hoặc phương tiện điện tử, nhưng phải đặt ở vị trí đủ dễ nhận biết để người đi vào khu vực hiểu rằng hình ảnh hoặc âm thanh của mình đang được ghi lại.
Do đó, vấn đề pháp lý không đơn giản là một cơ sở “có treo biển camera hay không”, mà còn phải xem cách thông báo có thực sự giúp chủ thể dữ liệu nhận biết việc ghi hình hay không. Chẳng hạn, cửa hàng, ngân hàng, khách sạn hoặc cơ sở dịch vụ có camera tại khu vực tiếp khách nhưng không có bất kỳ cảnh báo nào ở nơi khách hàng có thể nhận biết có thể thuộc trường hợp Điều 71 điều chỉnh.
Tuy nhiên, không nên suy rộng rằng mọi camera của cá nhân ở mọi địa điểm đều tự động chịu khung phạt này. Điều khoản đang xét quy định cụ thể việc lắp đặt, sử dụng thiết bị tại không gian công cộng và khu vực cung cấp dịch vụ cho khách hàng; việc xác định một trường hợp cụ thể còn phụ thuộc địa điểm, mục đích, chủ thể vận hành và cách dữ liệu được xử lý. Đây là điểm dễ bị hiểu nhầm nhất.
Điều 32 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cho phép cơ quan, tổ chức, cá nhân ghi âm, ghi hình và xử lý dữ liệu tại nơi công cộng mà không cần sự đồng ý trước trong một số trường hợp, gồm phục vụ quốc phòng, an ninh quốc gia, trật tự an toàn xã hội; bảo vệ quyền và lợi ích hợp pháp; hoặc ghi nhận hình ảnh, âm thanh tại một số hoạt động công cộng mà không gây tổn hại tới danh dự, nhân phẩm, uy tín của người có dữ liệu.
Nhưng ngay cả trong các trường hợp này, khoản 2 Điều 32 vẫn đặt ra trách nhiệm thông báo hoặc áp dụng hình thức thông tin khác để người có dữ liệu biết mình đang bị ghi âm, ghi hình, trừ khi pháp luật có quy định khác. Như vậy cần phân biệt: “Không cần xin sự đồng ý” không đồng nghĩa “được bí mật ghi hình mà không cần thông báo”.
Đây cũng là lý do Nghị định 330 thiết lập chế tài riêng đối với việc không cảnh báo. Việc đã thông báo có camera mới chỉ giải quyết một nghĩa vụ. Luật Bảo vệ dữ liệu cá nhân quy định dữ liệu thu được phải được xử lý và sử dụng phù hợp với mục đích đã xác định, không được dùng vào mục đích trái pháp luật hoặc xâm phạm quyền, lợi ích hợp pháp của người có dữ liệu. Dữ liệu cũng chỉ được lưu trong khoảng thời gian cần thiết phục vụ mục đích thu thập, trừ trường hợp pháp luật có quy định khác. Điều 71 Nghị định 330 vì vậy quy định mức phạt cao hơn đối với việc sử dụng dữ liệu từ hệ thống camera sai mục đích. Tổ chức có thể bị phạt 30–50 triệu đồng nếu:
sử dụng hình ảnh, giọng nói từ camera giám sát công cộng cho mục đích thương mại, phân tích hành vi hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân khi chưa có sự đồng ý hợp pháp;
trích xuất, chia sẻ hoặc công khai trái phép dữ liệu ghi âm, ghi hình, trừ trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền.
Đối với cá nhân, mức tương ứng bằng một nửa, tức 15–25 triệu đồng theo nguyên tắc tại Điều 7. Với các hành vi tại khoản 2 Điều 71, Nghị định còn quy định tịch thu tang vật, phương tiện vi phạm. Dữ liệu âm thanh, hình ảnh thu thập trái quy định cũng có thể bị buộc hủy, xóa đến mức không thể khôi phục.
Khoản 1 Điều 71 còn xử phạt tổ chức nếu không cung cấp thông tin liên hệ của Bên kiểm soát dữ liệu cá nhân hoặc Bên kiểm soát và xử lý dữ liệu cá nhân khi người có dữ liệu yêu cầu truy xuất hình ảnh của mình, trừ trường hợp pháp luật quy định khác. Mức phạt cũng là 10–20 triệu đồng đối với tổ chức. Điểm này không nên diễn giải thành “ai yêu cầu cũng phải lập tức được giao toàn bộ video camera”.
Nghĩa vụ được Điều 71 nêu trực tiếp ở đây là cung cấp thông tin liên hệ của bên quản lý dữ liệu để chủ thể có thể thực hiện yêu cầu liên quan hình ảnh của mình. Việc xem, cung cấp hoặc hạn chế dữ liệu sau đó còn phải thực hiện theo các quy định về quyền của chủ thể dữ liệu và các trường hợp ngoại lệ tương ứng. Nếu vi phạm nghĩa vụ này, ngoài tiền phạt, đơn vị có thể bị buộc thiết lập và công khai thông tin liên hệ, đồng thời cung cấp bằng chứng đã khắc phục cho cơ quan có thẩm quyền.
Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 1/1/2026, xác lập nguyên tắc rằng hình ảnh, giọng nói và thông tin nhận dạng thu được từ camera có thể trở thành dữ liệu cá nhân và phải được quản lý trong toàn bộ vòng đời xử lý. Vì thế, với doanh nghiệp, việc vận hành camera hiện cần được nhìn theo ít nhất bốn bước: thông báo việc ghi hình → xác định mục đích sử dụng → kiểm soát người được tiếp cận dữ liệu → xóa hoặc hủy khi không còn cần thiết, trừ trường hợp pháp luật yêu cầu lưu lâu hơn.
Điều này có ý nghĩa đặc biệt tại các địa điểm có lượng người ra vào lớn như trung tâm thương mại, cửa hàng, khách sạn, bệnh viện, ngân hàng hoặc các khu vực dịch vụ. Việc lắp camera để bảo đảm an ninh không mặc nhiên tạo quyền sử dụng dữ liệu ghi được vào quảng cáo, nhận diện khách hàng hoặc mục đích thương mại khác. Nghị định 330/2026/NĐ-CP được Chính phủ ban hành ngày 19/8/2026 và có hiệu lực cùng ngày. Đây là chế tài hiện hành, không còn ở giai đoạn lấy ý kiến hoặc dự thảo. Vì vậy, cách diễn đạt chính xác nhất là: “Theo Điều 71 Nghị định 330/2026/NĐ-CP, tổ chức lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng hoặc khu vực cung cấp dịch vụ cho khách hàng mà không có hình thức cảnh báo dễ nhận biết có thể bị phạt 10–20 triệu đồng. Cá nhân vi phạm cùng hành vi bị phạt 5–10 triệu đồng.” Không nên viết chung rằng “lắp camera không biển báo bị phạt 20 triệu đồng”, bởi câu này bỏ qua cả phạm vi địa điểm, chủ thể vi phạm và khung tiền phạt.
