Từ ngày 19-8-2026, Nghị định 330/2026/NĐ-CP đặt ra những chế tài cụ thể đối với hành vi vi phạm quy định về công khai dữ liệu cá nhân. Điểm đáng chú ý là pháp luật không đơn giản phân biệt người đăng có "ý tốt" hay "ý xấu", mà xem xét việc công khai có căn cứ pháp luật hay không, có đúng mục đích, đúng phạm vi, chính xác và có xâm phạm quyền, lợi ích hợp pháp của người khác hay không.
Mới đây, một người phụ nữ ở Hà Tĩnh đăng hình căn cước của người khác lên mạng xã hội khi chưa được sự đồng ý, làm lộ thông tin cá nhân và đã bị cơ quan công an ra quyết định xử phạt hành chính số tiền 20 triệu đồng theo Nghị định 330 nêu trên.
Trong môi trường số, nơi một bức ảnh hoặc số điện thoại có thể được sao chép hàng nghìn lần chỉ sau vài phút, câu hỏi nên đặt ra trước khi đăng không còn đơn giản là "Thông tin này có đúng không?", mà còn phải là "Tôi có quyền đưa thông tin này cho tất cả mọi người biết hay không, và có thực sự cần công khai đến mức này hay không?". Đó chính là ranh giới quan trọng nhất mà Điều 50 Nghị định 330/2026/NĐ-CP muốn thiết lập và người dùng mạng xã hội cần lưu ý.
Người phụ nữ ở Hà Tĩnh làm việc với cơ quan chức năng - Ảnh: Công an cung cấp
Không phải cứ "đăng thông tin của người khác" là vi phạm
Theo quy định tại Điều 16 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân chỉ được công khai với mục đích cụ thể; phạm vi và loại dữ liệu công khai phải phù hợp với mục đích công khai; đồng thời việc công khai không được xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.
Luật Bảo vệ dữ liệu cá nhân 2025 xác định bốn nhóm trường hợp dữ liệu cá nhân có thể được công khai: khi có sự đồng ý của chủ thể dữ liệu; khi việc công khai được thực hiện theo quy định của pháp luật; trong trường hợp thuộc điểm b khoản 1 Điều 19 của luật liên quan đến giải quyết tình trạng khẩn cấp, nguy cơ đe dọa an ninh quốc gia, phòng chống bạo loạn, khủng bố, tội phạm và vi phạm pháp luật; hoặc khi cần thực hiện nghĩa vụ theo hợp đồng.
Điều đó cho thấy "công khai" không phải hoạt động bị pháp luật cấm tuyệt đối. Vấn đề nằm ở căn cứ để công khai, mục đích, mức độ cần thiết và cách thức thực hiện.
Trong thực tiễn, một bài đăng công khai trên mạng xã hội, video, hình ảnh hoặc tài liệu được chia sẻ để một lượng người không xác định có thể tiếp cận hoàn toàn có khả năng được xem xét dưới góc độ công khai dữ liệu cá nhân.
Đây cũng là điểm người dùng mạng xã hội dễ bỏ qua nhất. Một thông tin "mình tình cờ có được" không vì thế trở thành thông tin mà mình đương nhiên có quyền phát tán.
7 nhóm hành vi vi phạm có thể bị xử phạt
Điều 50 Nghị định 330/2026/NĐ-CP thiết kế hai mức xử phạt chính đối với các vi phạm quy định về công khai dữ liệu cá nhân:
Thứ nhất, phạt tiền 20 - 30 triệu đồng đối với một trong năm hành vi: công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai; công khai vượt quá phạm vi hoặc loại dữ liệu cần thiết; công khai dữ liệu không phản ánh đúng dữ liệu từ nguồn gốc; không kiểm soát, giám sát chặt chẽ hoạt động công khai; hoặc không có biện pháp ngăn chặn việc truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa, hủy và các hình thức xử lý trái phép khác đối với dữ liệu đã công khai.
Thứ hai, phạt tiền 30 - 50 triệu đồng nếu công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu hoặc công khai khi chưa có sự đồng ý của người đó, trừ trường hợp pháp luật cho phép.
Các mức tiền trên là mức áp dụng đối với tổ chức, cá nhân thực hiện cùng hành vi bị áp dụng mức tiền bằng một nửa tổ chức.
Ngoài bị phạt tiền, chủ thể vi phạm còn bị áp dụng các biện pháp khắc phục hậu quả tương ứng với hành vi được quy định. Đơn cử nếu thuộc nhóm công khai xâm phạm quyền, lợi ích hợp pháp hoặc công khai không có sự đồng ý mà không có căn cứ pháp luật khác, dữ liệu đã công khai có thể bị buộc gỡ bỏ, thu hồi...
Nói cách khác, quy định không chỉ nhằm "phạt người đăng", mà còn hướng đến mục tiêu chấm dứt sự lan truyền và khắc phục những tác động do dữ liệu đã bị đưa ra công khai.
"Tôi chỉ có ý tốt" có giúp tránh bị phạt?
Đây có lẽ là câu hỏi gây nhiều tranh luận nhất.
Một người đăng ảnh căn cước nhặt được để tìm chủ nhân có thể cho rằng mình đang làm việc tốt. Người đăng hình ảnh camera của một đối tượng nghi trộm cắp có thể nói mục đích là cảnh báo cộng đồng. Người công khai danh tính một người đang nợ tiền có thể cho rằng mình chỉ muốn bảo vệ quyền lợi chính đáng. Có người đăng bệnh án, hoàn cảnh hoặc số điện thoại của người khó khăn để kêu gọi từ thiện cũng xuất phát từ thiện chí.
Tuy nhiên "mục đích tốt" theo cách đánh giá đạo đức của người đăng không đồng nghĩa với căn cứ hợp pháp để công khai dữ liệu.
Điều 50 Nghị định 330/2026/NĐ-CP không chia hành vi vi phạm thành "công khai vì động cơ tốt" và "công khai vì động cơ xấu". Các tiêu chí mà pháp luật đặt ra mang tính khách quan hơn: có mục đích cụ thể hay không; mục đích đó có thuộc trường hợp pháp luật cho phép hay không; phạm vi dữ liệu có cần thiết hay không; dữ liệu có chính xác không; chủ thể đã đồng ý chưa; và việc công khai có xâm phạm quyền, lợi ích hợp pháp của họ hay không.
Vì vậy một người hoàn toàn có thể có thiện chí nhưng vẫn bị xử phạt nếu phương thức thực hiện vượt quá giới hạn luật định.
Ví dụ, nhặt được căn cước của người khác rồi đăng nguyên ảnh hai mặt giấy tờ lên Facebook để "tìm người bị mất" là trường hợp có mục đích cụ thể và có thể xuất phát từ ý tốt. Nhưng việc đó đồng thời làm lộ hàng loạt dữ liệu định danh cho số lượng người rất lớn. Thiện chí của người đăng không tự động thay thế cho sự đồng ý của chủ thể dữ liệu, cũng không giải quyết yêu cầu về phạm vi dữ liệu cần thiết.
Trong trường hợp này, cách xử lý an toàn hơn có thể là giao giấy tờ cho cơ quan có thẩm quyền, liên hệ riêng với người có tên trên giấy tờ nếu có điều kiện, hoặc nếu thật sự cần đăng thông báo thì che các trường dữ liệu không cần thiết.
Tương tự, muốn cảnh báo cộng đồng về một người bị nghi lừa đảo cũng không đồng nghĩa với quyền đăng toàn bộ địa chỉ nhà, số định danh, điện thoại của người đó và thông tin của vợ, chồng, con cái.
Điều 16 Luật Bảo vệ dữ liệu cá nhân đúng là cho phép công khai trong trường hợp phục vụ phòng, chống tội phạm và vi phạm pháp luật theo quy định. Tuy nhiên đây không phải một "giấy phép bóc phốt" không giới hạn. Ngay cả khi có căn cứ này, yêu cầu về mục đích cụ thể, tính cần thiết của phạm vi dữ liệu, tính chính xác và đặc biệt là nguyên tắc không xâm phạm quyền, lợi ích hợp pháp của chủ thể vẫn phải được tuân thủ.
Trong nhiều tình huống, chuyển bằng chứng cho công an hoặc cơ quan có thẩm quyền sẽ an toàn về mặt pháp lý hơn việc tự mình công khai dữ liệu cho toàn bộ cộng đồng mạng.
Có sự đồng ý cũng không có nghĩa được đăng "tất cả mọi thứ"
Một ngộ nhận khác là chỉ cần người có dữ liệu đã từng nói "đồng ý" thì người khác có thể tự do đăng công khai dữ liệu cá nhân của họ. Luật Bảo vệ dữ liệu cá nhân năm 2025 đặt ra tiêu chuẩn khá cao cho sự đồng ý.
Chủ thể phải tự nguyện và được biết loại dữ liệu nào sẽ được xử lý, mục đích là gì và ai thực hiện việc xử lý. Sự đồng ý phải được thể hiện rõ ràng, cụ thể, ở dạng có thể kiểm chứng; phải gắn với từng mục đích.
Im lặng hoặc không phản hồi không được coi là đồng ý. Do đó việc một người đồng ý gửi ảnh cho bạn qua tin nhắn riêng không đồng nghĩa họ đã đồng ý để bạn đăng ảnh đó công khai. Một khách hàng cung cấp số điện thoại để giao hàng không có nghĩa doanh nghiệp được đăng số điện thoại lên mạng. Một người đồng ý xuất hiện trong ảnh kỷ niệm cũng không mặc nhiên có nghĩa họ đồng ý để hình ảnh ấy được sử dụng trong mọi bối cảnh khác.
Do đó sự đồng ý phải được gắn với mục đích cụ thể. Ngay cả khi có sự đồng ý, nguyên tắc hạn chế phạm vi công khai dữ liệu cá nhân vẫn còn nguyên giá trị. Nếu mục đích chỉ cần công khai tên thì không có lý do công khai cả số điện thoại, địa chỉ và số định danh. Nếu đăng hình ảnh để tìm người đánh rơi tài sản, không nhất thiết phải để lộ toàn bộ nội dung giấy tờ.
Người dân nên làm gì trước khi nhấn nút "đăng"?
Để giảm nguy cơ vi phạm, trước khi công khai thông tin có liên quan đến người khác, người sử dụng mạng xã hội nên tự kiểm tra một chuỗi câu hỏi đơn giản:
(1) Xác định đây có phải dữ liệu cá nhân hay không. Không chỉ căn cước, hộ chiếu hay số tài khoản mới là dữ liệu cá nhân; họ tên, hình ảnh, số điện thoại, địa chỉ và nhiều thông tin có khả năng gắn với hoặc giúp xác định một người cụ thể đều cần được thận trọng xử lý. Danh mục dữ liệu cá nhân cơ bản đã được Chính phủ cụ thể hóa tại Điều 3 Nghị định 356/2025/NĐ-CP.
(2) Xác định căn cứ để công khai. Có sự đồng ý hợp lệ hay không? Pháp luật có yêu cầu phải công khai không? Đây có thực sự là trường hợp phục vụ tình trạng khẩn cấp, phòng chống tội phạm hoặc vi phạm pháp luật hay không? Hay việc công khai là nghĩa vụ theo hợp đồng?
(3) Xác định một mục đích thật cụ thể. "Đăng cho mọi người biết", "để cảnh giác" hay "cho chừa" là những cách diễn đạt rất rộng. Mục đích càng cụ thể thì càng dễ đánh giá dữ liệu nào thực sự cần thiết.
(4) Chỉ công khai phần tối thiểu cần thiết. Có thể che số định danh, địa chỉ, số điện thoại, tài khoản, khuôn mặt của người không liên quan hoặc các chi tiết không phục vụ trực tiếp cho mục đích.
(5) Kiểm chứng trước khi đăng. Điều 50 Nghị định 330/2026/NĐ-CP xử phạt cả trường hợp dữ liệu công khai không phản ánh đúng nguồn dữ liệu gốc. Một ảnh chụp màn hình bị cắt ghép, thông tin nghe kể lại hoặc dữ liệu chưa xác minh có thể tạo ra rủi ro cao hơn rất nhiều.
(6) Đánh giá tác động đến người bị công khai. Việc đăng có làm lộ nơi ở, gây nguy hiểm, ảnh hưởng danh dự, tài sản, đời sống riêng tư hoặc kéo theo người thân không liên quan hay không? Nếu câu trả lời là có, cần cân nhắc một phương án khác ít xâm phạm hơn.
(7) Nếu mục đích là tố giác hoặc ngăn chặn hành vi vi phạm, ưu tiên kênh có thẩm quyền. Chuyển ảnh, video, thông tin giao dịch và tài liệu cho cơ quan công an hoặc cơ quan chức năng thường khác rất xa về mặt pháp lý so với việc phát tán toàn bộ dữ liệu cho hàng nghìn người trên mạng.
(8) Giữ bằng chứng về căn cứ công khai và sẵn sàng khắc phục. Nếu việc công khai dựa trên sự đồng ý, nên có phương thức chứng minh sự đồng ý đó. Khi phát hiện thông tin sai, vượt phạm vi hoặc không còn căn cứ để công khai, cần nhanh chóng cải chính, gỡ bỏ và hạn chế việc tiếp tục lan truyền.