Bóc phốt trên mạng: Đăng thông tin người khác coi chừng bị phạt

“Bóc phốt” không đồng nghĩa với quyền công khai mọi thông tin

Mạng xã hội đã biến việc phản ánh một sự việc từ hình thức truyền thống thành hoạt động có khả năng lan truyền đến hàng nghìn, thậm chí hàng triệu người chỉ trong thời gian ngắn.

Một bài đăng về tranh chấp, giao dịch không thành công, hành vi bị cho là sai phạm hoặc một lời cảnh báo đối với cộng đồng có thể nhanh chóng được chia sẻ rộng rãi. Trong quá trình đó, người đăng đôi khi đưa thêm tên tuổi, số điện thoại, địa chỉ, hình ảnh, giấy tờ hoặc những thông tin nhận diện khác của người bị phản ánh.

Chính tại đây xuất hiện một ranh giới quan trọng: quyền phản ánh một sự việc không mặc nhiên đồng nghĩa với quyền công khai toàn bộ dữ liệu cá nhân của người khác.

Nghị định 330/2026/NĐ-CP, có hiệu lực từ ngày 19/8/2026, đã đặt hoạt động công khai dữ liệu cá nhân vào một khuôn khổ xử phạt cụ thể.

Công khai dữ liệu khi chưa được đồng ý có thể bị phạt đến 25 triệu đồng

Theo quy định tại Điều 50, hành vi công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, nếu không thuộc trường hợp pháp luật cho phép, có thể bị xử phạt.

Đối với tổ chức, mức phạt được quy định từ 30 đến 50 triệu đồng. Nếu người thực hiện là cá nhân thì mức phạt được áp dụng bằng một nửa, tương ứng 15-25 triệu đồng.

Như vậy, một cá nhân tự ý đưa dữ liệu của người khác lên không gian mạng có thể phải chịu mức phạt tối đa 25 triệu đồng.

Đáng chú ý, chế tài không chỉ áp dụng trong trường hợp dữ liệu được công khai hoàn toàn không có sự cho phép. Việc công khai dữ liệu theo cách gây ảnh hưởng đến quyền và lợi ích hợp pháp của chủ thể dữ liệu cũng nằm trong phạm vi cần được xem xét.

Ngoài khoản tiền phạt, người vi phạm còn có thể phải gỡ bỏ hoặc thu hồi dữ liệu cá nhân đã công khai.

Điều này khiến một bài đăng tưởng như chỉ nhằm “cảnh báo cộng đồng” vẫn có thể phát sinh trách nhiệm nếu cách thức công khai thông tin vượt quá giới hạn pháp luật cho phép.

Có lý do để đăng thông tin cũng chưa chắc được đăng tất cả

Một điểm đáng chú ý của quy định mới là pháp luật không chỉ quan tâm đến việc dữ liệu có được công khai hay không.

Ngay cả khi tồn tại một mục đích nhất định, việc công khai vẫn cần được xem xét về phạm vi và mức độ cần thiết.

Theo Điều 50, tổ chức có thể bị phạt từ 20 đến 30 triệu đồng nếu công khai dữ liệu cá nhân không gắn với mục đích cụ thể hoặc không thuộc trường hợp được phép; đưa ra lượng dữ liệu vượt quá phạm vi cần thiết; hoặc công khai thông tin không đúng với dữ liệu từ nguồn ban đầu.

Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa.

Điều này đặt ra một nguyên tắc quan trọng đối với hoạt động đăng tải thông tin trên mạng: mục đích chính đáng không phải là “tấm vé” cho phép công khai không giới hạn.

Ví dụ, nếu một người muốn cảnh báo cộng đồng về một giao dịch có vấn đề, việc cung cấp thông tin cần thiết để người khác nhận biết vụ việc có thể khác hoàn toàn với việc công khai thêm số điện thoại, địa chỉ nhà, giấy tờ cá nhân hoặc các dữ liệu không liên quan.

Càng đưa nhiều thông tin lên mạng, nguy cơ xâm phạm quyền riêng tư của người khác càng lớn.

Phản ánh sai phạm và xâm phạm dữ liệu cá nhân là hai vấn đề khác nhau

Trong nhiều cuộc tranh luận trên mạng xã hội, người đăng thường lập luận rằng họ công khai thông tin nhằm “nói cho mọi người biết sự thật”.

Tuy nhiên, xét về pháp lý, cần phân biệt nội dung phản ánh hành vi với dữ liệu nhận diện cá nhân.

Một bài viết có thể tập trung vào sự việc, bằng chứng hoặc quá trình giao dịch mà không nhất thiết phải công bố tất cả thông tin riêng tư của người liên quan.

Đây là điểm người dùng mạng xã hội cần đặc biệt lưu ý.

Nếu mục tiêu là cảnh báo cộng đồng, dữ liệu được đưa ra công khai nên được cân nhắc dựa trên câu hỏi: thông tin này có thực sự cần thiết để hiểu và đánh giá sự việc hay chỉ nhằm làm cho người bị phản ánh dễ bị nhận diện, truy tìm hoặc gây áp lực?

Sự khác biệt tưởng nhỏ nhưng có thể quyết định việc một bài đăng chỉ là hoạt động phản ánh thông tin hay đã chuyển sang nguy cơ xâm phạm dữ liệu cá nhân.

Trách nhiệm không dừng ở người đăng bài

Điều 50 còn đặt ra yêu cầu đối với tổ chức trong việc quản lý dữ liệu đã được công khai.

Việc không kiểm soát, giám sát hoạt động công khai hoặc không xây dựng biện pháp ngăn chặn các hành vi truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa hoặc hủy dữ liệu trái phép cũng có thể bị xử lý.

Điều này cho thấy trách nhiệm bảo vệ dữ liệu không kết thúc tại thời điểm thông tin được đăng tải.

Một khi dữ liệu cá nhân đã xuất hiện công khai, việc kiểm soát cách dữ liệu đó tiếp tục được sử dụng cũng trở thành vấn đề quan trọng.

Đặc biệt trong môi trường mạng xã hội, một thông tin được đăng một lần có thể bị tải xuống, chụp màn hình, sao chép sang nhiều tài khoản và tiếp tục lan truyền ngay cả khi bài đăng ban đầu đã bị xóa.

Vì vậy, yêu cầu kiểm soát dữ liệu có ý nghĩa không chỉ với người đăng mà còn với các nền tảng và tổ chức có khả năng quản lý nguồn dữ liệu đó.

So với trước đây, quy định mới có điểm gì đáng chú ý?

Trước khi Nghị định 330 được ban hành, hành vi thu thập, sử dụng, chia sẻ hoặc phát tán thông tin cá nhân trái quy định đã có thể bị xử lý theo Nghị định 15/2020.

Tuy nhiên, Nghị định 330 đã tách hành vi công khai dữ liệu cá nhân thành một nhóm quy định cụ thể, đồng thời đưa ra các tiêu chí liên quan đến sự đồng ý, mục đích và phạm vi công khai.

Đây là bước chuyển đáng chú ý về cách tiếp cận.

Thay vì chỉ nhìn vào câu hỏi “thông tin có bị phát tán trái phép hay không”, quy định mới đặt ra nhiều câu hỏi cụ thể hơn: người có dữ liệu đã đồng ý chưa, việc công khai có mục đích gì, lượng thông tin được đưa ra có cần thiết không và nội dung được công khai có phản ánh đúng dữ liệu gốc hay không?

Trong bối cảnh dữ liệu cá nhân ngày càng trở thành một phần quan trọng của đời sống số, những tiêu chí này giúp xác định rõ hơn trách nhiệm của bên thu thập, xử lý và công khai thông tin.

Không nên mặc định người khác “đồng ý” chỉ vì họ đã chia sẻ thông tin

Một quan niệm phổ biến trên mạng là nếu một người từng đăng thông tin nào đó lên Internet thì người khác có thể tự do sao chép và công khai lại.

Cách hiểu này không phải lúc nào cũng phù hợp.

Việc một dữ liệu từng xuất hiện ở đâu đó không đồng nghĩa với việc mọi cá nhân hoặc tổ chức đều được phép sử dụng dữ liệu đó cho bất kỳ mục đích nào.

Bản thân Nghị định 330 cũng đặt nặng yếu tố sự đồng ý của chủ thể dữ liệu trong nhiều trường hợp.

Điều này đặc biệt đáng lưu ý khi người dùng lấy ảnh, số điện thoại, địa chỉ hoặc các thông tin nhận diện từ một tài khoản cá nhân rồi đưa sang một bài đăng khác với phạm vi tiếp cận rộng hơn.

“Đã từng công khai” và “được phép công khai lại trong mọi hoàn cảnh” là hai vấn đề hoàn toàn khác nhau.

“Im lặng” không thể tùy tiện được hiểu là đồng ý

Ngoài quy định về công khai dữ liệu, Nghị định 330 còn đặt ra yêu cầu đáng chú ý đối với việc xác lập sự đồng ý.

Theo Điều 43, tổ chức có thể bị phạt 30-50 triệu đồng đối với một số hành vi liên quan đến xử lý dữ liệu khi chưa có sự đồng ý, thiết lập cơ chế mặc định đồng ý hoặc đưa ra hướng dẫn khiến người dùng khó phân biệt giữa lựa chọn chấp thuận và từ chối.

Đáng chú ý hơn, trường hợp tổ chức lấy việc người dùng không phản hồi hoặc giữ im lặng làm căn cứ để coi đó là sự đồng ý có thể bị phạt 50-70 triệu đồng.

Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa.

Quy định này cho thấy sự đồng ý trong lĩnh vực dữ liệu cá nhân phải được xác lập theo cách minh bạch, thay vì được suy diễn từ sự im lặng của người dùng.

Mua bán dữ liệu cá nhân: chế tài có thể lên tới hàng tỷ đồng

Nếu công khai dữ liệu cá nhân là một vấn đề đáng lưu ý đối với người dùng mạng xã hội, thì việc mua bán dữ liệu trái phép còn có thể dẫn đến hậu quả nghiêm trọng hơn nhiều.

Theo Điều 53, một số hành vi mua bán dữ liệu cá nhân trái phép có thể bị phạt từ hai lần đến tối đa 10 lần khoản thu có được từ hành vi vi phạm.

Người vi phạm còn có thể bị yêu cầu hủy hoặc xóa dữ liệu đã mua bán, nộp lại khoản thu bất hợp pháp và thông báo cho những chủ thể bị ảnh hưởng.

Trong trường hợp dữ liệu được mua bán trái phép gây xâm phạm đến những lợi ích quan trọng như quốc phòng, an ninh, trật tự, tài sản, sức khỏe, tính mạng, danh dự, nhân phẩm hoặc các quyền lợi hợp pháp khác, mức phạt có thể lên tới 3 tỷ đồng.

Qua đó có thể thấy pháp luật đang phân biệt rõ giữa các mức độ vi phạm, đặc biệt khi dữ liệu cá nhân bị biến thành hàng hóa hoặc công cụ gây tổn hại cho người khác.

Đăng bài “bóc phốt” thế nào để hạn chế rủi ro?

Không phải mọi bài đăng đề cập đến người khác đều mặc nhiên bị cấm.

Điều quan trọng là người dùng cần thận trọng với lượng dữ liệu cá nhân xuất hiện trong bài viết.

Trước khi đăng, có thể tự kiểm tra một số vấn đề:

• Thông tin này có thực sự cần thiết để phản ánh sự việc không?
• Người có dữ liệu đã đồng ý cho công khai chưa?
• Có thể trình bày sự việc mà không công khai dữ liệu nhận diện quá mức không?
• Hình ảnh, giấy tờ hoặc thông tin được đăng có chứa dữ liệu cá nhân không cần thiết không?
• Nội dung đăng tải có đúng với nguồn thông tin ban đầu không?
• Việc chia sẻ dữ liệu có thể ảnh hưởng đến danh dự, quyền lợi hoặc đời sống riêng tư của người khác không?

Nếu một thông tin không cần thiết cho mục đích cảnh báo nhưng lại có khả năng gây ảnh hưởng trực tiếp đến đời sống cá nhân của người bị nhắc đến, việc loại bỏ thông tin đó khỏi bài đăng là lựa chọn thận trọng hơn.

Bảo vệ cộng đồng không có nghĩa bỏ qua quyền riêng tư

Mạng xã hội có vai trò quan trọng trong việc phát hiện, cảnh báo và phản ánh những vấn đề trong đời sống.

Một bài đăng có thể giúp người khác tránh giao dịch với một đối tượng đáng ngờ hoặc thu hút sự chú ý đến một vụ việc cần được giải quyết.

Tuy nhiên, quyền phản ánh cần được đặt song song với quyền bảo vệ dữ liệu cá nhân.

Nếu người dùng biến một bài cảnh báo thành việc công khai hàng loạt thông tin riêng tư, mục tiêu ban đầu có thể bị vượt quá giới hạn cần thiết.

Đặc biệt, một khi thông tin đã lan truyền trên Internet, việc kiểm soát và thu hồi hoàn toàn gần như khó khăn hơn rất nhiều so với việc cân nhắc trước khi đăng.

Quy định mới gửi đi thông điệp rõ ràng về trách nhiệm trên không gian mạng

Nghị định 330/2026/NĐ-CP gồm 4 chương, 82 điều và đưa ra nhiều chế tài liên quan đến an ninh mạng và bảo vệ dữ liệu cá nhân.

Đối với người sử dụng mạng xã hội, điểm quan trọng nhất không chỉ nằm ở con số phạt 25 triệu đồng.

Thông điệp lớn hơn là dữ liệu của một người không phải mặc nhiên trở thành thông tin mà bất kỳ ai cũng được tự do thu thập, sử dụng và công khai.

Một bài “bóc phốt” có thể bắt đầu từ mục đích cảnh báo, nhưng cách thức công khai dữ liệu mới là yếu tố cần được cân nhắc.

Trong môi trường mà một cú nhấp chuột có thể đưa thông tin cá nhân đến hàng nghìn người, việc kiểm soát dữ liệu trước khi đăng không chỉ là vấn đề ứng xử trên mạng mà còn có thể trở thành vấn đề trách nhiệm pháp lý.