Hình ảnh photography

Hiểu đúng về dữ liệu cá nhân và giới hạn của việc chia sẻ thông tin

Theo khoản 1 Điều 3 Luật Bảo vệ dữ liệu cá nhân 2025:

“Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân.”

Như vậy, có thể hiểu, dữ liệu cá nhân là toàn bộ thông tin có thể trực tiếp hoặc gián tiếp xác định danh tính của một cá nhân. Các loại dữ liệu này được chia thành hai nhóm chính: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm, mỗi nhóm có phạm vi và mức độ bảo vệ khác nhau.

Dữ liệu cá nhân cơ bản là gì? Gồm những dữ liệu nào?

Khoản 2 Điều 3 Luật Bảo vệ dữ liệu cá nhân 2025 quy định:

“Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành.”

(Danh mục dữ liệu cá nhân cơ bản được cụ thể hóa tại khoản 3 Điều 2 Nghị định 13/2023/NĐ-CP, ngày 17/4/2023 của Chính phủ về Bảo vệ dữ liệu cá nhân).  

Dữ liệu cá nhân cơ bản là những thông tin thường gặp, cần thiết để thực hiện các thủ tục hành chính, giao dịch dân sự, thương mại hoặc khi tham gia các quan hệ xã hội.

Dữ liệu cá nhân nhạy cảm là gì? Gồm những dữ liệu nào?

Khoản 3 Điều 3 Luật Bảo vệ dữ liệu cá nhân 2025 nêu rõ:

“Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành.”

(Được quy định cụ thể tại khoản 4 Điều 2 Nghị định 13/2023/NĐ-CP, ngày 17/4/2023 của Chính phủ về Bảo vệ dữ liệu cá nhân).

Trên thực tế, không ít người cho rằng việc công khai thông tin của người khác trên mạng xã hội là quyền tự do ngôn luận, nhất là khi bản thân cho rằng mình đang phản ánh một hành vi sai trái. Tuy nhiên, cần nhận thức rõ rằng quyền tự do ngôn luận không đồng nghĩa với quyền tùy tiện sử dụng, phát tán dữ liệu cá nhân của người khác. Việc một người có hành vi đáng phê phán cũng không mặc nhiên cho phép người khác công khai toàn bộ thông tin riêng tư của họ.

Tố cáo, phản ánh, tranh chấp hoặc “Bóc phốt”, tùy theo nội dung, mục đích và cách thức thực hiện, hành vi này có thể liên quan đến vi phạm quy định về bảo vệ dữ liệu cá nhân, quyền đối với hình ảnh, đời sống riêng tư, danh dự, nhân phẩm, cũng như các quy định về cung cấp và chia sẻ thông tin trên mạng. Vì vậy, mỗi người cần phân biệt giữa việc phản ánh sự việc một cách có trách nhiệm với việc lợi dụng mạng xã hội để công kích, bêu riếu hoặc xâm phạm quyền và lợi ích hợp pháp của người khác.

Tự ý công khai dữ liệu cá nhân có thể bị phạt đến 25 triệu đồng

Cá nhân công khai dữ liệu của người khác khi chưa được đồng ý có thể bị phạt tới 25 triệu đồng, đồng thời buộc gỡ bỏ, thu hồi thông tin đã công khai.

Nội dung này được quy định tại Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, được Chính phủ ban hành, có hiệu lực từ ngày 19/8/2026.

Nghị định gồm 4 chương, 82 điều.

Theo khoản 2 Điều 50, tổ chức công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác, bị phạt 30-50 triệu đồng. Mức tiền tại nhóm quy định về bảo vệ dữ liệu cá nhân áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi chịu mức bằng một nửa, tương ứng 15-25 triệu đồng.

Cùng mức phạt này còn áp dụng với việc công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Ngoài tiền phạt, người vi phạm có thể bị buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai.

Quy định đặt ra ranh giới pháp lý đáng chú ý với những trường hợp đưa dữ liệu của người khác lên mạng để tố cáo, phản ánh, tranh chấp hoặc "bóc phốt". Tuy nhiên, Nghị định không quy định cứ đăng thông tin liên quan đến người khác là bị xử phạt. Việc áp dụng còn phụ thuộc dữ liệu được công khai, sự đồng ý của chủ thể và trường hợp pháp luật cho phép.

Công khai đúng mục đích nhưng quá phạm vi cũng có thể bị phạt

Điều 50 không chỉ xử lý việc công khai dữ liệu khi chưa được đồng ý.

Tổ chức có thể bị phạt 20-30 triệu đồng nếu công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai; công khai vượt quá phạm vi, loại dữ liệu cần thiết cho mục đích công khai; hoặc công khai nhưng không phản ánh đúng dữ liệu từ nguồn gốc. Cá nhân thực hiện cùng hành vi chịu một nửa mức phạt.

Việc không kiểm soát, giám sát hoạt động công khai hoặc không có biện pháp ngăn chặn truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa, hủy trái phép dữ liệu đã công khai cũng thuộc nhóm bị xử phạt.

Như vậy, Nghị định không chỉ đặt vấn đề "có được công khai hay không", mà còn kiểm soát công khai để làm gì và đến mức nào. Một mục đích công khai không đồng nghĩa mọi dữ liệu liên quan đến một người đều có thể được đưa ra công chúng.

Đây là điểm có ý nghĩa trực tiếp với người dùng mạng xã hội: khi phản ánh một vụ việc, dữ liệu được đưa ra công khai vẫn phải nằm trong giới hạn mà pháp luật cho phép.

 Không phải mọi bài viết phản ánh, tố cáo hay cảnh báo trên mạng xã hội đều đương nhiên bị xử phạt. Việc phản ánh hành vi vi phạm pháp luật cần được thực hiện trên cơ sở thông tin có căn cứ, đúng sự thật, tôn trọng quyền riêng tư và thông qua phương thức phù hợp. Người dân có thể gửi tài liệu, chứng cứ đến cơ quan có thẩm quyền để được xem xét, giải quyết, thay vì tự ý phát tán dữ liệu cá nhân nhằm gây áp lực hoặc tạo làn sóng công kích trên không gian mạng.