1. Dữ liệu cá nhân không phải thông tin được tự do sử dụng

Nhiều người cho rằng các thông tin như họ tên, số điện thoại, địa chỉ, hình ảnh, thông tin tài khoản hoặc dữ liệu khách hàng có thể được sử dụng tùy ý nếu đã thu thập được từ internet, mạng xã hội hay các nguồn khác.

Tuy nhiên, việc một thông tin có thể tiếp cận được không đồng nghĩa với việc mọi cá nhân, tổ chức đều có quyền thu thập, sử dụng hoặc công khai thông tin đó.

Trên thực tế, dữ liệu cá nhân có thể được sử dụng cho nhiều mục đích như chăm sóc khách hàng, quảng cáo, tuyển dụng, quản lý nhân sự, cung cấp dịch vụ hoặc xác minh danh tính. Việc xử lý dữ liệu cần tuân thủ quy định pháp luật, đặc biệt về mục đích sử dụng, phạm vi xử lý và căn cứ cho phép xử lý dữ liệu.

Những hành vi tưởng chừng phổ biến như tự ý đưa danh sách khách hàng cho bên thứ ba, sử dụng số điện thoại để quảng cáo ngoài mục đích đã được thông báo, hoặc thu thập thông tin của người khác mà không có căn cứ phù hợp đều có thể phát sinh rủi ro pháp lý.

Do đó, trước khi sử dụng dữ liệu cá nhân, cần xác định rõ: Dữ liệu được thu thập từ đâu? Sử dụng vào mục đích gì? Có căn cứ pháp lý phù hợp hay không? Phạm vi sử dụng có vượt quá mục đích đã xác định hay không?

2. Những hành vi vi phạm có thể bị xử phạt theo Nghị định 330/2026/NĐ-CP

Nghị định số 330/2026/NĐ-CP quy định các mức xử phạt đối với nhiều hành vi vi phạm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Một số hành vi đáng chú ý gồm:

Thứ nhất, xử lý dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ.

Theo quy định về sự đồng ý của chủ thể dữ liệu cá nhân tại Nghị định 330/2026/NĐ-CP, hành vi xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác, có thể bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng.

Cần lưu ý, sự đồng ý không phải căn cứ duy nhất trong mọi trường hợp xử lý dữ liệu. Pháp luật có thể quy định những trường hợp được xử lý dữ liệu mà không cần sự đồng ý. Vì vậy, việc đánh giá vi phạm phải dựa trên hoàn cảnh cụ thể và các căn cứ pháp luật có liên quan.

Thứ hai, sử dụng dữ liệu cá nhân sai mục đích hoặc vượt quá phạm vi cần thiết.

Việc thu thập thông tin để phục vụ một mục đích nhất định không đồng nghĩa với việc được tự do sử dụng dữ liệu đó cho những mục đích khác.

Theo thông tin công bố về Nghị định 330/2026/NĐ-CP, hành vi xử lý dữ liệu cá nhân không đúng phạm vi, không phù hợp với mục đích đã xác định hoặc vượt quá mức cần thiết để thực hiện mục đích đó có thể bị phạt tiền từ 20 triệu đồng đến 40 triệu đồng.

Ví dụ, doanh nghiệp thu thập thông tin khách hàng để thực hiện hợp đồng nhưng sau đó sử dụng danh sách này cho hoạt động quảng cáo không phù hợp với mục đích đã xác định. Tùy tình tiết cụ thể và căn cứ xử lý dữ liệu, hành vi này có thể bị xem xét xử lý theo quy định pháp luật.

Thứ ba, tiếp tục xử lý dữ liệu khi chủ thể dữ liệu đã yêu cầu dừng hoặc hạn chế xử lý.

Nghị định cũng quy định chế tài đối với hành vi cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu đã yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan có thẩm quyền yêu cầu bằng văn bản.

Tùy hành vi cụ thể, mức phạt có thể từ 50 triệu đồng đến 70 triệu đồng.

Ngoài phạt tiền, một số hành vi còn có thể bị áp dụng biện pháp khắc phục hậu quả như buộc hủy, xóa dữ liệu đã xử lý trái quy định hoặc nộp lại khoản thu bất hợp pháp.

Các mức phạt nêu trên là mức được quy định đối với những hành vi tương ứng; khi xác định số tiền phạt trong một vụ việc cụ thể cần đối chiếu đầy đủ điều khoản áp dụng, chủ thể vi phạm, tình tiết và quy định về mức phạt đối với cá nhân, tổ chức.

3. Doanh nghiệp cần đặc biệt thận trọng khi quản lý dữ liệu khách hàng và nhân sự

Đối với doanh nghiệp, dữ liệu cá nhân thường xuất hiện trong hầu hết các hoạt động vận hành: từ tuyển dụng, ký kết hợp đồng lao động, quản lý nhân sự đến chăm sóc khách hàng, tiếp thị và cung cấp dịch vụ.

Nếu thiếu quy trình quản lý phù hợp, doanh nghiệp có thể đối mặt với rủi ro từ việc thu thập thông tin quá mức cần thiết, sử dụng dữ liệu sai mục đích, chia sẻ dữ liệu không có căn cứ hoặc không thực hiện đầy đủ nghĩa vụ bảo vệ thông tin.

Để hạn chế nguy cơ vi phạm, doanh nghiệp nên chủ động rà soát và triển khai các công việc sau:

• Rà soát dữ liệu đang quản lý: Xác định loại dữ liệu cá nhân đang thu thập, nguồn dữ liệu, mục đích sử dụng và bộ phận chịu trách nhiệm.
• Chuẩn hóa quy trình thu thập và xử lý: Xác định căn cứ pháp lý phù hợp cho từng hoạt động xử lý dữ liệu; không mặc nhiên coi việc khách hàng cung cấp thông tin là sự đồng ý cho mọi mục đích sử dụng.
• Minh bạch với khách hàng và người lao động: Thông tin rõ ràng về mục đích, phạm vi và cách thức xử lý dữ liệu theo quy định áp dụng.
• Kiểm soát quyền truy cập: Chỉ cho phép người có trách nhiệm tiếp cận dữ liệu cần thiết; áp dụng biện pháp kỹ thuật để hạn chế nguy cơ truy cập, sao chép hoặc tiết lộ trái phép.
• Quản lý việc chia sẻ dữ liệu: Rà soát hợp đồng và thỏa thuận với đối tác, nhà cung cấp dịch vụ hoặc bên xử lý dữ liệu để xác định trách nhiệm của từng bên.
• Thiết lập quy trình xử lý sự cố: Có phương án phát hiện, ngăn chặn, lưu giữ chứng cứ và thực hiện các nghĩa vụ thông báo, báo cáo khi pháp luật yêu cầu.

Đặc biệt, doanh nghiệp không nên chỉ tập trung vào việc xây dựng chính sách bảo mật trên giấy tờ. Quy trình nội bộ cần được triển khai thực tế, phân công trách nhiệm rõ ràng và thường xuyên kiểm tra tính tuân thủ.

4. Cá nhân có quyền gì khi thông tin của mình bị sử dụng trái quy định?

Bảo vệ dữ liệu cá nhân không chỉ là trách nhiệm của doanh nghiệp mà còn gắn với quyền và lợi ích hợp pháp của mỗi cá nhân.

Khi phát hiện thông tin cá nhân bị sử dụng sai mục đích, chia sẻ trái quy định hoặc có dấu hiệu bị tiết lộ, cá nhân nên chủ động thực hiện các bước sau:

Bước 1: Thu thập và lưu giữ chứng cứ.

Lưu lại hình ảnh chụp màn hình, đường dẫn, nội dung tin nhắn, thư điện tử, thông báo quảng cáo hoặc tài liệu thể hiện việc thông tin cá nhân bị sử dụng. Nếu có trao đổi với tổ chức liên quan, nên lưu giữ nội dung trao đổi và phản hồi nhận được.

Bước 2: Gửi yêu cầu đến tổ chức đang xử lý dữ liệu.

Tùy trường hợp, cá nhân có thể yêu cầu giải thích mục đích xử lý dữ liệu, thực hiện các quyền liên quan đến dữ liệu cá nhân hoặc đề nghị chấm dứt hành vi xử lý không phù hợp. Việc thực hiện quyền cần tuân thủ điều kiện, trình tự và các trường hợp ngoại lệ theo quy định pháp luật.

Bước 3: Phản ánh hoặc khiếu nại đến cơ quan có thẩm quyền.

Nếu không được giải quyết phù hợp hoặc phát hiện dấu hiệu vi phạm, cá nhân có thể gửi phản ánh, khiếu nại đến cơ quan có thẩm quyền theo quy định.

Trường hợp hành vi có dấu hiệu tội phạm, chẳng hạn sử dụng thông tin cá nhân để lừa đảo, chiếm đoạt tài sản hoặc thực hiện hành vi phạm pháp khác, cần cân nhắc trình báo cơ quan công an.

Bước 4: Xem xét yêu cầu bồi thường khi có căn cứ.

Nếu hành vi vi phạm gây thiệt hại và đáp ứng các điều kiện phát sinh trách nhiệm bồi thường theo pháp luật, người bị thiệt hại có thể yêu cầu bồi thường. Việc có được bồi thường hay không và mức bồi thường cụ thể phụ thuộc vào căn cứ pháp lý, thiệt hại thực tế, mối quan hệ nhân quả và chứng cứ của vụ việc.

5. Làm thế nào để hạn chế nguy cơ lộ lọt dữ liệu cá nhân?

Trong môi trường số, mỗi người có thể chủ động giảm thiểu rủi ro bằng những biện pháp đơn giản nhưng thiết thực:

• Hạn chế công khai số định danh cá nhân, địa chỉ, số điện thoại, thông tin tài khoản và các giấy tờ chứa dữ liệu nhạy cảm.
• Đọc kỹ nội dung đồng ý xử lý dữ liệu trước khi đăng ký dịch vụ hoặc cung cấp thông tin.
• Không gửi ảnh giấy tờ tùy thân cho tài khoản hoặc tổ chức chưa được xác minh.
• Cẩn trọng khi cài đặt ứng dụng yêu cầu quyền truy cập danh bạ, hình ảnh, vị trí hoặc dữ liệu không cần thiết cho chức năng của ứng dụng.
• Sử dụng mật khẩu mạnh, xác thực nhiều yếu tố và thay đổi thông tin đăng nhập khi nghi ngờ tài khoản bị xâm phạm.
• Không chia sẻ công khai dữ liệu của người khác nếu chưa có căn cứ phù hợp.

Một nguyên tắc quan trọng cần ghi nhớ: Không phải thông tin nào có thể thu thập được cũng là thông tin được phép tự do sử dụng.

6. Góc nhìn pháp lý: Bảo vệ dữ liệu cá nhân cần bắt đầu từ ý thức tuân thủ

Sự phát triển của công nghệ mang lại nhiều lợi ích nhưng cũng khiến dữ liệu cá nhân trở thành mục tiêu của các hành vi khai thác, mua bán, tiết lộ hoặc sử dụng trái quy định.

Việc ban hành và thực thi các quy định xử phạt trong lĩnh vực bảo vệ dữ liệu cá nhân góp phần tăng cường trách nhiệm của các chủ thể tham gia xử lý dữ liệu. Tuy nhiên, hiệu quả bảo vệ quyền riêng tư không chỉ phụ thuộc vào chế tài mà còn phụ thuộc vào khả năng nhận diện rủi ro, quy trình quản trị dữ liệu và ý thức tuân thủ của từng cá nhân, tổ chức.

Đối với doanh nghiệp, xây dựng cơ chế bảo vệ dữ liệu bài bản không đơn thuần là giải pháp hạn chế nguy cơ bị xử phạt. Đây còn là cách củng cố uy tín, nâng cao niềm tin của khách hàng và giảm thiểu tranh chấp trong quá trình hoạt động.

Đối với mỗi cá nhân, hiểu quyền của mình và chủ động bảo vệ thông tin cá nhân là bước quan trọng để hạn chế nguy cơ bị làm phiền, giả mạo danh tính hoặc trở thành nạn nhân của hành vi lừa đảo.

Thông điệp pháp lý: Dữ liệu cá nhân cần được tôn trọng, bảo vệ và sử dụng đúng mục đích. Khi phát sinh nghi vấn vi phạm, việc xác minh căn cứ pháp lý và lưu giữ chứng cứ kịp thời sẽ giúp cá nhân, doanh nghiệp chủ động hơn trong việc bảo vệ quyền và lợi ích hợp pháp của mình