Bóc phốt người khác trên mạng bị phạt bao nhiêu tiền?

Theo Nghị định 330/2026/NĐ-CP của Chính phủ, cá nhân tự ý đăng thông tin, hình ảnh, số điện thoại hay giấy tờ của người khác lên mạng để “bóc phốt” có thể bị phạt tiền từ 15-25 triệu đồng và buộc phải gỡ bỏ, thu hồi toàn bộ dữ liệu đã công khai. Nghị định này có hiệu lực thi hành từ ngày 19/8/2026, quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Trong bài viết dưới đây, chúng tôi phân tích cụ thể từng hành vi vi phạm, mức phạt tương ứng và những lưu ý pháp lý quan trọng mà bạn cần nắm rõ trước khi đăng bất kỳ thông tin nào liên quan đến người khác lên không gian mạng.

Đăng thông tin người khác lên mạng để “bóc phốt” bị phạt bao nhiêu tiền?

Pháp luật Việt Nam không sử dụng thuật ngữ “bóc phốt”. Trên thực tế, đây là cách gọi phổ biến của cộng đồng mạng đối với hành vi đăng tải thông tin lên mạng nhằm phản ánh, cảnh báo, tố cáo hoặc chỉ trích một cá nhân, tổ chức nào đó.

Một bài đăng “bóc phốt” điển hình thường kèm theo họ tên, hình ảnh, số điện thoại, địa chỉ nhà, nội dung tin nhắn riêng tư, thông tin tài khoản ngân hàng hoặc hình ảnh giấy tờ tùy thân của người bị phản ánh. Theo quy định pháp luật hiện hành, việc đưa những dữ liệu này lên mạng được xem là hoạt động công khai dữ liệu cá nhân và phải tuân thủ nghiêm ngặt các quy định về bảo vệ dữ liệu cá nhân.

Cụ thể, theo khoản 2 Điều 50 Nghị định 330/2026/NĐ-CP, tổ chức bị phạt tiền từ 30-50 triệu đồng đối với một trong các hành vi sau:

• Công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;
• Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép.

Đáng chú ý, mức phạt nêu trên được áp dụng đối với tổ chức. Theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, nếu cá nhân thực hiện cùng hành vi vi phạm thì mức phạt bằng một nửa mức phạt đối với tổ chức. Hộ kinh doanh, hộ gia đình và cộng đồng dân cư cũng được áp dụng mức phạt như đối với cá nhân.

Như vậy, mức phạt cụ thể được xác định như sau:

• Tổ chức vi phạm: 30-50 triệu đồng;
• Cá nhân vi phạm: 15-25 triệu đồng.

Bên cạnh hình thức phạt tiền, điểm b khoản 3 Điều 50 còn quy định biện pháp khắc phục hậu quả là buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai. Điều này có nghĩa là người vi phạm vừa phải nộp phạt hành chính, vừa phải xóa toàn bộ thông tin đã đăng tải trên mạng xã hội.

Theo đánh giá của các chuyên gia pháp lý, quy định tại Nghị định 330/2026/NĐ-CP thể hiện bước tiến quan trọng trong việc bảo vệ quyền riêng tư của cá nhân trên không gian mạng, đồng thời tạo hành lang pháp lý rõ ràng để xử lý các hành vi lợi dụng mạng xã hội để xâm phạm danh dự, nhân phẩm của người khác.

Tuy nhiên, cần lưu ý rằng Nghị định 330/2026/NĐ-CP không quy định cứ đăng thông tin liên quan đến người khác là đương nhiên bị phạt. Điểm b khoản 2 Điều 50 đã loại trừ trường hợp pháp luật cho phép công khai. Từng vụ việc cụ thể phải được xem xét dựa trên loại dữ liệu, hoàn cảnh đăng tải, sự đồng ý của chủ thể dữ liệu và các quy định pháp luật có liên quan.

Công khai dữ liệu vượt quá phạm vi cần thiết bị xử phạt như thế nào?

Điều 50 Nghị định 330/2026/NĐ-CP không chỉ xử lý hành vi công khai dữ liệu khi chưa được sự đồng ý. Ngay cả khi bạn có mục đích phản ánh một vụ việc cụ thể, bạn vẫn có thể bị xử phạt nếu công khai quá nhiều thông tin hoặc đưa ra dữ liệu không chính xác so với nguồn gốc.

Cụ thể, khoản 1 Điều 50 Nghị định 330/2026/NĐ-CP quy định phạt tiền đối với tổ chức từ 20-30 triệu đồng khi thực hiện một trong các hành vi:

• Công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp pháp luật cho phép;
• Công khai vượt quá phạm vi, loại dữ liệu cá nhân cần thiết cho mục đích công khai;
• Công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn gốc.

Cá nhân thực hiện các hành vi này bị phạt bằng một nửa mức phạt đối với tổ chức, tương ứng từ 10-15 triệu đồng.

Về biện pháp khắc phục hậu quả, khoản 3 Điều 50 quy định cụ thể:

1. Buộc cải chính nếu thông tin công khai không phản ánh đúng dữ liệu từ nguồn gốc;
2. Buộc gỡ bỏ, thu hồi dữ liệu được công khai không có mục đích cụ thể hoặc vượt quá phạm vi cần thiết;
3. Buộc áp dụng biện pháp kiểm soát, giám sát và bảo mật đối với dữ liệu đang công khai;
4. Buộc gỡ bỏ, thu hồi dữ liệu được công khai khi chưa có sự đồng ý hoặc gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

Im lặng có được coi là đồng ý cho sử dụng dữ liệu cá nhân không?

Nghị định 330/2026/NĐ-CP quy định rất rõ về điều kiện để sự đồng ý cho xử lý dữ liệu cá nhân được coi là hợp lệ. Theo khoản 2 Điều 43 Nghị định 330/2026/NĐ-CP, tổ chức có thể bị phạt tiền từ 50-70 triệu đồng nếu tự động xem việc chủ thể dữ liệu im lặng hoặc không phản hồi yêu cầu xin ý kiến là sự đồng ý để thu thập, xử lý dữ liệu cá nhân.

Mức phạt này cũng được áp dụng đối với tổ chức cố tình tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu đã yêu cầu ngừng hoặc hạn chế xử lý, hoặc sau khi cơ quan có thẩm quyền đã yêu cầu dừng xử lý bằng văn bản.

Ngoài ra, khoản 1 Điều 43 quy định phạt tiền từ 30-50 triệu đồng đối với tổ chức xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa được chủ thể dữ liệu đồng ý, trừ trường hợp pháp luật có quy định khác.

Bên cạnh hình thức phạt tiền, tổ chức vi phạm còn bị buộc hủy, xóa dữ liệu đã thu thập hoặc xử lý khi chưa có sự đồng ý hợp lệ đến mức không thể khôi phục, đồng thời phải nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Theo Điều 7 Nghị định 330/2026/NĐ-CP, các mức phạt nêu trên được áp dụng đối với tổ chức. Nếu cá nhân thực hiện cùng hành vi vi phạm thì mức phạt bằng một nửa mức phạt của tổ chức, tương ứng từ 25-35 triệu đồng đối với hành vi tự động coi sự im lặng là đồng ý.

Tình huống thực tế: Đăng bài “cảnh báo” kèm thông tin cá nhân của người khác

Anh Minh (TP.HCM) phát hiện một người quen cũ nợ anh 50 triệu đồng nhưng không chịu trả. Bức xúc, anh Minh đăng lên Facebook cá nhân một bài viết dài kèm theo ảnh chụp CMND, số điện thoại, địa chỉ nhà riêng và tin nhắn riêng tư giữa hai người, với mục đích “cảnh báo mọi người đề phòng”.

Hành vi của anh Minh có thể bị xử phạt theo khoản 2 Điều 50 Nghị định 330/2026/NĐ-CP vì đã công khai dữ liệu cá nhân của người khác khi chưa có sự đồng ý. Mức phạt áp dụng cho cá nhân là 15-25 triệu đồng, kèm theo buộc gỡ bỏ toàn bộ thông tin đã đăng.

Trường hợp anh Minh chỉ đăng nội dung phản ánh nhưng kèm quá nhiều thông tin cá nhân không cần thiết như số CMND, địa chỉ, thông tin tài khoản ngân hàng, anh có thể bị xử phạt theo khoản 1 Điều 50 với mức 10-15 triệu đồng vì công khai vượt quá phạm vi cần thiết.

Giải pháp đúng đắn trong trường hợp này là anh Minh nên khởi kiện ra Tòa án nhân dân cấp huyện để yêu cầu người nợ trả tiền, thay vì tự ý công khai thông tin cá nhân lên mạng xã hội. Việc đòi nợ hợp pháp phải được thực hiện thông qua con đường pháp lý, không được xâm phạm quyền riêng tư của người khác.

Lời khuyên từ luật sư

1. Không tự ý đăng thông tin cá nhân của người khác lên mạng xã hội, kể cả khi bạn cho rằng mình có lý do chính đáng. Hành vi này có thể bị phạt đến 25 triệu đồng theo Nghị định 330/2026/NĐ-CP.
2. Chỉ công khai dữ liệu trong phạm vi cần thiết và đúng mục đích. Nếu phản ánh sai phạm, chỉ nêu thông tin tối thiểu cần thiết để minh chứng, không đăng tràn lan giấy tờ tùy thân, số tài khoản hay tin nhắn riêng tư.
3. Không mặc nhiên coi sự im lặng là đồng ý. Muốn sử dụng dữ liệu cá nhân của người khác, bạn phải có sự đồng ý rõ ràng, minh bạch và tự nguyện của họ.
4. Sử dụng con đường pháp lý chính thức để giải quyết tranh chấp: gửi đơn tố cáo đến cơ quan có thẩm quyền hoặc khởi kiện ra Tòa án thay vì tự xử lý trên mạng xã hội.
5. Lưu giữ bằng chứng đầy đủ nếu bạn là nạn nhân bị “bóc phốt”. Bạn có quyền yêu cầu cơ quan chức năng xử lý hành vi công khai dữ liệu cá nhân trái phép theo quy định tại Nghị định 330/2026/NĐ-CP.