Theo Luật Bảo vệ dữ liệu cá nhân, công khai dữ liệu cá nhân trái phép bị xử lý sao?

Điều 16 giới hạn việc công khai trong bốn trường hợp. Ngoài bốn trường hợp đó, hành vi rơi vào nhóm bị nghiêm cấm tại Điều 7.

Đăng danh sách khách nợ tiền, công bố thông tin nhân viên vi phạm, chia sẻ ảnh chụp màn hình hội thoại có thông tin cá nhân — những việc này đều thuộc phạm vi Điều 16 Luật 91/2025/QH15.

Bốn trường hợp được công khai

Khoản 2 Điều 16 quy định dữ liệu cá nhân chỉ được công khai trong các trường hợp:

• Khi có sự đồng ý của chủ thể dữ liệu cá nhân;
• Thực hiện theo quy định của pháp luật;
• Trường hợp quy định tại điểm b khoản 1 Điều 19 của Luật;
• Thực hiện nghĩa vụ theo hợp đồng.

Cách diễn đạt "chỉ được công khai trong các trường hợp sau đây" cho thấy đây là danh sách đóng.

Ba điều kiện đi kèm

Khoản 1 Điều 16 quy định dữ liệu cá nhân chỉ được công khai với mục đích cụ thể; phạm vi công khai và loại dữ liệu được công khai phải phù hợp với mục đích công khai; việc công khai không được xâm phạm đến quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân.

Điều kiện thứ ba loại bỏ mục đích trừng phạt

Việc đăng công khai thông tin nhằm gây sức ép hoặc làm mất uy tín một người khó thỏa mãn điều kiện không xâm phạm quyền, lợi ích hợp pháp của chính người đó. Ngay cả khi có căn cứ về khoản nợ hay hành vi vi phạm, việc công khai vẫn cần một trong bốn trường hợp tại khoản 2 và phải qua ba điều kiện tại khoản 1.

Rơi vào nhóm hành vi bị nghiêm cấm

Khoản 4 Điều 7 Luật 91/2025/QH15 xếp hành vi xử lý dữ liệu cá nhân trái quy định của pháp luật vào nhóm bị nghiêm cấm. Công khai là một hoạt động xử lý theo khoản 6 Điều 2, nên công khai không có căn cứ thuộc phạm vi khoản 4 Điều 7.

Khoản 7 Điều 7 cũng cấm hành vi cố ý làm lộ dữ liệu cá nhân.

Chế tài

Khoản 1 Điều 8 Luật 91/2025/QH15 quy định tổ chức, cá nhân có hành vi vi phạm thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Khoản 5 Điều 8 quy định mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng; khoản 6 nêu cá nhân thực hiện cùng hành vi thì mức tối đa bằng một phần hai mức của tổ chức.

Với hành vi công khai nhằm xâm phạm danh dự, nhân phẩm, còn có thể phát sinh trách nhiệm theo các quy định pháp luật khác.

Nghĩa vụ không kết thúc khi đã đăng

Khoản 5 Điều 16 quy định cơ quan, tổ chức, cá nhân công khai dữ liệu cá nhân phải kiểm soát và giám sát chặt chẽ việc công khai để bảo đảm tuân thủ đúng mục đích, phạm vi và quy định của pháp luật; ngăn chặn việc truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa, hủy hoặc các hành vi xử lý trái phép khác đối với dữ liệu cá nhân đã công khai, trong khả năng và điều kiện của mình.

Nghĩa là ngay cả với nội dung đăng đúng căn cứ, doanh nghiệp vẫn có nghĩa vụ theo dõi sau đó.

Ba câu hỏi trước khi đăng bất kỳ nội dung nào có thông tin cá nhân

• Mục đích cụ thể là gì, và có nằm trong bốn trường hợp tại khoản 2 Điều 16 không;
• Có thể đạt mục đích đó với ít dữ liệu hơn không — ví dụ rút gọn tên hoặc bỏ thông tin định danh chi tiết;
• Khi nào thì gỡ bỏ.

Câu hỏi cuối cùng đơn giản nhưng giải quyết được phần lớn rủi ro thực tế, vì các trang cũ tồn tại vô thời hạn thường là nguồn lộ dữ liệu bị lãng quên nhất.

Đọc thêm cùng chủ đề

• Cá nhân vi phạm bị phạt bằng bao nhiêu tổ chức?
• Làm lộ dữ liệu khách hàng bị xử lý ra sao?
• Thu thập dữ liệu không xin đồng ý bị xử lý sao?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 16
• Luật 91/2025/QH15 Điều 7
• Luật 91/2025/QH15 Điều 8

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.