Trong thời đại mạng xã hội phát triển bùng nổ, việc đăng tải thông tin cá nhân của người khác lên Facebook, TikTok hay Zalo nhằm mục đích "bóc phốt", đòi nợ, chỉ trích hay cảnh báo cộng đồng đã trở thành một hiện tượng phổ biến. Tuy nhiên, ít ai lường trước được rằng hành vi phát tán dữ liệu riêng tư này lại ẩn chứa rủi ro pháp lý nghiêm trọng. Việc tự ý đưa thông tin cá nhân của chủ thể khác lên mạng internet khi chưa được sự đồng ý có thể chịu mức xử phạt hành chính rất nặng theo quy định hiện hành.

1. Tự ý phát tán thông tin người khác lên mạng để "bóc phốt" bị phạt bao nhiêu tiền?

Trong thực tiễn đời sống xã hội, "bóc phốt" là thuật ngữ dân dã dùng để chỉ hành vi công khai thông tin cá nhân, hình ảnh, tài khoản ngân hàng, tin nhắn riêng tư hoặc giấy tờ tùy thân của một người nào đó lên không gian mạng nhằm tố cáo, hạ thấp uy tín hoặc chỉ trích đối phương. Dù pháp luật không trực tiếp sử dụng cụm từ "bóc phốt", hành vi này về mặt bản chất chính là hoạt động công khai dữ liệu cá nhân bất hợp pháp.

Căn cứ theo quy định tại khoản 2 Điều 50 Nghị định 330/2026/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, tổ chức sẽ bị phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng khi có các hành vi vi phạm bao gồm:

- Công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;
- Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép.

Đáng chú ý, mức phạt áp dụng đối với cá nhân có sự khác biệt so với tổ chức. Cụ thể, tại khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt tiền đối với cá nhân thực hiện cùng hành vi vi phạm bằng một nửa mức phạt áp dụng cho tổ chức. Do đó, trường hợp một cá nhân tự ý tung dữ liệu riêng tư của người khác lên mạng để "bóc phốt" có thể gánh chịu khung hình phạt tiền từ 15.000.000 đồng đến 25.000.000 đồng.

Bên cạnh đó, các đối tượng là hộ kinh doanh, hộ gia đình hoặc cộng đồng dân cư nếu thực hiện hành vi vi phạm cũng sẽ bị xử phạt như mức áp dụng đối với cá nhân. Không dừng lại ở việc phạt tiền, điểm b khoản 3 Điều 50 Nghị định 330/2026/NĐ-CP còn buộc đối tượng vi phạm phải gỡ bỏ, thu hồi toàn bộ dữ liệu cá nhân đã phát tán công khai trên mạng xã hội.

2. Đăng tin đúng sự thật nhưng vượt quá phạm vi cần thiết có bị phạt không?

Nhiều người lầm tưởng rằng nếu thông tin "bóc phốt" là hoàn toàn có thật (ví dụ đối phương quỵt nợ, ngoại tình, lừa đảo...) thì mình có toàn quyền đăng tải lên mạng xã hội để bức tử uy tín của họ. Tuy nhiên, góc nhìn pháp lý hoàn toàn bác bỏ quan điểm này. Pháp luật bảo vệ dữ liệu cá nhân không chỉ nghiêm cấm việc đưa tin sai sự thật hay công khai khi chưa xin phép, mà còn kiểm soát chặt chẽ cả phạm vi dữ liệu được đưa ra.

Cụ thể, theo quy định tại khoản 1 Điều 50 Nghị định 330/2026/NĐ-CP, phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với tổ chức (và phạt từ 10.000.000 đồng đến 15.000.000 đồng đối với cá nhân) khi có các hành vi:

- Công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp pháp luật cho phép;
- Công khai vượt quá phạm vi, loại dữ liệu cá nhân cần thiết cho mục đích công khai;
- Công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn gốc.

Chẳng hạn, nếu một cá nhân muốn phản ánh hành vi chậm trả tiền của đối tác kinh doanh, họ chỉ được phép cung cấp các thông tin liên quan trực tiếp đến giao dịch tài chính đó trong phạm vi cơ quan chức năng hoặc trọng tài. Việc đưa tràn lan số Căn cước công dân, địa chỉ nhà riêng, hình ảnh con cái hay người thân của đối tác lên Facebook lại bị xem là hành vi công khai vượt quá phạm vi dữ liệu cần thiết, và hành vi này sẽ bị cơ quan chức năng phạt đến 15 triệu đồng đối với cá nhân.

Ngoài ra, khoản 3 Điều 50 Nghị định 330/2026/NĐ-CP đặt ra các biện pháp khắc phục hậu quả áp dụng đối với chủ thể vi phạm bao gồm:

• Buộc cải chính thông tin nếu thông tin công khai không phản ánh đúng dữ liệu từ nguồn gốc gốc;
• Buộc thu hồi, gỡ bỏ toàn bộ dữ liệu cá nhân được công khai không có mục đích cụ thể hoặc vượt quá phạm vi cần thiết;
• Buộc áp dụng các biện pháp kiểm soát, giám sát và bảo mật khẩn cấp đối với dữ liệu đang công khai;
• Buộc gỡ bỏ, thu hồi dữ liệu được công khai khi chưa có sự đồng ý hoặc gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu.

3. Người bị "bóc phốt" giữ im lặng có được mặc nhiên coi là đồng ý?

Một cái bẫy pháp lý khác mà nhiều cư dân mạng thường mắc phải là việc nhắn tin yêu cầu giải quyết, nếu sau một khoảng thời gian đối phương im lặng không phản hồi thì tự cho rằng mình có quyền đăng thông tin lên mạng. Pháp luật nghiêm cấm suy luận mang tính áp đặt này.

Căn cứ theo khoản 2 Điều 43 Nghị định 330/2026/NĐ-CP, phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với tổ chức (cá nhân vi phạm bị phạt từ 25.000.000 đồng đến 35.000.000 đồng theo Điều 7 Nghị định 330/2026/NĐ-CP) nếu thực hiện hành vi:

Tự động xem việc chủ thể dữ liệu im lặng hoặc không phản hồi yêu cầu xin ý kiến là sự đồng ý để thu thập, xử lý dữ liệu cá nhân.

Song song đó, pháp luật cũng quy định phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa nhận được sự đồng ý rõ ràng của chủ thể dữ liệu (khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP).

Người vi phạm không chỉ bị phạt tiền mà còn buộc phải xóa, hủy bỏ toàn bộ dữ liệu cá nhân đã thu thập hoặc xử lý trái phép đến mức không thể khôi phục lại, đồng thời nộp lại toàn bộ số lợi bất hợp pháp có được từ hành vi vi phạm.

Như vậy, việc tự ý đăng tải thông tin riêng tư của người khác lên không gian mạng để "bóc phốt" không giải quyết triệt để tranh chấp mà còn biến người đăng từ vị thế nạn nhân trở thành người vi phạm pháp luật. Để bảo vệ quyền lợi hợp pháp của mình, người dân nên thực hiện khiếu nại, tố giác đến cơ quan Công an hoặc khởi kiện ra Tòa án thay vì sử dụng mạng xã hội làm công cụ trừng phạt cá nhân.