Lắp camera nơi công cộng nhưng không cảnh báo, tổ chức có thể bị phạt 20 triệu đồng

Quy định này được nêu tại Điều 71 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm quy định bảo vệ dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng, có hiệu lực từ ngày 19/8.

Theo đó, tổ chức lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng hoặc khu vực phục vụ khách hàng nhưng không thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết sẽ bị phạt từ 10 đến 20 triệu đồng. Với cá nhân thực hiện hành vi tương tự, mức phạt bằng một nửa.

Điều này đồng nghĩa người dân khi bước vào những khu vực có camera hoặc thiết bị ghi âm, ghi hình phải có khả năng nhận biết rằng hình ảnh hoặc âm thanh của mình đang được thu thập. Chẳng hạn, một khu vực phục vụ khách hàng được lắp camera nhưng không bố trí biển báo hay cảnh báo điện tử ở vị trí dễ nhìn thấy có thể thuộc trường hợp bị xử phạt.

Không chỉ phải cảnh báo, đơn vị quản lý dữ liệu từ hệ thống camera còn có trách nhiệm cung cấp thông tin liên hệ để người bị ghi hình có thể gửi yêu cầu truy xuất hình ảnh của mình, trừ trường hợp pháp luật có quy định khác.

Nếu không thực hiện yêu cầu này, tổ chức cũng có thể bị phạt từ 10 đến 20 triệu đồng.

Có camera không đồng nghĩa được tùy ý sử dụng hình ảnh

Việc thông báo cho người dân biết họ đang bước vào khu vực có camera không đồng nghĩa đơn vị vận hành được tự do sử dụng hình ảnh hoặc giọng nói thu thập được.

Theo Điều 71, tổ chức sử dụng dữ liệu cá nhân, hình ảnh, giọng nói thu được từ hệ thống camera giám sát công cộng cho mục đích thương mại, phân tích hành vi hoặc nhận diện khuôn mặt tự động nhằm lập hồ sơ cá nhân mà chưa có sự đồng ý hợp pháp của chủ thể dữ liệu có thể bị phạt từ 30 đến 50 triệu đồng.

Hành vi trích xuất, chia sẻ hoặc công khai trái phép dữ liệu ghi âm, ghi hình cũng thuộc khung phạt này, ngoại trừ trường hợp dữ liệu được cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền.

Như vậy, việc được phép lắp camera để giám sát không đồng nghĩa với việc đơn vị vận hành có thể tự động sử dụng hình ảnh khách hàng cho mục đích quảng cáo, phân tích hành vi hay lập hồ sơ nhận diện khuôn mặt nếu chưa đáp ứng các điều kiện theo quy định.

Ngoài tiền phạt, một số trường hợp vi phạm còn có thể bị buộc hủy, xóa dữ liệu âm thanh, hình ảnh đã thu thập trái quy định đến mức không thể khôi phục. Với trường hợp không cung cấp thông tin liên hệ để người bị ghi hình yêu cầu truy xuất dữ liệu, đơn vị vi phạm còn phải thiết lập, công khai thông tin này và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền.

Camera trở thành một phần của bảo vệ dữ liệu cá nhân

Nghị định 330/2026/NĐ-CP gồm 4 chương, 82 điều, quy định xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Các chế tài liên quan đến dữ liệu cá nhân được áp dụng trong nhiều khâu, từ thu thập, xử lý, lưu trữ đến cung cấp, công khai, chuyển giao, mua bán, xóa hoặc chuyển dữ liệu ra nước ngoài.

Trước đó, nghị định cũng quy định tổ chức tự coi việc người dùng im lặng hoặc không phản hồi là đồng ý cho thu thập, xử lý dữ liệu có thể bị phạt tới 70 triệu đồng. Người dùng phải được biết rõ loại dữ liệu nào đang được xử lý và mục đích của việc xử lý đó.

Ở một khía cạnh khác, cá nhân công khai dữ liệu của người khác khi chưa được đồng ý, trừ trường hợp pháp luật có quy định khác, có thể bị phạt tới 25 triệu đồng. Quy định này đặt ra giới hạn đối với việc đưa dữ liệu của người khác lên mạng trong các trường hợp tố cáo, tranh chấp hoặc "bóc phốt".

Với dữ liệu thu thập từ camera, Nghị định 330 đặt ra hai yêu cầu quan trọng: người dân phải được thông báo khi bước vào khu vực đang được ghi âm, ghi hình; đồng thời dữ liệu sau khi thu thập cũng không được tùy ý sử dụng, chia sẻ hoặc công khai ngoài phạm vi pháp luật cho phép.