Mạng xã hội âm thầm đọc tin nhắn, nghe trộm cuộc gọi: Có thể bị phạt 150 triệu đồng

Quy định này được nêu tại Điều 65 Nghị định 330/2026/NĐ-CP về xử phạtvi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8.

Âm thầm lấy dữ liệu có thể bị phạt 150 triệu đồng

Theo điểm b khoản 2 Điều 65, tổ chức cung cấp ứng dụng OTT, mạng xã hội sử dụng tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện trên thiết bị khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân sẽ bị phạt từ 70 đến 150 triệu đồng.

Mức phạt trên áp dụng với tổ chức. Cá nhân thực hiện cùng hành vi bị phạt bằng một nửa mức phạt đối với tổ chức.

Điều này đồng nghĩa việc người dùng cài đặt một ứng dụng OTT hoặc sử dụng mạng xã hội không mặc nhiên cho phép nền tảng âm thầm truy cập cuộc gọi, tin nhắn, danh bạ, hình ảnh, video hay các tệp tin trên thiết bị.

Chẳng hạn, nếu một ứng dụng nhắn tin sử dụng tính năng không công khai để tự động đọc nội dung tin nhắn mà chưa được người dùng đồng ý, hành vi này có thể thuộc trường hợp bị xử phạt.

Tương tự, việc sử dụng tính năng ẩn để nghe trộm, ghi âm cuộc gọi hoặc tự động lấy danh bạ, hình ảnh, video và các tệp tin trên thiết bị cũng có thể bị xử lý nếu thuộc trường hợp quy định tại Điều 65.

Ngoài tiền phạt, tổ chức vi phạm khoản 2 Điều 65 còn có thể bị đình chỉ hoạt động cung cấp dịch vụ tại Việt Nam từ 3 đến 6 tháng. Dữ liệu cá nhân, giấy tờ tùy thân, danh bạ và các tệp tin bị thu thập, trích xuất trái phép có thể bị buộc hủy, xóa đến mức không thể khôi phục.

Nền tảng phải nói rõ đang thu thập dữ liệu gì

Điều 65 đồng thời đặt ra yêu cầu minh bạch đối với các tổ chức cung cấp dịch vụ mạng xã hội, truyền thông trực tuyến và nền tảng nội dung số.

Theo đó, tổ chức không thông báo rõ loại dữ liệu cá nhân được thu thập khi người dùng cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến có thể bị phạt 50 đến 70 triệu đồng.

Mức phạt tương tự cũng áp dụng với một số hành vi như không cho người dùng lựa chọn từ chối thu thập, chia sẻ cookies; không cung cấp lựa chọn “không theo dõi”; không công khai chính sách bảo mật minh bạch hoặc không có cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu cá nhân theo quy định.

Các quy định này yêu cầu nền tảng phải minh bạch hơn về dữ liệu được thu thập, đồng thời tạo điều kiện để người dùng kiểm soát việc theo dõi, chia sẻ và quản lý dữ liệu của mình.

Không cần “bắt quả tang” ứng dụng nghe trộm

Việc phát hiện một ứng dụng âm thầm đọc tin nhắn, ghi âm cuộc gọi hoặc lấy danh bạ không dễ đối với người dùng thông thường, nhất là khi hành vi được thực hiện thông qua “tính năng công nghệ không công khai”.

Nghị định 330 không đặt trách nhiệm lên người dùng phải tự phát hiện hoặc chứng minh ứng dụng đang “nghe trộm”. Khi có dấu hiệu vi phạm, cơ quan có thẩm quyền có thể xác minh dựa trên chứng cứ điện tử như dữ liệu từ thiết bị điện tử, hệ thống thông tin, tài khoản, hình ảnh, âm thanh và các dữ liệu liên quan.

Do đó, việc một ứng dụng có bí mật truy cập hoặc thu thập dữ liệu trái phép hay không có thể được làm rõ thông qua các dấu vết điện tử mà hoạt động đó để lại, thay vì chỉ dựa vào việc người dùng có nhận ra hay không.

Thẩm quyền xử phạt theo Nghị định 330 được giao cho nhiều cơ quan, trong đó có lực lượng Công an, Chủ tịch UBND và Thanh tra trong phạm vi chức năng, nhiệm vụ. Riêng lực lượng Công an có các đơn vị chuyên trách về an ninh mạng từ cấp tỉnh đến Bộ Công an.

Người dùng vì vậy không nhất thiết phải “bắt quả tang” ứng dụng đang nghe trộm mới có thể phản ánh. Việc có vi phạm hay không sẽ do cơ quan có thẩm quyền kiểm tra, xác minh và kết luận trên cơ sở chứng cứ.

Nghị định 330/2026/NĐ-CP gồm 4 chương, 82 điều, quy định xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Các chế tài bao phủ nhiều khâu, từ xin sự đồng ý, thu thập, xử lý, lưu trữ đến công khai, theo dõi vị trí và sử dụng dữ liệu cá nhân trên nền tảng số.

Trong đó, tổ chức coi việc người dùng im lặng là đồng ý xử lý dữ liệu có thể bị phạt tới 70 triệu đồng. Cá nhân công khai dữ liệu của người khác khi chưa được đồng ý, trừ trường hợp pháp luật có quy định khác, có thể bị phạt tối đa 25 triệu đồng. Hành vi sử dụng công nghệ theo dõi định vị trái quy định có thể bị phạt tới 150 triệu đồng.