Camera giám sát công cộng không phải “vùng trắng” pháp lý
Camera giám sát công cộng là hệ thống thiết bị ghi âm, ghi hình được lắp đặt tại không gian công cộng hoặc khu vực cung cấp dịch vụ cho khách hàng nhằm bảo đảm an ninh, trật tự, bảo vệ tài sản và hỗ trợ quản lý, đồng thời thu thập, lưu trữ và xử lý một lượng lớn dữ liệu liên quan tới cá nhân, bao gồm hình ảnh, giọng nói và các hành vi gắn với danh tính của họ.
Nếu bạn nghĩ lắp camera ở sảnh tòa nhà, cửa hàng hay bãi giữ xe chỉ là chuyện kỹ thuật, Nghị định 330 về bảo vệ dữ liệu cá nhân sẽ khiến bạn phải thay đổi suy nghĩ. Đây là bản ranh giới pháp lý rất rõ: camera được khuyến khích để giữ an ninh, nhưng mọi hành vi xâm phạm quyền riêng tư sẽ bị xử phạt. Nghị định số 330/2026/NĐ-CP là văn bản quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8/2026. Nghĩa là từ thời điểm này, mọi hệ thống camera giám sát công cộng đều phải “sống chung” với chuẩn mực mới: an ninh không được phép đánh đổi bằng dữ liệu cá nhân.
Quy định lắp camera: Biển báo, mục đích và thời gian lưu trữ
Điểm sai phổ biến nhất khi lắp camera giám sát công cộng là coi người bị quay chỉ là “đối tượng” chứ không phải chủ thể dữ liệu. Nghị định 330 bảo vệ dữ liệu buộc bạn phải bắt đầu từ sự minh bạch. Theo Điểm a Khoản 1 Điều 71, lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng hoặc khu vực cung cấp dịch vụ cho khách hàng mà không thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết để chủ thể hiểu mình đang bị ghi âm, ghi hình có thể bị phạt từ 10 đến 20 triệu đồng.
Nói cách khác, một chiếc biển báo rõ ràng là “tấm vé” pháp lý tối thiểu cho hệ thống camera. Biển báo không được làm cho có; phải đặt tại vị trí người ra vào dễ thấy, ngắn gọn nhưng đủ thông tin về việc khu vực đang được giám sát. Bên cạnh đó, dữ liệu thu được chỉ được dùng đúng mục đích bảo đảm an ninh, trật tự, bảo vệ quyền và lợi ích hợp pháp của chủ thể dữ liệu và chỉ được lưu trữ trong thời gian cần thiết theo quy định, không kéo dài vô hạn hay giữ vì “lỡ sau này cần”.
Quản lý dữ liệu từ camera: Bạn chịu trách nhiệm tới cùng
Một khi đã bật camera, bạn đang vận hành một kho dữ liệu cá nhân, không phải chỉ là vài file video. Nghị định 330 yêu cầu doanh nghiệp, hộ kinh doanh phải tuân thủ pháp luật về thu thập, lưu trữ, truyền đưa và xử lý dữ liệu cá nhân, không chỉ để tránh bị phạt mà còn để quản trị rủi ro an ninh mạng. Nếu để lộ, mất dữ liệu do thiếu biện pháp bảo vệ phù hợp, doanh nghiệp, hộ kinh doanh có thể bị phạt tiền từ 20 đến 30 triệu đồng.
Câu chuyện không dừng ở tiền phạt. Tổ chức có thể bị buộc triển khai biện pháp bảo vệ phù hợp, đánh giá rủi ro và cung cấp minh chứng cho cơ quan có thẩm quyền. Nghĩa là nếu bạn quản lý lỏng lẻo, cho nhân viên tải video về điện thoại cá nhân hoặc mang ổ cứng về nhà, bạn đã đẩy doanh nghiệp vào vùng nguy hiểm. Nghị định cũng nhấn mạnh phải kiểm soát chặt việc truy cập, trích xuất, sao chép dữ liệu; nghiêm cấm tự ý sao chép, lưu giữ hoặc chuyển dữ liệu camera sang thiết bị cá nhân khi chưa có căn cứ và trách nhiệm rõ ràng.
Những hành vi với camera khiến bạn bị phạt vi phạm dữ liệu cá nhân
Nhiều đơn vị lầm tưởng rằng lắp camera là “toàn quyền sở hữu” hình ảnh thu được. Nghị định 330 cho thấy quan điểm này sai ngay từ gốc. Khoản 2 Điều 71 quy định phạt từ 30 đến 50 triệu đồng đối với hành vi sử dụng dữ liệu cá nhân, hình ảnh, giọng nói thu được từ hệ thống camera giám sát công cộng vào mục đích thương mại, phân tích hành vi hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân mà không có sự đồng ý hợp pháp của chủ thể dữ liệu.
Cũng với mức phạt này, tổ chức, cá nhân sẽ bị xử lý nếu trích xuất, chia sẻ, công khai trái phép dữ liệu ghi âm, ghi hình, trừ trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền. Nghĩa là những thói quen tưởng “vô hại” như đăng video từ camera lên mạng xã hội để câu view, dùng hình ảnh khách hàng cho mục đích quảng cáo, thương mại, phân tích hành vi hay xây dựng hồ sơ khách hàng khi chưa đủ căn cứ pháp luật đều là hành vi vi phạm dữ liệu cá nhân. Nếu tiếp tục xử lý dữ liệu khi chủ thể đã yêu cầu dừng hoặc hạn chế, mức phạt có thể lên tới hàng chục triệu đồng theo các điều khoản khác của Nghị định 330.
Áp dụng camera AI nhận diện khuôn mặt mà vẫn tôn trọng quyền riêng tư
Camera tích hợp AI nhận diện khuôn mặt đang hấp dẫn nhiều chủ đầu tư vì khả năng phát hiện nhanh đối tượng, phân tích hành vi, tối ưu vận hành. Nhưng chính tại đây, ranh giới giữa an ninh và xâm phạm dữ liệu cá nhân trở nên mong manh. Nghị định 330 nêu rõ: sử dụng dữ liệu hình ảnh, giọng nói thu được từ hệ thống camera giám sát công cộng vào mục đích phân tích hành vi hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân khi chưa có sự đồng ý hợp pháp của chủ thể dữ liệu là hành vi bị phạt từ 30 đến 50 triệu đồng.
Muốn ứng dụng AI mà vẫn hợp pháp, bạn cần ít nhất ba lớp bảo vệ. Thứ nhất, xác định rõ mục đích, phạm vi xử lý và thời hạn lưu trữ dữ liệu; xóa, hủy dữ liệu khi hết thời hạn hoặc khi không còn cần thiết. Thứ hai, chỉ triển khai chức năng nhận diện khuôn mặt, phân tích hành vi khi đã đánh giá đầy đủ yêu cầu bảo vệ dữ liệu và có cơ sở pháp lý thích hợp. Thứ ba, không khai thác dữ liệu cho mục đích quảng cáo, thương mại, xây dựng hồ sơ cá nhân ngoài phạm vi đã công bố. Nói ngắn gọn: AI chỉ là công cụ; cách bạn dùng mới quyết định nó là “lá chắn” hay “con dao” đối với quyền riêng tư.
