Nghị định 330/2026 và thông điệp rõ ràng: giám sát phải đi kèm minh bạch
Quy định lắp camera an ninh theo Nghị định 330/2026/NĐ-CP là hệ thống nguyên tắc và chế tài xử phạt nhằm bảo đảm mọi hoạt động ghi âm, ghi hình và theo dõi vị trí đều được thông báo rõ ràng, có sự đồng ý của người bị giám sát và tuân thủ chặt chẽ các yêu cầu về bảo vệ dữ liệu cá nhân, thay vì để camera trở thành công cụ xâm phạm đời tư hoặc khai thác thương mại hình ảnh một cách tùy tiện. Điều quan trọng nhất của Nghị định 330/2026 không phải là các con số phạt, mà là thay đổi tư duy: ai thu thập dữ liệu, người đó phải chịu trách nhiệm minh bạch, an toàn và có giới hạn. Nghị định này có hiệu lực từ ngày 19/8 và bao trùm toàn bộ hoạt động xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nếu trước đây nhiều cá nhân, doanh nghiệp coi camera giám sát là “vùng xám pháp lý”, thì từ nay mọi hành vi vi phạm camera giám sát đều có khung phạt tương đối cụ thể. Dữ liệu cá nhân không còn là thứ “phụ” đi kèm an ninh, mà là tài sản pháp lý được bảo vệ bằng chế tài đủ mạnh.
Lắp camera ở nơi công cộng: cảnh báo không phải lựa chọn, mà là nghĩa vụ
Nếu bạn lắp camera tại sảnh tòa nhà, cửa hàng, quán cà phê hay bất kỳ khu vực cung cấp dịch vụ cho khách, việc đầu tiên phải nghĩ tới không phải góc quay đẹp mà là biển thông báo. Nghị định 330 quy định, tổ chức lắp đặt hoặc sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng hoặc khu vực cung cấp dịch vụ cho khách hàng mà không có hình thức thông báo, cảnh báo dễ nhận biết sẽ bị phạt từ 10 đến 20 triệu đồng. Cá nhân làm điều tương tự chịu một nửa mức phạt này. Biển cảnh báo có thể là tấm bảng vật lý hoặc thông báo điện tử, nhưng phải đặt ở vị trí khiến bất cứ ai đi vào đều hiểu rằng họ đang bị ghi hình. Đây không phải chi tiết hình thức, mà là quyền được biết của người dân. Một câu trích dẫn đáng nhớ từ quy định mới là: “Lắp camera phải thông báo cho người được ghi hình”. Đáng chú ý, đơn vị kiểm soát dữ liệu từ hệ thống camera còn phải cung cấp thông tin liên hệ để người bị ghi hình có thể yêu cầu truy xuất hình ảnh của mình, nếu không cũng bị phạt từ 10–20 triệu đồng.
Dữ liệu từ camera: không được tự ý dùng cho thương mại hay chia sẻ tràn lan
Sai lầm phổ biến hiện nay là coi hình ảnh camera như “tài sản riêng”, muốn cắt ghép, chia sẻ, dùng để quảng cáo hay phân tích hành vi thế nào cũng được. Nghị định 330 nói rất rõ: tổ chức sử dụng dữ liệu cá nhân, hình ảnh hoặc giọng nói từ hệ thống camera giám sát công cộng vào mục đích thương mại, phân tích hành vi hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân mà chưa có sự đồng ý hợp pháp của chủ thể dữ liệu có thể bị phạt từ 30 đến 50 triệu đồng. Cá nhân với cùng hành vi sẽ bị phạt từ 15 đến 25 triệu đồng. Không chỉ vậy, hành vi trích xuất, chia sẻ hoặc công khai trái phép dữ liệu ghi âm, ghi hình – trừ trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền – cũng nằm trong khung phạt 30–50 triệu đồng đối với tổ chức và 15–25 triệu đồng đối với cá nhân. Nói cách khác, việc đưa clip từ camera lên mạng xã hội để “bóc phốt”, “câu view” mà không có căn cứ pháp lý và sự đồng ý hợp pháp của người liên quan giờ là hành vi vi phạm camera giám sát chứ không phải chuyện nhỏ. Một câu trích dẫn rõ ràng từ quy định này là: “Cá nhân sử dụng dữ liệu cá nhân, hình ảnh hoặc giọng nói từ hệ thống camera giám sát công cộng trái quy định có thể bị phạt từ 15–25 triệu đồng”.
Theo dõi vị trí và giám sát người lao động: ranh giới giữa quản lý và xâm phạm
Không phải mọi công nghệ theo dõi vị trí đều bị cấm, nhưng bất kỳ hệ thống nào dùng dữ liệu định vị để “theo sát” một người mà không đáp ứng yêu cầu pháp luật đều có thể khiến tổ chức trả giá rất lớn. Theo khoản 2 Điều 70 Nghị định 330, tổ chức lắp đặt, sử dụng công nghệ theo dõi định vị qua thẻ RFID và các công nghệ khác trái quy định có thể bị phạt từ 70 đến 150 triệu đồng, cá nhân chịu một nửa mức phạt. Dữ liệu vị trí từ thẻ nhân viên, đồng phục, thiết bị di động… không còn là thông tin nội bộ, mà là dữ liệu cá nhân nhạy cảm phải được bảo vệ. Ở nơi làm việc, thông điệp còn mạnh hơn. Điều 49 quy định phạt từ 50 đến 70 triệu đồng đối với doanh nghiệp áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm họ biết rõ về biện pháp đó; bao gồm việc bí mật lắp camera giám sát, cài phần mềm theo dõi thiết bị hoặc dùng thiết bị thu thập dữ liệu khác trong môi trường làm việc mà không thông báo. Trường hợp cá nhân có cùng hành vi, mức phạt là một nửa. Rõ ràng, quản lý nhân sự bằng công nghệ chỉ hợp pháp khi người lao động được thông tin minh bạch, thay vì bị giám sát âm thầm.
Kết luận: lắp camera an ninh là quyền, nhưng tuân thủ quy định là bắt buộc
Nhìn tổng thể, Nghị định 330/2026/NĐ-CP đặt ra một thực tế mới: quy định lắp camera, thu thập dữ liệu vị trí và giám sát người lao động không còn là những khuyến nghị chung chung, mà là hệ thống nghĩa vụ đi kèm mức phạt rất cụ thể – từ 10–20 triệu đồng cho việc thiếu cảnh báo, 30–50 triệu đồng cho việc dùng sai dữ liệu, 50–70 triệu đồng cho giám sát người lao động không thông báo, và 70–150 triệu đồng cho theo dõi định vị trái quy định. Thông điệp thực tế cho mọi cá nhân, doanh nghiệp là: hãy coi camera và công nghệ giám sát như một hệ thống xử lý dữ liệu cá nhân, chứ không chỉ là thiết bị an ninh. Trước khi lắp thêm một camera, cài một phần mềm theo dõi hay triển khai hệ thống RFID, hãy tự hỏi ba điều: đã thông báo chưa, người bị giám sát có quyền truy xuất dữ liệu không, và mục đích dùng dữ liệu có phù hợp với sự đồng ý của họ hay không. Nếu câu trả lời cho bất kỳ câu hỏi nào là “chưa”, thì tốt nhất là dừng lại trước khi lên tới mức phạt 150 triệu đồng.
