Quy định trên được nêu tại Điều 65 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8.

Theo điểm b khoản 2 Điều 65, hành vi sử dụng tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện trên thiết bị mà không có sự đồng ý của chủ thể dữ liệu cá nhân thuộc trường hợp bị phạt từ 70 đến 150 triệu đồng.

Mức phạt này áp dụng đối với tổ chức. Cá nhân thực hiện cùng hành vi sẽ chịu mức phạt bằng một nửa.

Quy định mới đặt ra yêu cầu rõ ràng đối với các nền tảng số: việc người dùng cài đặt một ứng dụng OTT hoặc sử dụng mạng xã hội không đồng nghĩa với việc nền tảng được phép âm thầm truy cập các cuộc gọi, tin nhắn, danh bạ hay dữ liệu lưu trên thiết bị.

Chẳng hạn, nếu một ứng dụng nhắn tin sử dụng tính năng không được công khai để tự động đọc nội dung tin nhắn của người dùng khi chưa có sự đồng ý, hành vi này có thể thuộc trường hợp bị xử phạt theo Điều 65. Tương tự, việc sử dụng tính năng ẩn để nghe hoặc ghi âm cuộc gọi, tự động lấy danh bạ, hình ảnh, video hay các tệp tin trên thiết bị cũng có thể bị xử lý nếu đáp ứng các điều kiện theo quy định.

Ngoài phạt tiền, tổ chức vi phạm khoản 2 Điều 65 còn có thể bị đình chỉ hoạt động cung cấp dịch vụ tại Việt Nam trong thời gian từ 3 đến 6 tháng. Đối với dữ liệu cá nhân, giấy tờ tùy thân, danh bạ hoặc tệp tin bị thu thập, trích xuất trái phép trong trường hợp thuộc diện xử lý, tổ chức vi phạm có thể bị buộc hủy, xóa dữ liệu đến mức không thể khôi phục.

Nghị định cũng quy định thẩm quyền xử phạt cho nhiều cơ quan, trong đó có lực lượng Công an, Chủ tịch UBND và Thanh tra trong phạm vi chức năng, nhiệm vụ được giao. Lực lượng Công an có các đơn vị chuyên trách về an ninh mạng từ cấp tỉnh đến Bộ Công an.

Do đó, người dùng không nhất thiết phải trực tiếp phát hiện hoặc “bắt quả tang” một ứng dụng đang nghe lén mới có thể phản ánh. Khi có dấu hiệu nghi ngờ, thông tin có thể được cung cấp cho cơ quan có thẩm quyền để kiểm tra, xác minh. Việc một hành vi có vi phạm hay không sẽ được kết luận dựa trên quá trình xác minh và các chứng cứ liên quan.

Nghị định 330/2026/NĐ-CP gồm 4 chương, 82 điều, quy định các hành vi vi phạm và mức xử phạt trong lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân. Các quy định bao quát nhiều khâu trong quá trình xử lý dữ liệu, từ việc xin sự đồng ý của chủ thể dữ liệu, thu thập, xử lý, lưu trữ đến công khai, theo dõi vị trí và sử dụng dữ liệu trên các nền tảng số.

Ngoài hành vi sử dụng tính năng ẩn để truy cập trái phép dữ liệu, nghị định còn quy định nhiều chế tài khác. Tổ chức coi sự im lặng của người dùng là đồng ý cho xử lý dữ liệu cá nhân có thể bị phạt đến 70 triệu đồng. Cá nhân công khai dữ liệu của người khác khi chưa được đồng ý, trừ trường hợp pháp luật có quy định khác, có thể bị phạt tối đa 25 triệu đồng. Hành vi sử dụng công nghệ để theo dõi, định vị trái quy định có thể bị phạt đến 150 triệu đồng.

Các quy định này nhằm tăng trách nhiệm của tổ chức, cá nhân trong việc thu thập và sử dụng dữ liệu cá nhân, đồng thời tạo thêm cơ chế để bảo vệ quyền kiểm soát thông tin của người dùng trên môi trường số.