Nền tảng số có thể bị đình chỉ nếu âm thầm thu thập cuộc gọi, tin nhắn

Quy định này được nêu tại Điều 65 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8/2026.

Theo điểm b khoản 2 Điều 65, tổ chức cung cấp ứng dụng OTT, mạng xã hội sử dụng tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện trên thiết bị khi không có sự đồng ý của chủ thể dữ liệu cá nhân thuộc nhóm hành vi có thể bị phạt từ 70 đến 150 triệu đồng.

Mức phạt trên áp dụng đối với tổ chức. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một nửa mức phạt đối với tổ chức.

Ứng dụng OTT, mạng xã hội sử dụng tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn có thể bị phạt tới 150 triệu đồng (ảnh minh họa).

Quy định này đồng nghĩa việc người dùng cài đặt một ứng dụng OTT hoặc sử dụng mạng xã hội không mặc nhiên cho phép nền tảng âm thầm sử dụng những tính năng mà người dùng không biết để truy cập cuộc gọi, tin nhắn, danh bạ hay các tệp tin trên thiết bị.

Chẳng hạn, một ứng dụng nhắn tin sử dụng tính năng không công khai để tự động đọc nội dung tin nhắn khi chưa được người dùng đồng ý có thể thuộc trường hợp bị xử phạt. Tương tự, việc sử dụng tính năng ẩn để nghe trộm, ghi âm cuộc gọi hoặc tự động lấy danh bạ, hình ảnh, video và các tệp tin phương tiện trên thiết bị cũng có thể bị xử lý nếu thuộc trường hợp quy định tại Điều 65.

Ngoài phạt tiền, tổ chức vi phạm quy định tại khoản 2 Điều 65 còn có thể bị đình chỉ hoạt động cung cấp dịch vụ tại Việt Nam từ 3 đến 6 tháng.

Dữ liệu cá nhân, giấy tờ tùy thân, danh bạ, tệp tin bị thu thập, trích xuất trái phép trong trường hợp quy định cũng có thể bị buộc hủy, xóa đến mức không thể khôi phục.

Đối với người dùng thông thường, việc phát hiện một ứng dụng có âm thầm đọc tin nhắn, ghi âm cuộc gọi hoặc lấy danh bạ không đơn giản. Điều 65 đề cập trực tiếp việc sử dụng “tính năng công nghệ không công khai”, tức những chức năng không được thể hiện rõ để người dùng nhận biết.

Nghị định 330/2026/NĐ-CP không đặt ra yêu cầu người dùng phải tự phát hiện hoặc tự chứng minh ứng dụng đang “nghe trộm”. Khi xuất hiện dấu hiệu vi phạm, cơ quan có thẩm quyền có thể xác minh thông qua chứng cứ điện tử, gồm dữ liệu từ thiết bị điện tử, hệ thống thông tin, tài khoản, hình ảnh, âm thanh và các dữ liệu liên quan khác.

Do đó, dấu vết điện tử phát sinh trong quá trình truy cập, thu thập hoặc xử lý dữ liệu có thể là căn cứ để cơ quan có thẩm quyền kiểm tra, xác minh việc một ứng dụng có bí mật thu thập dữ liệu của người dùng hay không.

Thẩm quyền xử phạt theo Nghị định 330 được giao cho nhiều cơ quan, trong đó có lực lượng Công an, Chủ tịch UBND và Thanh tra trong phạm vi chức năng, nhiệm vụ được giao. Lực lượng Công an có các đơn vị chuyên trách về an ninh mạng từ cấp tỉnh đến Bộ Công an. 

Nghị định 330/2026/NĐ-CP gồm 4 chương, 82 điều, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Các chế tài liên quan đến dữ liệu cá nhân bao gồm nhiều hành vi từ xin sự đồng ý, thu thập, xử lý, lưu trữ đến công khai, theo dõi vị trí và sử dụng dữ liệu trên các nền tảng số.

Trong đó, tổ chức coi việc người dùng im lặng là đồng ý cho xử lý dữ liệu cá nhân có thể bị phạt tới 70 triệu đồng. Cá nhân công khai dữ liệu của người khác khi chưa được đồng ý, trừ trường hợp pháp luật có quy định khác, có thể bị phạt tối đa 25 triệu đồng; hành vi sử dụng công nghệ theo dõi, định vị trái quy định có thể bị phạt tới 150 triệu đồng.