Nghị định 330/2026/NĐ-CP: Phạt tới 150 triệu đồng nếu theo dõi định vị trái phép

Tổ chức lắp đặt, sử dụng công nghệ theo dõi định vị qua thẻ RFID và các công nghệ khác trái quy định có thể bị phạt 70-150 triệu đồng.

Quy định được nêu tại Điều 70 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8.

Theo khoản 2 Điều 70, tổ chức lắp đặt, sử dụng công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến (RFID) và các công nghệ khác thuộc trường hợp vi phạm quy định tại điều này bị phạt 70-150 triệu đồng. Cá nhân thực hiện cùng hành vi chịu một nửa mức phạt.

Quy định này nhằm kiểm soát việc dùng thiết bị để xác định hoặc theo dõi vị trí của một người mà không đáp ứng yêu cầu pháp luật. Chẳng hạn, một đơn vị có thể gắn thẻ RFID vào thẻ nhân viên, đồng phục hoặc phương tiện để biết một người đang ở đâu, nhưng không thể mặc nhiên sử dụng dữ liệu đó cho mục đích theo dõi nếu chưa đáp ứng các điều kiện cần thiết.

Việc thiết bị có khả năng ghi nhận vị trí cũng không đồng nghĩa đơn vị vận hành được tùy ý theo dõi. Ví dụ, một ứng dụng gọi xe có thể cần dữ liệu vị trí để xác định điểm đón, nhưng việc tiếp tục thu thập vị trí khi người dùng không sử dụng dịch vụ hoặc chia sẻ dữ liệu cho bên khác vẫn phải tuân thủ quy định tương ứng.

Ngoài phạt tiền, thiết bị phát sóng, thẻ RFID, thiết bị thu thập hoặc máy chủ lưu trữ sinh trắc học được sử dụng để thực hiện một số hành vi vi phạm có thể bị tịch thu. Hệ thống, nền tảng, ứng dụng theo dõi vị trí liên quan hành vi tại khoản 2 còn có thể bị đình chỉ hoạt động từ 3 đến 6 tháng.

Người vi phạm cũng có thể bị buộc hủy, xóa đến mức không thể khôi phục dữ liệu vị trí cá nhân đã thu thập, theo dõi trái phép.

Ứng dụng thu thập vị trí phải thông báo cho người dùng

Điều 70 còn quy định một nhóm vi phạm riêng đối với nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân.

Tổ chức có thể bị phạt 50-70 triệu đồng nếu cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí nhưng không thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân.

Cùng mức phạt này còn áp dụng với hành vi không có biện pháp kỹ thuật ngăn bên thứ ba không liên quan thu thập dữ liệu vị trí hoặc không cung cấp cho người dùng các tùy chọn theo dõi vị trí cá nhân.

Nói đơn giản, một ứng dụng có chức năng thu thập vị trí không chỉ cần quyền truy cập thiết bị mà còn phải đáp ứng các yêu cầu về thông báo, kiểm soát bên thứ ba và lựa chọn dành cho người dùng theo quy định.

Trường hợp không cung cấp tùy chọn theo dõi vị trí, tổ chức vi phạm có thể bị buộc thiết lập chức năng để người dùng bật hoặc tắt việc thu thập dữ liệu vị trí cá nhân.

Nghị định 330 gồm 4 chương, 82 điều, quy định xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Các chế tài về dữ liệu cá nhân trải từ thu thập, xử lý, lưu trữ đến công khai, mua bán, chuyển giao và sử dụng những loại dữ liệu nhạy cảm như vị trí, sinh trắc học.

Trước đó, Nghị định cũng quy định tổ chức tự coi người dùng im lặng là đồng ý xử lý dữ liệu có thể bị phạt đến 70 triệu đồng; cá nhân công khai dữ liệu người khác khi chưa được đồng ý, trừ trường hợp pháp luật quy định khác, có thể bị phạt tối đa 25 triệu đồng.

Với dữ liệu vị trí, Điều 70 đặt ra hai lớp trách nhiệm: nền tảng, ứng dụng phải minh bạch khi thu thập và sử dụng vị trí; còn việc dùng công nghệ để trực tiếp theo dõi định vị phải tuân thủ các điều kiện pháp luật tương ứng.