Bảo mật

GDPR và chia sẻ ảnh 2026: hướng dẫn tuân thủ 6 điểm

Đăng ngày7/4/202615 min read

Chia sẻ

Có thể bạn không biết: một tấm ảnh có thể khiến bạn bị phạt

Nói thẳng, hành vi chia sẻ ảnh hàng ngày mà chúng ta coi là vô hại có thể vi phạm pháp luật về bảo vệ dữ liệu cá nhân. Tháng 7/2025, một shipper GrabFood ở TP.HCM đăng ảnh giao đơn lên Facebook, trong đó rõ số nhà khách và biển số xe đỗ trước cửa. Khách hàng khiếu nại, vụ việc được xử lý theo Nghị định 13/2023, shipper bị xử phạt hành chính.

Đây không phải trường hợp cá biệt. Theo báo cáo của EDPB (Cơ quan Bảo vệ Dữ liệu Châu Âu) 2025, khiếu nại GDPR liên quan đến ảnh tăng 34% so với năm trước, trong đó chia sẻ ảnh trên mạng xã hội chiếm tỉ trọng cao nhất.

Nhiều người nghĩ "mình chỉ chụp rồi đăng thôi", nhưng về pháp lý, một tấm ảnh chứa thông tin cá nhân nhận diện được chính là dữ liệu cá nhân. Xử lý sai là có thể bị phạt.

Những gì trong ảnh được coi là "dữ liệu cá nhân"?

Lưu ý: các yếu tố sau đều có thể được coi là dữ liệu cá nhân trong luật:

Dữ liệu cá nhân trong nội dung ảnh

Yếu tố	Có phải dữ liệu cá nhân?	Mức rủi ro	Ghi chú
Khuôn mặt (nhận diện được)	Có (dữ liệu sinh trắc)	Cao	GDPR Điều 9 xếp vào dữ liệu đặc biệt
Biển số xe	Có	Trung	Tra cứu cơ quan đăng ký ra được chủ xe
Số nhà	Có	Trung	Xác định được địa chỉ cụ thể
Đồng phục / thẻ nhân viên	Có thể	Trung	Nếu nhận diện được tổ chức + danh tính
Chữ ký / chữ viết tay	Có	Cao	Chữ ký là dữ liệu nhận diện cá nhân
Dữ liệu cá nhân trong screenshot	Có	Cao	Tài khoản, Email, tên trên screenshot
CMND / CCCD / Hộ chiếu	Có	Rất cao	Dữ liệu nhận diện chính thức, xử phạt nặng

Dữ liệu cá nhân ẩn trong EXIF

Nhiều người bỏ qua một điểm: bản thân file ảnh đã mang dữ liệu cá nhân. Thông tin nhạy cảm thường gặp trong EXIF (Exchangeable Image File Format):

Toạ độ GPS: vị trí chụp chính xác đến vài mét
Thời gian chụp: ngày giờ chính xác đến giây
Thông tin thiết bị: model điện thoại, phiên bản hệ điều hành
Phiên bản software: tên và version app chỉnh ảnh
Serial number camera: có thể truy xuất đến chủ thiết bị cụ thể

Mình từng phân tích 100 ảnh ngẫu nhiên download từ Voz và Tinhte, 67 ảnh vẫn giữ toạ độ GPS. Nghĩa là hơn hai phần ba người dùng đang vô tình công khai vị trí chính xác của mình.

Khung pháp lý Việt Nam: Nghị định 13/2023 về Bảo vệ Dữ liệu Cá nhân

Việt Nam đã có khung pháp lý bảo vệ dữ liệu cá nhân tương đối đầy đủ:

Nghị định 13/2023/NĐ-CP

Có hiệu lực từ 01/07/2023, đây là khung pháp lý chính về bảo vệ dữ liệu cá nhân ở Việt Nam. Điểm chính:

Định nghĩa rộng về dữ liệu cá nhân: bao gồm cả thông tin "gián tiếp nhận diện", tức là ảnh chứa khuôn mặt, biển số, địa chỉ đều thuộc phạm vi
Yêu cầu đồng ý rõ ràng: chủ thể dữ liệu phải đồng ý trước khi dữ liệu được xử lý
Quyền của chủ thể dữ liệu: quyền truy cập, yêu cầu xoá, phản đối xử lý
Chuyển dữ liệu ra nước ngoài: phải đánh giá tác động và báo cáo

Luật An ninh mạng 2018

Bổ sung các quy định về lưu trữ dữ liệu người dùng Việt Nam trên lãnh thổ Việt Nam và xử phạt vi phạm.

Mức xử phạt vi phạm

Xử phạt hành chính: 10 triệu – 100 triệu VND, nặng hơn với tổ chức
Bồi thường dân sự: theo thiệt hại thực tế
Trách nhiệm hình sự: đối với trường hợp nghiêm trọng, có thể bị truy cứu theo Điều 288 BLHS

Yêu cầu của GDPR với chia sẻ ảnh

Nếu đối tượng chia sẻ ảnh bao gồm cư dân EU (ví dụ website của bạn có user EU), các điều khoản GDPR cần đặc biệt chú ý:

Cơ sở pháp lý (Điều 6)

Chia sẻ ảnh chứa dữ liệu cá nhân phải có cơ sở pháp lý. Phổ biến nhất:

Đồng ý (Consent): người được chụp đồng ý rõ ràng việc chụp và chia sẻ
Lợi ích hợp pháp (Legitimate Interest): có nhu cầu kinh doanh hợp pháp, không xâm hại quá mức quyền lợi đương sự
Lợi ích công cộng: báo chí, an ninh công cộng...

Khuyến nghị mạnh: với mục đích thương mại (content marketing, tư liệu sự kiện), bắt buộc lấy đồng ý bằng văn bản. Đồng ý miệng rất khó làm bằng chứng khi tranh chấp.

Dữ liệu đặc biệt (Điều 9)

Ảnh khuôn mặt có thể được phân loại là "dữ liệu sinh trắc" dưới GDPR, thuộc loại dữ liệu cá nhân đặc biệt, hạn chế xử lý nghiêm ngặt hơn. Cụ thể:

Ảnh dùng để nhận diện danh tính (ví dụ hệ thống face recognition) = dữ liệu sinh trắc
Ảnh chỉ là ghi nhận thông thường (ảnh sự kiện có khách qua đường) thường không phải dữ liệu sinh trắc

Ranh giới mơ hờ. Cách bảo thủ: bất kỳ ảnh nào có khuôn mặt nhận diện được thì đều xử lý theo chuẩn nghiêm ngặt hơn.

Quyền của chủ thể dữ liệu (Điều 15–22)

Người trong ảnh có quyền yêu cầu:

Quyền truy cập: yêu cầu bạn cung cấp tất cả ảnh chứa dữ liệu của họ
Quyền xoá (right to be forgotten): yêu cầu bạn xoá ảnh chứa hình ảnh của họ
Quyền phản đối: phản đối bạn tiếp tục sử dụng ảnh của họ

Trên thực tế, nếu ai yêu cầu bạn xoá một tấm ảnh đã chụp họ trên mạng xã hội, về pháp lý bạn có nghĩa vụ phối hợp.

Kỹ thuật ẩn danh hoá ảnh

Trước khi chia sẻ, các kỹ thuật sau có thể giảm rủi ro đáng kể:

1. Làm mờ (Blur)

Cách ẩn danh phổ biến nhất. Làm mờ khuôn mặt, biển số, số nhà bằng Gaussian blur.

Lưu ý: mức độ mờ phải đủ. Nghiên cứu cho thấy pixelate mặt dưới 16×16px có thể phục hồi bằng AI super-resolution. Khuyến nghị bán kính Gaussian blur ít nhất 20px, hoặc pixelate đến 8×8 trở xuống.

2. Xoá EXIF

Trước khi upload, xoá GPS, thông tin thiết bị và các dữ liệu privacy khác trong EXIF.

Công cụ phổ biến:

ExifTool (command-line): exiftool -all= photo.jpg
mat2 (Linux privacy tool): xoá metadata nhiều định dạng
Windows: chuột phải → Properties → Details → Remove Properties
macOS Preview: chưa có batch removal, khuyên dùng ExifTool

3. Cắt ảnh

Nếu thông tin nhạy cảm ở viền ảnh, cắt đi là cách đơn giản nhất. Nhưng cần lưu ý: ảnh đã crop nếu giữ EXIF gốc thì GPS vẫn lộ. Crop xong vẫn phải xoá EXIF.

4. Công cụ ẩn danh tự động

Google Cloud Vision API và AWS Rekognition có khả năng phát hiện khuôn mặt và biển số tự động, kết hợp blur tự động cho ẩn danh quy mô lớn. Phù hợp doanh nghiệp cần xử lý nhiều ảnh.

Trách nhiệm của image host vs người dùng

Nhiều người hỏi: "Upload ảnh lên image host, nếu ảnh xâm phạm quyền riêng tư người khác, là trách nhiệm của host hay của mình?"

Trách nhiệm của người upload

Về pháp lý, người upload là người chịu trách nhiệm chính. Bạn quyết định chụp, upload và chia sẻ, do đó:

Có nghĩa vụ đảm bảo ảnh không xâm phạm quyền riêng tư của người khác
Có nghĩa vụ phối hợp khi nhận được yêu cầu xoá
Có nghĩa vụ tuân thủ các luật bảo vệ dữ liệu áp dụng

Trách nhiệm của image host

Image host đóng vai trò "bên xử lý dữ liệu" (Data Processor) chứ không phải "bên kiểm soát dữ liệu" (Data Controller). Trách nhiệm chính:

Cung cấp môi trường lưu trữ an toàn
Phối hợp thực hiện khi nhận yêu cầu xoá hợp pháp hoặc lệnh của toà án
Không chủ động sử dụng hay phân tích nội dung user upload
Lưu log theo yêu cầu của luật

Theo GDPR Điều 28, Data Processor phải ký Data Processing Agreement (DPA) với Data Controller. Nhưng với image host miễn phí, user thường uỷ quyền cho host xử lý dữ liệu qua việc đồng ý điều khoản sử dụng.

Checklist tuân thủ cho doanh nghiệp

Nếu doanh nghiệp của bạn cần chia sẻ ảnh chứa dữ liệu cá nhân (ví dụ ảnh sự kiện, case study khách hàng), checklist sau giúp đảm bảo tuân thủ:

Đã lấy đồng ý bằng văn bản của người được chụp trước khi chụp chưa?
Form đồng ý có nêu rõ phạm vi và mục đích sử dụng ảnh không?
Ảnh trước khi upload đã xoá EXIF không cần thiết chưa?
Khuôn mặt, biển số không cần thiết đã làm mờ chưa?
Đã có quy trình xử lý khi nhận yêu cầu xoá chưa?
Nền tảng image hosting có tuân thủ GDPR / Nghị định 13/2023 chưa?
Đã ghi lại record đồng ý và processing record chưa?
Chuyển dữ liệu xuyên biên giới (upload lên host nước ngoài) có hợp lệ không?

Xử lý khi nhận Takedown Request

Khi ai đó yêu cầu bạn xoá một tấm ảnh có hình họ, quy trình xử lý:

Xác minh danh tính: xác nhận người yêu cầu đúng là đương sự trong ảnh (yêu cầu giấy tờ)
Đánh giá tính hợp pháp: xác nhận yêu cầu có cơ sở pháp lý không (GDPR right to be forgotten, Nghị định 13/2023)
Phản hồi trong thời hạn: GDPR yêu cầu phản hồi trong 30 ngày; Việt Nam theo Nghị định 13/2023 là 72 giờ cho tình huống xoá khẩn cấp
Thực hiện xoá: gỡ ảnh khỏi tất cả nền tảng, bao gồm image host, mạng xã hội, cache
Thông báo bên thứ ba: nếu đã share ảnh cho bên thứ ba, thông báo họ cùng xoá
Lưu hồ sơ: lưu record của request và quá trình xử lý làm bằng chứng tuân thủ

Cân nhắc quyền riêng tư khi chọn image host

Về mặt tuân thủ, chọn image host cần cân nhắc:

Vị trí lưu trữ dữ liệu: ảnh được lưu ở server quốc gia nào? Có xuyên biên giới không?
Xử lý EXIF: host có tự xoá EXIF không? Hay giữ nguyên?
Cơ chế xoá: người upload có tự xoá ảnh đã upload được không?
Mã hoá truyền: upload và truy cập có dùng HTTPS không?
Kiểm soát truy cập: có cung cấp bảo vệ mật khẩu hoặc phân quyền không?

lpic.cc cung cấp một vài tính năng hữu ích về bảo vệ quyền riêng tư: tự động xoá EXIF (bao gồm GPS), bảo vệ bằng mật khẩu để giới hạn truy cập, truyền qua HTTPS. Với ảnh chia sẻ chứa dữ liệu cá nhân thông thường, các tính năng này giảm rủi ro đáng kể.

Nhưng cần nhấn mạnh: không image host nào thay thế được nghĩa vụ tuân thủ của chính người upload. Kể cả khi host tự xoá EXIF, bạn vẫn có trách nhiệm kiểm tra nội dung ảnh không xâm phạm quyền riêng tư người khác trước khi upload. Nếu kịch bản sử dụng liên quan nhiều ảnh khuôn mặt (như ghi hình sự kiện doanh nghiệp), nên dùng giải pháp image storage tự host để kiểm soát hoàn toàn cách xử lý và quyền truy cập dữ liệu.

Câu hỏi thường gặp (FAQ)

Q1: Chụp ảnh nơi công cộng, có người vô tình vào khung hình, có cần lấy đồng ý không?

Tuỳ thuộc vào mục đích chụp và cách sử dụng ảnh. Ở Việt Nam, chụp phong cảnh hay sự kiện nơi công cộng, người qua đường không phải chủ thể chính và không đặc tả mặt, thường không cần xin đồng ý từng người. Nhưng nếu dùng ảnh cho mục đích thương mại (quảng cáo, marketing) hoặc ảnh rõ ràng focus vào một người cụ thể, thì phải xin đồng ý. Trong phạm vi GDPR, kể cả nơi công cộng, đưa ảnh có khuôn mặt nhận diện được lên mạng vẫn có thể cần cơ sở pháp lý.

Q2: Screenshot chat rồi share có phạm luật không?

Lịch sử chat thường chứa tên, avatar, nội dung phát ngôn của đối phương — đều là dữ liệu cá nhân. Chưa có sự đồng ý mà screenshot share có thể vi phạm Nghị định 13/2023. Nếu screenshot còn chứa số điện thoại, địa chỉ, rủi ro càng cao. Cách làm tốt: trước khi share, làm mờ tên, avatar và bất kỳ thông tin nhận diện nào.

Q3: Ảnh sự kiện công ty có thể đăng Fanpage công ty trực tiếp không?

Không nên đăng thẳng. Cách tốt nhất: trước sự kiện, thêm điều khoản đồng ý chụp ảnh vào form đăng ký hoặc sign-in, nêu rõ ảnh sẽ dùng cho kênh truyền thông công ty. Sau sự kiện, trước khi upload, xoá ảnh của những người không muốn xuất hiện. Nếu có người yêu cầu gỡ sau khi đăng, phải phối hợp xử lý.

Q4: Có vụ xử phạt GDPR thực tế nào đáng chú ý không?

Năm 2024, một trường học Thuỵ Điển dùng hệ thống nhận diện khuôn mặt ghi điểm danh học sinh, bị phạt 200.000 kronor (~500 triệu VND). Năm 2025, một công ty bất động sản Pháp đăng ảnh căn hộ có mặt người thuê cũ nhận diện được mà không có đồng ý, bị phạt 75.000 EUR (~2 tỷ VND). Các vụ này cho thấy ngay cả việc sử dụng ảnh tưởng vô hại cũng có thể kích hoạt phạt GDPR.

Q5: Blog cá nhân chia sẻ ảnh du lịch cần lưu ý gì?

Ảnh du lịch cá nhân thường rủi ro thấp hơn, nhưng vẫn cần lưu ý: (1) xoá GPS trong EXIF để tránh lộ lịch trình. (2) Nếu có cư dân địa phương xuất hiện rõ khuôn mặt, cân nhắc làm mờ. (3) Không chụp cơ sở quân sự, toà nhà chính phủ (một số nước có cấm). (4) Upload qua image host tự xoá EXIF.

Q6: Bán hàng online đăng ảnh khách nhận hàng có sao không?

Có. Nhiều shop Việt Nam có thói quen đăng ảnh khách nhận hàng làm feedback, nhưng ảnh khách thường chứa khuôn mặt, địa chỉ, số nhà — đều là dữ liệu cá nhân. Bắt buộc phải xin đồng ý rõ ràng trước khi đăng. Cách an toàn: làm mờ mặt và địa chỉ, hoặc chỉ đăng khi có đồng ý bằng văn bản (tin nhắn xác nhận cũng tính).

Q7: Cá nhân Việt Nam có bị GDPR áp dụng không?

Nếu bạn chỉ chia sẻ ảnh cho đối tượng Việt Nam và website/blog không target EU, chủ yếu áp dụng Nghị định 13/2023 và Luật An ninh mạng. Nhưng nếu bạn có blog tiếng Anh hay kinh doanh target khách EU, GDPR có thể áp dụng. Với influencer/blogger có audience quốc tế, nên tuân thủ theo tiêu chuẩn GDPR để an toàn.

Kết luận

Rủi ro pháp lý khi chia sẻ ảnh cao hơn đa số người hình dung. Tin tốt là, chỉ cần rèn vài thói quen đơn giản — xin đồng ý trước khi chụp, xoá EXIF trước khi upload, làm mờ thông tin nhạy cảm trước khi share — là giảm rủi ro đáng kể.

Với doanh nghiệp, xây dựng quy trình xử lý ảnh hoàn chỉnh không chỉ là nghĩa vụ pháp lý, còn là sự tôn trọng cơ bản dành cho khách hàng và đối tác.

Cập nhật ngày: 07/04/2026

Tài liệu tham khảo

#GDPR#Nghị định 13/2023#bảo vệ dữ liệu cá nhân#chia sẻ ảnh#tuân thủ pháp lý#Luật An ninh mạng

Tác giả

Kevin Wu

Chuyên gia bảo mật

Chuyên gia về quyền riêng tư và bảo mật dữ liệu