Lắp đặt camera giám sát tuân thủ Luật PDPD 91/2025: Quy định và mức phạt

Hệ thống camera giám sát tuân thủ Luật PDPD cần đáp ứng điều kiện gì?

Camera giám sát tuân thủ PDPD là yêu cầu bắt buộc mà mọi cơ quan, tổ chức phải rà soát khi vận hành hệ thống an ninh. Hệ thống camera giám sát an ninh (CCTV) hiện diện ở khắp mọi nơi trong xã hội hiện đại: từ trung tâm thương mại, cao ốc văn phòng, ngân hàng, trường học, bệnh viện, cho đến các cơ sở sản xuất kinh doanh và khu dân cư. Mặc dù đóng vai trò quan trọng trong việc bảo đảm an ninh trật tự và phòng ngừa tội phạm, hoạt động ghi âm, ghi hình liên tục cũng tiềm ẩn nguy cơ xâm phạm trực tiếp đến quyền riêng tư, quyền hình ảnh và bí mật đời sống cá nhân của công dân.

Trước đây, nhiều tổ chức tùy tiện lắp đặt camera và tự do khai thác hình ảnh mà không có quy định điều chỉnh rõ ràng. Nhằm khắc phục khoảng trống pháp lý này, Điều 32 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 lần đầu tiên ban hành khung pháp lý chuyên biệt về "Bảo vệ dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng, hoạt động công cộng". Quy định này đặt ra những tiêu chuẩn tuân thủ bắt buộc mà mọi cơ quan, doanh nghiệp và ban quản lý tòa nhà phải triển khai.

Cập nhật 2026: từ ngày 01/07/2026, thiết bị camera giám sát kết nối Internet lưu hành tại Việt Nam còn phải đáp ứng quy chuẩn kỹ thuật quốc gia về an ninh mạng theo Thông tư 48/2026/TT-BCA; đồng thời Quyết định 502/QĐ-TTg (28/03/2026) phê duyệt phương án kết nối, chia sẻ dữ liệu camera giám sát của cá nhân, tổ chức với Trung tâm camera giám sát của công an cấp xã. Doanh nghiệp đầu tư mới hệ thống camera cần rà soát cả các yêu cầu này.

1. Hai cấp độ pháp lý của hệ thống camera giám sát

Căn cứ vào công nghệ kỹ thuật và cách thức xử lý dữ liệu, hệ thống camera được phân định thành 2 nhóm pháp lý có mức độ quản lý rất khác nhau:

• Camera giám sát an ninh truyền thống (CCTV thông thường): Chỉ ghi lại video hình ảnh quang học thông thường phục vụ quan sát thời gian thực (Live-view) hoặc lưu trữ cục bộ để xem lại khi có sự cố an ninh, cháy nổ, trộm cắp. Hình ảnh thu được thuộc nhóm Dữ liệu cá nhân cơ bản. Đối với nhóm này, doanh nghiệp được miễn xin Consent cá nhân nếu đáp ứng đầy đủ điều kiện thông báo công khai theo Khoản 2 Điều 32.
• Camera thông minh ứng dụng Trí tuệ nhân tạo (AI Facial Recognition Camera): Hệ thống camera sử dụng thuật toán phân tích đặc điểm nhân trắc học khuôn mặt (Face Matching), quét trắc diện để điểm danh nhân sự tự động, theo dõi hành vi mua sắm của khách hàng VIP, hoặc cảnh báo người lạ. Khi đó, dữ liệu trích xuất chính là Dữ liệu cá nhân nhạy cảm (đặc điểm sinh trắc học theo Khoản 3 Điều 2 Luật 91 và Điều 4 Nghị định 356/2025/NĐ-CP). Hoạt động này yêu cầu doanh nghiệp phải thông báo rõ ràng cho chủ thể dữ liệu về tính chất nhạy cảm và bắt buộc phải đánh giá rủi ro trong Báo cáo Đánh giá tác động DPIA gửi Bộ Công an.

2. Điều kiện ghi âm, ghi hình không cần sự đồng ý theo Điều 32

Căn cứ Khoản 1 Điều 32 Luật 91/2025/QH15, cơ quan, tổ chức, doanh nghiệp được phép ghi âm, ghi hình và xử lý dữ liệu cá nhân tại nơi công cộng, hoạt động công cộng mà không cần có sự đồng ý của chủ thể dữ liệu trong các trường hợp sau:

1. Để thực hiện nhiệm vụ quốc phòng, bảo vệ an ninh quốc gia, bảo đảm trật tự an toàn xã hội, bảo vệ quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân (ví dụ: bảo vệ an ninh tòa nhà, bảo vệ kho hàng, chống thất thoát tài sản tại siêu thị).
2. Âm thanh, hình ảnh và thông tin nhận dạng thu được từ các hoạt động công cộng bao gồm hội nghị, hội thảo, thi đấu thể thao, biểu diễn nghệ thuật và hoạt động công cộng khác mà không làm tổn hại đến danh dự, nhân phẩm, uy tín của chủ thể dữ liệu.
3. Các trường hợp khác theo quy định cụ thể của pháp luật chuyên ngành.

3. Nghĩa vụ thông báo công khai bắt buộc (Khoản 2 Điều 32)

Luật 91/2025/QH15 quy định nguyên tắc minh bạch tuyệt đối: việc được miễn xin Consent không đồng nghĩa với việc được ghi hình lén lút. Căn cứ Khoản 2 Điều 32, tổ chức thực hiện ghi hình có trách nhiệm:

"Thông báo hoặc bằng hình thức thông tin khác để chủ thể dữ liệu cá nhân biết được mình đang bị ghi âm, ghi hình, trừ trường hợp pháp luật có quy định khác."

Điều này đồng nghĩa với việc doanh nghiệp bắt buộc phải lắp đặt biển cảnh báo camera (CCTV Notice Signage) tại vị trí thông thoáng, dễ quan sát ngay tại cổng ra vào hoặc ranh giới trước khi một người bước vào tầm bao quát của mắt camera. Biển báo phải có biểu tượng camera quốc tế trực quan, ghi rõ mục đích ghi hình (ví dụ: 'Khu vực có camera an ninh bảo vệ tài sản') và thông tin đơn vị quản trị hệ thống.

4. Giới hạn mục đích và thời hạn lưu trữ dữ liệu camera

Theo Khoản 3 và Khoản 4 Điều 32:

• Dữ liệu camera chỉ được xử lý, sử dụng phù hợp với mục đích đã thông báo ban đầu; nghiêm cấm việc tự ý trích xuất hình ảnh để đưa lên mạng xã hội, chế giễu nhân viên, khách hàng hoặc cung cấp cho bên thứ ba vì mục đích thương mại.
• Thời hạn lưu trữ dữ liệu video: Luật yêu cầu dữ liệu chỉ được lưu giữ trong thời hạn cần thiết phục vụ mục đích đã xác định, sau đó phải tiêu hủy; luật không ấn định số ngày cụ thể. Thực hành phổ biến: từ 15 đến 30 ngày đối với văn phòng, cửa hàng; từ 60 đến 90 ngày đối với kho quỹ, ngân hàng. Sau khi hết thời hạn theo quy chế nội bộ, hệ thống nên được cấu hình tự động xóa bỏ hoặc ghi đè (Overwrite), không tích trữ dữ liệu vô thời hạn.