Bảo mật ảnh khách ở tiệm photobooth: ảnh lưu ở đâu, ai được xem

Bảo mật ảnh photobooth đứng trên ba việc: ảnh nằm trên máy chủ có kiểm soát, đường dẫn ảnh không đoán được và có hạn, chỉ người có quyền mới xem. Theo Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ 01/01/2026, ảnh của khách là dữ liệu cá nhân và tiệm là bên chịu trách nhiệm chính.

Tháng 4/2026, Công an TP Hà Nội cảnh báo nhiều hệ thống photobooth tạo đường dẫn ảnh bằng mã tuần tự, người lạ đổi số trong đường dẫn là xem được ảnh của khách khác (CafeF dẫn VTV, 17/04/2026). Trước đó, Trung tâm An toàn thông tin VNPT đã mô tả kiểu lỗi này, gọi là IDOR, trên một dịch vụ photobooth dùng mã QR (VNPT Security, 23/01/2026).

Dưới đây là việc chủ tiệm cần làm theo luật mới và cách MyClub giữ ảnh theo Chính sách bảo mật.

Ai chịu trách nhiệm với ảnh của khách?

Cửa hàng nơi khách chụp là Bên Kiểm soát dữ liệu cá nhân, vì cửa hàng quyết định chụp để làm gì và giữ ảnh bao lâu. MyClub là Bên Xử lý dữ liệu cá nhân: chỉ xử lý theo yêu cầu của cửa hàng để cung cấp dịch vụ, không dùng ảnh của khách cho mục đích riêng.

Căn cứ pháp lý từ 01/01/2026 là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP hướng dẫn luật, cùng hiệu lực từ ngày đó. Nghị định 356 thay Nghị định 13/2023/NĐ-CP mà nhiều bài cũ vẫn dẫn. Dữ liệu ở tiệm chia hai nhóm:

Theo Chính sách bảo mật, MyClub không lưu dữ liệu sinh trắc học của khách. Định bật tính năng AI xử lý khuôn mặt thì đọc thêm bài AI trong photobooth.

Ảnh của khách được lưu ở đâu?

Ảnh lưu trên máy chủ đặt tại Việt Nam. Sau mỗi lượt, kiot tải lên ảnh chụp, ảnh ghép khung, video, ảnh động và sách lật (nếu có).

Sao lưu sang Google Drive của cửa hàng chỉ chạy khi cửa hàng bật tính năng này và khách đồng ý đúng mục đích đó. MyClub không bán dữ liệu cá nhân và không dùng ảnh của khách để quảng cáo.

Link ảnh phải thế nào mới an toàn?

Đường dẫn ảnh an toàn có ba đặc điểm: mã ngẫu nhiên đủ dài để không đoán được, có hạn, và trang ảnh không cho máy tìm kiếm lập chỉ mục. Mã tuần tự kiểu lượt 1001, 1002 chính là loại Công an Hà Nội cảnh báo. VNPT Security còn lưu ý: thêm ngày giờ vào tên tệp không chữa được lỗi, vì quy luật vẫn đoán ra; cách đúng là mã ngẫu nhiên gắn với một lượt, có thời hạn, và máy chủ kiểm quyền ở mọi lần mở.

Trên MyClub, trang ảnh của mỗi lượt có mã ngẫu nhiên 12 ký tự, không được lập chỉ mục và chỉ hiện trong thời hạn lưu của gói. Dù vậy, ai có đường dẫn đều xem được ảnh tới khi hết hạn, nên nhân viên nhắc khách đúng như Công an Hà Nội khuyến cáo: không đăng đường dẫn lên mạng xã hội, không gửi vào nhóm chat đông người.

Khách đồng ý những gì?

Luật 91/2025 (Điều 9) đặt ba nguyên tắc: đồng ý cho từng mục đích, không ép đồng ý mục đích này mới cho dùng mục đích khác, và im lặng không phải là đồng ý. Nghị định 356 (Điều 6) cấm đặt sẵn ô đồng ý và buộc bên kiểm soát dữ liệu lưu bằng chứng; khi có tranh chấp, tiệm là bên phải chứng minh.

Trước khi thu thập, kiot MyClub hiện bản thông báo xử lý dữ liệu của cửa hàng, mỗi mục đích một lựa chọn riêng, không đánh dấu sẵn, ví dụ: chụp và in tại chỗ (bắt buộc để dùng kiot), lưu ảnh để tải lại, sao lưu Google Drive của cửa hàng (nếu bật), nhận tin khuyến mãi. Hệ thống ghi lại mục đích, phiên bản thông báo và thời điểm đồng ý.

Khách dưới 16 tuổi cần cha mẹ hoặc người giám hộ đồng ý thay. Chưa có xác nhận đó thì kiot vẫn chụp và in tờ ảnh trao tay, nhưng ảnh không được lưu trên máy chủ. Luật còn yêu cầu đồng ý của cả trẻ từ đủ 7 tuổi lẫn người đại diện khi xử lý dữ liệu để công bố đời sống riêng tư của trẻ (Điều 24). Đăng ảnh có trẻ em thì hỏi cả hai.

Ai được xem ảnh?

Ảnh được giữ bao lâu?

Luật 91/2025 (Điều 3) yêu cầu dữ liệu chỉ được lưu trong thời gian phù hợp với mục đích. Ảnh photobooth để khách tải về, nên giữ ngắn là đúng tinh thần đó.

Với MyClub, ảnh khách đồng ý lưu được giữ theo gói của cửa hàng: 3 ngày ở gói Miễn phí, 30 ngày ở gói 1 kiot, 90 ngày ở gói 3 kiot, 180 ngày ở gói 10 kiot, 365 ngày ở gói 50 kiot, gói Doanh nghiệp theo hợp đồng (bảng giá từ 17/10/2026). Cửa hàng có thể đặt ngắn hơn. Hết hạn, ảnh bị ẩn rồi xoá hẳn sau 30 ngày. Ảnh khi khách không đồng ý lưu chỉ giữ tối đa 7 ngày. Khách rút lại đồng ý thì ảnh bị xoá ở đợt dọn kế tiếp, không chờ hết hạn. Khách lỡ hạn thì xem bài mã QR photobooth hết hạn.

Camera an ninh trong tiệm: đặt ở đâu, báo khách thế nào?

Câu "photobooth có camera không" có hai phần trả lời. Phòng chụp và phòng thay đồ tuyệt đối không đặt camera. Khu chung như quầy, lối đi có thể đặt camera an ninh, nhưng phải báo cho khách.

Tháng 11/2025, một tiệm photobooth ở Hà Nội bị gia đình một nữ sinh tố gắn camera trong phòng thay trang phục; clip quay cảnh thay đồ bị phát tán trên mạng và công an phường vào xác minh (Tuổi Trẻ, 05/11/2025). Ngược lại, hai chủ tiệm trả lời báo năm 2025 đều chỉ gắn camera ở khu chung; một người nói camera để giữ tiền trong máy, không để nhìn khách (CafeF đăng lại Đời sống & Pháp luật, 02/08/2025).

Hai văn bản cần biết:

• Bộ luật Dân sự 2015, Điều 32: "Việc sử dụng hình ảnh của cá nhân phải được người đó đồng ý." Bị dùng sai, người có hình ảnh được yêu cầu Toà án buộc thu hồi, tiêu huỷ, chấm dứt sử dụng và bồi thường (văn bản gốc).
• Luật 91/2025, Điều 32 về ghi hình nơi công cộng (áp cho camera an ninh, không thay sự đồng ý cho ảnh chụp trong buồng): phải thông báo để người bị ghi hình biết, chỉ dùng đúng mục đích, chỉ lưu trong thời gian cần thiết, hết hạn thì xoá.

Ở tiệm, việc đó thành bốn quy định: dán biển "Khu vực có camera an ninh" ở cửa và quầy; chỉ chủ tiệm hoặc quản lý xem lại ghi hình khi có sự cố; để đầu ghi tự ghi đè sau số ngày cố định; không ai quay màn hình camera gửi vào nhóm chat. Khu chung của tiệm có tính là "nơi công cộng" theo Điều 32 không thì hỏi luật sư nếu cần chắc.

Khi khách xin gỡ ảnh

Ảnh chụp bằng số điện thoại của mình thì khách tự xoá được ngay:

• MyClub trên Zalo → Tôi → Quyền riêng tư → Rút lại đồng ý: toàn bộ ảnh bị xoá, không hoàn tác được.
• MyClub trên Zalo → Tôi → Xoá tài khoản: xoá số điện thoại, tên và ảnh.
• Tại kiot: màn chào → Rút lại đồng ý, nhập số điện thoại đã dùng.

Ảnh có mình nhưng do người khác chụp, hay nội dung vi phạm, thì gửi yêu cầu ở trang Yêu cầu gỡ ảnh. MyClub trả lời trong 72 giờ và không bao giờ xin mật khẩu hay mã OTP khi xác minh.

Khách gửi yêu cầu thẳng cho tiệm thì nhớ hạn của Nghị định 356 (Điều 5): phản hồi trong 02 ngày làm việc; xoá xong trong 20 ngày, hoặc 30 ngày nếu phải nhờ bên xử lý cùng xoá. Gọn nhất là hỏi mã lượt chụp rồi chỉ khách tự rút lại đồng ý ngay tại quầy.

Tiệm nhỏ có phải làm hồ sơ gì không?

Luật 91/2025 (Điều 38) cho hộ kinh doanh và doanh nghiệp siêu nhỏ không phải lập hồ sơ đánh giá tác động xử lý dữ liệu và không bắt buộc có nhân sự bảo vệ dữ liệu, trừ khi kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn người; Nghị định 356 (Điều 41) tính mốc này từ 100 nghìn người, cộng dồn. Doanh nghiệp nhỏ, khởi nghiệp được tự chọn trong 5 năm kể từ 01/01/2026.

Miễn hồ sơ không phải miễn nghĩa vụ: xin đồng ý, giữ đúng hạn, xoá khi khách yêu cầu vẫn áp dụng cho mọi tiệm. Mức phạt hành chính tối đa cho phần lớn vi phạm là 3 tỷ đồng với tổ chức, cá nhân bằng một nửa (Điều 8); mức cụ thể do nghị định xử phạt quy định. Chưa chắc thuộc nhóm nào thì hỏi luật sư.

Việc chủ tiệm nên làm

1. Phân quyền nhân viên theo đúng vai. Ai nghỉ việc thì bỏ khỏi tiệm trong ứng dụng quản lý ngay hôm đó. Không đưa mã PIN quầy cho người khác.
2. Chỉ đăng ảnh khách lên trang của tiệm khi khách đồng ý riêng cho tấm đó, và giữ lại tin nhắn đồng ý.
3. Không gửi đường dẫn trang ảnh của khách cho người khác, kể cả trong nhóm chat của tiệm.
4. Dạy nhân viên ba câu trả lời: ảnh lưu bao lâu, ai xem được, xoá thế nào; đưa vào checklist vận hành mỗi ca.
5. Duyệt khung khách chia sẻ trước khi cho chạy trên kiot; gỡ ngay khung dùng nhân vật, thương hiệu chưa được phép.

Trách nhiệm của từng bên ghi ở Điều khoản sử dụng. Bài này không thay cho tư vấn pháp lý; cập nhật 10/2026.