Dũng Virgo
Chính phủ đã ban hành Nghị định số 330/2026/NĐ-CP ngày 19/8/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Văn bản gồm 4 chương, 82 điều, tập trung vào các hành vi vi phạm, mức phạt, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả.
Đáng chú ý, nghị định đưa ra các mức phạt cụ thể cho việc thu thập hoặc xử lý dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ, sử dụng dữ liệu sai mục đích, lưu trữ quá thời hạn và tiếp tục xử lý dù chủ thể dữ liệu đã yêu cầu dừng. Nghị định có hiệu lực từ ngày 19/8/2026.
Những ai thuộc phạm vi áp dụng?
Quy định áp dụng với cá nhân, tổ chức Việt Nam và nước ngoài có hành vi vi phạm trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của Việt Nam. Phạm vi này cũng bao gồm tàu bay mang quốc tịch Việt Nam và tàu biển mang cờ Việt Nam, trừ trường hợp điều ước quốc tế có quy định khác.
Khái niệm tổ chức trong nghị định được xác định khá rộng. Nhóm này có thể bao gồm doanh nghiệp tư nhân, công ty cổ phần, công ty trách nhiệm hữu hạn, công ty hợp danh, đơn vị phụ thuộc doanh nghiệp, hợp tác xã, tổ chức xã hội, tổ chức nghề nghiệp và nhiều loại hình tổ chức khác.
Các doanh nghiệp nước ngoài, chi nhánh, văn phòng đại diện hoặc địa điểm kinh doanh cung cấp dịch vụ viễn thông, Internet, nội dung trên không gian mạng, công nghệ thông tin và an ninh mạng cũng thuộc diện áp dụng nếu có hoạt động liên quan đến dữ liệu cá nhân. Nhà đăng ký tên miền, chủ quản hệ thống thông tin, đơn vị vận hành hệ thống thông tin, điểm cung cấp dịch vụ viễn thông và điểm truy nhập Internet công cộng cũng được liệt kê.
Hộ kinh doanh, hộ gia đình và cộng đồng dân cư khi thực hiện hành vi vi phạm sẽ bị áp dụng mức phạt tiền như đối với cá nhân. Đây là điểm người kinh doanh nhỏ, cửa hàng trực tuyến và đơn vị cung cấp dịch vụ trực tiếp cho khách hàng cần lưu ý.
Các nhóm hành vi có thể bị xử phạt
Nghị định điều chỉnh nhiều nghĩa vụ trong quá trình thu thập và sử dụng dữ liệu cá nhân. Các nội dung được đề cập gồm nguyên tắc bảo vệ dữ liệu, hành vi bị nghiêm cấm, sự đồng ý của chủ thể dữ liệu, quyền rút lại sự đồng ý, quyền hạn chế xử lý, quyền xem và chỉnh sửa thông tin.
Bên cạnh đó, văn bản còn quy định về thu thập, cung cấp, công khai, xóa, hủy, khử nhận dạng và chuyển giao dữ liệu cá nhân. Hoạt động mua bán trái phép dữ liệu, thông báo vi phạm, đánh giá tác động xử lý, chuyển dữ liệu xuyên biên giới, chỉ định nhân sự bảo vệ dữ liệu và kinh doanh dịch vụ xử lý dữ liệu cũng nằm trong phạm vi điều chỉnh.
Trong trường hợp một hành vi đồng thời được quy định tại nghị định này và một nghị định xử phạt thuộc lĩnh vực quản lý nhà nước khác, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi. Nếu vi phạm thuộc lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân thì áp dụng Nghị định 330/2026/NĐ-CP; nếu hành vi thể hiện vi phạm nghĩa vụ chuyên ngành khác, quy định của lĩnh vực đó sẽ được xem xét áp dụng.
Phạt từ 20 đến 60 triệu đồng với hành vi vi phạm nguyên tắc bảo vệ dữ liệu
Một số hành vi vi phạm các nguyên tắc cơ bản về bảo vệ dữ liệu cá nhân có thể bị phạt từ 20 triệu đến 40 triệu đồng. Nhóm hành vi này gồm xử lý dữ liệu vượt quá phạm vi hoặc không phù hợp với mục đích đã xác định; không bảo đảm dữ liệu chính xác; không cập nhật, chỉnh sửa kịp thời khi phát hiện sai sót; hoặc lưu trữ dữ liệu lâu hơn thời gian cần thiết.
Đơn vị xử lý dữ liệu cũng có trách nhiệm chủ động phòng ngừa, phát hiện và phối hợp với cơ quan có thẩm quyền khi xảy ra hành vi vi phạm. Việc không thực hiện trách nhiệm này thuộc nhóm hành vi có thể bị áp dụng mức phạt nói trên.
Mức phạt tăng lên từ 40 triệu đến 60 triệu đồng đối với hành vi chống đối hoặc cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân. Việc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật cũng thuộc nhóm bị phạt từ 40 triệu đến 60 triệu đồng.
Trong một số trường hợp, ngoài phạt tiền, cơ quan có thẩm quyền có thể tịch thu tang vật, phương tiện vi phạm. Người vi phạm còn có thể bị buộc hủy hoặc xóa dữ liệu đến mức không thể khôi phục nếu dữ liệu bị xử lý sai phạm vi, sai mục đích hoặc lưu trữ quá thời hạn.
Nếu hành vi tạo ra khoản thu bất hợp pháp, khoản tiền này có thể bị buộc nộp lại. Trường hợp sử dụng dữ liệu của người khác để làm việc trái pháp luật, biện pháp khắc phục còn có thể bao gồm việc công khai xin lỗi chủ thể dữ liệu trên phương tiện thông tin đại chúng. Dữ liệu bị sai cũng phải được chỉnh sửa, cập nhật hoặc bổ sung theo yêu cầu hợp lệ.
Thu thập dữ liệu khi chưa được đồng ý có thể bị phạt đến 50 triệu đồng
Nghị định quy định mức phạt từ 30 triệu đến 50 triệu đồng đối với việc xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu, trừ những trường hợp pháp luật cho phép khác.
Quy định này cũng áp dụng với cách thiết kế biểu mẫu hoặc giao diện khiến người dùng dễ nhầm lẫn giữa lựa chọn đồng ý và không đồng ý. Việc đặt sẵn trạng thái đồng ý, trình bày chỉ dẫn không rõ ràng hoặc buộc khách hàng phải chấp nhận mục đích xử lý không liên quan đến dịch vụ chính đều có thể tạo ra rủi ro pháp lý.
Đơn vị thu thập dữ liệu phải cung cấp thông tin minh bạch về loại dữ liệu được xử lý, mục đích xử lý, quyền và nghĩa vụ của chủ thể dữ liệu. Sự đồng ý cũng cần được thể hiện rõ ràng, cụ thể, có thể kiểm chứng về người đồng ý, thời điểm đồng ý và nội dung đã chấp thuận.
Mỗi mục đích xử lý cần được thể hiện đủ rõ để người dùng có thể lựa chọn. Chẳng hạn, việc cung cấp số điện thoại để giao hàng không đồng nghĩa với việc người dùng đã đồng ý nhận quảng cáo hoặc chia sẻ thông tin cho một mục đích khác.
Đơn vị xử lý dữ liệu phải ghi nhận và lưu trữ nhật ký về sự đồng ý. Khi chủ thể dữ liệu hoặc cơ quan nhà nước có thẩm quyền yêu cầu, đơn vị này phải có khả năng chứng minh sự đồng ý đã được đưa ra một cách hợp lệ. Nếu dữ liệu cá nhân nhạy cảm đang được xử lý, chủ thể dữ liệu cũng phải được thông báo.
Im lặng không được mặc nhiên xem là đồng ý
Một điểm đáng chú ý là hành vi tự coi việc người dùng im lặng hoặc không phản hồi là đồng ý có thể bị phạt từ 50 triệu đến 70 triệu đồng. Đơn vị thu thập không được mặc nhiên chuyển trạng thái chưa phản hồi thành chấp thuận xử lý dữ liệu.
Mức phạt từ 50 triệu đến 70 triệu đồng cũng áp dụng khi bên xử lý cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu đã yêu cầu ngừng hoặc hạn chế xử lý. Trường hợp cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản mà hoạt động xử lý vẫn tiếp diễn cũng thuộc nhóm này.
Những hành vi nêu trên có thể bị tịch thu tang vật, phương tiện vi phạm. Dữ liệu được thu thập hoặc xử lý khi không có sự đồng ý hợp lệ có thể phải bị hủy, xóa đến mức không thể khôi phục. Khoản thu bất hợp pháp phát sinh từ hành vi vi phạm cũng phải được nộp lại.
Doanh nghiệp cần làm gì để hạn chế rủi ro?
Trước hết, doanh nghiệp nên lập danh sách các loại dữ liệu đang thu thập, mục đích sử dụng, thời gian lưu trữ và những bộ phận hoặc đối tác có quyền truy cập. Việc này giúp phát hiện các trường hợp lưu dữ liệu quá lâu hoặc sử dụng thông tin ngoài mục đích ban đầu.
Các biểu mẫu đăng ký, ứng dụng và website cần tách riêng từng mục đích xin đồng ý. Nút lựa chọn không nên được thiết lập theo hướng gây nhầm lẫn, đồng thời hệ thống phải lưu được thời điểm, nội dung và trạng thái đồng ý của người dùng.
Doanh nghiệp cũng cần xây dựng quy trình tiếp nhận yêu cầu xem, chỉnh sửa, rút lại sự đồng ý hoặc hạn chế xử lý dữ liệu. Nhân sự phụ trách phải biết cách xác minh yêu cầu và chuyển thông tin đến đúng bộ phận thay vì tiếp tục sử dụng dữ liệu theo quy trình cũ.
Với người dùng, việc hạn chế chia sẻ thông tin không cần thiết và kiểm tra quyền truy cập của các tài khoản là bước bảo vệ quan trọng. Người đọc có thể tham khảo thêm hướng dẫn phát hiện Facebook, Zalo bị đăng nhập trái phép để chủ động nhận biết dấu hiệu tài khoản bị xâm nhập.
Dữ liệu cá nhân bị lộ còn có thể bị lợi dụng cho các kịch bản lừa đảo, chẳng hạn giả danh nhân viên giao hàng hoặc yêu cầu chuyển khoản gấp. Người dùng nên cảnh giác với các cuộc gọi, tin nhắn đòi cung cấp mã xác thực và có thể xem thêm cảnh báo về thủ đoạn giả shipper giục chuyển khoản.
Ý nghĩa của quy định mới
Việc quy định rõ mức phạt giúp các tổ chức có cơ sở cụ thể hơn khi xây dựng quy trình quản trị dữ liệu. Trách nhiệm bảo vệ thông tin không chỉ nằm ở bộ phận công nghệ mà còn liên quan đến kinh doanh, chăm sóc khách hàng, marketing, nhân sự và các đối tác cung cấp nền tảng.
Đối với người dùng, các quy định mới củng cố quyền được biết dữ liệu nào đang bị xử lý, vì mục đích gì và trong thời gian bao lâu. Khi doanh nghiệp thiết kế cơ chế đồng ý minh bạch và tôn trọng yêu cầu dừng xử lý, người dùng sẽ có thêm khả năng kiểm soát thông tin cá nhân trong môi trường số.
Trong quá trình thực hiện, các hành vi liên quan đến an ninh mạng hoặc dữ liệu cá nhân nhưng không được quy định tại Nghị định 330/2026/NĐ-CP sẽ được xem xét theo nghị định xử phạt trong lĩnh vực quản lý nhà nước có liên quan.
Hà Nội thử nghiệm xe tự hành và robot giao hàng tại Hòa Lạc
SpaceX lên kế hoạch xây tổ hợp Starship 100 tỷ USD tại Louisiana
VNeID có thể tự khóa nếu số điện thoại không chính chủ
Hồ Trọng Đức trở thành CTO Techvify, đặt trọng tâm vào AI
Cảnh giác cuộc gọi giả mạo đúng số người thân, ngân hàng
Apple lập trung tâm đào tạo nhân lực chuỗi cung ứng tại Việt Nam
Cảnh báo thủ đoạn giả mạo khuôn mặt để rút tiền ngân hàng
