Mới: Dùng AI, Deepfake giả mạo khuôn mặt để xác thực tài khoản có thể bị phạt đến 50 triệu đồng

Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực thi hành từ 19/8/2026.

Theo khoản 2 Điều 50 Nghị định này, phạt tiền từ 30-50 triệu đồng đối với tổ chức thực hiện một trong các hành vi: Công khai dữ liệu cá nhân gây xâm phạm đến quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân; Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật cho phép.

Cá nhân thực hiện cùng hành vi chịu mức phạt bằng 1/2, tương ứng 15-25 triệu đồng.

Ngoài mức phạt nêu trên, đối tượng thực hiện hành vi vi phạm còn phải thực hiện các biện pháp khắc phục hậu quả như: Buộc cải chính thông tin đối với hành vi công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn dữ liệu gốc; Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai đối với hành vi vi phạm…

Quy định đặt ra ranh giới pháp lý đáng chú ý với những trường hợp đưa dữ liệu của người khác lên mạng để tố cáo, phản ánh, tranh chấp hoặc "bóc phốt", song không phải cứ đăng thông tin liên quan đến người khác là bị xử phạt. Việc áp dụng còn phụ thuộc dữ liệu được công khai, sự đồng ý của chủ thể và trường hợp pháp luật cho phép.

Ngoài nội dung trên, Nghị định 330/2026 còn quy định riêng mức phạt đối với hành vi sử dụng trí tuệ nhân tạo, Deepfake hoặc biện pháp kỹ thuật công nghệ cao để giả mạo dữ liệu sinh trắc học khi xác thực tài khoản số.

Theo khoản 2 Điều 34 Nghị định này, cá nhân sử dụng công nghệ AI, Deepfake hoặc biện pháp công nghệ cao để giả mạo khuôn mặt, giọng nói nhằm xác thực tài khoản trái phép bị phạt từ 30-50 triệu đồng.

Mức phạt này cũng được áp dụng đối với hành vi sử dụng giấy tờ tùy thân của người khác để xác thực tài khoản số; sử dụng giấy tờ tùy thân giả hoặc tạo lập, chỉnh sửa, cắt ghép hình ảnh giấy tờ tùy thân để xác thực tài khoản.

Bên cạnh xử phạt người thực hiện hành vi giả mạo, khoản 1 Điều 34 còn quy định trách nhiệm của tổ chức, cá nhân cung cấp, quản lý tài khoản số.

Theo đó, phạt từ 20-30 triệu đồng nếu không xác thực, định danh bằng giấy tờ tùy thân hợp pháp đối với tài khoản bắt buộc phải xác thực hoặc thực hiện xác thực bằng giấy tờ không hợp pháp.

Mức phạt từ 20-30 triệu đồng cũng áp dụng khi không có biện pháp cảnh báo chủ tài khoản lúc phát sinh giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng.

Đơn vị cung cấp tài khoản còn phải lưu trữ thông tin thiết bị, địa chỉ IP và thời gian đăng nhập trong ít nhất 90 ngày. Không lưu các thông tin này; không lưu vết xác thực, nhật ký truy cập hoặc không xây dựng cơ chế phát hiện bất thường đều thuộc diện bị xử phạt.

Ngoài ra, hành vi không tạm dừng giao dịch hoặc phong tỏa tài khoản số khi phát hiện sai sót, nhầm lẫn, lộ lọt thông tin hay khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng cũng bị phạt từ 20–30 triệu đồng.

Không chỉ bị phạt tiền, đối tượng vi phạm còn bị buộc khôi phục lại tình trạng ban đầu. Các mức phạt tại Điều này được quy định đối với cá nhân; tổ chức có cùng hành vi bị phạt gấp 2 lần.