Mới: Thu thập dữ liệu làm rò rỉ thông tin nhạy cảm, bí mật riêng tư của cá nhân bị phạt tới 120 triệu đồng

Nghị định 363/2026 quy định mức phạt tiền tối đa đối với cá nhân vi phạm trong lĩnh vực dữ liệu là 100 triệu đồng, tổ chức là 200 triệu đồng. Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực dữ liệu là 1 năm.

Tùy theo tính chất và mức độ vi phạm, các hình thức xử phạt bổ sung có thể được áp dụng gồm: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề; Tịch thu tang vật, phương tiện vi phạm;

Đình chỉ hoạt động cung cấp, xử lý, kết nối dữ liệu có thời hạn; Đình chỉ hoạt động quản trị, vận hành cơ sở/ sàn dữ liệu hoặc tham gia các dự án do Quỹ phát triển dữ liệu hỗ trợ có thời hạn; Trục xuất đối với người nước ngoài vi phạm…

Với vi phạm quy định về thu thập, tạo lập dữ liệu, Điều 8 Nghị định 363/2026 nêu rõ, phạt tiền từ 20-40 triệu đồng với một trong những hành vi:

Thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật;

Không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu;

Không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập dữ liệu.

Mức phạt tiền từ 40-60 triệu đồng được áp dụng với hành vi vi phạm tại khoản 1 Điều này làm rò rỉ thông tin nhạy cảm, làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

Như vậy, trường hợp cá nhân có hành vi thu tập, tạo lập dữ liệu không được phép của chủ thể mà làm lộ thông tin nhạy cảm ảnh hưởng đến quyền, lợi ích của hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia bị phạt đến 60 triệu đồng. Tổ chức có cùng hành vi vi phạm thì mức phạt gấp đôi cá nhân, lên tới 120 triệu đồng.

Bên cạnh phạt tiền, cá nhân, tổ chức vi phạm còn đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6-9 tháng đối với hành vi vi phạm.

Trong khi đó, theo Nghị định 356/2025/NĐ-CP, danh mục dữ liệu cá nhân nhạy cảm bị nghiêm cấm làm rò rỉ hay vi phạm gồm: Nguồn gốc chủng tộc, dân tộc; quan điểm chính trị, tôn giáo, tín ngưỡng; Đời sống riêng tư, bí mật cá nhân, bí mật gia đình; đời sống và xu hướng tình dục; Tình trạng sức khỏe, dữ liệu sinh trắc học, đặc điểm di truyền; Dữ liệu tội phạm, vi phạm pháp luật do cơ quan thực thi pháp luật lưu trữ; Vị trí cá nhân qua dịch vụ định vị;

Tên đăng nhập, mật khẩu tài khoản định danh điện tử; ảnh căn cước công dân/chứng minh nhân dân; Thông tin đăng nhập, mật khẩu, dữ liệu thẻ, lịch sử giao dịch ngân hàng, tài chính, tín dụng, chứng khoán, bảo hiểm;

Dữ liệu theo dõi hành vi, hoạt động sử dụng viễn thông, mạng xã hội, dịch vụ trực tuyến; Các dữ liệu cá nhân khác cần bảo mật theo quy định pháp luật.

Nghị định 363/2026 chính thức có hiệu lực thi hành từ ngày 11/11/2026.