Phạt tới 70 triệu đồng nếu tự ý thu thập, xử lý dữ liệu cá nhân

Chính phủ vừa ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Nghị định gồm 4 chương, 82 điều, quy định về các hành vi vi phạm hành chính; hành vi vi phạm đã kết thúc và hành vi vi phạm đang thực hiện; hình thức, mức xử phạt và biện pháp khắc phục hậu quả đối với từng hành vi; đối tượng bị xử phạt; thẩm quyền xử phạt, mức phạt tiền cụ thể theo từng chức danh và thẩm quyền lập biên bản vi phạm hành chính.

Nghị định cũng quy định việc thi hành các hình thức xử phạt vi phạm hành chính và biện pháp khắc phục hậu quả trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Đối với các hành vi vi phạm hành chính có liên quan đến lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân nhưng không được quy định tại Nghị định 330, việc xử phạt được thực hiện theo các nghị định khác của Chính phủ về xử phạt vi phạm hành chính trong những lĩnh vực quản lý Nhà nước có liên quan.

Trường hợp một hành vi đồng thời vi phạm quy định tại Nghị định 330 và nghị định về xử phạt vi phạm hành chính trong lĩnh vực quản lý Nhà nước khác, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi và căn cứ pháp lý để áp dụng xử phạt.

Nếu hành vi đồng thời được quy định tại Nghị định 330 và nghị định xử phạt trong lĩnh vực quản lý Nhà nước khác, Nghị định 330 được áp dụng khi hành vi vi phạm thuộc lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Trường hợp hành vi có dấu hiệu cấu thành vi phạm nghĩa vụ, trách nhiệm hoặc điều cấm khác thuộc phạm vi quản lý Nhà nước chuyên ngành thì áp dụng quy định xử phạt của lĩnh vực đó.

Đối tượng, nguyên tắc áp dụng

Nghị định áp dụng đối với cá nhân, tổ chức Việt Nam và cá nhân, tổ chức nước ngoài có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của Việt Nam.

Quy định này cũng áp dụng đối với hành vi vi phạm trên tàu bay mang quốc tịch Việt Nam và tàu biển mang cờ quốc tịch Việt Nam, trừ trường hợp điều ước quốc tế mà Việt Nam là thành viên có quy định khác.

Theo nghị định, tổ chức thuộc phạm vi áp dụng gồm doanh nghiệp tư nhân, công ty cổ phần, công ty trách nhiệm hữu hạn, công ty hợp danh và các đơn vị phụ thuộc doanh nghiệp; tổ chức chính trị - xã hội, tổ chức xã hội - nghề nghiệp và các tổ chức xã hội khác; doanh nghiệp nước ngoài hoặc chi nhánh, văn phòng đại diện, địa điểm kinh doanh của doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, nội dung trên không gian mạng, công nghệ thông tin, an ninh mạng hoặc cung cấp dịch vụ xuyên biên giới.

Cơ quan, tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam và đã được cấp giấy chứng nhận căn cước; điểm cung cấp dịch vụ viễn thông, điểm cung cấp trò chơi điện tử công cộng và điểm truy nhập Internet công cộng; doanh nghiệp cung cấp dịch vụ nội dung thông tin trên mạng viễn thông di động và không gian mạng...cũng thuộc phạm vi áp dụng.

Hộ kinh doanh, hộ gia đình và cộng đồng dân cư thực hiện hành vi vi phạm hành chính quy định tại nghị định này bị áp dụng mức phạt tiền như đối với cá nhân vi phạm hành chính.

Về quản lý an ninh mạng, Bộ Quốc phòng quản lý đối với các nhiệm vụ quân sự, quốc phòng. Bộ Công an quản lý về an ninh mạng đối với các đơn vị quân đội có hoạt động dân sự, kinh tế theo thẩm quyền. Đối với những nội dung có sự giao thoa, Bộ Công an và Bộ Quốc phòng thống nhất quy chế phối hợp.

Vi phạm nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm

Nghị định quy định mức phạt tiền từ 20 triệu đồng đến 40 triệu đồng đối với các hành vi:

Xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích xử lý đã được xác định, xin sự đồng ý, thỏa thuận; hoặc xử lý vượt quá mức cần thiết để thực hiện mục đích đó.

Không bảo đảm tính chính xác của dữ liệu cá nhân; không kịp thời chỉnh sửa, cập nhật, bổ sung khi phát hiện sai sót hoặc khi cần thiết.

Lưu trữ dữ liệu cá nhân vượt quá thời gian cần thiết, phù hợp với mục đích xử lý, trừ trường hợp pháp luật có quy định khác.

Không chủ động phòng ngừa, phát hiện và phối hợp kịp thời với cơ quan có thẩm quyền trong xử lý các hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Nghị định số 330/2026/NĐ-CP quy định mức phạt lên tới 50 triệu đồng đối với hành vi xử lý dữ liệu cá nhân thu thập khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân. Ảnh minh hoạ: Hà Anh/Mekong ASEAN.

Mức phạt từ 40 triệu đồng đến 60 triệu đồng được áp dụng đối với các hành vi:

Chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân.

Sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái quy định của pháp luật.

Ngoài phạt tiền, nghị định quy định tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi xử lý dữ liệu cá nhân không đúng phạm vi hoặc lưu trữ vượt thời hạn; sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật.

Về biện pháp khắc phục hậu quả, người vi phạm phải hủy, xóa dữ liệu cá nhân đã xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ vượt thời hạn đến mức không thể khôi phục; nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Đồng thời, công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng đối với hành vi sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật; chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân để bảo đảm tính chính xác theo yêu cầu của chủ thể dữ liệu cá nhân hoặc khi phát hiện sai sót.

Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân

Nghị định quy định phạt tiền từ 30 triệu đồng đến 50 triệu đồng đối với một trong các hành vi:

Xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

Kèm theo điều kiện bắt buộc hoặc từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cho các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ.

Thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa việc đồng ý và không đồng ý.

Xin sự đồng ý không bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về chủ thể đã đồng ý, thời điểm và nội dung được đồng ý.

Không cung cấp đầy đủ, minh bạch cho chủ thể dữ liệu cá nhân về loại dữ liệu được xử lý, mục đích xử lý, quyền và nghĩa vụ của chủ thể dữ liệu cá nhân, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân, dẫn đến việc đồng ý không dựa trên cơ sở tự nguyện và được biết rõ.

Xin sự đồng ý theo hình thức không bảo đảm chủ thể dữ liệu cá nhân được lựa chọn đồng ý đối với từng mục đích xử lý dữ liệu.

Không ghi nhận, lưu trữ nhật ký về sự đồng ý; không chứng minh được việc đã có sự đồng ý khi chủ thể dữ liệu cá nhân yêu cầu hoặc khi cơ quan nhà nước có thẩm quyền thanh tra, kiểm tra; không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

Mức phạt từ 50 triệu đồng đến 70 triệu đồng được áp dụng đối với các hành vi:

Cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân yêu cầu ngừng hoặc hạn chế xử lý, hoặc sau khi cơ quan Nhà nước có thẩm quyền có yêu cầu bằng văn bản.

Thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân im lặng hoặc không phản hồi yêu cầu xin sự đồng ý, nhưng tự ý coi sự im lặng là đồng ý.

Ngoài phạt tiền, nghị định quy định tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý; thiết lập phương thức mặc định đồng ý.

Nghị định số 330/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 19/8/2026.