Tổ chức vi phạm trong lĩnh vực dữ liệu có thể bị phạt tới 200 triệu đồng

Chính phủ đã ban hành Nghị định 363/2026/NĐ-CP ngày 19/9/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu.

Hạ tầng trung tâm dữ liệu phục vụ lưu trữ, xử lý và khai thác dữ liệu số. Ảnh minh họa.

Nghị định quy định các hành vi vi phạm, hình thức và mức xử phạt, biện pháp khắc phục hậu quả; đồng thời quy định thẩm quyền lập biên bản, xử phạt và áp dụng biện pháp khắc phục hậu quả đối với các hành vi vi phạm trong lĩnh vực dữ liệu.

Nghị định không điều chỉnh các hành vi vi phạm hành chính thuộc phạm vi điều chỉnh của nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Mức phạt tối đa với cá nhân 100 triệu đồng

Theo Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu đối với cá nhân là 100 triệu đồng.

Về nguyên tắc, mức phạt tiền quy định tại Chương II của Nghị định là mức áp dụng đối với cá nhân và mức phạt đối với tổ chức bằng 2 lần mức phạt đối với cá nhân.

Tuy nhiên, Nghị định quy định một số ngoại lệ gồm điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16. Tại các trường hợp này, mức tiền phạt được ghi tại điều khoản là mức áp dụng trực tiếp đối với tổ chức.

Theo đó, đối với những hành vi thuộc nhóm áp dụng nguyên tắc mức phạt của tổ chức bằng 2 lần cá nhân, mức xử phạt đối với tổ chức có thể lên tới 200 triệu đồng.

Nghị định cũng quy định Chủ tịch UBND cấp tỉnh, Giám đốc Công an cấp tỉnh cùng một số chức danh có thẩm quyền khác được phạt tiền đến 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức.

Thu thập dữ liệu trái quy định có thể bị xử phạt

Điều 8 của Nghị định quy định cụ thể các hành vi vi phạm về thu thập, tạo lập dữ liệu.

Theo đó, hành vi thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật có mức phạt từ 20 - 40 triệu đồng đối với cá nhân.

Hành vi không thực hiện kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập cũng có mức phạt từ 20 - 40 triệu đồng đối với cá nhân.

Riêng hành vi không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu có mức phạt từ 20 - 40 triệu đồng áp dụng trực tiếp đối với cơ quan, tổ chức thuộc đối tượng quy định của Nghị định.

Mức phạt từ 40 - 60 triệu đồng được quy định đối với các hành vi cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc; cố ý thu thập, tạo lập dữ liệu giả mạo; thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo.

Cùng khung phạt này còn có hành vi vi phạm thuộc khoản 1 Điều 8 khi dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia; hoặc hành vi làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

Ngoài phạt tiền, một số hành vi còn có thể bị tịch thu tang vật, phương tiện; đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6 đến 9 tháng.

Các biện pháp khắc phục hậu quả có thể gồm buộc xóa, tiêu hủy dữ liệu được thu thập, tạo lập trái quy định; đính chính, hiệu chỉnh, cập nhật dữ liệu sai lệch, giả mạo; áp dụng các biện pháp bảo vệ, an toàn dữ liệu hoặc nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.

Tấn công, phá hoại cơ sở dữ liệu có thể bị phạt đến 80 triệu đồng với cá nhân

Điều 7 Nghị định 363/2026/NĐ-CP quy định phạt từ 40 - 60 triệu đồng đối với cá nhân có hành vi giả mạo, cố ý làm sai lệch, làm mất hoặc làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự.

Cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền, trừ trường hợp Nghị định có quy định khác, cũng thuộc khung phạt này.

Mức phạt từ 60 - 80 triệu đồng đối với cá nhân được áp dụng đối với hành vi cản trở hoặc ngăn chặn trái pháp luật quá trình xử lý, quản trị dữ liệu của cơ quan, tổ chức, người có thẩm quyền.

Hành vi tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị, bảo vệ dữ liệu nhưng chưa đến mức truy cứu trách nhiệm hình sự cũng chịu mức phạt từ 60 - 80 triệu đồng.

Theo nguyên tắc tại Điều 6, đối với tổ chức thực hiện các hành vi tại Điều 7, mức phạt bằng 2 lần mức phạt áp dụng đối với cá nhân.

Ngoài tiền phạt, người vi phạm có thể bị buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu; áp dụng biện pháp kỹ thuật bảo đảm an toàn, an ninh dữ liệu; thông báo sự cố và kết quả khắc phục cho các chủ thể liên quan; gỡ bỏ ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm.

Nhiều hành vi có mức phạt tới 100 triệu đồng đối với cá nhân

Nghị định còn quy định nhiều nhóm hành vi có khung phạt cao.

Chẳng hạn, hành vi chia sẻ, cung cấp dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia khi chưa được phép hoặc ngoài mục đích được cấp quyền; cố ý sửa đổi, làm sai lệch hoặc che giấu dữ liệu trong quá trình chia sẻ, cung cấp; sử dụng kết nối dữ liệu, API hoặc nền tảng chia sẻ dữ liệu để thu thập, sao chép, trích xuất dữ liệu trái phép có thể bị phạt từ 80 - 100 triệu đồng đối với cá nhân.

Một số vi phạm về mã hóa, giải mã dữ liệu; chuyển, xử lý dữ liệu xuyên biên giới; kiểm toán dữ liệu; thu hồi, xóa, hủy dữ liệu hoặc quản lý rủi ro, giám sát hoạt động xử lý dữ liệu cũng có mức phạt đối với cá nhân lên tới 100 triệu đồng.

Đối với các trường hợp thuộc nguyên tắc áp dụng mức phạt cho tổ chức bằng 2 lần cá nhân, mức phạt tương ứng có thể lên tới 200 triệu đồng.

Nghị định 363/2026/NĐ-CP có hiệu lực thi hành từ ngày 11/11/2026.