Từ 11-11, vi phạm trong lĩnh vực dữ liệu có thể bị phạt tới 200 triệu đồng

Thu thập dữ liệu trái phép có thể bị xử phạt nghiêm khắc

Trong bối cảnh chuyển đổi số ngày càng sâu rộng, dữ liệu đã trở thành nguồn tài nguyên quan trọng phục vụ hoạt động quản lý nhà nước, sản xuất, kinh doanh và cung cấp dịch vụ. Từ giao dịch ngân hàng, mua sắm trực tuyến đến đăng ký khám chữa bệnh, sử dụng dịch vụ viễn thông, người dân thường xuyên phải cung cấp nhiều loại thông tin cho các cơ quan, tổ chức, doanh nghiệp.

Tuy nhiên, việc thu thập, lưu trữ và khai thác dữ liệu cũng tiềm ẩn nguy cơ bị lợi dụng. Tình trạng thu thập thông tin vượt quá nhu cầu sử dụng, chia sẻ dữ liệu không đúng mục đích hoặc để lộ thông tin nhạy cảm có thể gây thiệt hại về tài sản, ảnh hưởng đến đời sống riêng tư và quyền lợi hợp pháp của tổ chức, cá nhân.

Theo Nghị định số 363/2026/NĐ-CP, tổ chức thực hiện hành vi vi phạm trong lĩnh vực dữ liệu thuộc khung phạt cao nhất nêu trên có thể bị xử phạt đến 200 triệu đồng. Ảnh minh hoạ: Thanh Tuấn

Thời gian qua, cơ quan Công an đã phát hiện, xử lý nhiều vụ mua bán, sử dụng trái phép dữ liệu cá nhân quy mô lớn. Điển hình, cuối năm 2025, Công an thành phố Hà Nội khởi tố 3 bị can liên quan website taphoammo.net, mua bán dữ liệu với hơn 53 triệu lượt giao dịch, doanh thu trên 400 tỷ đồng. Vụ việc cho thấy nguy cơ nghiêm trọng từ hoạt động mua bán dữ liệu trái phép.

Luật sư Phạm Ngọc Thanh, Đoàn Luật sư thành phố Hà Nội cho biết, việc ban hành Nghị định số 363/2026/NĐ-CP là bước hoàn thiện quan trọng trong cơ chế bảo đảm tuân thủ pháp luật về dữ liệu. Ảnh: Thái An

Nhằm tăng cường hiệu lực quản lý nhà nước trong lĩnh vực này, ngày 19-9-2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, có hiệu lực thi hành từ ngày 11-11-2026.

Đáng chú ý, khoản 1 Điều 8 Nghị định quy định phạt tiền từ 20 - 40 triệu đồng đối với cá nhân thực hiện một trong các hành vi như: Thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu trong trường hợp pháp luật yêu cầu; không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện đánh giá, áp dụng biện pháp bảo vệ dữ liệu theo quy định; không kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập.

Đặc biệt, hành vi vi phạm quy định tại khoản 1 Điều 8 của Nghị định mà làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia cũng thuộc khung xử phạt từ 40 - 60 triệu đồng.

Như vậy, việc thu thập dữ liệu không chỉ đòi hỏi tuân thủ quy định về quyền được phép thu thập mà còn phải bảo đảm tính chính xác, mục đích sử dụng và các yêu cầu về an toàn dữ liệu.

Chia sẻ dữ liệu sai mục đích, tổ chức có thể bị phạt đến 200 triệu đồng

Một nội dung đáng chú ý khác của Nghị định số 363/2026/NĐ-CP là chế tài đối với hành vi chia sẻ, cung cấp dữ liệu không đúng quy định. Đối với hành vi chia sẻ, cung cấp dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia khi chưa được phép hoặc ngoài mục đích được cấp quyền, mức phạt đối với cá nhân có thể lên đến 100 triệu đồng. Mức phạt tiền đối với tổ chức bằng hai lần mức phạt đối với cá nhân, trừ trường hợp có quy định khác. Theo đó, tổ chức thực hiện hành vi vi phạm thuộc khung phạt cao nhất nêu trên có thể bị xử phạt đến 200 triệu đồng.

Chẳng hạn, một doanh nghiệp được quyền tiếp cận dữ liệu phục vụ hoạt động theo hợp đồng nhưng lại tự ý chuyển giao cho đơn vị khác để sử dụng vào mục đích ngoài phạm vi được phép. Tùy tính chất dữ liệu, hành vi cụ thể và các yếu tố liên quan, doanh nghiệp có thể bị xem xét xử phạt theo quy định.

Luật sư Phạm Ngọc Thanh, Đoàn Luật sư thành phố Hà Nội đưa ra lưu ý, không phải mọi trường hợp chia sẻ thông tin đều mặc nhiên bị xử phạt. Việc xác định hành vi vi phạm phải căn cứ vào loại dữ liệu, quyền của chủ thể liên quan, phạm vi được phép chia sẻ và các quy định pháp luật điều chỉnh hoạt động đó.

Bên cạnh phạt tiền, tổ chức, cá nhân vi phạm còn có thể bị áp dụng hình thức xử phạt bổ sung như đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu có thời hạn hoặc tịch thu tang vật, phương tiện vi phạm. Trường hợp thu lợi bất hợp pháp từ hành vi vi phạm, người vi phạm có thể bị buộc nộp lại khoản lợi này theo quy định.

Theo chuyên gia pháp lý, không chỉ hướng đến việc xử lý hành vi vi phạm, Nghị định số 363/2026/NĐ-CP còn góp phần nâng cao trách nhiệm của các chủ thể trong quá trình quản lý và khai thác dữ liệu.

Đối với doanh nghiệp, đặc biệt là các đơn vị hoạt động trong lĩnh vực thương mại điện tử, tài chính, công nghệ, bất động sản, dịch vụ khách hàng và các ngành nghề thường xuyên xử lý khối lượng lớn thông tin, việc rà soát quy trình quản lý dữ liệu là yêu cầu cần thiết.

Doanh nghiệp cần xác định rõ loại dữ liệu đang thu thập, mục đích sử dụng, căn cứ pháp lý cho hoạt động xử lý và phạm vi được phép chia sẻ với bên thứ ba. Việc thu thập dữ liệu cần bảo đảm phù hợp với mục đích đã xác định, tránh tình trạng yêu cầu khách hàng cung cấp quá nhiều thông tin không cần thiết hoặc sử dụng dữ liệu vào mục đích khác khi chưa đáp ứng điều kiện pháp luật.

“Có thể thấy, việc ban hành Nghị định số 363/2026/NĐ-CP là bước hoàn thiện quan trọng trong cơ chế bảo đảm tuân thủ pháp luật về dữ liệu. Khi dữ liệu ngày càng có giá trị đối với hoạt động kinh tế - xã hội, yêu cầu đặt ra không chỉ là khai thác hiệu quả nguồn tài nguyên này mà còn phải bảo đảm tính hợp pháp, an toàn và trách nhiệm của các chủ thể tham gia”, luật sư Phạm Ngọc Thanh cho biết.