Từ ngày 11.11, những hành vi vi phạm dữ liệu nào có thể bị phạt tới 60 triệu đồng?

Thu thập dữ liệu làm lộ thông tin nhạy cảm bị phạt tới 60 triệu đồng

Nghị định số 363/2026/NĐ-CP do Phó Thủ tướng Hồ Quốc Dũng ký ban hành chính thức có hiệu lực thi hành từ ngày 11.11.2026. Theo quy định tại khoản 2 Điều 6, mức phạt tiền tại Chương II được áp dụng đối với cá nhân (mức phạt tối đa trong lĩnh vực dữ liệu đối với cá nhân là 100 triệu đồng); đối với tổ chức có cùng hành vi vi phạm, mức phạt tiền bằng 2 lần mức phạt đối với cá nhân.

Đối với hoạt động thu thập và tạo lập dữ liệu, Nghị định quy định phạt tiền đến 40 triệu đồng đối với cá nhân có hành vi thu thập, tạo lập dữ liệu khi không được chủ sở hữu cho phép, hoặc không áp dụng các biện pháp bảo vệ dữ liệu trước khi thu thập.

Đáng chú ý, mức phạt sẽ tăng lên từ 40 triệu đến 60 triệu đồng đối với hành vi thu thập, tạo lập dữ liệu làm rò rỉ thông tin nhạy cảm, gây ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia; cố ý tạo lập dữ liệu giả mạo hoặc vượt quá phạm vi, mục đích đã thông báo.

Cùng chịu mức phạt từ 40 triệu đến 60 triệu đồng là các hành vi giả mạo, cố ý làm sai lệch, làm mất, làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan nhà nước (chưa đến mức truy cứu trách nhiệm hình sự), hoặc cố ý cung cấp dữ liệu sai lệch.

Theo Nghị định số 356/2026/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, danh mục dữ liệu cá nhân nhạy cảm bao gồm: thông tin đời sống riêng tư, tình trạng sức khỏe, dữ liệu sinh trắc học, vị trí định vị, mật khẩu tài khoản định danh điện tử, thẻ căn cước, thông tin tài khoản ngân hàng, lịch sử giao dịch, tín dụng, tài chính, chứng khoán...

Cá nhân, tổ chức can thiệp trái phép, tẩy xóa dữ liệu hoặc giả mạo kết quả xác thực dữ liệu sẽ bị xử phạt nghiêm khắc từ ngày 11.11. Ảnh minh họa: AI

Phạt tới 160 triệu đồng nếu tấn công cơ sở dữ liệu hoặc gian lận xác thực

Ở khung chế tài cao hơn, Nghị định 363/2026/NĐ-CP quy định phạt tiền từ 60 triệu đến 80 triệu đồng đối với cá nhân (tương đương từ 120 triệu đến 160 triệu đồng đối với tổ chức) nếu cản trở trái pháp luật quá trình xử lý, quản trị dữ liệu; hoặc tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin bảo vệ dữ liệu.

Đặc biệt, theo khoản 3 Điều 15 của Nghị định, mức phạt từ 60 triệu đến 80 triệu đồng với cá nhân (và từ 120 triệu đến 160 triệu đồng với tổ chức) cũng được áp dụng nghiêm khắc đối với bốn nhóm hành vi vi phạm trong xác nhận, xác thực dữ liệu.

Cụ thể gồm: giả mạo kết quả xác nhận, xác thực dữ liệu hoặc tẩy xóa, sửa chữa dữ liệu đã được xác thực; sử dụng công cụ, phần mềm để tạo kết quả xác thực giả, phá vỡ cơ chế xác thực hợp pháp; lợi dụng hoạt động xác nhận, xác thực dữ liệu để che giấu sai phạm, tạo lập thông tin sai lệch nhằm trục lợi; và cung cấp dịch vụ xác thực dữ liệu khi không đủ điều kiện pháp lý.

Ngoài phạt tiền, chủ thể vi phạm còn bị áp dụng hình thức xử phạt bổ sung như tước giấy phép, chứng chỉ hành nghề, tịch thu phương tiện vi phạm, đình chỉ hoạt động xử lý dữ liệu; đồng thời buộc xóa, tiêu hủy dữ liệu trái phép và nộp lại số lợi bất hợp pháp có được.