Trong thời đại chuyển đổi số mạnh mẽ, dữ liệu đóng vai trò như huyết mạch đối với các cơ quan, tổ chức và doanh nghiệp. Tuy nhiên, tình trạng chia sẻ dữ liệu sai mục đích hoặc vượt quá thẩm quyền cho phép diễn ra ngày càng phức tạp, đe dọa trực tiếp đến an ninh thông tin. Để siết chặt kỷ luật, Chính phủ đã ban hành chế tài xử phạt hành chính vô cùng nghiêm khắc đối với các hành vi này.

1. Chia sẻ dữ liệu ngoài phạm vi, mục đích được phép bị phạt bao nhiêu tiền?

Căn cứ quy định tại điểm b khoản 1 Điều 13 Nghị định 363/2026/NĐ-CP, hành vi chia sẻ, cung cấp dữ liệu ngoài phạm vi, mục đích được phép theo hợp đồng, văn bản thỏa thuận hoặc phạm vi được phân quyền sẽ bị xử phạt như sau:

• Mức phạt đối với cá nhân: Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng.
• Mức phạt đối với tổ chức: Theo khoản 2 Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền đối với tổ chức bằng 02 lần mức phạt đối với cá nhân. Do đó, tổ chức vi phạm sẽ bị xử phạt từ 40.000.000 đồng đến 80.000.000 đồng.

Quy định này áp dụng cho mọi trường hợp bên tiếp nhận dữ liệu tự ý chuyển tiếp cho bên thứ ba hoặc khai thác dữ liệu phục vụ mục đích thương mại, quảng cáo ngoài thỏa thuận ban đầu.

2. Mức phạt hành vi chia sẻ dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia trái phép

Đối với dữ liệu cốt lõi, dữ liệu quan trọng và dữ liệu quốc gia, đây là nguồn tài nguyên đặc thù liên quan mật thiết đến chủ quyền số và an ninh quốc gia. Bất kỳ sai phạm nào trong việc chia sẻ các nguồn dữ liệu này đều phải đối diện với mức phạt kịch khung.

Theo quy định tại điểm a khoản 3 Điều 13 Nghị định 363/2026/NĐ-CP, hành vi chia sẻ, cung cấp dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia khi chưa được phép hoặc ngoài mục đích được cấp quyền bị xử lý như sau:

• Đối với cá nhân: Bị phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng.
• Đối với tổ chức: Bị phạt tiền từ 160.000.000 đồng đến 200.000.000 đồng theo nguyên tắc nhân đôi mức phạt tại khoản 2 Điều 6 Nghị định 363/2026/NĐ-CP.

Quy chuẩn về phân loại dữ liệu này được xây dựng đồng bộ với hệ thống chính sách của Luật Dữ liệu 2024, bảo đảm tính bảo mật tối đa cho dữ liệu của các cơ quan nhà nước và tổ chức kinh tế trọng yếu.

3. Hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Bên cạnh hình thức phạt tiền, các chủ thể vi phạm còn phải gánh chịu những chế tài nghiêm khắc khác nhằm vô hiệu hóa khả năng tái phạm:

3.1. Hình thức xử phạt bổ sung

Căn cứ khoản 4 Điều 13 Nghị định 363/2026/NĐ-CP, các hình thức xử phạt bổ sung áp dụng bao gồm:

• Đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu từ 01 tháng đến 06 tháng.
• Tịch thu tang vật, phương tiện vi phạm hành chính phục vụ hành vi chia sẻ dữ liệu trái phép.

3.2. Biện pháp khắc phục hậu quả

Tại điểm d khoản 5 Điều 13 Nghị định 363/2026/NĐ-CP, biện pháp khắc phục hậu quả bắt buộc là:

"Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1 và khoản 3 Điều này."

Mọi khoản lợi nhuận, lợi ích thu được từ việc trao đổi, cung cấp dữ liệu trái quy định đều sẽ bị truy thu nộp vào ngân sách theo đúng quy định tại Luật xử lý vi phạm hành chính 2012.

4. Thời điểm có hiệu lực và điều khoản chuyển tiếp khi xử lý vi phạm

Theo quy định tại Điều 34 Nghị định 363/2026/NĐ-CP, các chế tài trên chính thức có hiệu lực từ ngày 11/11/2026.

Đồng thời, khoản 1 Điều 35 Nghị định 363/2026/NĐ-CP hướng dẫn giải quyết chuyển tiếp như sau:

1. Hành vi kết thúc trước ngày 11/11/2026: Sẽ áp dụng quy định pháp luật có hiệu lực tại thời điểm vi phạm diễn ra để xử lý; không áp dụng quy định mới để xử phạt hành vi đã chấm dứt.
2. Hành vi bắt đầu trước nhưng tiếp diễn sau ngày 11/11/2026: Áp dụng trực tiếp mức phạt của Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu để tiến hành xử phạt hành chính.

Doanh nghiệp và cá nhân cần chủ động rà soát quy trình quản trị dữ liệu nhằm tránh các rủi ro pháp lý và thiệt hại tài chính nặng nề.