Trong kỷ nguyên số hóa mạnh mẽ, thông tin cá nhân đã trở thành một loại tài sản vô cùng giá trị nhưng cũng dễ bị xâm phạm nhất. Tình trạng tự ý thu thập, mua bán, sử dụng thông tin cá nhân trái phép diễn ra ngày càng tinh vi và phức tạp. Để siết chặt quản lý và bảo vệ quyền riêng tư của công dân, Chính phủ đã ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Vậy hành vi tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý sẽ bị xử phạt như thế nào? Mức phạt tiền tối đa là bao nhiêu? Hãy cùng tìm hiểu chi tiết trong bài viết dưới đây.

1. Tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý bị phạt bao nhiêu tiền?

Theo quy định tại khoản 1 Điều 48 Nghị định 330/2026/NĐ-CP, hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật sẽ bị xử phạt nghiêm khắc.

Cụ thể, khung phạt tiền đối với hành vi này dao động từ 30.000.000 đồng đến 50.000.000 đồng áp dụng đối với tổ chức vi phạm. Đối với cá nhân, mức phạt tiền bằng 1/2 mức phạt tiền đối với tổ chức theo nguyên tắc quy định tại khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP.

Dưới đây là bảng tổng hợp mức phạt chi tiết đối với từng nhóm chủ thể vi phạm:

Như vậy, bất kỳ hành vi tự ý thu thập số điện thoại, email, địa chỉ nhà hay hình ảnh của người khác nhằm mục đích quảng cáo, tiếp thị hoặc lưu trữ mà chưa được sự đồng ý trước đó của họ đều là hành vi vi phạm pháp luật và sẽ bị xử lý hành chính với số tiền không hề nhỏ.

Hành vi tự ý thu thập dữ liệu cá nhân khi chưa được đồng ý sẽ bị xử phạt nghiêm khắc (ảnh minh họa)

2. Thu thập dữ liệu cá nhân nhạy cảm khi chưa được đồng ý bị phạt thế nào?

Dữ liệu cá nhân nhạy cảm là những thông tin gắn liền với quyền riêng tư của cá nhân mà khi bị xâm phạm sẽ ảnh hưởng trực tiếp đến quyền và lợi ích hợp pháp của họ. Theo quy định tại Nghị định 13/2023/NĐ-CP, dữ liệu cá nhân nhạy cảm bao gồm: thông tin về tình trạng sức khỏe, đời tư, quan điểm chính trị, tôn giáo, dữ liệu sinh trắc học, dữ liệu về tài chính, tài khoản ngân hàng, vị trí địa lý thực tế...

Do tính chất đặc biệt quan trọng, hành vi tự ý thu thập dữ liệu cá nhân nhạy cảm khi chưa được chủ thể đồng ý bị áp dụng khung hình phạt nặng hơn rất nhiều. Cụ thể, tại khoản 4 Điều 48 Nghị định 330/2026/NĐ-CP quy định:

• Đối với tổ chức: Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng.
• Đối với cá nhân, hộ kinh doanh, hộ gia đình: Phạt tiền từ 25.000.000 đồng đến 40.000.000 đồng (bằng 1/2 mức phạt của tổ chức).

Việc tự ý thu thập lịch sử giao dịch ngân hàng, thông tin bệnh án hay dữ liệu định vị của khách hàng mà không có sự đồng ý rõ ràng bằng văn bản hoặc các hình thức xác thực hợp pháp khác sẽ đẩy doanh nghiệp vào rủi ro pháp lý cực kỳ lớn.

3. Dùng công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái pháp luật bị phạt bao nhiêu?

Trong thời đại công nghệ số, việc sử dụng các công cụ quét dữ liệu tự động (data scraping), mã độc, phần mềm gián điệp hoặc các biện pháp kỹ thuật tinh vi để thu thập thông tin người dùng trên mạng xã hội, website diễn ra rất phổ biến. Nhằm ngăn chặn triệt để hành vi này, khoản 3 Điều 48 Nghị định 330/2026/NĐ-CP đã thiết lập các khung phạt cực khủng dựa trên quy mô dữ liệu và loại dữ liệu bị thu thập trái phép:

Có thể thấy, nếu doanh nghiệp sử dụng các công cụ kỹ thuật để tự động quét và thu thập thông tin của hàng ngàn người dùng trên mạng mà không được sự đồng ý của họ, mức phạt có thể lên tới 800 triệu đồng. Đây là hồi chuông cảnh tỉnh cho các đơn vị làm dịch vụ marketing, phân tích dữ liệu hoặc vận hành các nền tảng trực tuyến trái phép.

4. Ngoài phạt tiền, thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý còn bị xử lý thế nào?

Bên cạnh hình thức phạt tiền cực kỳ nghiêm khắc, các cá nhân, tổ chức vi phạm còn phải đối mặt với các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả nhằm triệt tiêu hoàn toàn lợi ích từ hành vi vi phạm và ngăn ngừa tái diễn.

Về hình thức xử phạt bổ sung: Theo quy định tại khoản 5 Điều 48 Nghị định 330/2026/NĐ-CP, người vi phạm sẽ bị tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi thu thập dữ liệu cá nhân trái phép (ví dụ: máy tính, máy chủ, điện thoại, thiết bị lưu trữ dữ liệu...).

Về biện pháp khắc phục hậu quả: Căn cứ khoản 6 Điều 48 Nghị định 330/2026/NĐ-CP, bên vi phạm buộc phải hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái quy định của pháp luật.

5. Lời khuyên pháp lý dành cho doanh nghiệp để tránh vi phạm bảo vệ dữ liệu cá nhân

Để tránh rơi vào các tình huống pháp lý bất lợi và bị xử phạt hành chính với số tiền lớn, các doanh nghiệp và cá nhân khi thực hiện các hoạt động kinh doanh, dịch vụ có liên quan đến thông tin khách hàng cần lưu ý các điểm sau:

• Xây dựng chính sách bảo mật rõ ràng: Doanh nghiệp cần thiết lập điều khoản sử dụng và chính sách bảo mật thông tin chi tiết, nêu rõ mục đích, phạm vi, thời gian lưu trữ và các bên được phép tiếp cận dữ liệu.
• Thu thập sự đồng ý hợp pháp: Phải có cơ chế để khách hàng chủ động tích chọn đồng ý (opt-in) cho phép thu thập và xử lý dữ liệu cá nhân, tuyệt đối không sử dụng cơ chế tự động tích chọn sẵn (pre-ticked box).
• Đào tạo nhân sự và nâng cấp hệ thống: Thường xuyên tập huấn cho nhân viên về quy định bảo vệ dữ liệu cá nhân theo Nghị định 13/2023/NĐ-CP, đồng thời áp dụng các biện pháp mã hóa dữ liệu để tránh rò rỉ thông tin.

Trên đây là thông tin chi tiết giải đáp cho thắc mắc “Tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý bị phạt bao nhiêu tiền?”. Vui lòng xem chi tiết văn bản pháp luật điều chỉnh trên Hệ thống Pháp luật và các tính năng liên quan như: Tình trạng hiệu lực, Lược đồ...