Trong kỷ nguyên số hóa toàn cầu, việc chuyển và xử lý dữ liệu xuyên biên giới đã trở thành hoạt động thường nhật của hàng vạn doanh nghiệp tại Việt Nam. Tuy nhiên, đi kèm với sự tiện lợi này là những rào cản pháp lý vô cùng nghiêm ngặt nhằm bảo vệ an ninh quốc gia và quyền riêng tư của người dùng. Một trong những nghĩa vụ quan trọng nhất mà các tổ chức, cá nhân phải tuân thủ là lập và gửi hồ sơ đánh giá tác động. Vậy nếu chậm trễ hoặc cố tình không gửi hồ sơ đánh giá tác động khi chuyển dữ liệu xuyên biên giới, doanh nghiệp sẽ phải đối mặt với mức phạt bao nhiêu? Hãy cùng phân tích chi tiết các quy định mới nhất tại Nghị định 363/2026/NĐ-CP.

Mức phạt tiền cực nặng khi chậm trễ hoặc không gửi hồ sơ đánh giá tác động

Nghĩa vụ đánh giá tác động khi chuyển, xử lý dữ liệu cốt lõi hoặc dữ liệu quan trọng ra nước ngoài không chỉ là thủ tục hành chính đơn thuần, mà là chốt chặn an toàn để cơ quan quản lý kiểm soát dòng chảy dữ liệu. Theo quy định tại điểm a khoản 1 Điều 19 Nghị định 363/2026/NĐ-CP, hành vi không gửi hồ sơ đánh giá tác động theo đúng thời hạn quy định đối với trường hợp chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới sẽ bị xử phạt nghiêm khắc:

• Đối với cá nhân vi phạm: Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng.
• Đối với tổ chức vi phạm: Căn cứ quy định về nguyên tắc áp dụng mức phạt tại khoản 2 Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền đối với tổ chức bằng 02 lần mức phạt tiền đối với cá nhân. Do đó, doanh nghiệp vi phạm sẽ bị phạt từ 40.000.000 đồng đến 80.000.000 đồng.

Bên cạnh đó, việc xác định mức phạt tiền cụ thể đối với từng trường hợp sẽ căn cứ vào quy định tại khoản 3 Điều 6 Nghị định 363/2026/NĐ-CP, kết hợp với các tình tiết tăng nặng, giảm nhẹ theo quy định của Luật xử lý vi phạm hành chính 2012.

Phân biệt hành vi "chậm gửi hồ sơ" và "chưa thực hiện đánh giá tác động"

Nhiều doanh nghiệp thường nhầm lẫn giữa hai hành vi này, dẫn đến việc đánh giá sai lệch mức độ rủi ro pháp lý và số tiền phạt phải nộp. Thực tế, Nghị định 363/2026/NĐ-CP phân tách rất rõ ràng hai lỗi vi phạm này với hai khung phạt hoàn toàn khác biệt:

Trường hợp 1: Đã làm nhưng chậm gửi hoặc không gửi hồ sơ đúng hạn

Đây là trường hợp doanh nghiệp đã tiến hành các bước đánh giá tác động theo quy định của Luật Dữ liệu 2024 và Luật Bảo vệ dữ liệu cá nhân 2025, nhưng lại quên hoặc chậm trễ trong việc nộp hồ sơ lên cơ quan có thẩm quyền. Hành vi này bị xử phạt theo điểm a khoản 1 Điều 19 Nghị định 363/2026/NĐ-CP với mức phạt tối đa là 40 triệu đồng đối với cá nhân và 80 triệu đồng đối với tổ chức.

Trường hợp 2: Chuyển dữ liệu khi chưa hề thực hiện đánh giá tác động

Đây là hành vi cố tình bỏ qua quy trình pháp lý, tự ý chuyển hoặc xử lý dữ liệu cốt lõi xuyên biên giới mà không thực hiện bất kỳ bước đánh giá tác động nào. Theo quy định tại điểm a khoản 3 Điều 19 Nghị định 363/2026/NĐ-CP, mức phạt cho hành vi này cực kỳ nặng nề:

• Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với cá nhân.
• Phạt tiền từ 120.000.000 đồng đến 160.000.000 đồng đối với tổ chức.

Đặc biệt, doanh nghiệp còn phải đối mặt với hình thức xử phạt bổ sung là đình chỉ hoạt động chuyển, xử lý dữ liệu xuyên biên giới từ 03 tháng đến 12 tháng (theo điểm a khoản 5 Điều 19 Nghị định 363/2026/NĐ-CP) và biện pháp khắc phục hậu quả là buộc xóa, tiêu hủy toàn bộ dữ liệu đã chuyển trái phép (theo điểm a khoản 6 Điều 19 Nghị định 363/2026/NĐ-CP).

Không sửa đổi, bổ sung hồ sơ đánh giá tác động khi có thay đổi: Coi chừng dính phạt!

Một sai lầm phổ biến khác là doanh nghiệp cho rằng chỉ cần nộp hồ sơ một lần là xong. Pháp luật yêu cầu hồ sơ đánh giá tác động phải luôn phản ánh đúng thực tế vận hành dữ liệu. Theo điểm b khoản 1 Điều 19 Nghị định 363/2026/NĐ-CP, hành vi không sửa đổi, bổ sung hồ sơ đánh giá tác động khi có sự thay đổi trong các trường hợp sau đây sẽ bị phạt từ 20 - 40 triệu đồng (cá nhân) và 40 - 80 triệu đồng (tổ chức):

• Thay đổi mục đích, phương pháp, phạm vi hoặc loại dữ liệu được chuyển, xử lý;
• Thay đổi mục đích hoặc phương pháp xử lý dữ liệu làm ảnh hưởng đến an ninh, an toàn dữ liệu;
• Kéo dài thời gian lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng;
• Thay đổi chính sách, quy định bảo vệ dữ liệu hoặc môi trường an ninh mạng;
• Thay đổi quyền kiểm soát thực tế của bên chuyển dữ liệu hoặc bên nhận dữ liệu.

Do đó, bất kỳ sự điều chỉnh nào trong quy trình vận hành hệ thống thông tin hoặc cấu trúc doanh nghiệp liên quan đến dữ liệu đều cần được cập nhật ngay lập tức vào hồ sơ đánh giá tác động gửi cơ quan chức năng.

Thời điểm áp dụng và nguyên tắc chuyển tiếp của quy định mới

Nghị định 363/2026/NĐ-CP được ban hành ngày 19/09/2026 và chính thức có hiệu lực thi hành từ ngày 11/11/2026. Đối với các hành vi vi phạm xảy ra quanh mốc thời gian này, doanh nghiệp cần đặc biệt lưu ý nguyên tắc chuyển tiếp quy định tại khoản 1 Điều 35 Nghị định 363/2026/NĐ-CP:

• Hành vi vi phạm đã kết thúc trước ngày 11/11/2026: Nếu hành vi vi phạm đã hoàn thành và chấm dứt hoàn toàn trước ngày Nghị định có hiệu lực, nhưng sau đó mới bị phát hiện hoặc đang trong quá trình xem xét giải quyết, thì sẽ áp dụng các quy định xử phạt có hiệu lực tại thời điểm thực hiện hành vi. Nghĩa là không áp dụng hồi tố mức phạt của Nghị định 363/2026/NĐ-CP đối với các hành vi đã kết thúc trước đó.
• Hành vi vi phạm kéo dài, đang tiếp diễn qua ngày 11/11/2026: Nếu hành vi vi phạm bắt đầu trước ngày 11/11/2026 nhưng doanh nghiệp vẫn tiếp tục thực hiện và chưa khắc phục tại thời điểm Nghị định có hiệu lực, hành vi đó sẽ bị áp dụng toàn bộ chế tài xử phạt nghiêm khắc của Nghị định 363/2026/NĐ-CP.

Lời khuyên thiết thực dành cho các doanh nghiệp là hãy chủ động rà soát lại toàn bộ quy trình chuyển dữ liệu xuyên biên giới của mình ngay từ bây giờ. Việc chuẩn bị kỹ lưỡng, nộp và cập nhật hồ sơ đánh giá tác động đúng hạn không chỉ giúp doanh nghiệp tránh được những khoản phạt tài chính nặng nề, mà còn khẳng định uy tín và sự chuyên nghiệp trong mắt đối tác quốc tế.