Trong thời đại kỹ thuật số phát triển mạnh mẽ, thông tin và dữ liệu cá nhân trở thành tài sản đặc biệt quan trọng cần được bảo vệ nghiêm ngặt. Tuy nhiên, trên thực tế, không ít doanh nghiệp và tổ chức vẫn duy trì thói quen tự ý thu thập, khai thác thông tin người dùng với lý do "khách hàng không phản hồi tức là đã chấp thuận". Đây là hành vi vi phạm pháp luật nghiêm trọng, ảnh hưởng trực tiếp đến quyền riêng tư của cá nhân.

Theo quy định tại Nghị định 13/2023/NĐ-CP và các khung pháp lý xử phạt hành chính mới nhất tại Nghị định 330/2026/NĐ-CP, pháp luật Việt Nam khẳng định nguyên tắc sự đồng ý của chủ thể dữ liệu phải dựa trên sự tự nguyện, chủ động và có thể kiểm chứng. Mọi hình thức coi sự im lặng là chấp thuận đều cấu thành hành vi vi phạm và sẽ bị xử lý nghiêm khắc.

Xử phạt đến 70 triệu đồng khi tự ý coi im lặng là đồng ý

Căn cứ quy định tại Điều 43 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm quy định liên quan đến sự đồng ý của chủ thể dữ liệu cá nhân, cơ quan chức năng sẽ áp dụng hình thức phạt tiền rất cao đối với các tổ chức vi phạm.

"Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi tổ chức thu thập, xử lý dữ liệu khi chủ thể dữ liệu giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý và tự ý coi sự im lặng là đồng ý."

Như vậy, việc doanh nghiệp tự động tích sẵn vào ô "Đồng ý điều khoản" hoặc gửi tin nhắn thông báo với nội dung "Nếu quý khách không phản hồi trong vòng 24 giờ, chúng tôi mặc nhiên hiểu rằng quý khách đã đồng ý" hoàn toàn bị coi là trái pháp luật. Mức phạt 50 - 70 triệu đồng này cũng được áp dụng đối với trường hợp tổ chức cố tình tiếp tục thu thập, lưu trữ, phân tích dữ liệu ngay cả khi người dùng đã có yêu cầu ngừng, hạn chế xử lý hoặc đã có văn bản chỉ đạo dừng từ cơ quan quản lý nhà nước có thẩm quyền.

Các hành vi vi phạm phổ biến khác bị phạt từ 30 đến 50 triệu đồng

Không chỉ hành vi tự suy đoán sự im lặng, Nghị định 330/2026/NĐ-CP còn khoanh vùng và quy định mức phạt phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hàng loạt hành vi gian lận hoặc mập mờ trong việc xin sự đồng ý của khách hàng:

• Tiến hành xử lý dữ liệu khi chưa có sự đồng ý: Tổ chức thực hiện việc thu thập, khai thác thông tin cá nhân sau khi thu thập mà chưa nhận được sự đồng ý rõ ràng của chủ thể (trừ các trường hợp đặc biệt được quy định tại Luật An ninh mạng và các văn bản liên quan).
• Ép buộc hoặc từ chối cung cấp dịch vụ: Đưa ra điều kiện bắt buộc hoặc từ chối cung cấp hàng hóa, dịch vụ nếu khách hàng không đồng ý cho phép xử lý dữ liệu cá nhân vào các mục đích khác không liên quan trực tiếp đến thỏa thuận giao dịch cốt lõi.
• Cài đặt phương thức mặc định đồng ý: Lựa chọn sẵn tùy chọn đồng ý trên hệ thống ứng dụng, website làm cho người dùng bị động chấp nhận mà không qua thao tác xác nhận chủ động.
• Mô tả không rõ ràng, gây hiểu lầm: Đưa ra hướng dẫn, giao diện hoặc ngôn ngữ mập mờ, mâu thuẫn khiến người dùng không phân biệt được giữa việc đồng ý và từ chối.
• Không bảo đảm khả năng kiểm chứng: Phương thức xin sự đồng ý không lưu trữ được bằng chứng về xác thực danh tính chủ thể, mốc thời gian và nội dung chi tiết mà khách hàng đã chấp thuận.
• Vi phạm nghĩa vụ thông tin và minh bạch: Không cung cấp đầy đủ thông tin về loại dữ liệu được thu thập, mục đích khai thác, quyền hạn và nghĩa vụ của chủ thể; không tách riêng sự đồng ý cho từng mục đích xử lý; không duy trì nhật ký xử lý hoặc không cảnh báo khi xử lý các dữ liệu cá nhân nhạy cảm.

Biện pháp khắc phục hậu quả và nguyên tắc áp dụng mức phạt

Bên cạnh việc bị phạt tiền, các tổ chức, cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân còn phải chịu các biện pháp khắc phục hậu quả vô cùng nghiêm khắc nhằm loại bỏ triệt để mầm mống vi phạm:

1. Buộc phải hủy, xóa triệt để và không thể khôi phục đối với toàn bộ tập dữ liệu cá nhân đã thu thập, xử lý trái phép khi chưa có sự đồng ý hợp lệ.
2. Buộc nộp lại toàn bộ số tiền hoặc khoản lợi bất hợp pháp thu được từ việc khai thác, kinh doanh trên tập dữ liệu vi phạm.

Cần đặc biệt lưu ý về nguyên tắc áp dụng mức phạt: Mức phạt tiền chi tiết nêu trên (30 - 50 triệu đồng hoặc 50 - 70 triệu đồng) được áp dụng trực tiếp đối với đối tượng là tổ chức. Trường hợp đối tượng vi phạm là cá nhân, mức phạt tiền sẽ bằng 1/2 mức phạt áp dụng cho tổ chức (tương ứng từ 15 - 25 triệu đồng hoặc từ 25 - 35 triệu đồng) theo quy định chung tại Điều 7 Nghị định 330/2026/NĐ-CP.

Lời khuyên cho doanh nghiệp và người tiêu dùng

Việc thắt chặt hành lang pháp lý xử lý vi phạm trong lĩnh vực dữ liệu cá nhân đòi hỏi các doanh nghiệp, tổ chức vận hành nền tảng số phải khẩn trương rà soát lại toàn bộ quy trình xin sự đồng ý của người dùng. Cần đảm bảo tính minh bạch, hiển thị rõ ràng từng mục đích xử lý và lưu trữ nhật ký đồng ý chuẩn xác.

Đối với người tiêu dùng, mỗi cá nhân cần nâng cao ý thức tự bảo vệ thông tin cá nhân, chủ động từ chối cung cấp dữ liệu cho các mục đích không rõ ràng và sẵn sàng phản ánh đến cơ quan quản lý khi phát hiện các hành vi tự ý thu thập, khai thác thông tin trái quy định.