Trong thời đại bùng nổ chuyển đổi số và công nghệ trí tuệ nhân tạo (AI), dữ liệu số được ví như nguồn “dầu mỏ mới” của nền kinh tế số. Để phát triển các mô hình AI hoặc xây dựng ứng dụng dịch vụ, không ít cá nhân, doanh nghiệp và các lập trình viên đã tìm cách thu thập dữ liệu tự động trên quy mô lớn. Một trong những thủ thuật phổ biến nhất hiện nay là khai thác các cổng giao diện lập trình ứng dụng (Application Programming Interface - API) hoặc kết nối hệ thống để bí mật quét, cào và trích xuất dữ liệu của bên khác mà không hề có sự cho phép.

Tuy nhiên, hành vi tưởng chừng như là "mẹo kỹ thuật" này giờ đây đã chính thức bị xếp vào nhóm hành vi vi phạm nghiêm trọng. Theo quy định tại Nghị định 363/2026/NĐ-CP của Chính phủ quy định về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, việc tùy tiện sử dụng API để thu thập, sao chép hoặc trích xuất dữ liệu trái phép sẽ phải đối diện với mức phạt tiền lên tới hàng trăm triệu đồng, kèm theo hàng loạt chế tài bổ sung khắc nghiệt.

Hiểu đúng về API dữ liệu và hành vi khai thác dữ liệu trái phép

Về mặt kỹ thuật, API là chữ viết tắt của Application Programming Interface (Giao diện lập trình ứng dụng). Hiểu một cách đơn giản, API đóng vai trò như một chiếc cầu nối trung gian, cho phép hai hoặc nhiều phần mềm, hệ thống thông tin giao tiếp, gửi truy vấn và trao đổi dữ liệu với nhau một cách tự động, chuẩn hóa.

Theo quy định tại điểm c khoản 3 Điều 13 Nghị định 363/2026/NĐ-CP, pháp luật đã chính thức định danh khái niệm "giao diện lập trình ứng dụng (API) dữ liệu" cùng với các phương thức kết nối dữ liệu và nền tảng chia sẻ dữ liệu là những công cụ kỹ thuật phục vụ việc luân chuyển thông tin. Khi cơ quan, tổ chức xây dựng một API dữ liệu, họ thường đặt ra phạm vi quyền hạn, hạn mức số lượt gọi cũng như mục đích khai thác cụ thể.

Hành vi bị coi là vi phạm pháp luật xảy ra khi cá nhân hoặc tổ chức cố tình:

• Lợi dụng các lỗ hổng bảo mật của API mở hoặc vượt qua hệ thống xác thực để lấy dữ liệu ngoài phạm vi cho phép.
• Sử dụng các đoạn mã, botnet, kịch bản tự động gọi API liên tục nhằm sao chép, trích xuất kho dữ liệu của đối tác hoặc nền tảng khác để lưu trữ về cơ sở dữ liệu riêng mà không được bên quản trị đồng ý.
• Thu thập các loại dữ liệu nhạy cảm, dữ liệu người dùng, bí mật kinh doanh nhằm mục đích trục lợi hoặc làm giàu dữ liệu huấn luyện cho hệ thống AI của mình.

Sử dụng API để trích xuất, sao chép dữ liệu trái phép bị phạt bao nhiêu tiền?

Chế tài xử phạt đối với hành vi này được quy định vô cùng nghiêm khắc nhằm bảo vệ an toàn thông tin và tài nguyên số quốc gia, cụ thể tại Điều 13 Nghị định 363/2026/NĐ-CP:

Căn cứ điểm c khoản 3 Điều 13 Nghị định 363/2026/NĐ-CP, mức phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng được áp dụng đối với cá nhân có hành vi:

“Sử dụng kết nối dữ liệu, giao diện lập trình ứng dụng (API) dữ liệu, nền tảng chia sẻ dữ liệu để thu thập, sao chép, trích xuất dữ liệu trái phép.”

Cần lưu ý rằng, theo nguyên tắc chung tại khoản 2 Điều 6 Nghị định 363/2026/NĐ-CP, khung phạt tiền quy định tại Nghị định này là mức phạt áp dụng đối với cá nhân. Trường hợp tổ chức (bao gồm doanh nghiệp, công ty khởi nghiệp, trung tâm nghiên cứu...) vi phạm, mức phạt tiền sẽ bằng 02 lần mức phạt đối với cá nhân.

Như vậy, một doanh nghiệp nếu triển khai bot hoặc công cụ ngầm khai thác API để cào dữ liệu trái phép sẽ bị áp dụng khung phạt tiền từ 160.000.000 đồng đến 200.000.000 đồng. Đây là mức phạt tiền tối đa trong lĩnh vực quản lý dữ liệu đối với tổ chức, thể hiện quan điểm kiên quyết xử lý của cơ quan quản lý.

Hình thức phạt bổ sung: Nguy cơ tê liệt hệ thống và tịch thu tang vật

Không dừng lại ở việc nộp tiền phạt, chủ thể vi phạm còn phải đối mặt với các hình thức xử phạt bổ sung có thể làm tê liệt toàn bộ hoạt động kinh doanh, nghiên cứu:

• Đình chỉ hoạt động: Theo khoản 4 Điều 13 Nghị định 363/2026/NĐ-CP, người vi phạm sẽ bị đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu trong thời hạn từ 01 tháng đến 06 tháng. Đối với các đơn vị dịch vụ công nghệ số, việc bị ngắt toàn bộ kết nối và tước quyền khai thác trong nửa năm đồng nghĩa với tổn thất uy tín và tài chính không thể đong đếm.
• Tịch thu tang vật, phương tiện vi phạm: Toàn bộ thiết bị phần cứng, máy chủ, máy trạm và các công cụ thực hiện việc thu thập dữ liệu trái phép đều có thể bị lập biên bản tịch thu theo quy định.

Đặc biệt, việc tịch thu phần mềm và dữ liệu vi phạm được quy định chi tiết tại Điều 5 Nghị định 363/2026/NĐ-CP. Theo đó, việc tịch thu chỉ áp dụng đối với phần mềm, dữ liệu là tang vật, phương tiện được sử dụng trực tiếp để thực hiện hành vi vi phạm hoặc là sản phẩm, kết quả trực tiếp sinh ra từ vi phạm đó. Các dữ liệu, mã nguồn và hệ thống thông tin hợp pháp khác của doanh nghiệp sẽ được bảo vệ, tránh việc can thiệp vượt quá mức cần thiết.

Biện pháp khắc phục hậu quả: Buộc xóa sạch dữ liệu và nộp lại toàn bộ số lợi bất hợp pháp

Để ngăn chặn triệt để nguy cơ dữ liệu bị rò rỉ, phân tán hoặc phát tán ra thị trường số, khoản 5 Điều 13 Nghị định 363/2026/NĐ-CP buộc áp dụng các biện pháp khắc phục hậu quả mang tính triệt để:

1. Buộc tiêu hủy, xóa vĩnh viễn dữ liệu: Cá nhân, tổ chức vi phạm buộc phải xóa, tiêu hủy toàn bộ các tệp dữ liệu đã thu thập, sao chép hoặc trích xuất trái phép. Trường hợp dữ liệu đã được nhân bản sang các kho lưu trữ đám mây, máy chủ sao lưu hoặc tài khoản phụ, đối tượng vi phạm phải có nghĩa vụ cung cấp thông tin, tài khoản truy cập và phối hợp với cơ quan chức năng để xóa bỏ tận gốc.
2. Lập biên bản kỹ thuật: Quá trình tiêu hủy dữ liệu được cơ quan chức năng giám sát chặt chẽ. Căn cứ quy định tại Điều 5 Nghị định 363/2026/NĐ-CP, trước khi tiến hành xóa hoặc làm mất khả năng truy cập, cơ quan có thẩm quyền sẽ lập biên bản ghi nhận rõ ràng loại tệp, dung lượng, định dạng, mã băm (hash code) để làm căn cứ xử lý vi phạm.
3. Nộp lại số lợi bất hợp pháp: Toàn bộ các khoản lợi nhuận, doanh thu bán dữ liệu, phí dịch vụ thu được từ hành vi khai thác API trái phép đều bị truy thu sung vào ngân sách Nhà nước theo quy định tại Luật Xử lý vi phạm hành chính 2012.

Hiệu lực thi hành và quy tắc chuyển tiếp cần đặc biệt chú ý

Về mốc thời gian áp dụng, Điều 34 Nghị định 363/2026/NĐ-CP xác định văn bản này chính thức có hiệu lực thi hành từ ngày 11/11/2026. Việc ban hành nghị định này là bước cụ thể hóa việc triển khai Luật Dữ liệu 2024.

Đối với việc chuyển tiếp các vụ việc vi phạm, Điều 35 Nghị định 363/2026/NĐ-CP quy định rõ ràng hai trường hợp xử lý:

• Trường hợp hành vi đã hoàn thành: Nếu hành vi khai thác API trái phép đã kết thúc hoàn toàn trước ngày 11/11/2026 nhưng sau mốc thời gian này mới bị cơ quan có thẩm quyền phát hiện hoặc thụ lý, thì sẽ áp dụng văn bản pháp luật có hiệu lực tại thời điểm vi phạm diễn ra để xem xét xử lý.
• Trường hợp hành vi kéo dài, tiếp diễn: Nếu việc kết nối tự động trích xuất API đã bắt đầu từ trước nhưng vẫn tiếp tục duy trì hoạt động đến sau ngày 11/11/2026, thì đây được coi là hành vi vi phạm đang tiếp diễn và sẽ bị áp dụng ngay khung hình phạt mới nghiêm khắc của Nghị định 363/2026/NĐ-CP.

Lời khuyên pháp lý cho cộng đồng công nghệ và doanh nghiệp số

Trước các quy định kiểm soát dữ liệu ngày càng chặt chẽ, các cá nhân làm việc trong ngành công nghệ thông tin và doanh nghiệp cần rà soát lại ngay quy trình thu thập dữ liệu:

• Tuyệt đối không tự ý khai thác API không công khai: Chỉ sử dụng các cổng API khi đã ký hợp đồng chia sẻ dữ liệu hoặc được cấp quyền truy cập chính thức kèm theo thỏa thuận điều khoản sử dụng.
• Tuân thủ hạn ngạch và phạm vi cho phép: Không tìm cách phá vỡ giới hạn truy vấn (rate limiting) hay trích xuất những trường thông tin vượt ngoài thẩm quyền đã thỏa thuận.
• Thường xuyên kiểm toán dữ liệu đầu vào: Đảm bảo nguồn dữ liệu phục vụ nghiên cứu và kinh doanh luôn có nguồn gốc hợp pháp, minh bạch nhằm loại bỏ triệt để rủi ro bị đình chỉ hoạt động và gánh mức phạt tài chính nặng nề.