Trong kỷ nguyên chuyển đổi số và phát triển kinh tế số hiện nay, dữ liệu đã trở thành một loại tài sản chiến lược đặc biệt quan trọng của quốc gia cũng như các tổ chức, doanh nghiệp. Việc đảm bảo an toàn, bảo mật và quản trị dữ liệu tuân thủ pháp luật là yêu cầu khắt khe nhằm ngăn ngừa các nguy cơ rủi ro an ninh mạng và lộ bí mật dữ liệu. Vậy Nghị định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu mới nhất được quy định ra sao và những đối tượng nào thuộc phạm vi điều chỉnh?

1. Nghị định xử phạt vi phạm hành chính về dữ liệu là văn bản nào?

Nghị định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu hiện hành là Nghị định 363/2026/NĐ-CP, được Chính phủ ban hành ngày 19/09/2026. Đây là văn bản quy phạm pháp luật quan trọng quy định chế tài xử lý chi tiết đối với các hành vi vi phạm quy định pháp luật về tạo lập, lưu trữ, xử lý, kết nối, chia sẻ và khai thác dữ liệu.

Theo quy định tại Điều 34 Nghị định 363/2026/NĐ-CP, văn bản này bắt đầu có hiệu lực thi hành từ ngày 11/11/2026, đặt ra hành lang pháp lý nghiêm khắc nhằm chấn chỉnh các hoạt động quản trị dữ liệu trên toàn quốc.

Căn cứ Khoản 1 Điều 1 Nghị định 363/2026/NĐ-CP, phạm vi điều chỉnh của văn bản này bao gồm:

• Các hành vi vi phạm hành chính cụ thể: Quy định chi tiết các hành vi vi phạm trong hoạt động thu thập, quản trị, vận hành cơ sở dữ liệu, sàn giao dịch dữ liệu, dịch vụ trung gian dữ liệu và xử lý dữ liệu;
• Hình thức xử phạt và mức phạt tiền: Xác định rõ các khung tiền phạt, hình thức xử phạt bổ sung và danh mục biện pháp khắc phục hậu quả áp dụng đối với từng nhóm hành vi;
• Đối tượng bị xử phạt: Phân định trách nhiệm pháp lý giữa cá nhân, tổ chức, cơ quan nhà nước và các đơn vị sự nghiệp;
• Thẩm quyền lập biên bản và xử phạt: Quy định cụ thể phân cấp thẩm quyền lập biên bản vi phạm hành chính, ra quyết định xử phạt và áp dụng biện pháp cưỡng chế thi hành.

Lưu ý quan trọng theo Khoản 2 Điều 1 Nghị định 363/2026/NĐ-CP: Nghị định này không điều chỉnh đối với các hành vi vi phạm hành chính đã thuộc phạm vi xử phạt của quy định pháp luật về an ninh mạng và bảo vệ dữ liệu cá nhân. Các hành vi này sẽ tiếp tục áp dụng chế tài chuyên ngành tương ứng.

2. Những cá nhân, tổ chức nào thuộc đối tượng bị xử phạt?

Căn cứ Khoản 1 Điều 2 Nghị định 363/2026/NĐ-CP, các đối tượng bị áp dụng xử phạt khi thực hiện hành vi vi phạm trong lĩnh vực dữ liệu bao gồm:

• Cá nhân, cơ quan, tổ chức Việt Nam;
• Cơ quan, tổ chức, cá nhân nước ngoài hoạt động tại lãnh thổ Việt Nam;
• Cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam.

Khoản 2 Điều 2 Nghị định 363/2026/NĐ-CP làm rõ danh mục các loại hình tổ chức bị xử phạt vi phạm hành chính, bao gồm:

• Cơ quan nhà nước có hành vi vi phạm mà hành vi đó không thuộc phạm vi nhiệm vụ quản lý nhà nước được giao;
• Tổ chức thành lập và hoạt động theo quy định của pháp luật doanh nghiệp, pháp luật về hợp tác xã;
• Các tổ chức tín dụng, tổ chức tài chính thành lập theo pháp luật đầu tư và ngân hàng;
• Đơn vị sự nghiệp công lập và các tổ chức xã hội, hội nghề nghiệp khác theo quy định pháp luật.

Đặc biệt, theo Khoản 5 Điều 2 Nghị định 363/2026/NĐ-CP, pháp luật phân định rõ nguyên tắc xử lý hành vi vi phạm khi thực hiện thi hành công vụ. Cụ thể, cán bộ, công chức, viên chức, cán bộ thuộc lực lượng Quân đội nhân dân, Công an nhân dân và lực lượng cơ yếu thực hiện hành vi vi phạm khi đang thực hiện nhiệm vụ công vụ được giao thì không xử phạt hành chính theo Nghị định trên mà xử lý kỷ luật hoặc hình sự theo quy định pháp luật liên quan. Tương tự, cơ quan nhà nước thực hiện vi phạm thuộc nhiệm vụ quản lý nhà nước giao cũng được xem xét xử lý theo quy định quản lý ngành chuyên biệt.

3. Mức phạt tiền, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Khung chế tài trong lĩnh vực dữ liệu được thiết kế khắt khe nhằm đảm bảo tính đe dọa và phòng ngừa chung, tuân thủ nguyên tắc chung của Luật Xử lý vi phạm hành chính sửa đổi 2025 và các văn bản hướng dẫn như Nghị định 165/2025/NĐ-CP ban hành chi tiết Luật Dữ liệu 2024.

3.1. Quy định về mức phạt tiền tối đa đối với cá nhân và tổ chức

Theo Khoản 1 Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền tối đa áp dụng đối với cá nhân vi phạm hành chính trong lĩnh vực dữ liệu là 100.000.000 đồng.

Căn cứ Khoản 2 Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền đối với tổ chức bằng 02 lần mức phạt tiền đối với cá nhân cho cùng một hành vi vi phạm (trừ các trường hợp quy định cụ thể mức phạt đã là mức áp dụng cho tổ chức). Đồng thời, hộ kinh doanh, hộ gia đình và cộng đồng dân cư vi phạm sẽ áp dụng mức phạt tiền như đối với cá nhân theo Khoản 3 Điều 2 Nghị định 363/2026/NĐ-CP.

3.2. Các hình thức xử phạt bổ sung nghiêm khắc

Ngoài hình thức phạt tiền, đối tượng vi phạm còn có thể bị áp dụng một hoặc nhiều hình thức xử phạt bổ sung quy định tại Khoản 2 Điều 4 Nghị định 363/2026/NĐ-CP bao gồm:

• Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn liên quan đến kinh doanh sàn giao dịch dữ liệu, dịch vụ trung gian dữ liệu, phân tích tổng hợp dữ liệu hoặc hoạt động thử nghiệm có kiểm soát;
• Tịch thu tang vật, phương tiện, công cụ, phần mềm, thiết bị máy tính và dữ liệu sử dụng trực tiếp để thực hiện vi phạm;
• Đình chỉ hoạt động cung cấp, tiếp nhận, công khai, chuyển giao, xử lý, kết nối, chia sẻ, khai thác dữ liệu từ có thời hạn;
• Đình chỉ hoạt động quản trị, vận hành hệ thống cơ sở dữ liệu, sàn giao dịch dữ liệu;
• Đình chỉ tham gia các chương trình, dự án hỗ trợ từ Quỹ phát triển dữ liệu quốc gia có thời hạn;
• Trục xuất khỏi lãnh thổ Việt Nam đối với người nước ngoài có hành vi vi phạm nghiêm trọng.

3.3. Các biện pháp khắc phục hậu quả bắt buộc

Theo Khoản 3 Điều 4 Nghị định 363/2026/NĐ-CP, cá nhân và tổ chức vi phạm còn bắt buộc phải thực hiện các biện pháp khắc phục hậu quả nhằm triệt tiêu nguy cơ thiệt hại, bao gồm:

• Buộc khôi phục dữ liệu, cơ sở dữ liệu, hệ thống giám sát bị hư hỏng; vá lỗ hổng bảo mật; đính chính dữ liệu bị xóa hoặc sửa đổi trái phép;
• Buộc bổ sung, cập nhật hoàn thiện hồ sơ, hợp đồng điện tử và nhật ký giao dịch dữ liệu;
• Buộc áp dụng các giải pháp kỹ thuật, quản trị để bảo đảm an toàn hệ thống; thu hồi và xóa dữ liệu bị rò rỉ, tiết lộ trái phép;
• Buộc thông báo công khai về sự cố dữ liệu, hậu quả phát sinh và kết quả xử lý cho các tổ chức, cá nhân bị ảnh hưởng;
• Buộc gỡ bỏ, vô hiệu hóa ứng dụng, phần mềm vi phạm; thu hồi dữ liệu và sản phẩm dữ liệu phát tán trái phép;
• Buộc tiêu hủy, xóa bỏ dữ liệu thu thập, xử lý, chia sẻ hoặc khai thác trái quy định pháp luật.

Như vậy, việc nắm vững các quy định pháp luật về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu là bắt buộc đối với mọi doanh nghiệp, tổ chức và cá nhân nhằm thiết lập quy trình quản trị dữ liệu chuẩn hóa, phòng ngừa rủi ro pháp lý và tránh các mức tiền phạt nghiêm khắc khi các quy định này được thực thi trên thực tế.