Vấn đề bảo vệ dữ liệu cá nhân ngày càng trở nên vô cùng cấp thiết trong kỷ nguyên chuyển đổi số. Nhằm tăng cường kỷ cương, nâng cao trách nhiệm pháp lý của các tổ chức, doanh nghiệp và cá nhân trong việc thu thập, xử lý, lưu trữ dữ liệu, Chính phủ đã ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/08/2026. Văn bản pháp luật này không chỉ quy định các chế tài phạt tiền nghiêm khắc mà còn đặt ra khung pháp lý cụ thể đồng bộ với Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP.
Khung xử phạt chung và những điểm mới nổi bật
Mục 6 Chương II Nghị định 330/2026/NĐ-CP bao gồm từ Điều 39 đến Điều 71 quy định chi tiết 31 nhóm hành vi vi phạm về bảo vệ dữ liệu cá nhân. So với các văn bản trước đây, chế tài mới mở rộng phạm vi điều chỉnh sang nhiều công nghệ mới như Trí tuệ nhân tạo (AI), Vũ trụ ảo (Metaverse), Chuỗi khối (Blockchain) cũng như các lĩnh vực kinh doanh đặc thù như tài chính, bảo hiểm, y tế, tuyển dụng lao động.
Đặc biệt, bên cạnh mức phạt tiền cố định, quy định mới áp dụng chế tài phạt tiền tính theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước hoặc gấp nhiều lần khoản thu bất hợp pháp đối với các vi phạm nghiêm trọng như mua bán trái phép dữ liệu cá nhân hay chuyển dữ liệu cá nhân xuyên biên giới không đúng quy định.
Bảng tổng hợp 31 nhóm hành vi vi phạm và mức xử phạt chi tiết
Dưới đây là thống kê chi tiết các hành vi vi phạm, mức phạt tiền tương ứng cùng căn cứ pháp lý quy định tại Nghị định 330/2026/NĐ-CP:
| STT | Hành vi vi phạm | Mức xử phạt | Căn cứ pháp lý |
|---|---|---|---|
| 1 | Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm | 20 - 60 triệu đồng | Điều 39 |
| 2 | Vi phạm quy định về lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật | 30 - 50 triệu đồng | Điều 40 |
| 3 | Vi phạm quy định về xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh trật tự | 30 - 50 triệu đồng | Điều 41 |
| 4 | Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân | 10 - 30 triệu đồng | Điều 42 |
| 5 | Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân | 30 - 70 triệu đồng | Điều 43 |
| 6 | Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân | 10 - 40 triệu đồng | Điều 44 |
| 7 | Vi phạm quy định về quyền rút lại sự đồng ý và quyền hạn chế xử lý dữ liệu cá nhân | 20 - 30 triệu đồng | Điều 45 |
| 8 | Vi phạm quy định về quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân | 20 - 50 triệu đồng | Điều 46 |
| 9 | Vi phạm quy định về xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân | 10 - 50 triệu đồng | Điều 47 |
| 10 | Vi phạm quy định về thu thập dữ liệu cá nhân | 30 - 800 triệu đồng | Điều 48 |
| 11 | Vi phạm quy định về cung cấp dữ liệu cá nhân | 10 - 60 triệu đồng | Điều 49 |
| 12 | Vi phạm quy định về công khai dữ liệu cá nhân | 20 - 50 triệu đồng | Điều 50 |
| 13 | Vi phạm quy định về xóa, hủy, khử nhận dạng dữ liệu cá nhân | 10 - 60 triệu đồng | Điều 51 |
| 14 | Vi phạm quy định về chuyển giao dữ liệu cá nhân | 20 - 80 triệu đồng | Điều 52 |
| 15 | Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân | - Phạt từ 02 lần đến 10 lần khoản thu từ hành vi vi phạm;- Phạt tiền từ 70 triệu đồng đến 03 tỷ đồng | Điều 53 |
| 16 | Vi phạm quy định về thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân | 10 - 80 triệu đồng | Điều 54 |
| 17 | Vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân | 20 - 100 triệu đồng | Điều 55 |
| 18 | Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới | - Phạt từ 30 triệu đồng đến 03 tỷ đồng;- Hoặc phạt theo tỷ lệ % tổng doanh thu năm tài chính liền trước | Điều 56 |
| 19 | Vi phạm quy định về chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân | Phạt cảnh cáo hoặc phạt tiền từ 10 - 30 triệu đồng | Điều 57 |
| 20 | Vi phạm quy định về cung cấp dịch vụ bảo vệ dữ liệu cá nhân | 10 - 100 triệu đồng | Điều 58 |
| 21 | Vi phạm quy định về kinh doanh dịch vụ xử lý dữ liệu cá nhân | 20 - 100 triệu đồng | Điều 59 |
| 22 | Vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi | 30 - 200 triệu đồng | Điều 60 |
| 23 | Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng lao động | 20 - 100 triệu đồng | Điều 61 |
| 24 | Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với thông tin sức khỏe và trong hoạt động kinh doanh bảo hiểm | 50 - 100 triệu đồng | Điều 62 |
| 25 | Vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo | 30 - 70 triệu đồng | Điều 63 |
| 26 | Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hoạt động tài chính, ngân hàng, hoạt động thông tin tín dụng | 50 - 100 triệu đồng | Điều 64 |
| 27 | Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến | 50 - 150 triệu đồng | Điều 65 |
| 28 | Vi phạm quy định về bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn (Big Data) | 20 - 100 triệu đồng | Điều 66 |
| 29 | Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo (AI), vũ trụ ảo (Metaverse) | 20 - 100 triệu đồng | Điều 67 |
| 30 | Vi phạm quy định về bảo vệ dữ liệu cá nhân trong công nghệ chuỗi khối (Blockchain) | 20 - 150 triệu đồng | Điều 68 |
| 31 | Vi phạm quy định về ứng phó sự cố bảo vệ dữ liệu cá nhân | 20 - 80 triệu đồng | Điều 71 |
Những lưu ý quan trọng đối với Doanh nghiệp để tuân thủ pháp luật
Để tránh nguy cơ chịu các khoản phạt tài chính nặng nề cùng tổn hại uy tín thương hiệu, các tổ chức và doanh nghiệp xử lý dữ liệu cần khẩn trương thực hiện các biện pháp tuân thủ sau:
- Rà soát cơ sở pháp lý xử lý dữ liệu: Đảm bảo 100% hoạt động thu thập, lưu trữ, sử dụng dữ liệu cá nhân đều nhận được sự đồng ý hợp lệ của chủ thể dữ liệu (trừ các trường hợp ngoại lệ do luật định).
- Bổ nhiệm nhân sự và lập hồ sơ Đánh giá tác động: Tổ chức cần chỉ định bộ phận hoặc nhân sự chuyên trách bảo vệ dữ liệu cá nhân (DPO) và lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) trình cơ quan có thẩm quyền.
- Cơ chế ứng phó sự cố rò rỉ dữ liệu: Xây dựng quy trình phát hiện, thông báo vi phạm dữ liệu cá nhân cho Cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong vòng 72 giờ kể từ khi phát hiện sự cố.
- Tối ưu hóa hệ thống công nghệ: Đảm bảo hệ thống AI, Big Data, Blockchain hoặc nền tảng trực tuyến tuân thủ nghiêm ngặt nguyên tắc khử nhận dạng, bảo mật thông tin người dùng ngay từ khâu thiết kế.