Dữ liệu sinh trắc học và dữ liệu vị trí cá nhân là nhóm dữ liệu có tính nhạy cảm cao, liên quan trực tiếp đến quyền riêng tư, an toàn nhân thân và tài sản của công dân trên không gian mạng. Việc gia tăng ứng dụng công nghệ nhận diện khuôn mặt, vân tay, quét mống mắt cùng các dịch vụ định vị GPS đòi hỏi cơ sở pháp lý xử phạt hành chính nghiêm khắc nhằm ngăn chặn tình trạng thu thập, chia sẻ hoặc khai thác trái phép dữ liệu cá nhân.

Chính phủ đã ban hành Nghị định 330/2026/NĐ-CP quy định rõ ràng khung pháp lý xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Các tổ chức, doanh nghiệp và cá nhân vận hành ứng dụng công nghệ cần đặc biệt lưu ý các quy định này để tránh bị xử phạt số tiền rất lớn, thậm chí đình chỉ hoạt động kinh doanh.

1. Chi tiết mức phạt vi phạm về sử dụng dữ liệu sinh trắc học và vị trí cá nhân

Theo quy định tại Điều 70 Nghị định 330/2026/NĐ-CP, mức phạt tiền đối với các vi phạm liên quan đến dữ liệu sinh trắc học và dữ liệu vị trí cá nhân được phân định cụ thể theo tính chất và độ nghiêm trọng của hành vi vi phạm:

Nhóm hành vi bị phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng

Căn cứ theo khoản 1 Điều 70 Nghị định 330/2026/NĐ-CP, mức xử phạt này áp dụng đối với các sai phạm trong công tác thông báo, quản trị kỹ thuật và bảo lưu hồ sơ vi phạm:

• Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng không thông báo minh bạch cho người sử dụng;
• Không triển khai các biện pháp kỹ thuật nhằm ngăn chặn việc bên thứ ba không liên quan thu thập dữ liệu vị trí cá nhân, hoặc không cung cấp cho người dùng các tùy chọn cài đặt theo dõi vị trí;
• Thu thập và xử lý dữ liệu sinh trắc học mà thiếu các biện pháp bảo mật vật lý cho hệ thống, thiết bị lưu trữ, truyền tải dữ liệu;
• Không hạn chế quyền truy cập hoặc không thiết lập hệ thống theo dõi phòng ngừa hành vi xâm nhập trái phép đối với dữ liệu vị trí cá nhân và dữ liệu sinh trắc học;
• Không thực hiện nghĩa vụ thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu trong thời hạn 72 giờ kể từ khi phát hiện sự cố lộ mất dữ liệu;
• Nội dung thông báo sự cố gửi cho chủ thể dữ liệu không đáp ứng các thông tin tối thiểu theo quy định của pháp luật;
• Không ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra; hoặc không lưu hồ sơ tối thiểu 05 năm kể từ khi khắc phục xong sự cố;
• Không thông báo công khai bằng phương tiện điện tử chính thức của tổ chức (trang thông tin điện tử, ứng dụng) khi gặp sự cố không thể thông báo riêng cho từng chủ thể dữ liệu vì lý do kỹ thuật hoặc tình huống khẩn cấp.

Nhóm hành vi bị phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng

Quy định tại khoản 2 Điều 70 Nghị định 330/2026/NĐ-CP áp dụng khung phạt tăng nặng từ 70 đến 150 triệu đồng cho các hành vi cố ý theo dõi hoặc lạm dụng dữ liệu sinh trắc học:

• Lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến (RFID) hoặc các công nghệ giám sát khác khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân hoặc không theo yêu cầu của cơ quan nhà nước có thẩm quyền;
• Khai thác, sử dụng dữ liệu sinh trắc học của chủ thể dữ liệu vượt quá mục đích ban đầu được chấp thuận mà chưa thu thập lại sự đồng ý từ người dùng.

2. Hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả nghiêm khắc

Ngoài hình thức phạt tiền, các tổ chức và cá nhân vi phạm quy định tại Điều 70 Nghị định 330/2026/NĐ-CP còn phải gánh chịu các chế tài bổ sung và biện pháp khắc phục hậu quả rất quyết liệt nhằm loại bỏ hoàn toàn nguy cơ mất an toàn thông tin:

Về hình thức xử phạt bổ sung:

• Tịch thu toàn bộ thiết bị phát sóng, thẻ RFID, thiết bị thu thập và máy chủ lưu trữ dữ liệu sinh trắc học phục vụ hành vi vi phạm;
• Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí có liên quan từ 03 tháng đến 06 tháng.

Về biện pháp khắc phục hậu quả:

• Buộc hủy, xóa triệt để (tới mức không thể khôi phục) toàn bộ dữ liệu vị trí cá nhân và dữ liệu sinh trắc học đã thu thập, theo dõi trái phép;
• Buộc nâng cấp hệ thống, cung cấp cho người sử dụng tùy chọn bật/tắt thu thập vị trí và nộp minh chứng khắc phục cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

3. Mức phạt tiền tối đa lên tới 3 tỷ đồng trong lĩnh vực dữ liệu cá nhân

Khung pháp lý về an toàn thông tin theo quy định tại Điều 7 Nghị định 330/2026/NĐ-CP đã phân định rất rõ thẩm quyền và mức phạt tiền tối đa giữa lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân:

• Trong lĩnh vực an ninh mạng: Mức phạt tiền tối đa là 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức. Các hành vi quy định tại Chương II chủ yếu tính theo mức phạt áp dụng cho cá nhân, tổ chức vi phạm cùng hành vi phạt gấp 02 lần.
• Trong lĩnh vực bảo vệ dữ liệu cá nhân: Mức phạt được thiết kế mang tính răn đe đặc biệt cao. Theo đó:
  • Hành vi mua, bán dữ liệu cá nhân trái phép bị phạt tiền tối đa bằng 10 lần khoản thu bất hợp pháp;
  • Hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới bị xử phạt tối đa bằng 5% doanh thu của năm trước liền kề;
  • Các vi phạm khác trong lĩnh vực dữ liệu cá nhân bị phạt tiền tối đa lên đến 03 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân.

Bên cạnh phạt tiền, căn cứ Điều 4 Nghị định 330/2026/NĐ-CP, đơn vị vi phạm còn đối mặt nguy cơ bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 tháng đến 24 tháng (như giấy phép kinh doanh dịch vụ an ninh mạng, giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân...), ảnh hưởng cực kỳ lớn tới hoạt động của doanh nghiệp.

Nhằm đảm bảo tuân thủ đúng các quy định pháp luật hiện hành như Luật Bảo vệ dữ liệu cá nhân 2025 và Luật An ninh mạng 2025, các cơ quan, tổ chức thu thập dữ liệu sinh trắc học và vị trí cá nhân cần chủ động xây dựng quy trình bảo mật chuẩn hóa, rà soát hệ thống kỹ thuật và sẵn sàng phương án ứng phó sự cố lộ mất thông tin theo đúng thời hạn quy định.