TOÀN DIỆN NGHỊ ĐỊNH 330/2026/NĐ-CP VỀ XỬ PHẠT VI PHẠM HÀNH CHÍNH TRONG LĨNH VỰC AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Nghị định số 330/2026/NĐ-CP được Chính phủ ban hành ngày 19/8/2026 và có hiệu lực thi hành ngay từ ngày ký. Với kết cấu gồm 4 chương, 82 điều, Nghị định 330 được đánh giá là “mảnh ghép chế tài” và “cây gậy pháp lý” chốt chặn cuối cùng, bảo đảm việc thi hành Luật An ninh mạng số 116/2025/QH15, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 cùng các nghị định hướng dẫn liên quan.

CÁC ĐIỂM NỔI BẬT VÀ CƠ CHẾ XỬ PHẠT ĐA TẦNG

Cơ chế phạt tiền theo doanh thu và khoản thu bất hợp pháp
- Mua bán dữ liệu cá nhân trái phép: Mức phạt tiền có thể lên tới từ 2 đến 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp không phát sinh khoản thu hoặc mức phạt tính theo khoản thu thấp hơn 3 tỷ đồng, mức phạt tiền tối đa áp dụng là 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân.
- Chuyển dữ liệu cá nhân xuyên biên giới trái quy định: Mức phạt tối đa đối với tổ chức lên tới 5% tổng doanh thu của năm tài chính liền trước. Trường hợp không có doanh thu hoặc số tiền phạt tính theo doanh thu dưới 3 tỷ đồng, mức phạt tối đa áp dụng là 3 tỷ đồng đối với tổ chức (1,5 tỷ đồng đối với cá nhân).
- Mức phạt tối đa chung: Trong lĩnh vực an ninh mạng là 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân. Trong lĩnh vực bảo vệ dữ liệu cá nhân (các vi phạm khác) là 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân.
- Nguyên tắc phân chia: Mức phạt quy định tại Mục 6 Chương II áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm chịu mức phạt bằng 1/2 mức phạt của tổ chức.
Hình thức xử phạt bổ sung và chế tài khắc phục hậu quả triệt để
- Hình thức phạt bổ sung: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề từ 1 đến 24 tháng; đình chỉ hoạt động có thời hạn; tịch thu toàn bộ tang vật, phương tiện vi phạm; và trục xuất đối với người nước ngoài.
- Biện pháp khắc phục hậu quả: Buộc hủy hoặc xóa triệt để toàn bộ dữ liệu cá nhân đã thu thập/xử lý trái phép tới mức không thể khôi phục; buộc cưỡng chế nộp lại toàn bộ khoản thu bất hợp pháp. Quy định này đánh dấu sự chuyển hướng tư duy từ “phạt cho tồn tại” sang khôi phục nguyên trạng quyền lợi của chủ thể dữ liệu.
Chính thức hóa quy trình xử phạt trên môi trường điện tử
- Cho phép chứng cứ điện tử được dùng để xác định vi phạm.
- Biên bản vi phạm hành chính có thể được lập dưới dạng điện tử, ký số hoặc xác thực bằng sinh trắc học khuôn mặt/vân tay khi không dùng được chữ ký số. Quyết định xử phạt cũng được ban hành và gửi bằng phương thức điện tử.
Siết chặt các quy định về “sự đồng ý” của chủ thể dữ liệu
- Phạt tiền từ 30 – 50 triệu đồng (tổ chức) đối với các lỗi: xử lý dữ liệu khi chưa có sự đồng ý; ép buộc người dùng đồng ý mục đích không liên quan mới cho sử dụng dịch vụ; thiết lập giao diện mặc định đồng ý hoặc gây hiểu lầm; không lưu nhật ký sự đồng ý; không phân tách rõ từng mục đích xử lý.
- Phạt tiền từ 50 – 70 triệu đồng (tổ chức) nếu cố ý tiếp tục xử lý dữ liệu sau khi chủ thể đã yêu cầu ngừng/hạn chế, hoặc tự ý coi sự im lặng, không phản hồi của khách hàng là “đã đồng ý”.

CÁC NHÓM HÀNH VI VI PHẠM CỤ THỂ

Tuyển dụng và quản lý lao động trong doanh nghiệp (Điều 61)

Khâu tuyển dụng: Phạt tiền từ 20 – 50 triệu đồng (tổ chức) nếu yêu cầu dữ liệu không phục vụ tuyển dụng, xử lý dữ liệu người dự tuyển khi chưa đồng ý hoặc không xóa/hủy dữ liệu của ứng viên không trúng tuyển (trừ khi có thỏa thuận khác).
Khâu quản lý người lao động: Phạt tiền từ 50 – 70 triệu đồng (tổ chức) đối với các hành vi: lưu trữ dữ liệu người lao động quá thời hạn; không xóa dữ liệu khi chấm dứt hợp đồng lao động; hoặc âm thầm lắp đặt phần mềm theo dõi thiết bị, camera giám sát tại môi trường làm việc mà không thông báo.
Sử dụng công nghệ trái phép: Phạt tiền từ 70 – 100 triệu đồng đối với hành vi xử lý, sử dụng dữ liệu người lao động thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định.

Tiêu chuẩn nhân sự phụ trách bảo vệ dữ liệu cá nhân (Điều 57)

Phạt tiền từ 20 – 30 triệu đồng đối với doanh nghiệp nếu nhân sự được chỉ định bảo vệ dữ liệu không thỏa mãn điều kiện:
1. Trình độ học vấn từ cao đẳng trở lên.
2. Có tối thiểu 02 năm kinh nghiệm làm việc trong các lĩnh vực: Pháp chế, CNTT, An ninh mạng, An ninh dữ liệu, Quản trị rủi ro, Kiểm soát tuân thủ, hoặc Quản lý nhân sự.
3. Chưa qua đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu.
Phạt tiền từ 10 – 20 triệu đồng nếu không ký thỏa thuận bảo mật (NDA) với nhân sự bảo vệ dữ liệu hoặc không tổ chức đào tạo định kỳ. Doanh nghiệp vi phạm còn bị buộc phải thay thế nhân sự đáp ứng đúng tiêu chuẩn.

Quản lý cuộc gọi rác, tin nhắn rác và tiếp thị quảng cáo

Phạt tiền từ 70 – 90 triệu đồng (tổ chức) nếu gọi điện, nhắn tin quảng cáo tới các số điện thoại nằm trong Danh sách không quảng cáo.
Phạt tiền từ 30 – 50 triệu đồng (tổ chức) nếu thực hiện cuộc gọi/tin nhắn quảng cáo ngoài khung giờ quy định (cuộc gọi từ 8h–17h, tin nhắn từ 7h–22h) hoặc vượt quá tần suất (tối đa 1 cuộc gọi, 3 tin nhắn/24h).
Trách nhiệm nhà mạng & doanh nghiệp VoIP/SIP Trunk: Phạt từ 50 – 100 triệu đồng và đình chỉ dịch vụ từ 1 đến 3 tháng nếu nhà mạng/doanh nghiệp không chặn cuộc gọi rác hoặc không duy trì cơ chế tự động chặn lưu lượng nếu không gắn tên định danh (Voice Brandname) hợp lệ.

Dữ liệu vị trí, sinh trắc học và ứng dụng di động (Điều 70)

Phạt tiền từ 50 – 70 triệu đồng đối với hành vi cung cấp ứng dụng di động có thu thập dữ liệu vị trí cá nhân nhưng không thông báo cho người dùng hoặc không cung cấp tùy chọn bật/tắt theo dõi vị trí.
Phạt tiền từ 70 – 150 triệu đồng đối với hành vi khai thác, sử dụng dữ liệu sinh trắc học vượt quá mục đích ban đầu hoặc lắp đặt công nghệ theo dõi định vị qua thẻ RFID khi chưa có sự đồng ý của chủ thể dữ liệu.

Đời tư mạng xã hội và quản lý tài khoản số (Điều 13, Điều 14)

Đăng bí mật đời tư lên mạng (Điều 13): Hành vi đăng tải thông tin thuộc bí mật cá nhân, bí mật gia đình, đời sống riêng tư lên mạng làm ảnh hưởng đến danh dự, nhân phẩm người khác bị phạt từ 10 – 20 triệu đồng đối với cá nhân (tổ chức gấp đôi) và bị tịch thu phương tiện (điện thoại, máy tính).
Cho thuê, mượn tài khoản ngân hàng (Điều 14): Hành vi bán, cho thuê, cho mượn hoặc tặng cho thông tin tài khoản ngân hàng, ví điện tử, tài khoản chứng khoán bị phạt từ 5 – 10 triệu đồng.
Sử dụng danh tính giả: Sử dụng giấy tờ giả hoặc danh tính của người khác để mở tài khoản ngân hàng, ví điện tử, thành lập doanh nghiệp bị phạt từ 10 – 20 triệu đồng.

Nghĩa vụ của doanh nghiệp nước ngoài

Doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, dịch vụ gia tăng trên không gian mạng tại Việt Nam bị phạt tiền từ 60 – 100 triệu đồng nếu không đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam, hoặc không lưu trữ dữ liệu theo quy định.

KHUYẾN NGHỊ HÀNH ĐỘNG DÀNH CHO DOANH NGHIỆP

Rà soát hạ tầng kỹ thuật và các nền tảng số: Kiểm tra toàn bộ ứng dụng di động, website và hệ thống quản trị nội bộ để đảm bảo cơ chế xin sự đồng ý được thực hiện minh bạch, không mặc định tích chọn và có hệ thống lưu nhật ký đồng ý.
Chuẩn hóa công tác quản trị nhân sự:
- Cập nhật quy trình tuyển dụng: xóa dữ liệu của ứng viên không trúng tuyển.
- Thông báo công khai nếu có sử dụng camera giám sát hoặc phần mềm quản lý tại nơi làm việc.
- Rà soát bằng cấp (cao đẳng trở lên) và số năm kinh nghiệm (tối thiểu 2 năm) của nhân sự phụ trách bảo vệ dữ liệu cá nhân để cử đi bồi dưỡng hoặc thay thế kịp thời.
Tuân thủ quy định tiếp thị, quảng cáo: Rà soát danh sách liên hệ, gắn nhãn tin nhắn/cuộc gọi quảng cáo và tuân thủ nghiêm ngặt khung giờ cũng như tần suất tiếp thị theo quy định.

Nội dung NGHỊ ĐỊNH 330/2026/NĐ-CP: 330_2026_nd-cp_19082026-signed.signed

Liên hệ ngay với chúng tôi nếu bạn đang cần hỗ trợ pháp lý, hãy liên hệ ngay với Công ty Luật Việt Nguyên ngay bây giờ để được tư vấn và giải quyết vướng mắc pháp lý cách chuyên nghiệp và hiệu quả nhất. Chúng tôi luôn sẵn sàng lắng nghe và cung cấp cho bạn những giải pháp, pháp lý tốt nhất để đảm bảo quyền lợi của bạn.

Kết nối với Việt Nguyên – An tâm vững bước
Liên hệ ngay để được tư vấn 1:1 cùng chuyên gia:

Hotline: 0936.39.29.79 – 0937.67.69.69