Nghị định quy định cụ thể nhiều hành vi vi phạm trong quá trình thu thập, xử lý, lưu trữ, cung cấp và sử dụng dữ liệu cá nhân, với mức phạt cao nhất lên đến 70 triệu đồng đối với một số hành vi.

Theo Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ, các quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân được áp dụng đối với cá nhân, tổ chức Việt Nam và cá nhân, tổ chức nước ngoài có hành vi vi phạm trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của Việt Nam; trên tàu bay mang quốc tịch Việt Nam, tàu biển mang cờ quốc tịch Việt Nam, trừ trường hợp điều ước quốc tế mà Việt Nam là thành viên có quy định khác.

Đối tượng áp dụng còn bao gồm nhiều loại hình tổ chức, doanh nghiệp, trong đó có doanh nghiệp tư nhân, công ty cổ phần, công ty trách nhiệm hữu hạn, công ty hợp danh, đơn vị phụ thuộc doanh nghiệp; tổ chức được thành lập theo Luật Hợp tác xã, Luật Đầu tư; tổ chức chính trị - xã hội, tổ chức xã hội nghề nghiệp và các tổ chức xã hội khác.

Đáng chú ý, hộ kinh doanh, hộ gia đình và cộng đồng dân cư thực hiện hành vi vi phạm hành chính quy định tại Nghị định bị áp dụng mức phạt tiền như đối với cá nhân vi phạm hành chính.

Nhiều hành vi vi phạm về bảo vệ dữ liệu cá nhân bị xử phạt

Nghị định quy định xử phạt đối với nhiều nhóm hành vi vi phạm về bảo vệ dữ liệu cá nhân như vi phạm nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm; xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh, trật tự;

Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân; vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân; thu thập, cung cấp, công khai, chuyển giao, xóa, hủy, khử nhận dạng dữ liệu cá nhân; mua, bán trái phép dữ liệu cá nhân; thông báo vi phạm; đánh giá tác động xử lý dữ liệu cá nhân và chuyển dữ liệu cá nhân xuyên biên giới.

Đối với hành vi vi phạm nguyên tắc bảo vệ dữ liệu cá nhân, Nghị định quy định mức phạt từ 20 triệu đồng đến 40 triệu đồng đối với các hành vi như xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích đã xác định; không bảo đảm tính chính xác của dữ liệu cá nhân; không chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót; lưu trữ dữ liệu cá nhân vượt quá thời gian cần thiết; không chủ động phòng ngừa, phát hiện và phối hợp kịp thời với cơ quan có thẩm quyền trong xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Mức phạt từ 40 triệu đồng đến 60 triệu đồng được áp dụng đối với hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân hoặc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái quy định của pháp luật.

Ngoài phạt tiền, tùy hành vi vi phạm, tổ chức, cá nhân còn có thể bị tịch thu tang vật, phương tiện vi phạm hành chính; buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục; buộc nộp lại khoản thu bất hợp pháp; buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng hoặc buộc chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân cho chính xác.

Xử lý dữ liệu cá nhân khi chưa có sự đồng ý có thể bị phạt đến 70 triệu đồng

Một trong những nội dung đáng chú ý của Nghị định là quy định xử phạt đối với các vi phạm về sự đồng ý của chủ thể dữ liệu cá nhân.

Theo đó, hành vi xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác, bị phạt từ 30 triệu đồng đến 50 triệu đồng.

Cùng mức phạt này là các hành vi kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ; thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý.

Nghị định cũng quy định phạt từ 30 triệu đồng đến 50 triệu đồng đối với hành vi không cung cấp đầy đủ, minh bạch thông tin về loại dữ liệu được xử lý, mục đích xử lý, quyền và nghĩa vụ của chủ thể dữ liệu cá nhân; hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý; không ghi nhận, lưu trữ nhật ký về sự đồng ý hoặc không chứng minh được việc đã có sự đồng ý khi có yêu cầu.

Đáng chú ý, mức phạt từ 50 triệu đồng đến 70 triệu đồng được áp dụng đối với hành vi cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản.

Mức phạt này cũng áp dụng đối với hành vi thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý nhưng tổ chức, cá nhân tự ý coi sự im lặng là đồng ý.

Bên cạnh hình thức xử phạt bổ sung là tịch thu tang vật, phương tiện vi phạm hành chính, người vi phạm còn có thể bị buộc hủy, xóa dữ liệu cá nhân đã thu thập, xử lý khi không có sự đồng ý hợp lệ và buộc nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Nghị định số 330/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 19/8/2026.