English
Ngày 19 tháng 8 năm 2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP (“Nghị định 330”) về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực kể từ cùng ngày.
Nghị định 330 quy định cụ thể các hành vi vi phạm, mức phạt tiền, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả. Đối với doanh nghiệp, các lĩnh vực chính bao gồm bảo vệ hệ thống thông tin, ứng phó với sự cố an ninh mạng, trách nhiệm của các nhà cung cấp dịch vụ trực tuyến và các nghĩa vụ liên quan đến việc thu thập, sử dụng, lưu trữ và chuyển dữ liệu cá nhân.
1. Nghị định 330/2026/NĐ-CP: Các mức phạt tối đa đáng lưu ý
Nghị định 330 quy định mức phạt tiền tối đa đối với các vi phạm về an ninh mạng lên đến 200 triệu đồng đối với tổ chức. Đối với các vi phạm về bảo vệ dữ liệu cá nhân, mức phạt tối đa có thể cao hơn đáng kể, bao gồm:
- Đối với hành vi mua bán dữ liệu cá nhân: lên đến 10 lần khoản thu có được từ hành vi vi phạm;
- Đối với các vi phạm liên quan đến chuyển dữ liệu cá nhân xuyên biên giới: lên đến 5% doanh thu của năm liền trước; và
- Đối với các vi phạm khác về bảo vệ dữ liệu cá nhân: lên đến 3 tỷ đồng.
Ngoài phạt tiền, tùy thuộc vào hành vi vi phạm, doanh nghiệp còn có thể bị yêu cầu gỡ bỏ thông tin trái pháp luật, xóa dữ liệu, khắc phục lỗ hổng, đình chỉ hoạt động hoặc ngừng xử lý hoặc chuyển dữ liệu.
2. Ứng phó sự cố an ninh mạng, phòng chống mã độc và bảo vệ hệ thống thông tin
Nghị định 330 quy định xử phạt đối với một loạt nghĩa vụ liên quan đến việc phòng ngừa và xử lý sự cố an ninh mạng. Đối với các doanh nghiệp thuộc phạm vi áp dụng, các hành vi bị xử phạt có thể bao gồm:
- Không công bố hoặc cập nhật đầu mối liên hệ được chỉ định để tiếp nhận và xử lý sự cố an ninh mạng theo quy định;
- Không báo cáo sự cố, thực hiện các biện pháp ứng phó hoặc phối hợp xử lý sự cố sau khi phát hiện;
- Không thực hiện các biện pháp phòng ngừa, phát hiện hoặc ngăn chặn mã độc, hoặc không duy trì hệ thống lọc mã độc khi pháp luật có yêu cầu;
- Không chuẩn bị hồ sơ đề xuất cấp độ an toàn hệ thống thông tin, đưa hệ thống vào vận hành trước khi hoàn thành các thủ tục theo quy định, hoặc không thực hiện các biện pháp bảo vệ cần thiết đối với hệ thống thuộc diện phải xác định cấp độ an toàn.
Tùy thuộc vào hành vi vi phạm, mức phạt đối với tổ chức trong các nhóm hành vi nêu trên có thể lên đến 100 triệu đồng. Doanh nghiệp cũng có thể bị yêu cầu thực hiện các biện pháp bảo đảm an ninh mạng hoặc loại bỏ phần mềm, dữ liệu gây ảnh hưởng đến an ninh mạng.
3. Trách nhiệm của các nhà cung cấp dịch vụ trực tuyến
Đối với các doanh nghiệp cung cấp mạng viễn thông, Internet hoặc các dịch vụ trực tuyến khác thuộc phạm vi áp dụng, Nghị định 330 quy định xử phạt đối với các hành vi như:
- Không xác minh thông tin khi người dùng đăng ký tài khoản số trong trường hợp pháp luật có yêu cầu;
- Không bảo vệ thông tin và tài khoản của người dùng;
- Không chặn hoặc gỡ bỏ thông tin, dịch vụ hoặc ứng dụng trái pháp luật trong thời hạn theo quy định sau khi có yêu cầu của cơ quan có thẩm quyền; hoặc
- Không tuân thủ các yêu cầu về bảo vệ dữ liệu, lưu trữ dữ liệu và hiện diện tại Việt Nam khi pháp luật có yêu cầu.
Tùy thuộc vào hành vi vi phạm, mức phạt đối với tổ chức có thể lên đến 140 triệu đồng. Một số hành vi vi phạm còn có thể dẫn đến yêu cầu ngừng cung cấp dịch vụ hoặc gỡ bỏ ứng dụng khỏi các kho ứng dụng phục vụ thị trường Việt Nam.
4. Dữ liệu cá nhân phải được xử lý đúng mục đích và có sự đồng ý hợp lệ
Đối với các hoạt động xử lý dữ liệu cá nhân, Nghị định 330 quy định mức phạt từ 20 – 40 triệu đồng đối với một số hành vi, chẳng hạn như xử lý dữ liệu ngoài phạm vi hoặc mục đích đã xác định, không bảo đảm tính chính xác của dữ liệu hoặc lưu trữ dữ liệu lâu hơn thời gian cần thiết.
Trong trường hợp pháp luật yêu cầu sự đồng ý, doanh nghiệp phải bảo đảm sự đồng ý được thể hiện rõ ràng và có thể chứng minh được.
Việc xử lý dữ liệu cá nhân khi không có sự đồng ý hợp lệ, sử dụng cơ chế đồng ý được chọn hoặc thiết lập mặc định, hoặc yêu cầu khách hàng đồng ý với những mục đích không liên quan đến dịch vụ có thể bị phạt từ 30 – 50 triệu đồng.
Mức phạt có thể tăng lên từ 50 – 70 triệu đồng đối với hành vi tiếp tục xử lý dữ liệu sau khi có yêu cầu dừng hoặc hạn chế xử lý, hoặc coi sự im lặng hay không phản hồi là sự đồng ý.
5. Hồ sơ đánh giá tác động và thông báo vi phạm dữ liệu
Doanh nghiệp bắt đầu xử lý dữ liệu cá nhân nhưng không lập, duy trì hoặc nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời hạn theo quy định có thể bị phạt từ 20 – 30 triệu đồng.
Trường hợp cố ý làm giả dữ liệu, cung cấp thông tin không chính xác hoặc doanh nghiệp từ chối hoàn thiện hồ sơ theo yêu cầu của cơ quan có thẩm quyền, mức phạt có thể từ 50 – 100 triệu đồng.
Đối với các sự cố hoặc vi phạm liên quan đến bảo vệ dữ liệu cá nhân, việc không thực hiện thông báo bắt buộc hoặc thông báo quá 72 giờ trong các trường hợp pháp luật quy định có thể bị xử phạt.
Đặc biệt, việc thông báo quá 72 giờ đối với hành vi vi phạm có khả năng gây thiệt hại nghiêm trọng có thể bị phạt từ 40 – 60 triệu đồng.
6. Chuyển dữ liệu cá nhân xuyên biên giới có thể chịu mức phạt tính theo doanh thu
Các doanh nghiệp sử dụng máy chủ ở nước ngoài, dịch vụ điện toán đám mây, phần mềm quản lý nhân sự, hệ thống quản lý khách hàng hoặc các hệ thống dùng chung trên toàn tập đoàn có thể đang thực hiện việc chuyển dữ liệu cá nhân xuyên biên giới.
Nghị định 330 quy định mức phạt từ 30 – 50 triệu đồng đối với các hành vi như không lập hoặc nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, không cập nhật hồ sơ khi có thay đổi hoặc không duy trì hồ sơ để phục vụ việc kiểm tra.
Đối với một số vi phạm nghiêm trọng dẫn đến việc tiết lộ hoặc mất dữ liệu cá nhân của công dân Việt Nam, mức phạt được tính theo tỷ lệ phần trăm doanh thu của năm tài chính liền trước tại thị trường Việt Nam:
| Số lượng chủ thể dữ liệu bị ảnh hưởng | Mức phạt |
|---|---|
| Từ 10.000 đến dưới 100.000 người | 1% – 2% doanh thu |
| Từ 100.000 đến dưới 1.000.000 người | 2% – 3% doanh thu |
| Từ 1.000.000 người trở lên | 3% – 5% doanh thu |
Trong một số trường hợp, hoạt động chuyển dữ liệu xuyên biên giới cũng có thể bị đình chỉ từ 6 – 12 tháng, và doanh nghiệp có thể bị yêu cầu đề nghị bên nhận xóa dữ liệu đã được chuyển trái quy định pháp luật.
7. Quy định riêng đối với dữ liệu của ứng viên và người lao động
Nghị định 330 quy định các yêu cầu cụ thể về bảo vệ dữ liệu cá nhân trong hoạt động tuyển dụng, quản lý nhân sự và quan hệ lao động.
Doanh nghiệp có thể bị phạt từ 20 – 50 triệu đồng đối với các hành vi như yêu cầu ứng viên cung cấp dữ liệu không liên quan đến việc tuyển dụng, sử dụng dữ liệu của ứng viên cho mục đích khác mà không có thỏa thuận, hoặc không xóa dữ liệu của ứng viên không trúng tuyển, trừ trường hợp có thỏa thuận khác.
Đối với dữ liệu của người lao động, mức phạt từ 50 – 70 triệu đồng có thể được áp dụng trong trường hợp dữ liệu được lưu giữ quá thời hạn cho phép, không được xóa khi chấm dứt quan hệ lao động trong trường hợp phải xóa, hoặc sử dụng công nghệ giám sát mà không bảo đảm người lao động được thông báo.
Việc xử lý trái pháp luật đối với dữ liệu được thu thập thông qua các phương tiện công nghệ hoặc kỹ thuật có thể bị phạt lên đến 100 triệu đồng.
8. Quy định riêng về dữ liệu đối với một số công nghệ và mô hình kinh doanh
Nghị định 330 cũng quy định các mức xử phạt cụ thể đối với một số công nghệ và loại dữ liệu thường được doanh nghiệp sử dụng.
- Đối với trí tuệ nhân tạo: doanh nghiệp có thể cần thực hiện đánh giá tuân thủ định kỳ, bảo đảm tính minh bạch trong hoạt động xử lý tự động và thiết lập cơ chế để chủ thể dữ liệu thực hiện các quyền của mình.
- Đối với điện toán đám mây: hợp đồng cần quy định rõ về luồng dữ liệu, vai trò của các bên, yêu cầu về an ninh và chính sách lưu trữ, xóa dữ liệu.
- Đối với dữ liệu vị trí và dữ liệu sinh trắc học: doanh nghiệp cần lưu ý các yêu cầu về thông báo, kiểm soát truy cập, biện pháp bảo mật và xử lý sự cố.
Tùy thuộc vào hành vi vi phạm, mức phạt có thể từ hàng chục đến hàng trăm triệu đồng và có thể bao gồm việc đình chỉ hệ thống hoặc nền tảng liên quan.
Doanh nghiệp cần rà soát những gì?
Sau khi Nghị định 330 có hiệu lực, doanh nghiệp nên tiến hành rà soát tổng thể các vấn đề sau:
- Quy trình phát hiện, báo cáo và ứng phó với các sự cố an ninh mạng;
- Các biện pháp phòng chống mã độc, kiểm soát truy cập và bảo vệ hệ thống thông tin;
- Trách nhiệm liên quan đến tài khoản người dùng và nội dung trên website, ứng dụng hoặc dịch vụ trực tuyến, nếu thuộc phạm vi áp dụng;
- Việc thu thập, sử dụng, lưu trữ và xóa dữ liệu cá nhân, bao gồm cơ chế thu thập và lưu giữ bằng chứng về sự đồng ý;
- Tình trạng lập, cập nhật và nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới;
- Quy trình xử lý và thông báo vi phạm dữ liệu cá nhân trong thời hạn theo quy định;
- Quy trình xử lý dữ liệu của ứng viên và người lao động, bao gồm các công nghệ giám sát tại nơi làm việc; và
- Hợp đồng với các nhà cung cấp công nghệ, nhà cung cấp dịch vụ điện toán đám mây và bên nhận dữ liệu nhằm phân định rõ trách nhiệm về an ninh và xử lý dữ liệu cá nhân.
Nghị định 330 chủ yếu quy định về các chế tài đối với các nghĩa vụ liên quan đến an ninh mạng và bảo vệ dữ liệu cá nhân. Do đó, doanh nghiệp nên rà soát các quy trình và hồ sơ hiện tại để xác định những yêu cầu nào được áp dụng và những nội dung nào cần được cập nhật.
Disclaimer
Bài viết này được cung cấp nhằm mục đích thông tin và tham khảo chung và không cấu thành tư vấn pháp lý. Việc áp dụng các quy định pháp luật và thủ tục liên quan có thể khác nhau tùy thuộc vào tài liệu, hoàn cảnh cụ thể và quốc gia hoặc vùng lãnh thổ có liên quan.
Để được tư vấn phù hợp với trường hợp cụ thể, vui lòng liên hệ LTS LAW FIRM để được tư vấn và hỗ trợ pháp lý.
LTS LAW FIRM
Tầng 6, 520 Cách Mạng Tháng Tám
Phường Nhiêu Lộc, Thành phố Hồ Chí Minh, Việt Nam
Tel: (+84) 965 000 524
Email: contact@lts.com.vn
Giờ làm việc: Thứ Hai – Thứ Sáu, 8:00 – 18:00 VNT
