Mức phạt vi phạm dữ liệu cá nhân bao nhiêu? Đọc ngay để biết!

Phó Thủ tướng Hồ Quốc Dũng đã ký ban hành Nghị định số 363/2026/NĐ-CP, thiết lập khuôn khổ pháp lý về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Văn bản này cụ thể hóa các hành vi vi phạm, hình thức, mức độ xử phạt, quy trình thi hành và các biện pháp khắc phục hậu quả. Nghị định áp dụng rộng rãi cho các tổ chức, cá nhân Việt Nam và nước ngoài liên quan đến hoạt động dữ liệu tại Việt Nam, nhưng không bao gồm các vi phạm thuộc lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân chuyên biệt.
Các hình thức xử phạt chính bao gồm cảnh cáo và phạt tiền (tối đa 100 triệu đồng đối với cá nhân), cùng với các hình phạt bổ sung như tước quyền sử dụng giấy phép, đình chỉ hoạt động hoặc trục xuất. Nghị định cũng quy định mức phạt tiền cụ thể cho các hành vi như giả mạo, làm sai lệch dữ liệu (40-80 triệu đồng) hay thu thập dữ liệu trái phép (20-60 triệu đồng). Nghị định này sẽ chính thức có hiệu lực thi hành từ ngày 11 tháng 11 năm 2026.

Phó Thủ tướng Chính phủ Hồ Quốc Dũng đã chính thức ký ban hành Nghị định số 363/2026/NĐ-CP, thiết lập khuôn khổ pháp lý về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu.

Khung xử phạt vi phạm hành chính trong quản lý dữ liệu

Nghị định 363/2026/NĐ-CP cụ thể hóa các hành vi vi phạm hành chính, quy định chi tiết về hình thức, mức độ xử phạt, quy trình thi hành các quyết định xử phạt, cũng như các biện pháp khắc phục hậu quả tương ứng với từng hành vi. Văn bản pháp lý này cũng xác định rõ đối tượng bị xử phạt, thẩm quyền lập biên bản, xử phạt và áp dụng biện pháp khắc phục, đồng thời quy định mức phạt tiền cụ thể theo từng chức danh đối với các hành vi vi phạm trong lĩnh vực dữ liệu.

Cần lưu ý rằng Nghị định này không áp dụng cho các hành vi vi phạm hành chính thuộc phạm vi điều chỉnh của các Nghị định chuyên biệt về xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Phạm vi áp dụng rộng rãi bao gồm: Các cơ quan, tổ chức, cá nhân mang quốc tịch Việt Nam; các cơ quan, tổ chức, cá nhân nước ngoài hiện diện tại Việt Nam; và các cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến các hoạt động dữ liệu trên lãnh thổ Việt Nam mà có hành vi vi phạm hành chính theo quy định tại Nghị định này.

Các tổ chức chịu trách nhiệm xử phạt vi phạm hành chính theo Nghị định này được định nghĩa bao gồm: Cơ quan nhà nước vi phạm ngoài nhiệm vụ quản lý nhà nước được giao; các tổ chức thành lập theo Luật Doanh nghiệp, Luật Hợp tác xã, Luật Các tổ chức tín dụng, Luật Đầu tư; các đơn vị sự nghiệp công lập; cùng với các tổ chức khác được thành lập theo quy định của pháp luật hiện hành.

Đối với hộ kinh doanh, hộ gia đình và cộng đồng dân cư có hành vi vi phạm hành chính, mức phạt tiền sẽ được áp dụng tương đương với mức phạt đối với cá nhân. Người đại diện hộ kinh doanh, chủ hộ gia đình, hoặc người đứng đầu cộng đồng dân cư sẽ chịu trách nhiệm thi hành các quyết định xử phạt vi phạm hành chính theo quy định pháp luật.

Quyền hạn lập biên bản vi phạm hành chính, xử phạt và áp dụng biện pháp khắc phục hậu quả trong lĩnh vực dữ liệu được giao cho các cơ quan, cá nhân có thẩm quyền theo quy định cụ thể của Nghị định này.

Trường hợp cán bộ, công chức, viên chức, lực lượng Quân đội nhân dân, Công an nhân dân và người làm công tác cơ yếu thực hiện hành vi vi phạm trong khi đang thi hành công vụ, nhiệm vụ, và hành vi đó thuộc phạm vi công vụ, nhiệm vụ được giao, thì sẽ không bị xử phạt theo quy định về xử lý vi phạm hành chính mà sẽ bị xử lý theo quy định của pháp luật chuyên ngành có liên quan.

Tương tự, các cơ quan nhà nước thực hiện hành vi vi phạm thuộc nhiệm vụ quản lý nhà nước của mình sẽ không bị xử phạt theo quy định về xử lý vi phạm hành chính mà sẽ bị xử lý theo quy định của pháp luật chuyên ngành.

Các hình thức xử phạt

Hai hình thức xử phạt chính trong lĩnh vực dữ liệu là: Cảnh cáo; và phạt tiền.

Tùy theo tính chất và mức độ nghiêm trọng của hành vi vi phạm, các tổ chức, cá nhân vi phạm hành chính còn có thể phải đối mặt với các hình thức xử phạt bổ sung khác như: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề; tịch thu tang vật, phương tiện vi phạm; đình chỉ có thời hạn hoạt động cung cấp, xử lý, kết nối dữ liệu; đình chỉ có thời hạn hoạt động quản trị, vận hành cơ sở/sàn dữ liệu, cũng như các hoạt động tham gia chương trình, dự án được Quỹ phát triển dữ liệu hỗ trợ; và đối với người nước ngoài có hành vi vi phạm hành chính, có thể bị trục xuất…

Mức phạt tiền tối đa áp dụng cho cá nhân vi phạm hành chính trong lĩnh vực dữ liệu được giới hạn là 100 triệu đồng.

Điều 7 của Nghị định này quy định chi tiết về việc xử lý các hành vi bị nghiêm cấm trong lĩnh vực dữ liệu như sau:

Mức phạt tiền từ 40 đến 60 triệu đồng sẽ được áp dụng cho các hành vi như giả mạo, cố ý làm sai lệch, làm mất hoặc làm hư hỏng dữ liệu trong cơ sở dữ liệu của các cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam mà chưa đến mức truy cứu trách nhiệm hình sự; cố ý cung cấp dữ liệu sai lệch hoặc từ chối cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền; ngoại trừ các trường hợp được quy định tại Điều 16 của Nghị định này.

Mức phạt tiền từ 60 đến 80 triệu đồng sẽ áp dụng cho một trong các hành vi sau: Cản trở hoặc ngăn chặn trái pháp luật quá trình xử lý, quản trị dữ liệu của các cơ quan, tổ chức, người có thẩm quyền; tấn công, chiếm đoạt hoặc phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị, bảo vệ dữ liệu nhưng chưa đến mức truy cứu trách nhiệm hình sự.

Về hình thức xử phạt bổ sung: Sẽ tiến hành tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm được quy định tại điểm b khoản 2 Điều này.

Các biện pháp khắc phục hậu quả bao gồm: Buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm b khoản 2 Điều này; buộc áp dụng biện pháp kỹ thuật để đảm bảo an toàn, an ninh dữ liệu theo quy định pháp luật đối với hành vi vi phạm tại điểm b khoản 2 Điều này; buộc thông báo về sự cố dữ liệu, hậu quả phát sinh và kết quả khắc phục đến chủ thể dữ liệu cùng các tổ chức, cá nhân có liên quan đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này; và buộc gỡ bỏ ứng dụng, phần mềm đã được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 2 Điều này.

Đối với các hành vi vi phạm liên quan đến quy định về thu thập và tạo lập dữ liệu, Điều 8 của Nghị định quy định mức xử phạt như sau: Mức phạt tiền từ 20 đến 40 triệu đồng sẽ áp dụng cho một trong các hành vi: Thu thập, tạo lập dữ liệu mà không có sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định pháp luật; không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi thu thập, tạo lập; không kiểm tra tính xác thực, đảm bảo chất lượng dữ liệu trong quá trình thu thập, tạo lập.

Mức phạt tiền từ 40 đến 60 triệu đồng sẽ áp dụng cho một trong các hành vi sau: Cố ý thu thập, tạo lập dữ liệu không chính xác so với dữ liệu gốc; cố ý thu thập, tạo lập dữ liệu giả mạo; thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo; hành vi vi phạm quy định tại khoản 1 Điều này mà dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia; hành vi vi phạm quy định tại khoản 1 Điều này gây rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

Các hình thức xử phạt bổ sung bao gồm: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a khoản 1 và các điểm a, b, c khoản 2 Điều này; đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6 đến 9 tháng đối với hành vi vi phạm quy định tại các điểm d, đ khoản 2 Điều này.

Biện pháp khắc phục hậu quả gồm: Buộc ban hành quy trình thu thập, tạo lập dữ liệu đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này; buộc xóa, tiêu hủy dữ liệu đã được thu thập, tạo lập trái quy định đối với hành vi vi phạm quy định tại điểm a khoản 1 và các điểm a, b, c khoản 2 Điều này; buộc đính chính, hiệu chỉnh, cập nhật dữ liệu được tạo lập sai lệch, giả mạo đối với hành vi vi phạm quy định tại các điểm a, b khoản 2 Điều này; buộc áp dụng biện pháp bảo vệ dữ liệu, an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này; và buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a khoản 1 và các điểm a, b, c khoản 2 Điều này.

Nghị định này sẽ chính thức có hiệu lực thi hành kể từ ngày 11 tháng 11 năm 2026.

Theo TTXVN/Báo Tin tức và Dân tộc