Ngày 19/8/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP (“Nghị định 330”) quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“DLCN”). Nghị định có hiệu lực ngay từ ngày ký.
Nghị định 330 đưa ra nhiều mức phạt đối với các vi phạm trong quá trình thu thập, sử dụng, lưu trữ và xử lý DLCN. Đáng lưu ý, nhiều vi phạm có thể phát sinh từ các hoạt động vận hành hàng ngày của doanh nghiệp.
Dưới đây là những vấn đề quan trọng và 13 nhóm vi phạm doanh nghiệp cần đặc biệt lưu ý:
1. Đối tượng áp dụng – Không gian mạng không có biên giới vật lý
Nghị định 330/2026 có phạm vi áp dụng rộng, không chỉ đối với các hành vi vi phạm xảy ra trên lãnh thổ và vùng biển Việt Nam mà còn đối với các hành vi vi phạm được thực hiện trên không gian mạng thuộc quyền quản lý của Việt Nam.
Đáng chú ý, phạm vi áp dụng có thể bao gồm doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, nội dung số, dịch vụ xuyên biên giới hoặc dịch vụ an ninh mạng nếu có hoạt động trực tiếp liên quan đến việc xử lý dữ liệu của công dân Việt Nam.
Ngoài ra, hộ kinh doanh, hộ gia đình và cộng đồng dân cư khi có hành vi vi phạm cũng thuộc phạm vi điều chỉnh của Nghị định và chịu mức phạt theo quy định áp dụng đối với cá nhân.
Như vậy, cần lưu ý rằng việc doanh nghiệp không hiện diện hoặc không đặt trụ sở tại Việt Nam không đồng nghĩa với việc nằm ngoài phạm vi điều chỉnh nếu doanh nghiệp có hoạt động xử lý DLCN thuộc phạm vi áp dụng của Nghị định 330/2026.
2. Mức phạt có thể rất cao
Mức phạt tối đa đối với các vi phạm thông thường là 03 tỷ đồng.
Đối với một số hành vi nghiêm trọng như:
- Mua, bán DLCN trái phép: phạt tối đa 10 lần khoản thu bất hợp pháp;
- Vi phạm quy định về chuyển DLCN xuyên biên giới: phạt tối đa 5% tổng doanh thu năm tài chính liền trước tại Việt Nam.
Các mức phạt trên áp dụng đối với tổ chức; cá nhân vi phạm chịu mức phạt bằng 1/2 mức phạt của tổ chức.
3. Không mặc nhiên coi im lặng là đồng ý
Doanh nghiệp không được mặc nhiên coi việc người dùng không phản hồi hoặc im lặng là sự đồng ý cho việc xử lý DLCN. Hành vi vi phạm này có thể bị phạt đến 70 triệu đồng.
4. Thu thập dữ liệu vượt quá mục đích hoặc phạm vi
Doanh nghiệp phải thu thập DLCN đúng phạm vi và mục đích cụ thể, rõ ràng và trên cơ sở hợp pháp. Mức phạt do vi phạm sẽ là 30–50 triệu đồng đối với DLCN thông thường hoặc 50–80 triệu đồng đối với DLCN nhạy cảm.
Doanh nghiệp sử dụng công nghệ, kỹ thuật để thu thập DLCN trái phép: có thể phạt 100–800 triệu đồng, tùy lượng dữ liệu được thu thập.
5. Xử lý dữ liệu sinh trắc học không đúng quy định
Doanh nghiệp xử lý dữ liệu sinh trắc học phải có biện pháp bảo vệ phù hợp đối với thiết bị lưu trữ và truyền tải.
Vi phạm có thể bị phạt 50–70 triệu đồng.
Nếu sử dụng dữ liệu sinh trắc học vượt quá mục đích ban đầu mà chưa có sự đồng ý, mức phạt có thể lên đến 150 triệu đồng.
6. Lắp camera nhưng không thông báo
Khi sử dụng camera hoặc thiết bị ghi âm, ghi hình tại không gian công cộng hoặc khu vực cung cấp dịch vụ cho khách hàng, doanh nghiệp phải có thông báo/cảnh báo rõ ràng.
Vi phạm có thể bị phạt 10–20 triệu đồng.
7. Yêu cầu hoặc thu thập dữ liệu quá mức trong tuyển dụng và quản lý lao động
Doanh nghiệp cần bảo đảm việc thu thập và sử dụng DLCN của ứng viên, người lao động phù hợp với mục đích tuyển dụng và quản lý lao động.
Đáng lưu ý:
- Không xóa/hủy dữ liệu của ứng viên không được tuyển dụng theo quy định: phạt 20–50 triệu đồng;
- Sử dụng phần mềm theo dõi, camera hoặc thiết bị thu thập dữ liệu tại nơi làm việc mà không thông báo cho người lao động: phạt 50–70 triệu đồng
8. Quảng cáo và theo dõi hành vi khách hàng không đúng quy định
Doanh nghiệp cần có cơ chế để khách hàng từ chối nhận quảng cáo, và rút lại sự đồng ý chia sẻ DLCN cho mục đích quảng cáo.
Vi phạm có thể bị phạt 30–50 triệu đồng.
Đặc biệt, việc theo dõi website, ứng dụng hoặc hoạt động của khách hàng để thực hiện quảng cáo theo hành vi, quảng cáo mục tiêu hoặc quảng cáo cá nhân hóa mà không có sự đồng ý có thể bị phạt 50–70 triệu đồng.
9. Không thông báo kịp thời khi xảy ra sự cố dữ liệu
Khi xảy ra sự cố làm lộ hoặc mất DLCN nhạy cảm, doanh nghiệp phải thực hiện nghĩa vụ thông báo theo quy định, trong đó có thời hạn 72 giờ kể từ khi phát hiện đối với trường hợp thuộc diện phải thông báo.
Chậm thông báo hoặc báo cáo không chính xác về quy mô sự cố có thể bị phạt 50–70 triệu đồng.
10. Không chỉ định nhân sự/bộ phận phụ trách bảo vệ DLCN
Doanh nghiệp có nghĩa vụ bố trí bộ phận hoặc nhân sự có đủ năng lực để thực hiện công tác bảo vệ DLCN và việc chỉ định phải được thể hiện phù hợp theo quy định.
Vi phạm có thể bị phạt 20–30 triệu đồng.
11. Không lập Hồ sơ đánh giá tác động xử lý DLCN (DPIA)
Doanh nghiệp thuộc trường hợp phải lập hồ sơ đánh giá tác động xử lý DLCN nhưng không lập, duy trì và nộp hồ sơ trong thời hạn quy định có thể bị phạt 20–30 triệu đồng.
Đối với chuyển DLCN xuyên biên giới, việc không lập hoặc không nộp hồ sơ đánh giá tác động đúng thời hạn có thể bị phạt 30–50 triệu đồng.
12. Không xây dựng quy trình xử lý yêu cầu của chủ thể dữ liệu
Doanh nghiệp cần có quy trình, thủ tục và biểu mẫu để xử lý các yêu cầu của chủ thể DLCN, chẳng hạn như rút lại sự đồng ý, chỉnh sửa dữ liệu, cung cấp dữ liệu; hoặc xóa dữ liệu.
Các yêu cầu hợp lệ phải được xử lý trong thời hạn 02 ngày làm việc theo quy định liên quan.
Vi phạm có thể bị phạt 10–20 triệu đồng.
13. Sử dụng AI/Big Data nhưng thiếu cơ chế kiểm soát
Đối với hoạt động sử dụng Big Data hoặc AI để đưa ra quyết định tự động, doanh nghiệp cần lưu ý phải có cơ chế giám sát và cho phép người dùng yêu cầu đánh giá lại bởi con người trong các trường hợp luật định và phải thông báo và giải thích về nguyên tắc hoạt động của thuật toán và ảnh hưởng của quyết định tự động đối với người dùng.
Vi phạm có thể bị phạt 50–100 triệu đồng đối với một số vi phạm liên quan đến cơ chế giám sát và đánh giá lại; và 50–70 triệu đồng đối với việc không thông báo hoặc giải thích theo quy định.
14. Không thực hiện đánh giá tuân thủ định kỳ
Doanh nghiệp thuộc một số nhóm hoạt động, bao gồm doanh nghiệp xử lý dữ liệu lớn, sử dụng AI, blockchain, điện toán đám mây hoặc hoạt động trong lĩnh vực tài chính – ngân hàng, có thể phải đánh giá tuân thủ bảo vệ DLCN định kỳ hàng năm.
Vi phạm có thể bị phạt 20–50 triệu đồng, tùy trường hợp.
Nghị định 330 cho thấy việc tuân thủ bảo vệ DLCN không chỉ là vấn đề của bộ phận pháp chế hoặc công nghệ thông tin mà liên quan trực tiếp đến nhiều hoạt động hàng ngày như tuyển dụng, marketing, quảng cáo, quản lý nhân viên, sử dụng camera, lưu trữ dữ liệu, xử lý sự cố và sử dụng AI.
Doanh nghiệp nên chủ động:
- Rà soát lại toàn bộ hoạt động thu thập và xử lý DLCN;
- Kiểm tra cơ chế xin, lưu trữ và quản lý sự đồng ý;
- Rà soát việc xử lý DLCN nhạy cảm và dữ liệu sinh trắc học;
- Kiểm tra nghĩa vụ liên quan đến DPIA và chuyển dữ liệu xuyên biên giới;
- Thiết lập quy trình xử lý yêu cầu của chủ thể DLCN và sự cố rò rỉ dữ liệu;
- Rà soát việc sử dụng camera, công cụ theo dõi nhân viên, cookies, AI và công nghệ quảng cáo; và
- Xác định các nghĩa vụ đánh giá tuân thủ định kỳ áp dụng cho doanh nghiệp.
Lưu ý: Legal Alert này nhằm cung cấp thông tin tổng quan và không được xem là ý kiến tư vấn pháp lý đối với bất kỳ trường hợp cụ thể nào. Doanh nghiệp nên rà soát hoạt động thực tế và các quy định áp dụng để xác định chính xác nghĩa vụ tuân thủ của mình.
Nội dung bài viết được thực hiện bởi Mr. Tùng và Mr. Thiện.
