Từ 19/08/2026, NĐ 330/2026 áp dụng khung phạt mới cho vi phạm dữ liệu cá nhân: từ 20 triệu đồng đến 3 tỷ đồng, và đến 5% doanh thu với chuyển dữ liệu xuyên biên giới trái phép. Đây là khung phạt của Luật Bảo vệ dữ liệu cá nhân 91/2025 — không còn là NĐ 13/2023.
Khung pháp luật hiện hành: Luật 91/2025 + NĐ 330/2026
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) thay thế toàn bộ cơ chế NĐ 13/2023 trước đây; NĐ 356/2025/NĐ-CP hướng dẫn thi hành. Về chế tài, NĐ 330/2026/NĐ-CP (hiệu lực 19/08/2026) quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân — gồm 4 chương, 82 điều.
Nguyên tắc: tổ chức vi phạm chịu mức phạt gấp đôi cá nhân cùng hành vi (cá nhân = 1/2 mức tổ chức). Ngoài phạt tiền còn có tước quyền sử dụng giấy phép/chứng chỉ hành nghề 1–24 tháng và các biện pháp khắc phục hậu quả (buộc gỡ bỏ, thu hồi, tiêu hủy dữ liệu…).
Các mức phạt cụ thể theo NĐ 330/2026
- 20–40 triệu đồng (tổ chức): xử lý dữ liệu sai phạm vi/mục đích đã đăng ký; không bảo đảm tính chính xác; lưu trữ quá hạn cần thiết; không phòng ngừa/phối hợp xử lý vi phạm.
- 30–50 triệu đồng (tổ chức): xử lý dữ liệu khi chưa có sự đồng ý của chủ thể; công khai dữ liệu cá nhân khi chưa được đồng ý hoặc gây xâm phạm quyền lợi.
- 40–60 triệu đồng (tổ chức): chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân; dùng dữ liệu người khác làm việc trái pháp luật.
- 50–70 triệu đồng (tổ chức): coi sự im lặng/không phản hồi là đồng ý — “dark pattern” lấy đồng ý bị phạt riêng.
- Mua bán dữ liệu cá nhân: tối đa 10 lần khoản thu từ hành vi vi phạm.
- Chuyển dữ liệu xuyên biên giới trái phép: tối đa 5% doanh thu năm trước liền kề.
- Tối đa: 3 tỷ đồng (tổ chức) / 1,5 tỷ đồng (cá nhân).
So sánh với GDPR: Việt Nam đang ở đâu
GDPR (EU): phạt đến 20 triệu EUR hoặc 4% doanh thu toàn cầu (lấy mức cao hơn) — khung phạt lớn nhất thế giới về dữ liệu. Việt Nam với tối đa 3 tỷ đồng (~110.000 EUR) và 5% doanh thu (chỉ với chuyển dữ liệu xuyên biên giới) còn thấp hơn nhiều.
Nhưng đừng chủ quan: 5% doanh thu với tập đoàn lớn là con số khổng lồ; và xu hướng siết là rõ ràng — khung phạt 2026 đã cao gấp nhiều lần thời NĐ 13/2023 (khi đó chủ yếu là cảnh cáo + phạt theo nghị định chung). Doanh nghiệp đa quốc gia nên áp chuẩn cao nhất (thường là GDPR) cho toàn hệ thống thay vì “mỗi nước một chuẩn”.
Ngoài phạt hành chính: trách nhiệm hình sự và dân sự
Vi phạm dữ liệu cá nhân không dừng ở phạt hành chính:
- Hình sự: mua bán, chiếm đoạt, phát tán dữ liệu cá nhân với quy mô lớn hoặc gây hậu quả nghiêm trọng có thể bị truy cứu trách nhiệm hình sự (các tội xâm phạm bí mật đời tư, đưa/lưu trữ trái phép thông tin…).
- Dân sự: chủ thể dữ liệu có quyền khởi kiện đòi bồi thường thiệt hại — thiệt hại danh dự, tinh thần và vật chất do rò rỉ dữ liệu.
- Danh tiếng: công khai quyết định xử phạt + buộc gỡ bỏ/thu hồi dữ liệu — thiệt hại thương hiệu thường lớn hơn tiền phạt.
Doanh nghiệp cần làm gì để không bị phạt
- Rà soát sự đồng ý: mọi luồng thu thập dữ liệu phải có đồng ý rõ ràng — loại bỏ ngay các cơ chế “im lặng là đồng ý”, checkbox tick sẵn.
- Đánh giá tác động: lập hồ sơ đánh giá tác động xử lý dữ liệu và đánh giá tác động chuyển dữ liệu ra nước ngoài trước khi triển khai.
- Phân quyền nội bộ: chỉ định bộ phận/cá nhân bảo vệ dữ liệu, ban hành quy chế nội bộ, đào tạo nhân sự.
- Ứng phó sự cố: có quy trình phát hiện — ngăn chặn — thông báo — khắc phục rò rỉ dữ liệu; diễn tập định kỳ.
- Hợp đồng: điều khoản bảo vệ dữ liệu với đối tác xử lý dữ liệu thuê ngoài (processor).
Khi bị thanh tra/khiếu nại
Khi cơ quan chức năng thanh tra hoặc nhận khiếu nại của chủ thể dữ liệu: hợp tác đầy đủ — chống đối/cản trở bị phạt riêng 40–60 triệu. Chuẩn bị sẵn: hồ sơ đánh giá tác động, bằng chứng sự đồng ý, nhật ký xử lý dữ liệu, quy trình ứng phó sự cố. Thái độ hợp tác + hồ sơ đầy đủ là cơ sở để được xem xét tình tiết giảm nhẹ. Và tuyệt đối không tiêu hủy tài liệu khi đang bị thanh tra — đó là tình tiết tăng nặng.
Câu hỏi thường gặp
Mức phạt tối đa vi phạm dữ liệu cá nhân là bao nhiêu?
3 tỷ đồng với tổ chức (1,5 tỷ với cá nhân) theo NĐ 330/2026; riêng chuyển dữ liệu xuyên biên giới trái phép tối đa 5% doanh thu năm trước; mua bán dữ liệu tối đa 10 lần khoản thu.
Xử lý dữ liệu khi chưa có sự đồng ý bị phạt bao nhiêu?
Tổ chức bị phạt 30–50 triệu đồng; cá nhân bằng một nửa. Coi sự im lặng là đồng ý bị phạt 50–70 triệu đồng (tổ chức).
NĐ 13/2023 còn hiệu lực không?
Không — Luật Bảo vệ dữ liệu cá nhân 91/2025 (hiệu lực 01/01/2026) đã thay thế; NĐ 356/2025 hướng dẫn thi hành và NĐ 330/2026 (hiệu lực 19/08/2026) quy định xử phạt.
Mức phạt của Việt Nam so với GDPR thế nào?
GDPR phạt đến 20 triệu EUR hoặc 4% doanh thu toàn cầu — cao hơn nhiều so với tối đa 3 tỷ đồng của Việt Nam; nhưng 5% doanh thu với chuyển dữ liệu xuyên biên giới cũng là con số lớn với tập đoàn lớn.
Liên hệ FLAT Law Firm
FLAT Law Firm tư vấn tuân thủ bảo vệ dữ liệu cá nhân: rà soát sự đồng ý, đánh giá tác động, xây dựng quy trình ứng phó sự cố theo Luật 91/2025 và NĐ 330/2026. Liên hệ để kiểm tra tuân thủ.
