Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có hiệu lực từ 19/8/2026 — văn bản chế tài đầu tiên áp dụng trực tiếp cho Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15. Mức phạt tiền lên tới 70 triệu đồng đối với tổ chức vi phạm, kèm các biện pháp khắc phục như buộc xóa dữ liệu đến mức không thể khôi phục và nộp lại khoản thu bất hợp pháp.
1. Căn cứ pháp lý
- Nghị định 330/2026/NĐ-CP — có hiệu lực từ 19/8/2026; quy định hành vi vi phạm hành chính, hình thức xử phạt, biện pháp khắc phục hậu quả và thẩm quyền xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
- Văn bản mẹ: Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026) và Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026).
- Điều 7 Nghị định 330/2026/NĐ-CP: mức phạt tiền đối với tổ chức gấp 02 lần mức phạt đối với cá nhân có cùng hành vi (các mức nêu dưới đây là mức áp dụng cho tổ chức).
2. Xử lý dữ liệu khi chưa có sự đồng ý: 30–50 triệu đồng
Phạt tiền từ 30–50 triệu đồng đối với tổ chức có một trong các hành vi:
- Xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu (trừ trường hợp pháp luật có quy định khác);
- Kèm điều kiện bắt buộc hoặc từ chối cung cấp dịch vụ nếu khách hàng không đồng ý xử lý dữ liệu cho mục đích không liên quan đến thỏa thuận;
- Thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý;
- Xin sự đồng ý không rõ ràng, cụ thể; không lưu trữ nhật ký đồng ý hoặc không chứng minh được đã có sự đồng ý khi cơ quan có thẩm quyền yêu cầu.
3. Cố ý tiếp tục xử lý sau khi bị yêu cầu dừng: 50–70 triệu đồng
Phạt tiền từ 50–70 triệu đồng đối với tổ chức:
- Cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản;
- Coi sự im lặng hoặc không phản hồi của chủ thể dữ liệu là sự đồng ý.
4. Vi phạm trong quản lý lao động: 50–70 triệu đồng (Điều 61)
Doanh nghiệp cần đặc biệt lưu ý Điều 61 — phạt 50–70 triệu đồng đối với:
- Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định hoặc thỏa thuận;
- Không xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động (trừ trường hợp có thỏa thuận hoặc pháp luật quy định khác);
- Lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động.
5. Các nhóm vi phạm đáng chú ý khác
- 40–60 triệu đồng (khoản 2 Điều 39): chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân; sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật.
- 40–60 triệu đồng (Điều 54): bên kiểm soát dữ liệu thông báo vi phạm chậm quá 72 giờ cho cơ quan chuyên trách kể từ khi phát hiện vi phạm gây/có thể gây tổn hại; bên xử lý dữ liệu không thông báo kịp thời cho bên kiểm soát: 10–20 triệu đồng.
- Công khai dữ liệu cá nhân khi chưa được đồng ý (điểm b khoản 2 Điều 50): cá nhân 15–25 triệu, tổ chức 30–50 triệu đồng.
6. Biện pháp khắc phục hậu quả
Ngoài phạt tiền, tổ chức, cá nhân vi phạm còn có thể bị:
- Tịch thu tang vật, phương tiện vi phạm hành chính;
- Buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục;
- Buộc nộp lại khoản thu bất hợp pháp có được do vi phạm;
- Buộc gỡ bỏ, thu hồi dữ liệu đã công khai trái quy định.
7. Thẩm quyền xử phạt (Điều 74)
Nghị định 330 phân định rõ thẩm quyền của lực lượng thanh tra (Bộ Quốc phòng, Công an):
- Thanh tra viên: phạt cảnh cáo; phạt tiền đến 20 triệu đồng (lĩnh vực an ninh mạng) và đến 10% mức tiền phạt tối đa (lĩnh vực bảo vệ dữ liệu cá nhân); tịch thu tang vật có giá trị không quá 02 lần mức phạt.
- Trưởng đoàn thanh tra cấp quân khu, Bộ Tư lệnh Thủ đô Hà Nội, Công an tỉnh: phạt tiền đến 100 triệu đồng (an ninh mạng) và đến 50% mức tối đa (dữ liệu cá nhân).
- Chánh Thanh tra: phạt tiền đến 160 triệu đồng (an ninh mạng) và đến 80% mức tối đa (dữ liệu cá nhân).
8. Doanh nghiệp cần làm gì để tuân thủ?
- Rà soát toàn bộ điểm chạm thu thập dữ liệu: bảo đảm có sự đồng ý rõ ràng, cụ thể, có thể kiểm chứng và lưu nhật ký đồng ý.
- Loại bỏ các “bẫy” giao diện: mặc định đồng ý, điều kiện bắt buộc không liên quan, coi im lặng là đồng ý.
- Xây dựng quy trình thông báo vi phạm trong 72 giờ và cơ chế tiếp nhận yêu cầu ngừng xử lý của chủ thể dữ liệu.
- Đối với dữ liệu người lao động: thông báo trước khi lắp đặt mọi thiết bị giám sát; xóa dữ liệu khi chấm dứt hợp đồng.
Câu hỏi thường gặp
Hỏi: Mức phạt trong Nghị định 330 áp dụng cho cá nhân hay tổ chức?
Đáp: Các mức phạt được quy định là mức áp dụng cho tổ chức; cá nhân có cùng hành vi bị phạt bằng 1/2 mức của tổ chức (Điều 7 Nghị định 330/2026/NĐ-CP).
Hỏi: Khách hàng không phản hồi email xin đồng ý, có được hiểu là đồng ý không?
Đáp: Không. Coi sự im lặng/không phản hồi là đồng ý bị phạt 50–70 triệu đồng đối với tổ chức.
Hỏi: Công ty lắp camera tại văn phòng có phải thông báo cho nhân viên không?
Đáp: Có. Lắp đặt camera/phần mềm theo dõi tại môi trường làm việc mà không thông báo cho người lao động bị phạt 50–70 triệu đồng (Điều 61).
Nguồn trích dẫn
- Nghị định 330/2026/NĐ-CP (hiệu lực 19/8/2026; Điều 7, Điều 39, Điều 50, Điều 54, Điều 61, Điều 74)
- Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026)
- Luật An ninh mạng 116/2025/QH15 (hiệu lực 01/7/2026)
Nhãn minh bạch: Bài viết được biên soạn và rà soát bởi FLAW AI Legal Council (hội đồng trí tuệ nhân tạo), không phải do luật sư người thật duyệt. Bài viết mang tính thông tin tham khảo, không thay thế tư vấn pháp lý cho trường hợp cụ thể. Bài viết đang chờ Hội đồng QA rà soát.
