Nghị định 330/2026/NĐ-CP xử phạt hành chính vi phạm bảo vệ dữ liệu cá nhân từ 19/8/2026 đánh dấu bước chuyển quan trọng trong cơ chế bảo đảm thực thi pháp luật về bảo vệ dữ liệu cá nhân tại Việt Nam. Nếu trước đây doanh nghiệp đã phải thực hiện nhiều nghĩa vụ về bảo vệ dữ liệu cá nhân nhưng chế tài xử phạt hành chính chưa được quy định đầy đủ, thì từ ngày 19/8/2026, hệ thống pháp luật đã hình thành tương đối đầy đủ theo hướng Luật quy định nghĩa vụ – Nghị định hướng dẫn quy định cách thức thực hiện – Nghị định xử phạt quy định chế tài khi không tuân thủ.
Quy định cụ thể các chế tài xử phạt hành chính vi phạm bảo vệ dữ liệu cá nhân từ ngày 19/8/2026
Trước đây, Nghị định số 13/2023/NĐ-CP quy định về bảo vệ dữ liệu cá nhân. Từ ngày 01/01/2026, Nghị định số 356/2025/NĐ-CP chính thức có hiệu lực, hướng dẫn các quy định của Luật Bảo vệ dữ liệu cá nhân năm 2025 và thay thế Nghị định số 13/2023/NĐ-CP.
Tuy nhiên, trong giai đoạn trước ngày 19/8/2026, chưa có một nghị định xử phạt hành chính chuyên biệt quy định đầy đủ, trực tiếp các hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân và mức phạt tương ứng. Điều này phần nào khiến việc thực thi các nghĩa vụ bảo vệ dữ liệu cá nhân trên thực tế chưa tạo ra sức ép tuân thủ đủ lớn đối với doanh nghiệp.
Từ ngày 19/8/2026, khi Nghị định số 330/2026/NĐ-CP có hiệu lực, khoảng trống về chế tài này được khắc phục. Các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân từ Điều 39 đến Điều 71 được xác định cụ thể, đi kèm mức phạt tiền và các biện pháp khắc phục hậu quả tương ứng.
Đây là điểm doanh nghiệp cần đặc biệt lưu ý bởi từ thời điểm này, những nghĩa vụ vốn được nhìn nhận chủ yếu dưới góc độ “nghĩa vụ tuân thủ” đã có thể chuyển hóa thành rủi ro xử phạt tài chính và rủi ro hoạt động thực tế nếu doanh nghiệp không thực hiện đúng quy định.
Mức phạt tiền trong lĩnh vực bảo vệ dữ liệu cá nhân tối đa là 03 tỷ đồng
Theo khoản 4 Điều 7 Nghị định số 330/2026/NĐ-CP, mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân như sau:
- Hành vi mua, bán dữ liệu cá nhân: 10 lần khoản thu có được từ hành vi vi phạm;
- Hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: 5% doanh thu của năm trước liền kề của tổ chức đó;
- Hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân: 03 tỷ đồng.
Như vậy, chế tài xử phạt trong lĩnh vực bảo vệ dữ liệu cá nhân có thể rất lớn, đặc biệt đối với các hành vi gắn với hoạt động kinh doanh dữ liệu hoặc chuyển dữ liệu xuyên biên giới. Đây là cơ sở để doanh nghiệp cần coi việc bảo vệ dữ liệu cá nhân là một nội dung quan trọng trong quản trị rủi ro và tuân thủ pháp luật.
Không được mặc nhiên coi sự im lặng là đồng ý xử lý dữ liệu cá nhân
Điều 43 Nghị định 330/2026/NĐ-CP xử phạt hành chính vi phạm bảo vệ dữ liệu cá nhân từ 19/8/2026 quy định cụ thể mức phạt đối với hành vi vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân, cụ thể:
Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng
- Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác;
- Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó;
- Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân;
- Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý;
- Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ;
- Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân;
- Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền;
- Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.
Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng
- Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản;
- Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.
Như vậy, nếu tổ chức thu thập, xử lý dữ liệu khi chủ thể dữ liệu giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý và tự ý coi sự im lặng là đồng ý sẽ bị phạt từ 50-70 triệu đồng.
Doanh nghiệp cần thiết kế cơ chế xin và ghi nhận sự đồng ý theo hướng chủ động, rõ ràng và có thể kiểm chứng, thay vì dựa vào việc chủ thể dữ liệu không phản hồi để mặc nhiên xác định là đã đồng ý.
Cố ý cung cấp dữ liệu cá nhân của người khác có thể bị phạt lên đến 30 triệu đồng
Theo khoản 2 Điều 42 Nghị định 330/2026/NĐ-CP quy định, phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cá nhân có một trong các hành vi sau:
- Thu thập, sử dụng, tiết lộ, sửa đổi, làm sai lệch, hủy hoại hoặc truy cập trái phép dữ liệu cá nhân của người khác gây thiệt hại đến quyền, lợi ích hợp pháp của người đó;
- Cố ý cung cấp dữ liệu cá nhân của người khác nhằm mục đích lừa đảo, gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;
- Lợi dụng việc thực hiện quyền chủ thể dữ liệu cá nhân vượt quá phạm vi cần thiết hoặc không phù hợp với mục đích thực hiện quyền, gây khó khăn hoặc cản trở hoạt động kinh doanh hợp pháp của cơ quan, tổ chức;
- Từ chối tham gia phối hợp phòng, chống hoạt động xâm phạm dữ liệu cá nhân khi có yêu cầu chính thức của cơ quan nhà nước có thẩm quyền.
Từ chối cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân khi có yêu cầu hợp lệ có thể bị phạt lên đến 20 triệu đồng
Theo khoản 1 Điều 49 Nghị định 330/2026/NĐ-CP quy định phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với hành vi từ chối cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân khi có yêu cầu hợp lệ.
Ngoài ra, hành vi cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể dữ liệu cá nhân đồng ý có thể bị phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng.
Mua bán dữ liệu cá nhân có thể bị phạt gấp 10 lần khoản thu
Theo khoản 1 Điều 53 Nghị định 330/2026/NĐ-CP quy định tổ chức thực hiện hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt tiền từ 02 lần đến tối đa 10 lần khoản thu có được từ hành vi vi phạm.
Các hành vi bị xử phạt gồm: cung cấp, chia sẻ, trao đổi dữ liệu cá nhân nhằm thu tài sản hoặc lợi ích khác trái quy định; chuyển giao dữ liệu cá nhân có thu phí nhưng không có thỏa thuận; thỏa thuận không xác định mục đích chuyển giao hoặc không thực hiện đúng mục đích đã thỏa thuận.
Mức phạt trên còn áp dụng đối với hành vi không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu đồng ý rõ ràng theo từng lần chuyển giao; xử lý dữ liệu không đúng mục đích đã được đồng ý hoặc không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.
Với mức phạt có thể lên tới 10 lần khoản thu, mua bán dữ liệu cá nhân trái pháp luật trở thành một trong những nhóm hành vi có rủi ro tài chính đặc biệt lớn mà doanh nghiệp cần kiểm soát chặt chẽ.
Không lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân có thể bị phạt từ 20.000.000 đồng đến 30.000.000 đồng
Theo khoản 1 Điều 55 Nghị định 330/2026/NĐ-CP quy định phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân sau:
- Bắt đầu các hoạt động xử lý dữ liệu cá nhân nhưng không lập, không duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại trụ sở doanh nghiệp;
- Không gửi 01 bản chính Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân;
- Cố ý không hoàn thiện hồ sơ đánh giá tác động theo yêu cầu của cơ quan chuyên trách trong trường hợp hồ sơ chưa đầy đủ, đúng quy định;
- Không cập nhật định kỳ 06 tháng đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi có sự thay đổi theo quy định pháp luật;
- Không cập nhật hồ sơ trong thời hạn 10 ngày khi thuộc một trong các trường hợp phải cập nhật theo quy định của pháp luật.
Xử phạt vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến
Theo khoản 1, khoản 2 Điều 65 Nghị định 330/2026 quy định xử phạt vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến như sau:
Mức phạt 50.000.000 – 70.000.000 đồng
Tổ chức cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến, nền tảng nội dung số có một trong các hành vi sau:
- Không thông báo rõ ràng về nội dung dữ liệu cá nhân được thu thập khi người dùng cài đặt, sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến.
- Không cung cấp lựa chọn cho phép người dùng từ chối việc thu thập và chia sẻ tệp dữ liệu (cookies).
- Không cung cấp lựa chọn “không theo dõi” (Do Not Track) hoặc chỉ được theo dõi hoạt động sử dụng khi có sự đồng ý của người dùng.
- Không công khai chính sách bảo mật một cách minh bạch hoặc không giải thích rõ ràng, dễ hiểu về cách thức thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân.
- Không cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa dữ liệu cá nhân; tự thiết lập quyền riêng tư đối với tài khoản và báo cáo vi phạm về bảo mật, quyền riêng tư.
- Không thông báo rõ ràng về nội dung dữ liệu cá nhân sẽ được thu thập khi người dùng cài đặt và sử dụng ứng dụng.
Mức phạt 70.000.000 – 150.000.000 đồng
- Bắt buộc người dùng cung cấp hình ảnh, video chứa toàn bộ hoặc một phần giấy tờ tùy thân làm điều kiện bắt buộc để xác thực tài khoản sử dụng thông thường, trong trường hợp pháp luật chuyên ngành không yêu cầu định danh.
- Ứng dụng OTT, mạng xã hội sử dụng các tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện trên thiết bị khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân và không thuộc trường hợp pháp luật có quy định khác.
- Thu thập trái phép dữ liệu cá nhân vượt ra ngoài phạm vi đã thỏa thuận với người dùng khi cài đặt dịch vụ.
Một số câu hỏi liên quan
Doanh nghiệp xử lý dữ liệu cá nhân nhưng không lập Hồ sơ đánh giá tác động có bị phạt không?
Doanh nghiệp bắt đầu xử lý dữ liệu cá nhân nhưng không lập hoặc không duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng theo khoản 1 Điều 55 Nghị định 330/2026/NĐ-CP.
Mua bán trái phép dữ liệu cá nhân bị phạt bao nhiêu?
Tổ chức mua, bán trái phép dữ liệu cá nhân có thể bị phạt từ 02 lần đến tối đa 10 lần khoản thu có được từ hành vi vi phạm. Đây là một trong những chế tài đáng chú ý nhất của Nghị định 330/2026/NĐ-CP đối với hoạt động kinh doanh dữ liệu cá nhân.
Ứng dụng có được tự động truy cập danh bạ, tin nhắn hoặc tệp tin trên thiết bị của người dùng không?
Việc sử dụng các tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn hoặc tự động trích xuất danh bạ, tệp tin phương tiện khi chưa có sự đồng ý của chủ thể dữ liệu và không thuộc trường hợp pháp luật cho phép có thể bị phạt từ 70 triệu đồng đến 150 triệu đồng.
Doanh nghiệp cần làm gì để hạn chế nguy cơ bị xử phạt theo Nghị định 330/2026/NĐ-CP?
Doanh nghiệp nên rà soát toàn bộ quy trình thu thập, lưu trữ, sử dụng, chia sẻ và chuyển giao dữ liệu cá nhân; kiểm tra cơ chế xin và lưu trữ sự đồng ý; lập và cập nhật Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân; rà soát chính sách bảo mật, giao diện ứng dụng, cookies, cơ chế “Do Not Track” và quyền truy cập dữ liệu trên thiết bị. Việc chủ động rà soát giúp doanh nghiệp phát hiện và khắc phục các điểm chưa phù hợp trước khi phát sinh rủi ro xử phạt.
Trên đây là nội dung về Nghị định 330/2026/NĐ-CP xử phạt hành chính vi phạm bảo vệ dữ liệu cá nhân từ 19/8/2026. Nếu Qúy khách hàng cần dịch vụ tư vấn chính sách bảo vệ dữ liệu cá nhân theo quy định vui lòng liên hệ Luật Việt An chúng tôi để được hỗ trợ tốt nhất!
