Quy định về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân
Ngày 27/10/2026
Tiếp nối việc hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam, Chính phủ đã ban hành Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 (“Nghị định 330”) quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“DLCN”) và chính thức có hiệu lực thi hành kể từ ngày 19/8/2026. Theo đó, một số lưu ý về xử phạt vi phạm hành chính trong lĩnh vực bảo vệ DLCN như sau:
1. Hình thức xử phạt và biện pháp khắc phục hậu quả
1.1. Hình thức xử phạt chính
Nghị định 330 quy định 02 hình thức xử phạt chính đối với hành vi vi phạm hành chính trong lĩnh vực bảo vệ DLCN bao gồm:
(i) Cảnh cáo; hoặc
(ii) Phạt tiền.
1.2. Hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả
(i) Hình thức xử phạt bổ sung:
Bên cạnh các hình thức xử phạt chính, doanh nghiệp vi phạm trong lĩnh vực bảo vệ DLCN còn có thể bị áp dụng một hoặc nhiều hình thức phạt bổ sung, tùy vào vi phạm như:
- Tước quyền sử dụng giấy phép, chứng chỉ hành nghề liên quan đến lĩnh vực bảo vệ DLCN có thời hạn;
- Đình chỉ hoạt động có thời hạn;
- Tịch thu tang vật, phương tiện vi phạm;
- Trục xuất đối với người nước ngoài.
(ii) Biện pháp khắc phục hậu quả:
Doanh nghiệp vi phạm còn có thể đồng thời bị áp dụng một hoặc nhiều biện pháp khắc phục hậu quả như:
- Buộc chỉnh sửa, cập nhật, bổ sung DLCN cho chính xác;
- Buộc hủy, xóa tới mức không thể khôi phục DLCN bị chiếm đoạt, mua bán, trao đổi trái phép/DLCN đã xử lý trái phép, không đúng phạm vi, mục đích;
- Buộc dừng hoạt động xử lý DLCN cho đến khi đáp ứng đầy đủ các yêu cầu tuân thủ theo quy định;
- Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm,...
2. Thẩm quyền xử phạt
Nghị định 330 quy định thẩm quyền xử phạt và áp dụng biện pháp khắc phục hậu quả đối với vi phạm hành chính trong lĩnh vực bảo vệ DLCN cho các cá nhân, cơ quan dựa trên chức năng, nhiệm vụ và địa bàn quản lý, cụ thể:
(i) Công an nhân dân;
(ii) Chủ tịch Ủy ban nhân dân cấp xã, tỉnh;
(iii) Thanh tra;
(iv) Bộ đội Biên phòng;
(v) Cảnh sát biển;
(vi) Cơ quan thực hiện nhiệm vụ quản lý nhà nước và một số chức danh khác: Giám đốc các Sở, Cục trưởng các Cục, Chánh Văn phòng các Bộ, Trưởng đoàn kiểm tra do Bộ trưởng Bộ Khoa học và Công nghệ thành lập...
3. Mức xử phạt vi phạm hành chính đối với một số nghĩa vụ chính
| STT | Nghĩa vụ | Hành vi vi phạm | Hình thức và mức xử phạt vi phạm* |
| 1 | Xây dựng khung quản trị bảo vệ DLCN trong doanh nghiệp | Các hành vi vi phạm nghĩa vụ về chỉ định nhân sự, bộ phận bảo vệ DLCN (như không ký thỏa thuận trách nhiệm bảo mật; không ban hành văn bản chính thức chỉ định nhân sự, quyết định thành lập bộ phận; chỉ định nhân sự không đáp ứng điều kiện theo quy định...). |
Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Biện pháp khắc phục hậu quả. |
| Các hành vi phạm nghĩa vụ về thiết lập cơ chế giám sát khi xử lý DLCN không cần sự đồng ý (như không thiết lập quy trình, quy định xử lý DLCN; không có cơ chế tiếp nhận, xử lý phản ánh, kiến nghị; không triển khai biện pháp bảo vệ DLCN phù hợp làm lộ, mất DLCN...). | Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền từ 10 - 50 triệu đồng; và - Biện pháp khắc phục hậu quả. |
||
| 2 | Bảo mật và vận hành | Các hành vi vi phạm nghĩa vụ trong quy trình thu thập sự đồng ý của chủ thể DLCN như: (i) Xử lý DLCN khi chưa có sự đồng ý của chủ thể DLCN; khi chủ thể DLCN đã có yêu cầu ngừng, hạn chế xử lý hoặc có yêu cầu của cơ quan có thẩm quyền,...; (ii) Che giấu, ngăn chặn hoặc gây cản trở việc thực hiện quyền rút lại sự đồng ý của chủ thể DLCN; tiếp tục xử lý DLCN khi chủ thể DLCN rút lại sự đồng ý; không gửi yêu cầu ngừng xử lý DLCN cho Bên xử lý/Bên thứ ba. |
Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền từ 30 - 70 triệu đồng hoặc từ 20 - 30 triệu đồng; - Hình thức xử phạt bổ sung như tịch thu tang vật, phương tiện vi phạm; và - Biện pháp khắc phục hậu quả. |
| Các hành vi vi phạm nghĩa vụ về thu thập, lưu trữ, công khai, chuyển giao và xóa, hủy DLCN (như thu thập DLCN không đúng phạm vi, mục đích; thu thập, lưu trữ, hình thành kho DLCN từ hoạt động chuyển giao DLCN để dùng cho mục đích khác ngoài phạm vi đã đồng ý; công khai DLCN không có mục đích cụ thể, vượt quá phạm vi cần thiết hoặc công khai khi chưa có sự đồng ý của chủ thể DLCN; thỏa thuận về chuyển giao DLCN không xác định trách nhiệm của các bên). | Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền từ 10 - 80 triệu đồng hoặc từ 100 - 800 triệu đồng; - Hình thức xử phạt bổ sung như tịch thu tang vật, phương tiện vi phạm; và - Biện pháp khắc phục hậu quả. |
||
| Các hành vi vi phạm quy định về bảo vệ DLCN thu được từ một số hoạt động đặc thù như: (i) Hoạt động ghi âm, ghi hình nơi công cộng; (ii) Kinh doanh dịch vụ quảng cáo; (iii) Tuyển dụng, quản lý, sử dụng lao động; xử lý dữ liệu lớn; hệ thống trí tuệ nhân tạo, vũ trụ ảo; điện toán đám mây; (iv) Thông tin sức khỏe, hoạt động kinh doanh bảo hiểm, tài chính, ngân hàng và hoạt động thông tin tín dụng; (v) Công nghệ chuỗi khối; (vi) Trên nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến; dữ liệu vị trí cá nhân, dữ liệu sinh trắc học. |
Phạt tiền: - Từ 10 - 50 triệu đồng đối với nhóm (i). - Từ 30 - 70 triệu đồng đối với nhóm (ii). - Từ 20 - 100 triệu đồng đối với nhóm (iii). - Từ 50 - 100 triệu đồng đối với nhóm (iv). - Từ 20 - 150 triệu đồng đối với nhóm (v). - Từ 50 - 150 triệu đồng đối với nhóm (vi). Ngoài ra, doanh nghiệp có thể bị áp dụng hình thức xử phạt bổ sung như tịch thu tang vật, phương tiện vi phạm và/hoặc bị đình chỉ hoạt động từ 01 - 06 tháng tùy vào hành vi vi phạm và thực hiện biện pháp khắc phục hậu quả tương ứng. |
||
| 3 | Đánh giá, báo cáo và tuân thủ | Các hành vi vi phạm nghĩa vụ thông báo vi phạm quy định về bảo vệ DLCN (như không thông báo/chậm trễ thông báo cho bên liên quan, cơ quan chuyên trách; cố ý che giấu, cung cấp thông tin sai lệch khi thực hiện báo cáo vi phạm sự cố rò rỉ dữ liệu; không thực hiện các biện pháp ngăn chặn hành vi vi phạm; không khắc phục hậu quả xảy ra...). | Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền từ 10 - 80 triệu đồng; và - Biện pháp khắc phục hậu quả. |
| Các hành vi vi phạm nghĩa vụ về đánh giá tác động xử lý DLCN (như không lập, không duy trì, không nộp, cố ý không hoàn thiện, không cập nhật/chậm trễ cập nhật hồ sơ đánh giá tác động xử lý DLCN theo yêu cầu của cơ quan chuyên trách và theo quy định; cố tình làm giả số liệu, cung cấp sai lệch thông tin hồ sơ đánh giá tác động...). | Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền từ 20 - 30 triệu đồng hoặc từ 50 - 100 triệu đồng; và - Biện pháp khắc phục hậu quả. |
||
| Các hành vi vi phạm nghĩa vụ về đánh giá tác động chuyển DLCN xuyên biên giới (như không lập, không nộp, không hoàn thiện, không duy trì, không cập nhật/chậm trễ cập nhật hồ sơ đánh giá tác động chuyển DLCN xuyên biên giới theo quy định; không có hợp đồng/văn bản chuyển giao ràng buộc trách nhiệm; không bảo mật, bảo đảm an toàn khi chuyển DLCN; che giấu/khai báo sai dòng dữ liệu dẫn đến lộ, mất DLCN; tiếp tục chuyển dữ liệu sau khi bị yêu cầu dừng;...). | Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền (i) từ 30 - 100 triệu đồng; hoặc (ii) từ 1% - 5% doanh thu tại Việt Nam; nếu không có doanh thu tại Việt Nam/mức phạt tính theo tỷ lệ phần trăm doanh thu dưới 3 tỷ đồng thì mức phạt từ 200 triệu - 3 tỷ đồng; - Hình thức phạt bổ sung như tịch thu tang vật, phương tiện vi phạm và/hoặc bị đình chỉ hoạt động từ 06 - 12 tháng; và - Biện pháp khắc phục hậu quả. |
||
| 4 | Vi phạm các nghĩa vụ khác | Ngoài các vi phạm cơ bản trên, doanh nghiệp cũng có thể bị xử phạt vi phạm hành chính đối với các hành vi không tuân thủ các nghĩa vụ khác theo pháp luật về bảo vệ DLCN, như các hành vi: (i) Vi phạm các nghĩa vụ đối với chủ thể DLCN; (ii) Vi phạm nghĩa vụ ngăn chặn hoạt động thu thập DLCN trái phép; (iii) Vi phạm các điều cấm khác như: mua, bán trái phép DLCN; xử lý DLCN để tạo lập, phát tán, kích động… gây mất an ninh trật tự; (iv) Vi phạm các nghĩa vụ ngăn chặn hành vi vi phạm, khắc phục hậu quả và phối hợp với cơ quan chuyên trách bảo vệ DLCN. |
Tùy vào hành vi vi phạm, doanh nghiệp có thể bị áp dụng: - Mức phạt tiền (i) từ 10 triệu đồng trở lên hoặc (ii) từ 02 - 10 lần khoản thu đối với các vi phạm về mua, bán trái phép DLCN, nếu không có khoản thu, mức phạt tiền tối đa là 3 tỷ đồng; - Hình thức phạt bổ sung là tịch thu tang vật, phương tiện vi phạm; và - Biện pháp khắc phục hậu quả. |
| * Mức phạt tiền ghi nhận tại mục này được áp dụng đối với hành vi vi phạm hành chính do tổ chức thực hiện. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với tổ chức. | |||
---------------------
Nắm vững các quy định về nghĩa vụ tuân thủ bảo vệ DLCN và các quy định xử phạt vi phạm hành chính là yếu tố then chốt trong quản trị rủi ro cho doanh nghiệp, giúp doanh nghiệp chủ động phòng ngừa rủi ro pháp lý và giảm nguy cơ gián đoạn hoạt động kinh doanh. Do đó, doanh nghiệp nên chủ động rà soát hồ sơ pháp lý, quy trình nội bộ, chỉ định nhân sự/bộ phận chuyên trách, xây dựng quy trình bảo vệ DLCN tiêu chuẩn theo quy định pháp luật và khắc phục kịp thời các vi phạm hiện hữu để hạn chế các rủi ro có thể phát sinh.
Để nhận được sự hỗ trợ pháp lý về đánh giá rủi ro vi phạm nghĩa vụ bảo vệ DLCN, tư vấn xây dựng và/hoặc hoàn thiện quy trình bảo vệ DLCN nội bộ, Quý doanh nghiệp vui lòng liên hệ LA theo thông tin dưới đây:
CÔNG TY LUẬT HỢP DANH LA
Địa chỉ: Phòng D14, Lầu 2, 40 Bà Huyện Thanh Quan, Phường Xuân Hòa, TP. Hồ Chí Minh
Điện thoại: 028 3930 6949
Email: thaianh.luong@la-vn.com