Nghị định 330/2026/NĐ-CP Quy định xử phạt an ninh mạng & bảo vệ dữ liệu cá nhân

Ngày 19/8/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP về quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định số 330/2026 có hiệu lực ngay từ ngày 19/8/2026, đánh dấu bước tăng cường đáng kể về chế tài đối với các hành vi vi phạm trong quá trình thu thập, xử lý, lưu trữ, cung cấp, chuyển giao và sử dụng dữ liệu cá nhân.

Bài viết dưới đây sẽ tập trung phân tích những điểm đáng chú ý của Nghị định 330/2026/NĐ-CP và đưa ra một số khuyến nghị để doanh nghiệp chủ động rà soát và nâng cao mức độ tuân thủ trong hoạt động xử lý dữ liệu cá nhân.

Phạm vi điều chỉnh và đối tượng áp dụng Nghị định 330/2026/NĐ-CP

Nghị định 330/2026/NĐ-CP gồm 04 chương, 82 điều, quy định về hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; hình thức và mức xử phạt; biện pháp khắc phục hậu quả; đối tượng bị xử phạt; thẩm quyền xử phạt, lập biên bản và việc thi hành quyết định xử phạt vi phạm hành chính.

Nghị định 330/2026/NĐ-CP áp dụng đối với cá nhân, tổ chức Việt Nam và cá nhân, tổ chức nước ngoài có hành vi vi phạm thuộc phạm vi điều chỉnh của Nghị định tại Việt Nam và các khu vực thuộc phạm vi tài phán được quy định. Đối tượng tổ chức bao gồm doanh nghiệp, đơn vị phụ thuộc doanh nghiệp và các tổ chức khác theo quy định pháp luật.

Đáng chú ý, hộ kinh doanh, hộ gia đình và cộng đồng dân cư thực hiện hành vi vi phạm theo Nghị định 330/2026/NĐ-CP sẽ áp dụng mức phạt tiền như đối với cá nhân.

Xem thêm: Dữ liệu cá nhân là gì? Quy định bảo vệ dữ liệu cá nhân

Toàn bộ vòng đời dữ liệu cá nhân đều có thể phát sinh rủi ro xử phạt theo Nghị định 330/2026/NĐ-CP

Nghị định 330/2026/NĐ-CP quy định chế tài đối với nhiều nhóm hành vi, từ vi phạm nguyên tắc bảo vệ dữ liệu cá nhân, xử lý dữ liệu không đúng phạm vi hoặc mục đích, không bảo đảm tính chính xác và cập nhật của dữ liệu, lưu trữ quá thời gian cần thiết, vi phạm quy định về sự đồng ý và quyền của chủ thể dữ liệu, cho đến thu thập, cung cấp, công khai, xóa, hủy, khử nhận dạng, chuyển giao hoặc mua bán trái phép dữ liệu cá nhân.

Ngoài các nhóm hành vi nêu trên, Nghị định 330/2026/NĐ-CP có điều khoản riêng để xử phạt việc không thông báo hoặc thông báo không đúng quy định khi xảy ra sự cố về dữ liệu cá nhân; không thực hiện hoặc thực hiện không đầy đủ nghĩa vụ đánh giá tác động xử lý dữ liệu (DPIA); vi phạm điều kiện khi chuyển dữ liệu cá nhân ra nước ngoài; không chỉ định nhân sự hoặc bộ phận phụ trách bảo vệ dữ liệu cá nhân theo quy định; các vi phạm trong hoạt động cung cấp dịch vụ bảo vệ dữ liệu và kinh doanh dịch vụ xử lý dữ liệu cá nhân.

Đây là những nghĩa vụ mang tính quy trình nội bộ mà nhiều doanh nghiệp dễ bỏ sót vì không trực tiếp liên quan đến việc để lộ dữ liệu, nên doanh nghiệp cần rà soát riêng các điều khoản này thay vì chỉ tập trung vào nhóm hành vi có mức phạt cao dễ thấy.

Như vậy, theo Nghị định 330/2026/NĐ-CP thì trách nhiệm tuân thủ không còn chỉ dừng lại ở việc không để lộ dữ liệu, mà được đặt ra đối với toàn bộ vòng đời dữ liệu cá nhân trong doanh nghiệp.

Các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Một điểm quan trọng của Nghị định 330/2026/NĐ-CP là hình thức xử phạt không chỉ dừng ở phạt tiền. Theo Điều 4, hai hình thức xử phạt chính là cảnh cáo và phạt tiền, nhưng tùy tính chất, mức độ vi phạm, tổ chức còn có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề từ 01-24 tháng, đình chỉ hoạt động từ 01-24 tháng, hoặc bị tịch thu tang vật, phương tiện vi phạm.

Bên cạnh đó, Điều 5 Nghị định 330/2026/NĐ-CP quy định nhiều biện pháp khắc phục hậu quả mà doanh nghiệp có thể phải thực hiện, tùy từng hành vi:

• Khôi phục tình trạng ban đầu của hệ thống thông tin, khắc phục tình trạng mất an ninh mạng hoặc lộ lọt dữ liệu;
• Hủy hoặc xóa dữ liệu cá nhân được xử lý trái quy định đến mức không thể khôi phục;
• Nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm;
• Trong một số trường hợp, thu hồi tên miền liên quan đến hành vi vi phạm.

Điều này đồng nghĩa với việc một vi phạm về dữ liệu không chỉ gây thiệt hại tài chính trực tiếp, mà còn có thể ảnh hưởng đến khả năng vận hành liên tục của doanh nghiệp (nếu bị đình chỉ hoạt động) và giá trị thương mại của toàn bộ cơ sở dữ liệu đã xây dựng.

Mức phạt Doanh nghiệp thu thập dữ liệu không có sự đồng ý của chủ thể dữ liệu cá nhân

Một trong những nội dung doanh nghiệp cần đặc biệt lưu ý là quy định liên quan đến sự đồng ý của chủ thể dữ liệu cá nhân tại khoản 2 Điều 43 Nghị định 330/2026/NĐ-CP.

Đây là quy định xử phạt đối với các hành vi như xử lý dữ liệu sau khi thu thập nhưng chưa có sự đồng ý hợp lệ; thiết lập cơ chế mặc định đồng ý; không bảo đảm chủ thể dữ liệu được lựa chọn đồng ý đối với từng mục đích xử lý; hoặc thiết kế giao diện, chỉ dẫn khiến chủ thể dữ liệu hiểu nhầm giữa việc đồng ý và không đồng ý. Đặc biệt, doanh nghiệp không thể mặc nhiên xác định việc khách hàng không phản hồi hoặc im lặng là đồng ý.

Đối với một số hành vi vi phạm về sự đồng ý, doanh nghiệp phải chịu mức phạt có thể lên tới 70 triệu đồng theo Nghị định 330/2026/NĐ-CP và có tác động trực tiếp đến nhiều hoạt động phổ biến của doanh nghiệp như:

• Form đăng ký thông tin khách hàng;
• Website và ứng dụng;
• Cookie và công nghệ tracking;
• Email marketing;
• SMS/Call marketing;
• Chương trình khách hàng thân thiết;
• Thu thập thông tin để quảng cáo;
• Chia sẻ thông tin khách hàng cho đối tác.

Doanh nghiệp cần thiết kế lại cơ chế chấp thuận theo hướng chủ động, rõ ràng, cụ thể và có khả năng chứng minh.

Xem thêm: Giấy phép cung cấp dịch vụ xử lý dữ liệu cá nhân

Mức phạt doanh nghiệp xử lý dữ liệu khi chưa có sự đồng ý theo Nghị định 330/2026/NĐ-CP

Theo khoản 1 Điều 43 Nghị định 330/2026/NĐ-CP, hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý hợp lệ của chủ thể dữ liệu có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng, trừ trường hợp pháp luật có quy định khác – các trường hợp xử lý dữ liệu không cần sự đồng ý theo quy định của Luật Bảo vệ dữ liệu cá nhân (ví dụ: phục vụ mục đích an ninh quốc gia, cứu người, thực hiện nghĩa vụ theo hợp đồng đã ký, hoặc theo yêu cầu của cơ quan có thẩm quyền) sẽ không bị coi là vi phạm.

Bên cạnh tiền phạt, tổ chức vi phạm xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý hợp lệ của chủ thể dữ liệu theo Nghị định 330/2026/NĐ-CP còn có thể phải thực hiện các biện pháp khắc phục hậu quả như buộc hủy, xóa dữ liệu cá nhân đã thu thập trái quy định đến mức không thể khôi phục, và nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Do đó, rủi ro đối với doanh nghiệp không chỉ nằm ở chi phí tiền phạt, mà còn có thể là mất quyền sử dụng toàn bộ cơ sở dữ liệu được hình thành từ hoạt động xử lý trái pháp luật.

Mức phạt doanh nghiệp xử lý dữ liệu không đúng mục đích theo Nghị định 330/2026/NĐ-CP

Khoản 1 Điều 39 của Nghị định 330/2026/NĐ-CP quy định mức phạt từ 20 triệu đồng đến 40 triệu đồng đối với một số hành vi vi phạm nguyên tắc bảo vệ dữ liệu cá nhân, trong đó có:

• Xử lý dữ liệu không đúng phạm vi;
• Xử lý không phù hợp với mục đích đã xác định hoặc đã được đồng ý;
• Xử lý vượt quá mức cần thiết để thực hiện mục đích;
• Không bảo đảm tính chính xác của dữ liệu;
• Không kịp thời chỉnh sửa, cập nhật, bổ sung khi phát hiện sai sót;
• Lưu trữ dữ liệu vượt quá thời gian cần thiết;
• Không chủ động phòng ngừa, phát hiện và phối hợp xử lý hành vi vi phạm về bảo vệ dữ liệu cá nhân.

Đây là vấn đề đặc biệt quan trọng đối với doanh nghiệp có hệ thống CRM, HRM, ERP, nền tảng thương mại điện tử hoặc các hệ thống AI sử dụng dữ liệu khách hàng.

Chẳng hạn, doanh nghiệp thu thập số điện thoại của khách hàng để thực hiện hợp đồng nhưng sau đó sử dụng danh sách này cho mục đích quảng cáo hoặc cung cấp cho bên thứ ba mà không có căn cứ pháp lý phù hợp có thể phát sinh rủi ro vi phạm.

Mức phạt mua bán trái phép dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP

Một trong những quy định đáng chú ý nhất là quy định tại Điều 53 Nghị định 330/2026/NĐ-CP chế tài đối với hành vi mua, bán trái phép dữ liệu cá nhân.

Theo các quy định được công bố, tổ chức thực hiện hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt từ 02 lần đến 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp không xác định được khoản thu hoặc không có khoản thu, mức phạt có thể được xác định dựa trên quy mô và tính chất dữ liệu.

Đối với một số trường hợp mua bán dữ liệu cá nhân cơ bản từ 10.000 người trở lên hoặc dữ liệu cá nhân nhạy cảm từ 2.000 người trở lên, mức phạt có thể từ 500 triệu đồng đến 1 tỷ đồng. Đối với hành vi có tính chất đặc biệt nghiêm trọng, mức phạt đối với tổ chức có thể lên tới 1-3 tỷ đồng.

Điểm đáng chú ý là chế tài trong một số trường hợp không còn đơn thuần dựa trên một mức tiền phạt cố định mà được gắn trực tiếp với khoản thu bất hợp pháp từ hành vi vi phạm, qua đó làm gia tăng đáng kể rủi ro tài chính đối với doanh nghiệp.

Dữ liệu sinh trắc học và dữ liệu nhạy cảm cần được kiểm soát đặc biệt

Đối với các loại dữ liệu có mức độ nhạy cảm cao, doanh nghiệp cần tăng cường kiểm soát về mục đích, phạm vi xử lý và biện pháp bảo vệ.

Theo Điều 70 Nghị định 330/2026/NĐ-CP, một số hành vi liên quan đến việc khai thác, sử dụng dữ liệu sinh trắc học vượt quá mục đích ban đầu hoặc không bảo đảm các biện pháp bảo vệ theo quy định có thể bị xử phạt ở mức 70-150 triệu đồng đối với tổ chức.

Do đó, các doanh nghiệp cần đặc biệt rà soát căn cứ pháp lý, mục đích xử lý, quyền truy cập và cơ chế bảo mật khi sử dụng: nhận diện khuôn mặt; vân tay; nhận diện sinh trắc học; dữ liệu sức khỏe; dữ liệu tài chính; dữ liệu định vị; các loại dữ liệu cá nhân nhạy cảm khác.

Bảo vệ dữ liệu cá nhân trở thành một yêu cầu xuyên suốt trong quản trị doanh nghiệp

Từ góc độ quản trị doanh nghiệp, Nghị định 330/2026/NĐ-CP cho thấy bảo vệ dữ liệu cá nhân đang chuyển từ một yêu cầu mang tính pháp lý – hành chính sang một yêu cầu tuân thủ xuyên suốt hoạt động kinh doanh. Doanh nghiệp nên rà soát tối thiểu các nội dung sau:

• Thứ nhất, rà soát bản đồ dữ liệu (Data Mapping): Xác định doanh nghiệp đang thu thập loại dữ liệu nào, từ đâu, phục vụ mục đích gì, lưu trữ ở đâu, ai có quyền truy cập và được chia sẻ cho bên nào.
• Thứ hai, rà soát cơ chế xin sự đồng ý: Đặc biệt kiểm tra website, app, form đăng ký, hợp đồng, chương trình marketing và các nền tảng số có sử dụng dữ liệu cá nhân.
• Thứ ba, rà soát mục đích xử lý: Không sử dụng dữ liệu cho mục đích khác với mục đích đã xác định hoặc không có căn cứ pháp lý phù hợp.
• Thứ tư, kiểm soát bên thứ ba: Rà soát hợp đồng với đơn vị cung cấp CRM, cloud, marketing, HR, payroll, AI, call center, đơn vị xử lý dữ liệu và các nhà cung cấp dịch vụ khác có quyền tiếp cận dữ liệu cá nhân.
• Thứ năm, rà soát việc chuyển dữ liệu xuyên biên giới: Đặc biệt đối với doanh nghiệp FDI, tập đoàn đa quốc gia và doanh nghiệp sử dụng hệ thống máy chủ hoặc phần mềm đặt tại nước ngoài.
• Thứ sáu, thiết lập cơ chế lưu trữ và xóa dữ liệu: Không nên duy trì dữ liệu vô thời hạn chỉ vì lý do “có thể cần sử dụng trong tương lai”.
• Thứ bảy, phân công trách nhiệm nội bộ: Doanh nghiệp cần xác định rõ bộ phận, nhân sự chịu trách nhiệm về bảo vệ dữ liệu cá nhân và cơ chế phối hợp khi xảy ra sự cố.

Khuyến nghị đối với doanh nghiệp

Nghị định 330/2026/NĐ-CP đã có hiệu lực từ ngày 19/8/2026. Vì vậy, doanh nghiệp không nên chờ đến khi có thanh tra hoặc phát sinh sự cố mới tiến hành rà soát.

Đặc biệt, doanh nghiệp có hoạt động xử lý dữ liệu cá nhân với quy mô lớn nên ưu tiên thực hiện kiểm toán tuân thủ về bảo vệ dữ liệu cá nhân, tập trung vào:

• Kiểm kê toàn bộ dữ liệu cá nhân đang xử lý;
• Phân loại dữ liệu cá nhân và dữ liệu cá nhân nhạy cảm;
• Xác định căn cứ pháp lý cho từng hoạt động xử lý;
• Rà soát cơ chế xin và lưu trữ bằng chứng về sự đồng ý;
• Rà soát chính sách bảo vệ dữ liệu cá nhân;
• Rà soát hợp đồng với khách hàng, người lao động và bên thứ ba;
• Kiểm tra hoạt động chuyển giao, chia sẻ dữ liệu;
• Kiểm tra hoạt động chuyển dữ liệu xuyên biên giới;
• Xây dựng quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu;
• Xây dựng quy trình ứng phó khi xảy ra vi phạm dữ liệu cá nhân.

Nghị định 330/2026/NĐ-CP là một bước quan trọng trong việc tăng cường chế tài và nâng cao trách nhiệm tuân thủ về an ninh mạng, bảo vệ dữ liệu cá nhân tại Việt Nam.

Đối với doanh nghiệp, đặc biệt là doanh nghiệp công nghệ, thương mại điện tử, tài chính – ngân hàng, bảo hiểm, y tế, giáo dục, nhân sự và các doanh nghiệp có lượng lớn dữ liệu khách hàng, việc bảo vệ dữ liệu cá nhân cần được xem là một cấu phần của quản trị rủi ro và quản trị doanh nghiệp, thay vì chỉ là vấn đề của bộ phận IT.

Nếu Quý Doanh nghiệp đang cần rà soát mức độ tuân thủ hoặc xây dựng, cập nhật hệ thống bảo vệ dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP, Siglaw sẵn sàng đồng hành và cung cấp các giải pháp tư vấn pháp lý phù hợp với đặc thù hoạt động của từng doanh nghiệp.

Liên hệ Siglaw để được tư vấn và hỗ trợ chuyên sâu về bảo vệ dữ liệu cá nhân, rà soát tuân thủ và quản trị rủi ro pháp lý.

Trụ sở chính tại Tp. Hà Nội: Số 44/A32 – NV13, Khu A Geleximco, Đường Lê Trọng Tấn, Phường Tây Mỗ, Tp. Hà Nội.

Chi nhánh tại miền Nam: Số 103 – 105, Đường Nguyễn Đình Chiểu, Phường Xuân Hòa, Tp. Hồ Chí Minh.

Chi nhánh tại miền Trung: VIFC DN – Tòa nhà ICT Công viên Phần mềm số 2, Đường Như Nguyệt, Phường Hải Châu, Đà Nẵng.

Hotline: 0961 366 238

Email: vp@siglaw.com.vn

Facebook: https://www.facebook.com/hangluatSiglaw