THÔNG TIN PHỔ BIẾN GIÁO DỤC PHÁP LUẬT

       Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực từ ngày 19/8/2026, đã quy định cụ thể các hành vi vi phạm, mức phạt tiền, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả trong lĩnh vực bảo vệ dữ liệu cá nhân. Đối với doanh nghiệp, vi phạm có thể phát sinh trong quá trình thu thập, xử lý, lưu trữ, chia sẻ dữ liệu khách hàng, tuyển dụng, quản lý người lao động, quảng cáo hoặc cung cấp dịch vụ. Tùy tính chất, mức độ và hành vi vi phạm, doanh nghiệp có thể bị phạt tiền đến hàng tỷ đồng, bị đình chỉ hoạt động có thời hạn hoặc phải thực hiện các biện pháp khắc phục hậu quả theo quy định.

       1. Xử phạt vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân (Điều 43)

       Theo khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Trong hoạt động sản xuất, kinh doanh, các thông tin như họ tên, số điện thoại, địa chỉ liên hệ, thông tin tài khoản, hồ sơ tuyển dụng và thông tin sức khỏe của người lao động có thể thuộc phạm vi dữ liệu cá nhân cần được bảo vệ theo quy định pháp luật.

       Theo Điều 43 Nghị định số 330/2026/NĐ-CP, doanh nghiệp có thể bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng đối với một trong các hành vi sau:

Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

       Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu không đồng ý cho xử lý dữ liệu vào mục đích khác không liên quan đến thỏa thuận cung cấp dịch vụ.

       Thiết lập phương thức mặc định đồng ý, tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân. 

       Xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý;.

       Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền;

       Mức phạt từ 50 triệu đồng đến 70 triệu đồng được áp dụng đối với hành vi cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản; Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.

       Ngoài phạt tiền, tùy hành vi cụ thể, doanh nghiệp còn có thể bị tịch thu tang vật, phương tiện vi phạm; buộc hủy, xóa dữ liệu cá nhân đã thu thập, xử lý trái quy định đến mức không thể khôi phục hoặc buộc nộp lại khoản thu bất hợp pháp. 

       2. Xử phạt vi phạm quy định về công khai dữ liệu cá nhân (Điều 50)

       Điều 50 Nghị định số 330/2026/NĐ-CP quy định:

       Phạt tiền từ 20 triệu đồng đến 30 triệu đồng đối với các hành vi như công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai theo quy định của pháp luật; công khai vượt quá phạm vi, loại dữ liệu cần thiết cho mục đích công khai; Công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn dữ liệu gốc hoặc không kiểm soát, giám sát chặt chẽ việc công khai theo quy định.

       Phạt tiền từ 30 triệu đồng đến 50 triệu đồng đối với hành vi công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân hoặc công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật cho phép.

       Ngoài ra, doanh nghiệp có thể bị buộc gỡ bỏ, thu hồi dữ liệu đã công khai trái quy định theo biện pháp khắc phục hậu quả tương ứng.

       3. Xử phạt vi phạm nghĩa vụ thông báo vi phạm về bảo vệ dữ liệu cá nhân (Điều 54)

       Tùy hành vi cụ thể, Điều 54 Nghị định số 330/2026/NĐ-CP quy định các mức phạt tiền khác nhau:

       Từ 10 triệu đồng đến 20 triệu đồng đối với một số hành vi như bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm nhưng không thông báo kịp thời cho bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu.

       Từ 20 triệu đồng đến 40 triệu đồng đối với hành vi không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp phải thông báo theo quy định như: Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân; Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận; Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân.

       Từ 40 triệu đồng đến 60 triệu đồng đối với hành vi thông báo cho cơ quan chuyên trách chậm quá 72 giờ kể từ khi phát hiện vi phạm thuộc trường hợp quy định tại Nghị định.

       Từ 60 triệu đồng đến 80 triệu đồng đối với hành vi không thực hiện các biện pháp ngăn chặn hành vi vi phạm, không khắc phục hậu quả xảy ra; Không phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong việc xử lý hành vi vi phạm.

       Doanh nghiệp còn có thể bị buộc thực hiện đầy đủ nghĩa vụ thông báo, cung cấp minh chứng thực hiện và áp dụng các biện pháp ngăn chặn, khắc phục hậu quả theo yêu cầu của cơ quan có thẩm quyền.

       4. Xử phạt vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân (Điều 55)

       Theo Điều 55 Nghị định số 330/2026/NĐ-CP, doanh nghiệp có thể bị phạt tiền từ 20 triệu đồng đến 30 triệu đồng nếu bắt đầu xử lý dữ liệu cá nhân nhưng không lập, không duy trì hồ sơ đánh giá tác động; không gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời hạn quy định; cố ý không hoàn thiện hồ sơ theo yêu cầu hoặc không cập nhật hồ sơ khi thuộc trường hợp phải cập nhật.

       Hành vi cố tình làm giả số liệu, cung cấp thông tin sai lệch trong hồ sơ hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ theo yêu cầu của cơ quan chuyên trách có thể bị phạt từ 50 triệu đồng đến 100 triệu đồng.

       5. Xử phạt vi phạm quy định về mua, bán dữ liệu cá nhân và chuyển dữ liệu cá nhân xuyên biên giới (Điều 53 và Điều 56)

       Đối với hành vi mua, bán trái phép dữ liệu cá nhân, Điều 53 Nghị định số 330/2026/NĐ-CP quy định các mức phạt tương ứng với hành vi vi phạm. Theo điểm a khoản 4 Điều 7, mức phạt tiền tối đa đối với hành vi này có thể bằng 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn mức phạt tối đa được quy định tại điểm c khoản 4 Điều 7, việc áp dụng mức phạt thực hiện theo quy định tại điểm này.

       Đối với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, Điều 56 quy định các hành vi và mức phạt tương ứng. Theo điểm b khoản 4 Điều 7, mức phạt tiền tối đa đối với tổ chức vi phạm có thể bằng 5% doanh thu của năm trước liền kề. Trường hợp tổ chức không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tối đa quy định tại điểm c khoản 4 Điều 7 thì áp dụng mức phạt theo quy định tại điểm này.

       Các mức phạt tối đa nêu trên chỉ áp dụng theo điều kiện, phạm vi và quy định cụ thể của Nghị định, không áp dụng đồng loạt đối với mọi hành vi vi phạm về bảo vệ dữ liệu cá nhân.

       6. Xử phạt vi phạm trong tuyển dụng, quản lý và sử dụng lao động (Điều 61)

      Trong quá trình tuyển dụng và quản lý nhân sự, doanh nghiệp thường thu thập, lưu trữ nhiều thông tin của người dự tuyển và người lao động. Việc sử dụng dữ liệu phải phù hợp với mục đích, phạm vi và thời hạn theo quy định pháp luật.

       Theo Điều 61 Nghị định số 330/2026/NĐ-CP, doanh nghiệp có thể bị xử phạt như sau:

       Phạt tiền từ 20 triệu đồng đến 50 triệu đồng: Đối với hành vi yêu cầu người dự tuyển cung cấp dữ liệu không phục vụ mục đích tuyển dụng hoặc không phù hợp với quy định pháp luật; sử dụng dữ liệu người dự tuyển vào mục đích khác khi không có thỏa thuận với người dự tuyển; Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý; Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển.

       Phạt tiền từ 50 triệu đồng đến 70 triệu đồng: Đối với hành vi lưu trữ dữ liệu người lao động vượt quá thời hạn theo quy định pháp luật hoặc thời hạn đã thỏa thuận; không xóa, hủy dữ liệu khi chấm dứt hợp đồng lao động, trừ trường hợp có thỏa thuận hoặc pháp luật quy định khác; áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu mà không bảo đảm người lao động biết rõ về biện pháp đó hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

       Phạt tiền từ 70 triệu đồng đến 100 triệu đồng: Đối với hành vi xử lý, sử dụng dữ liệu cá nhân của người lao động được thu thập từ các biện pháp công nghệ, kỹ thuật trái quy định pháp luật.

       Ngoài ra, doanh nghiệp có thể bị buộc hủy, xóa dữ liệu đã thu thập, xử lý trái quy định đến mức không thể khôi phục; buộc nộp lại khoản thu có được từ hành vi vi phạm theo trường hợp tương ứng.

       Như vậy, việc lắp đặt camera, sử dụng phần mềm theo dõi thiết bị hoặc lưu trữ hồ sơ nhân sự cần được thực hiện trên cơ sở tuân thủ các quy định về bảo vệ dữ liệu cá nhân, không chỉ dựa trên nhu cầu quản trị nội bộ của doanh nghiệp.

       7. Mức phạt tối đa và các hậu quả pháp lý doanh nghiệp cần lưu ý (Điều 7)

      Theo khoản 1 Điều 7 Nghị định số 330/2026/NĐ-CP, mức phạt tiền tại Mục 6 Chương II được áp dụng đối với tổ chức thực hiện hành vi vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân; cá nhân có cùng hành vi vi phạm chịu mức phạt bằng một phần hai mức phạt áp dụng đối với tổ chức.

       Về mức phạt tiền tối đa đối với tổ chức trong lĩnh vực bảo vệ dữ liệu cá nhân, Nghị định quy định:

       Đối với hành vi mua, bán dữ liệu cá nhân: tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm.

      Đối với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: tối đa bằng 5% doanh thu của năm trước liền kề.

       Đối với các hành vi vi phạm khác: tối đa 3 tỷ đồng.

      Bên cạnh phạt tiền, tùy hành vi, tổ chức vi phạm còn có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn; đình chỉ hoạt động có thời hạn; tịch thu tang vật, phương tiện vi phạm. Các biện pháp khắc phục hậu quả có thể bao gồm buộc hủy, xóa hoặc chỉnh sửa dữ liệu cá nhân trái quy định; thực hiện đầy đủ quyền của chủ thể dữ liệu; loại bỏ yếu tố vi phạm trong quy trình xử lý dữ liệu; khắc phục sự cố và nộp lại khoản thu bất hợp pháp.

       Trường hợp hành vi có dấu hiệu tội phạm, hồ sơ có thể được chuyển để xem xét trách nhiệm hình sự theo quy định pháp luật. Nếu hành vi vi phạm gây thiệt hại, tổ chức, cá nhân có liên quan còn có thể phải bồi thường theo quy định.

       8. Doanh nghiệp cần chủ động phòng ngừa vi phạm

       Từ các quy định nêu trên, doanh nghiệp cần rà soát toàn bộ quy trình thu thập, xử lý, lưu trữ, chia sẻ, công khai và xóa, hủy dữ liệu cá nhân; xác định rõ mục đích xử lý, phạm vi dữ liệu cần thiết, thời hạn lưu trữ và căn cứ pháp lý cho từng hoạt động. Việc xin sự đồng ý phải rõ ràng, cụ thể, có thể kiểm chứng; không mặc nhiên coi sự im lặng hoặc không phản hồi là đồng ý, trừ trường hợp pháp luật có quy định khác.

       Doanh nghiệp cũng cần xây dựng quy trình quản lý dữ liệu, phân quyền truy cập, áp dụng biện pháp kỹ thuật và quản lý phù hợp để bảo đảm an toàn dữ liệu; kiểm soát việc chia sẻ dữ liệu với đối tác; thực hiện nghĩa vụ lập, cập nhật hồ sơ đánh giá tác động và thông báo sự cố theo quy định. Đối với dữ liệu tuyển dụng, dữ liệu người lao động, cần xác định thời hạn lưu trữ và thực hiện xóa, hủy khi đủ điều kiện pháp luật quy định.

       Tuân thủ pháp luật về bảo vệ dữ liệu cá nhân không chỉ là yêu cầu để tránh bị xử phạt mà còn là trách nhiệm của doanh nghiệp trong bảo vệ quyền, lợi ích hợp pháp của khách hàng, người lao động và các chủ thể dữ liệu. Việc xây dựng quy trình quản lý dữ liệu chặt chẽ, minh bạch và phù hợp pháp luật là giải pháp quan trọng để hạn chế rủi ro, bảo đảm hoạt động kinh doanh ổn định và bền vững.