Nghị định 330/2026/NĐ-CP: Hiểu đúng về trách nhiệm bảo vệ dữ liệu cá nhân trong kỷ nguyên số

Nghị định 330/2026/NĐ-CP của Chính phủ Việt Nam, ban hành ngày 19/8/2026 và có hiệu lực cùng ngày, là một văn bản pháp lý quan trọng bổ sung cho Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH-15 và Nghị định 356/2025/NĐ-CP. Nghị định này tập trung vào việc quy định cụ thể các hành vi vi phạm hành chính, hình thức xử phạt, biện pháp khắc phục hậu quả và thẩm quyền xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Mục tiêu là tăng cường trách nhiệm của các tổ chức, doanh nghiệp và cá nhân, đồng thời tạo cơ chế phòng ngừa vi phạm.

Các điểm chính của Nghị định 330/2026/NĐ-CP

Ngày ban hành và hiệu lực: Nghị định 330/2026/NĐ-CP được ban hành và có hiệu lực từ ngày 19/8/2026.
Phạm vi áp dụng: Áp dụng cho cá nhân, tổ chức Việt Nam và nước ngoài có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân trên lãnh thổ Việt Nam.
Bổ sung khung pháp lý: Nghị định này là “mảnh ghép chế tài” quan trọng, bổ sung cho Luật Bảo vệ dữ liệu cá nhân (quy định nghĩa vụ) và Nghị định 356/2025/NĐ-CP (hướng dẫn thực hiện).
Tăng cường trách nhiệm: Nhấn mạnh trách nhiệm của các bên trong việc bảo vệ dữ liệu cá nhân, phòng ngừa vi phạm.

Các hành vi vi phạm và mức phạt cụ thể

Nghị định 330/2026/NĐ-CP quy định chi tiết nhiều hành vi vi phạm với các mức phạt khác nhau, nhằm tăng cường tính răn đe:

Phát tán tin giả và thông tin sai sự thật

Cá nhân làm ra hoặc phát tán thông tin sai sự thật, chưa qua kiểm chứng gây ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân và môi trường thông tin số có thể bị phạt tiền từ 10 đến 20 triệu đồng. Việc chia sẻ lại nội dung chưa kiểm chứng sẽ được xem xét xử lý dựa trên tính chất, nội dung và điều kiện cụ thể.

Hướng dẫn, chia sẻ phương thức truy cập nền tảng bị giới hạn

Cá nhân thực hiện hành vi này có thể bị phạt tiền từ 10 đến 20 triệu đồng. Điều này nhằm hạn chế việc vượt qua các rào cản truy cập hợp pháp trên không gian mạng.

Gửi tin nhắn, thư điện tử quảng cáo không có sự đồng ý

Hành vi gửi tin nhắn, thư điện tử quảng cáo mà không có sự đồng ý của chủ thể dữ liệu sẽ bị phạt. Cá nhân vi phạm bị phạt từ 10 đến 20 triệu đồng, trong khi tổ chức vi phạm bị phạt từ 20 đến 40 triệu đồng.

Mua bán dữ liệu cá nhân trái phép

Đây là một trong những hành vi bị xử phạt nặng nhất. Mức phạt tối đa có thể lên đến 10 lần khoản thu từ hành vi vi phạm. Trường hợp không phát sinh khoản thu hoặc số tiền phạt thấp hơn 3 tỷ đồng (tổ chức) và 1,5 tỷ đồng (cá nhân), mức phạt tối đa áp dụng tương ứng là 3 tỷ đồng và 1,5 tỷ đồng.

Chuyển dữ liệu cá nhân xuyên biên giới trái quy định

Đối với tổ chức, mức phạt tối đa có thể lên đến 5% doanh thu của năm trước liền kề. Đối với cá nhân, mức phạt tối đa là 1,5 tỷ đồng. Quy định này nhằm kiểm soát chặt chẽ việc di chuyển dữ liệu cá nhân ra khỏi lãnh thổ Việt Nam.

Xử lý dữ liệu cá nhân khi chưa có sự đồng ý hoặc coi sự im lặng là đồng ý

Hành vi xử lý dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể sẽ bị phạt tiền từ 30 đến 50 triệu đồng. Đặc biệt, việc thu thập, xử lý dữ liệu cá nhân khi chủ thể giữ im lặng hoặc không phản hồi nhưng bên xử lý tự ý coi đó là đồng ý sẽ bị phạt từ 50 đến 70 triệu đồng.

Vi phạm liên quan đến giám sát và thông báo

Lắp đặt camera giám sát tại nơi làm việc mà không thông báo: Phạt tiền từ 50 đến 70 triệu đồng.
Không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm đang được xử lý: Phạt từ 30 đến 50 triệu đồng.

Vi phạm nghĩa vụ của tổ chức, doanh nghiệp

Không ký thỏa thuận trách nhiệm bảo mật, không đào tạo nhân sự, không chỉ định bộ phận bảo vệ dữ liệu cá nhân: Có thể bị cảnh cáo hoặc phạt từ 10 đến 20 triệu đồng.
Không thông báo cho cơ quan chuyên trách khi phát hiện vi phạm, xử lý sai mục đích, không bảo đảm quyền của chủ thể dữ liệu: Phạt từ 20 đến 40 triệu đồng.
Không thực hiện biện pháp ngăn chặn, khắc phục hậu quả hoặc không phối hợp với cơ quan chuyên trách: Mức phạt có thể lên tới 60 đến 80 triệu đồng.

Hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Ngoài phạt tiền, Nghị định 330/2026/NĐ-CP còn quy định các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả nghiêm khắc:

Hình thức xử phạt bổ sung: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề, đình chỉ hoạt động, tịch thu tang vật, phương tiện vi phạm hành chính, trục xuất đối với người nước ngoài.
Biện pháp khắc phục hậu quả: Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định và buộc nộp lại khoản thu có được từ hành vi vi phạm.

Người dùng và tổ chức cần làm gì để tuân thủ Nghị định 330/2026/NĐ-CP?

Nghị định 330/2026/NĐ-CP đặt ra những yêu cầu cao hơn về trách nhiệm bảo vệ dữ liệu cá nhân cho cả người dùng và các tổ chức, doanh nghiệp.

Đối với người dùng cá nhân

Người dùng cần chủ động tìm hiểu và nâng cao nhận thức về quyền và nghĩa vụ của mình theo Nghị định. Hãy cẩn trọng khi chia sẻ thông tin cá nhân trên mạng, kiểm tra kỹ các điều khoản về quyền riêng tư của các dịch vụ trực tuyến. Đặc biệt, cần tránh phát tán tin giả hoặc thông tin chưa được kiểm chứng để không vi phạm quy định về thông tin sai sự thật.

Đối với các tổ chức, doanh nghiệp

Các tổ chức, doanh nghiệp cần rà soát và cập nhật các chính sách, quy trình liên quan đến thu thập, xử lý và bảo vệ dữ liệu cá nhân để đảm bảo tuân thủ Nghị định 330/2026/NĐ-CP. Điều này bao gồm việc: ký thỏa thuận trách nhiệm bảo mật với nhân sự, đào tạo kiến thức về bảo vệ dữ liệu, ban hành văn bản chỉ định nhân sự hoặc thành lập bộ phận bảo vệ dữ liệu cá nhân.

Đồng thời, cần có cơ chế thông báo rõ ràng cho chủ thể dữ liệu về việc xử lý dữ liệu của họ, đặc biệt là dữ liệu nhạy cảm, và không được coi sự im lặng là đồng ý.

Tầm quan trọng của Nghị định 330/2026/NĐ-CP

Nghị định 330/2026/NĐ-CP là một bước tiến quan trọng trong việc hoàn thiện khung pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam. Nó không chỉ cung cấp các chế tài xử phạt rõ ràng cho các hành vi vi phạm mà còn thúc đẩy ý thức trách nhiệm của cả cá nhân và tổ chức trong việc bảo vệ thông tin cá nhân trong kỷ nguyên số. Việc hiểu đúng và tuân thủ Nghị định này sẽ góp phần xây dựng một môi trường mạng an toàn và lành mạnh hơn.

Chưa phân loại