Ngày 19/08/2026 đánh dấu cột mốc pháp lý đặc biệt quan trọng khi Chính phủ chính thức ban hành và cho có hiệu lực ngay Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Cùng với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (có hiệu lực từ 01/01/2026) và Nghị định hướng dẫn thi hành 356/2025/NĐ-CP, Nghị định 330/2026/NĐ-CP là văn bản pháp lý trực tiếp quy định chi tiết chế tài, khung tiền phạt và biện pháp cưỡng chế áp dụng cho mọi doanh nghiệp xử lý dữ liệu tại Việt Nam. Doanh nghiệp cần chủ động tư vấn tuân thủ dữ liệu để kịp thời phòng tránh các chế tài tài chính nặng nề và bảo vệ uy tín thương hiệu.
1. Khung pháp lý 3 trụ cột về bảo vệ dữ liệu cá nhân tại Việt Nam#
Để thực thi và áp dụng đúng luật, doanh nghiệp cần phân biệt rõ vai trò của 3 văn bản cốt lõi trong hệ thống pháp luật PDPD Việt Nam hiện nay:
• Trụ cột 1 — Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Hiệu lực từ 01/01/2026): Xác lập quyền, nghĩa vụ căn bản của chủ thể dữ liệu, nguyên tắc xử lý dữ liệu và trách nhiệm của Bên kiểm soát / Bên xử lý dữ liệu.
• Trụ cột 2 — Nghị định 356/2025/NĐ-CP (Hiệu lực từ 01/01/2026): Hướng dẫn chi tiết các biện pháp thi hành, quy trình lập hồ sơ Đánh giá tác động (DPIA), thủ tục chuyển dữ liệu ra nước ngoài và tiêu chuẩn nhân sự DPO.
• Trụ cột 3 — Nghị định 330/2026/NĐ-CP (Ban hành & hiệu lực ngày 19/08/2026): Chuyên biệt quy định về hành vi vi phạm hành chính, thẩm quyền thanh tra của Cục An ninh mạng (A05) và mức tiền phạt lên đến 3 tỷ đồng hoặc phạt theo tỷ lệ doanh thu đối với một số nhóm vi phạm.
2. Chi tiết các mức phạt tiền vi phạm phổ biến theo Nghị định 330/2026/NĐ-CP#
Nghị định 330/2026/NĐ-CP phân loại chi tiết các nhóm hành vi vi phạm tương ứng với các khung phạt tiền dành cho tổ chức và doanh nghiệp:
Nhóm 1: Vi phạm về Sự đồng ý (Consent) và Thu thập vượt mục đích:
- Phạt tiền từ 30.000.000 VNĐ đến 50.000.000 VNĐ: Đối với hành vi thu thập, sử dụng dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ của chủ thể dữ liệu (trừ trường hợp luật định).
- Phạt tiền tới 70.000.000 VNĐ: Đối với hành vi cài đặt mặc định việc đồng ý, coi sự im lặng của chủ thể dữ liệu là đồng ý hoặc ép buộc chủ thể dữ liệu đồng ý.
- Phạt tiền từ 50.000.000 VNĐ đến 80.000.000 VNĐ: Đối với hành vi thu thập, sử dụng dữ liệu cá nhân vượt quá mục đích đã thông báo, đặc biệt với dữ liệu cá nhân nhạy cảm (sinh trắc học, tài chính, vị trí, sức khỏe).
Nhóm 2: Vi phạm quy định về Hồ sơ Đánh giá tác động DPIA:
- Phạt tiền từ 20.000.000 VNĐ đến 30.000.000 VNĐ: Đối với hành vi không lập, không nộp hoặc lập sai Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) theo Mẫu số 10 quy định tại Nghị định 356, trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu.
- Phạt tiền lên tới 100.000.000 VNĐ: Đối với hành vi giả mạo số liệu, nội dung trong hồ sơ DPIA.
Nhóm 3: Vi phạm về Chuyển dữ liệu cá nhân ra nước ngoài (Cross-border Data Transfer):
- Phạt tiền từ 30.000.000 VNĐ đến 100.000.000 VNĐ: Đối với hành vi chuyển dữ liệu cá nhân của công dân Việt Nam ra nước ngoài mà không lập Hồ sơ đánh giá tác động chuyển dữ liệu (theo Mẫu số 09) hoặc không nộp hồ sơ cho Cục A05.
- Phạt tiền theo tỷ lệ 1% đến 5% doanh thu năm liền trước tại thị trường Việt Nam: Áp dụng khi làm lộ, làm mất hoặc đưa dữ liệu cá nhân ra nước ngoài trái quy định, tùy theo quy mô chủ thể dữ liệu bị ảnh hưởng, kèm nguy cơ bị đình chỉ chuyển dữ liệu từ 06 đến 12 tháng.
Nhóm 4: Vi phạm về Nhân sự và Bộ phận Bảo vệ dữ liệu (DPO):
- Doanh nghiệp thuộc diện bắt buộc (xử lý dữ liệu nhạy cảm, xử lý từ 100.000 chủ thể trở lên hoặc kinh doanh dịch vụ xử lý dữ liệu) phải bổ nhiệm bộ phận hoặc nhân sự bảo vệ dữ liệu cá nhân bằng quyết định nội bộ; hành vi không thực hiện nghĩa vụ này bị xử phạt theo quy định tại Nghị định 330/2026/NĐ-CP.
Nhóm 5: Không thông báo sự cố rò rỉ dữ liệu trong 72 giờ (Data Breach Notification):
- Phạt tiền từ 40.000.000 VNĐ đến 60.000.000 VNĐ: Đối với hành vi không gửi văn bản thông báo sự cố mất mát, rò rỉ hoặc truy cập trái phép dữ liệu cá nhân cho Cục An ninh mạng (A05) trong thời hạn 72 giờ kể từ thời điểm phát hiện (đối với sự cố thuộc diện phải thông báo).
- Phạt tiền từ 10.000.000 VNĐ đến 20.000.000 VNĐ: Đối với hành vi báo cáo vi phạm nhưng cố ý che giấu, cung cấp thông tin sai lệch về tính chất sự cố, quy mô, loại dữ liệu hoặc số lượng chủ thể bị ảnh hưởng (điểm c khoản 1 Điều 54).
- Phạt tiền từ 20.000.000 VNĐ đến 40.000.000 VNĐ: Đối với hành vi không thông báo cho cơ quan chuyên trách (Cục A05) khi phát hiện sự cố, vi phạm quy định bảo vệ dữ liệu (khoản 2 Điều 54).
- Phạt tiền từ 60.000.000 VNĐ đến 80.000.000 VNĐ: Đối với hành vi không thực hiện biện pháp ngăn chặn, không khắc phục hậu quả hoặc không phối hợp với cơ quan chức năng (khoản 4 Điều 54).
3. Chế tài phạt theo tỷ lệ doanh thu & Hình phạt bổ sung nghiêm khắc#
Điểm có tính răn đe cao nhất trong Nghị định 330/2026/NĐ-CP là cơ chế phạt tiền theo tỷ lệ doanh thu (tương tự tinh thần của GDPR Châu Âu) và các hình thức xử phạt bổ sung có thể làm tê liệt hoạt động kinh doanh:
• Phạt theo tỷ lệ doanh thu: Mức 1% - 2%, 2% - 3% hoặc 3% - 5% doanh thu năm liền trước tại thị trường Việt Nam tùy quy mô chủ thể dữ liệu bị ảnh hưởng, áp dụng cho hành vi làm lộ, làm mất hoặc đưa dữ liệu cá nhân ra nước ngoài trái quy định, kèm nguy cơ bị đình chỉ chuyển dữ liệu từ 06 đến 12 tháng.
• Các hình thức đình chỉ có thời hạn từ 06 đến 12 tháng: Áp dụng đối với hoạt động chuyển dữ liệu cá nhân xuyên biên giới (khoản 5 Điều 56) và hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân (khoản 4 Điều 58).
• Biện pháp khắc phục buộc dừng hoạt động xử lý dữ liệu: Theo điểm b khoản 3 Điều 55 và điểm b khoản 6 Điều 56, doanh nghiệp vi phạm nghĩa vụ hồ sơ DPIA hoặc chuyển dữ liệu xuyên biên giới có thể bị buộc dừng xử lý hoặc ngừng chuyển dữ liệu cho đến khi hoàn thành đầy đủ nghĩa vụ hồ sơ và được cơ quan chuyên trách xác nhận.
• Buộc tiêu hủy toàn bộ tập dữ liệu vi phạm và nộp lại toàn bộ số lợi bất hợp pháp thu được.
4. Thẩm quyền thanh tra và xử phạt của Cục An ninh mạng (A05)#
Theo Nghị định 330/2026/NĐ-CP, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 - Bộ Công an), Thanh tra Bộ Công an và Giám đốc Công an cấp tỉnh là các cơ quan có thẩm quyền tiến hành kiểm tra, thanh tra định kỳ hoặc đột xuất, lập biên bản và ra quyết định xử phạt vi phạm hành chính.
Doanh nghiệp cần chủ động lưu trữ đầy đủ hồ sơ pháp lý, nhật ký xử lý dữ liệu (Logs) và các bằng chứng Consent để sẵn sàng giải trình khi có đoàn thanh tra làm việc.
5. Checklist 5 bước giúp doanh nghiệp phòng ngừa rủi ro xử phạt#
Bước 1: Rà soát & Kiểm kê toàn diện luồng dữ liệu (Data Mapping) trong toàn bộ tổ chức.
Bước 2: Cập nhật Privacy Notice minh bạch và chuẩn hóa cơ chế thu thập sự đồng ý (Opt-in Consent).
Bước 3: Hoàn thiện Hồ sơ Đánh giá tác động DPIA và nộp cho Cục An ninh mạng A05 theo đúng hạn định.
Bước 4: Chỉ định Chuyên viên hoặc hợp tác với đơn vị cung cấp Dịch vụ DPO Thuê ngoài chuyên nghiệp.
Bước 5: Ban hành Kế hoạch Ứng phó sự cố rò rỉ dữ liệu 72 giờ và đào tạo nâng cao nhận thức cho toàn thể nhân viên.
Lời kết & Giải pháp đồng hành từ LexData#
Nghị định 330/2026/NĐ-CP đã chính thức có hiệu lực từ ngày 19/08/2026, khép lại giai đoạn 'nhắc nhở' và mở ra kỷ nguyên thanh tra thực chất với các chế tài tài chính nghiêm khắc. LexData cung cấp hệ sinh thái giải pháp tuân thủ trọn gói:
• Dịch vụ DPO Thuê ngoài Chuyên trách: Đại diện doanh nghiệp giám sát tuân thủ và làm việc trực tiếp với Cục A05.
• Lập Hồ sơ Đánh giá tác động DPIA & Chuyển dữ liệu xuyên biên giới: Đạt chuẩn 100% biểu mẫu Cục An ninh mạng.
• Ứng cứu khẩn cấp Sự cố Data Breach 72 Giờ: Hỗ trợ điều tra, khoanh vùng và soạn thảo thông báo vi phạm theo Mẫu số 08 gửi cơ quan chức năng.