Mức phạt vi phạm dữ liệu cá nhân theo Nghị định 330/2026/NĐ-CP mới nhất

Mức phạt vi phạm dữ liệu cá nhân áp dụng từ năm 2026 gồm những gì?

Cộng đồng doanh nghiệp quan tâm hàng đầu đến mức phạt vi phạm dữ liệu cá nhân khi Nghị định số 330/2026/NĐ-CP chính thức có hiệu lực từ ngày 19/08/2026, thiết lập khung chế tài răn đe mạnh mẽ, chấm dứt hoàn toàn giai đoạn 'nhắc nhở không phạt'. Một số tài liệu cũ vẫn trích mức phạt từ bản dự thảo lấy ý kiến tháng 3/2026, vốn khác nhiều so với văn bản chính thức. Các mục dưới đây tóm tắt khung phạt cho bốn nhóm hành vi vi phạm điển hình.

Mức phạt vi phạm dữ liệu cá nhân khi xử lý chưa có sự đồng ý là bao nhiêu?

Xử lý khi chưa có sự đồng ý hoặc không lấy consent bị phạt 30–50 triệu đồng (khoản 1 Điều 43), gồm cả hành vi thiết lập phương thức mặc định đồng ý hoặc kèm điều kiện bắt buộc phải đồng ý với mục đích khác; phạt 50–70 triệu đồng nếu tự ý coi sự im lặng là đồng ý hoặc cố ý tiếp tục xử lý sau khi chủ thể yêu cầu ngừng, hạn chế xử lý (khoản 2 Điều 43).

Thu thập dữ liệu cá nhân bằng biện pháp công nghệ, kỹ thuật trái quy định (khoản 3 Điều 48), tính theo số chủ thể dữ liệu: 100–200 triệu (dưới 500 chủ thể dữ liệu cơ bản hoặc dưới 100 chủ thể dữ liệu nhạy cảm), 200–300 triệu (500 đến dưới 1.000 / 100 đến dưới 200), 300–500 triệu (1.000 đến dưới 5.000 / 200 đến 1.000), 500–800 triệu (từ 5.000 chủ thể dữ liệu cơ bản hoặc từ 1.000 chủ thể dữ liệu nhạy cảm trở lên).

Không lập hồ sơ DPIA hoặc hồ sơ chuyển dữ liệu xuyên biên giới bị phạt thế nào?

Không lập, không duy trì hoặc không nộp hồ sơ DPIA trong 60 ngày: phạt 20–30 triệu đồng (khoản 1 Điều 55); cố tình làm giả số liệu, cung cấp thông tin sai lệch trong hồ sơ DPIA: phạt 50–100 triệu đồng (khoản 2 Điều 55).

Hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới: phạt 30–50 triệu đồng (khoản 1 Điều 56); không có hợp đồng chuyển giao, không bảo đảm sự đồng ý hoặc biện pháp bảo mật: phạt 50–100 triệu đồng (khoản 2 Điều 56 Nghị định 330/2026/NĐ-CP). Phạt 1–5% doanh thu năm liền trước tại thị trường Việt Nam chỉ áp dụng cho một số vi phạm chuyển dữ liệu cá nhân xuyên biên giới theo khoản 3 Điều 56 Nghị định 330/2026/NĐ-CP.

Vi phạm quy định thông báo sự cố dữ liệu bị phạt bao nhiêu?

Với vi phạm quy định thông báo sự cố Data Breach, Điều 54 quy định các khung 10–20, 20–40, 40–60 và 60–80 triệu đồng đối với tổ chức tùy hành vi; cần đối chiếu đúng khoản và tình tiết.

Mua bán trái phép dữ liệu cá nhân bị phạt thế nào?

Mua, bán trái phép dữ liệu cá nhân bị phạt 2–10 lần khoản thu bất hợp pháp (khoản 1 Điều 53); nếu không có khoản thu (khoản 3 Điều 53): 70–100 triệu (dưới 1.000 chủ thể dữ liệu cơ bản hoặc dưới 200 chủ thể dữ liệu nhạy cảm), 100–300 triệu (1.000 đến dưới 2.000 / 200 đến dưới 400), 300–500 triệu (2.000 đến dưới 10.000 / 400 đến 2.000), 500 triệu–1 tỷ đồng (từ 10.000 chủ thể dữ liệu cơ bản hoặc từ 2.000 chủ thể dữ liệu nhạy cảm trở lên), 1–3 tỷ đồng nếu xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản.

Khi dữ liệu bị lộ do nhân viên hoặc nhà cung cấp, cách phân bổ trách nhiệm hành chính, dân sự và hình sự giữa doanh nghiệp, người quản lý và nhân viên được phân tích tại bài làm lộ thông tin khách hàng thì ai chịu trách nhiệm.

Tổng hợp mức phạt vi phạm dữ liệu cá nhân thường gặp