BỘ CÔNG AN_______Số: Dự thảo lấy ý kiến
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAMĐộc lập – Tự do – Hạnh phúc_________________
DỰ THẢO NGHỊ ĐỊNH
QUY ĐỊNH XỬ PHẠT VI PHẠM HÀNH CHÍNH TRONG LĨNH VỰC AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN
Nguồn trích dẫn: Bộ Công an — Cổng thông tin điện tử (hồ sơ dự thảo đã kết thúc giai đoạn lấy ý kiến). Liên kết chính thức: https://bocongan.gov.vn/chinh-sach-phap-luat/lay-y-kien-du-thao/ho-so-du-thao-nghi-dinh-quy-dinh-xu-phat-vi-pham-hanh-chinh-trong-linh-vuc-an-ninh-mang-va-bao-ve-du-lieu-ca-nhan-1772531021?type=dang-lay-y-kien
Cảnh báo — tài liệu lưu trữ, không dùng để tra cứu nghĩa vụ hiện hành: Đây là bản dự thảo lấy ý kiến (16/03/2026 – 26/03/2026). Các mức phạt trong bản dự thảo khác nhiều so với văn bản cuối cùng được ban hành. Ví dụ: dự thảo nêu mức tối đa 2 tỷ đồng (tổ chức) và 5% doanh thu cho nhiều nhóm hành vi, trong khi Nghị định 330/2026/NĐ-CP cuối cùng quy định mức tối đa chung 3 tỷ đồng (tổ chức), cá nhân bằng 1/2, và mức trần 5% doanh thu chỉ áp dụng cho vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới (Điều 7; khung phạt theo doanh thu tại khoản 3 Điều 56 khi vi phạm dẫn đến lộ, mất dữ liệu hoặc tiếp tục chuyển sau quyết định ngừng). Đừng trích dẫn số liệu ở trang này — hãy tra cứu trang NĐ 330/2026/NĐ-CP.
Căn cứ Luật Xử lý vi phạm hành chính ngày 20 tháng 6 năm 2012; Luật sửa đổi, bổ sung một số điều của Luật Xử lý vi phạm hành chính ngày 13 tháng 11 năm 2020;
Căn cứ Luật An ninh mạng ngày 12 tháng 6 năm 2018;
Căn cứ Luật Bảo vệ dữ liệu cá nhân ngày 26 tháng 6 năm 2025;
Theo đề nghị của Bộ trưởng Bộ Công an;
Chính phủ ban hành Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Chương I: NHỮNG QUY ĐỊNH CHUNG
Điều 1. Phạm vi điều chỉnh
- Nghị định này quy định về hành vi vi phạm hành chính, hình thức xử phạt, mức xử phạt, biện pháp khắc phục hậu quả, thẩm quyền lập biên bản và thẩm quyền xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
- Các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân quy định tại Nghị định này bao gồm: a) Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân, quyền của chủ thể dữ liệu; b) Vi phạm quy định về biện pháp bảo vệ dữ liệu cá nhân, đánh giá tác động (DPIA); c) Vi phạm quy định về chuyển dữ liệu cá nhân ra nước ngoài; d) Vi phạm quy định về bảo đảm an ninh mạng đối với hệ thống thông tin.
Điều 2. Hình thức xử phạt và mức phạt tiền tối đa
- Hình thức xử phạt chính: Cảnh cáo hoặc Phạt tiền.
- Mức phạt tiền tối đa đối với cá nhân vi phạm quy định về bảo vệ dữ liệu cá nhân là 1.000.000.000 đồng; đối với tổ chức là 2.000.000.000 đồng hoặc lên đến 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với một số hành vi vi phạm nghiêm trọng (như rò rỉ dữ liệu cá nhân nhạy cảm quy mô lớn, chuyển dữ liệu ra nước ngoài trái phép).
Chương II: HÀNH VI VI PHẠM, HÌNH THỨC XỬ PHẠT VÀ BIỆN PHÁP KHẮC PHỤC HẬU QUẢ
Điều 3. Vi phạm quy định về quyền của chủ thể dữ liệu
- Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với hành vi không thông báo cho chủ thể dữ liệu về việc xử lý dữ liệu cá nhân theo quy định.
- Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi cản trở hoặc không thực hiện yêu cầu rút lại sự đồng ý, xóa dữ liệu, cung cấp dữ liệu của chủ thể dữ liệu trong thời hạn luật định.
Điều 4. Vi phạm quy định về Đánh giá tác động xử lý dữ liệu cá nhân (DPIA)
- Phạt tiền từ 80.000.000 đồng đến 120.000.000 đồng đối với hành vi không lập hoặc lập không đầy đủ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân.
- Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi không gửi Báo cáo đánh giá tác động cho Bộ Công an (Cục A05) đúng thời hạn.
Điều 5. Vi phạm quy định về chuyển dữ liệu cá nhân ra nước ngoài
- Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi không lập Hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài.
- Phạt tiền từ 1% đến 5% tổng doanh thu năm tài chính liền trước đối với hành vi chuyển dữ liệu cá nhân nhạy cảm của công dân Việt Nam ra nước ngoài khi chưa đáp ứng đủ điều kiện an toàn hoặc chưa có sự đồng ý của cơ quan thẩm quyền.
Chương III: ĐIỀU KHOẢN THI HÀNH
Điều 6. Trách nhiệm thi hành
Bộ Công an, các Bộ, cơ quan ngang Bộ, Ủy ban nhân dân các cấp và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Nghị định này sau khi chính thức ban hành.
