CHÍNH PHỦ _______ Số: 330/2026/NĐ-CP
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc
Hà Nội, ngày 19 tháng 08 năm 2026
NGHỊ ĐỊNH
QUY ĐỊNH XỬ PHẠT VI PHẠM HÀNH CHÍNH TRONG LĨNH VỰC AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN
- Cơ quan ban hành: Chính phủ
- Người ký: Phó Thủ tướng thường trực Chính phủ Phạm Gia Túc (TM. CHÍNH PHỦ, KT. THỦ TƯỚNG)
- Ngày ban hành: 19/08/2026 | Ngày có hiệu lực: 19/08/2026
- Nguồn chính thức Cổng TTĐT Chính phủ: vanban.chinhphu.vn (DocID: 219266)
- File văn bản ký số: Tải file PDF chính thức (330_2026_nd-cp_19082026-signed.pdf)
- Tra cứu trực tuyến toàn văn: Nghị định 330/2026/NĐ-CP — Thư Viện Pháp Luật
Lưu ý nghiệp vụ: Trang này là bản tổng hợp và đối chiếu thực thi chuyên sâu do đội ngũ chuyên gia pháp lý LexData biên soạn nhằm giúp doanh nghiệp, DPO và đội ngũ kỹ thuật tra cứu nhanh các chế tài trọng yếu. Để tra cứu toàn văn đầy đủ 82 điều khoản của Nghị định, vui lòng xem tại các nguồn chính thức ở trên.
Căn cứ ban hành và Bố cục văn bản
Nghị định được ban hành căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15, Luật Tổ chức chính quyền địa phương số 72/2025/QH15, Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15 (sửa đổi, bổ sung bởi Luật 87/2025/QH15), Luật Xử lý vi phạm hành chính số 15/2012/QH13 (sửa đổi, bổ sung 2020), Luật An ninh mạng số 116/2025/QH15 và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.
Văn bản gồm 4 Chương, 82 Điều:
- Chương I (Điều 1 – Điều 8): Những quy định chung (phạm vi, đối tượng, thời hiệu, hình thức xử phạt, mức phạt tiền tối đa, xử phạt trên môi trường điện tử).
- Chương II (Điều 9 – Điều 71): Hành vi vi phạm, hình thức xử phạt và biện pháp khắc phục hậu quả:
- Mục 1 – Mục 5 (Điều 9 – Điều 42): Lĩnh vực an ninh mạng (thông tin xấu độc, gián điệp mạng, khủng bố mạng, an ninh hệ thống thông tin…).
- Mục 6 (Điều 43 – Điều 71): Lĩnh vực bảo vệ dữ liệu cá nhân (sự đồng ý, quyền chủ thể, chuyển giao, mua bán, sự cố, DPIA, chuyển dữ liệu xuyên biên giới, DPO, nhân sự, camera…).
- Chương III (Điều 72 – Điều 79): Thẩm quyền lập biên bản và thẩm quyền xử phạt (Công an nhân dân, Cục A05, Chủ tịch UBND, Thanh tra…).
- Chương IV (Điều 80 – Điều 82): Điều khoản thi hành và điều khoản chuyển tiếp.
Nguyên tắc xử phạt và Mức phạt tiền tối đa
Điều 7. Quy định về mức phạt tiền và trần xử phạt
Điều 7 Nghị định 330/2026/NĐ-CP thiết lập các nguyên tắc nền tảng để xác định mức phạt tiền giữa cá nhân và tổ chức:
- Nguyên tắc áp dụng đối tượng:
- Trong lĩnh vực an ninh mạng (Mục 1 đến Mục 5 Chương II): Mức phạt quy định áp dụng cho cá nhân vi phạm; tổ chức vi phạm cùng hành vi bị phạt bằng 2 lần mức phạt áp dụng đối với cá nhân.
- Trong lĩnh vực bảo vệ dữ liệu cá nhân (Mục 6 Chương II): Mức phạt quy định áp dụng trực tiếp cho tổ chức vi phạm; cá nhân vi phạm cùng hành vi bị phạt bằng 1/2 mức phạt áp dụng đối với tổ chức.
- Mức phạt tiền tối đa đối với tổ chức:
- Vi phạm an ninh mạng thông thường: tối đa 200.000.000 đồng (tổ chức) / 100.000.000 đồng (cá nhân).
- Vi phạm bảo vệ dữ liệu cá nhân: mức phạt tối đa chung là 3.000.000.000 đồng (tổ chức) / 1.500.000.000 đồng (cá nhân).
- Riêng hành vi mua, bán trái phép dữ liệu cá nhân: tối đa 10 lần khoản thu có được từ hành vi vi phạm (nếu không có khoản thu hoặc tính ra dưới 3 tỷ thì áp dụng mức tối đa 3 tỷ đồng).
- Riêng vi phạm chuyển dữ liệu cá nhân xuyên biên giới thuộc diện quy định: tối đa 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam (nếu không có doanh thu hoặc tính ra dưới 3 tỷ thì áp dụng khung tiền phạt thay thế).
Điều 8. Xử phạt vi phạm hành chính trên môi trường điện tử
- Chứng cứ điện tử gồm thông điệp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số thu thập trực tiếp hoặc trực tuyến trên thiết bị, hệ thống thông tin có giá trị pháp lý làm căn cứ xử lý vi phạm.
- Biên bản vi phạm hành chính có thể được lập, ký số, gửi, nhận và quản lý bằng phương thức điện tử bảo đảm tính xác thực và toàn vẹn.
Các khung phạt trọng yếu trong bảo vệ dữ liệu cá nhân (Mục 6)
Điều 43. Vi phạm quy định về sự đồng ý của chủ thể dữ liệu
| Hành vi vi phạm | Khung phạt (Tổ chức) | Biện pháp bổ sung & Khắc phục |
|---|---|---|
| Xử lý dữ liệu khi chưa có sự đồng ý hợp lệ; kèm điều kiện bắt buộc từ chối dịch vụ nếu không đồng ý mục đích khác; không chứng minh được sự đồng ý; không thông báo khi xử lý dữ liệu nhạy cảm | 30.000.000 – 50.000.000 đ | Tịch thu tang vật phương tiện; Buộc hủy, xóa không thể khôi phục dữ liệu đã xử lý |
| Thiết lập mặc định đồng ý; gây hiểu lầm giữa đồng ý và không đồng ý | 30.000.000 – 50.000.000 đ | Buộc hủy, xóa dữ liệu thu thập trái quy định |
| Cố ý tiếp tục xử lý dữ liệu sau khi chủ thể yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước yêu cầu bằng văn bản | 50.000.000 – 70.000.000 đ | Buộc nộp lại khoản thu bất hợp pháp; Buộc hủy, xóa dữ liệu |
| Tự ý coi sự im lặng hoặc không phản hồi là sự đồng ý | 50.000.000 – 70.000.000 đ | Buộc hủy, xóa dữ liệu thu thập không hợp lệ |
Điều 44. Vi phạm thủ tục thực hiện quyền của chủ thể dữ liệu
| Hành vi vi phạm | Khung phạt (Tổ chức) | Thời hạn bắt buộc theo luật |
|---|---|---|
| Không thiết lập quy trình, biểu mẫu; không phân định trách nhiệm; không phản hồi hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận yêu cầu | 10.000.000 – 20.000.000 đ | Quá thời hạn 02 ngày làm việc kể từ khi nhận yêu cầu hợp lệ |
| Bên xử lý / Bên thứ ba không thực hiện đúng thời hạn yêu cầu của Bên kiểm soát để đáp ứng quyền của chủ thể (ngừng xử lý, xóa, chỉnh sửa dữ liệu) | 20.000.000 – 30.000.000 đ | Theo thời hạn do Bên kiểm soát dữ liệu xác định |
| Bên kiểm soát không thực hiện đúng thời hạn yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân | 30.000.000 – 40.000.000 đ | Thời hạn 10 ngày (gia hạn tối đa 10 ngày) |
| Bên kiểm soát không thực hiện đúng thời hạn yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu | 30.000.000 – 40.000.000 đ | Thời hạn 15 ngày (gia hạn tối đa 15 ngày) |
| Bên kiểm soát không thực hiện đúng thời hạn yêu cầu xóa dữ liệu cá nhân | 30.000.000 – 40.000.000 đ | Thời hạn 20 ngày (gia hạn tối đa 20 ngày) |
Điều 52. Vi phạm quy định về chuyển giao dữ liệu cá nhân
- Phạt 20.000.000 – 30.000.000 đồng: Thỏa thuận chuyển giao không xác định rõ trách nhiệm bảo vệ dữ liệu, quyền chủ thể và cơ chế phối hợp khi có vi phạm; chia sẻ dữ liệu nội bộ giữa các bộ phận mà không xây dựng quy trình kiểm soát, không có biện pháp phòng ngừa rò rỉ cho bên thứ ba.
- Phạt 30.000.000 – 50.000.000 đồng: Chuyển giao dữ liệu có thu phí nhưng không xác định rõ vai trò Bên kiểm soát / Bên xử lý / Bên thứ ba; chuyển giao ngoài phạm vi mục đích; không xác định thời hạn lưu trữ hoặc không xóa dữ liệu khi hoàn tất mục đích.
- Phạt 50.000.000 – 80.000.000 đồng: Chuyển giao dữ liệu cá nhân nhạy cảm mà không có biện pháp bảo mật vật lý cho thiết bị lưu trữ/truyền tải, không mã hóa, không khử nhận dạng hoặc thiếu các biện pháp bảo mật bắt buộc.
Điều 53. Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân
- Khung phạt chính: Phạt tiền từ 02 lần đến tối đa 10 lần khoản thu đối với các hành vi mua bán, trao đổi nhằm thu lợi tài sản trái phép; chuyển giao dữ liệu có thu phí không thỏa thuận hoặc sai mục đích; kinh doanh dữ liệu trên sàn mà không khử nhận dạng.
- Khung phạt khi không có khoản thu (hoặc 10 lần khoản thu dưới 3 tỷ đồng):
- Dưới 1.000 chủ thể cơ bản hoặc dưới 200 chủ thể nhạy cảm: 70.000.000 – 100.000.000 đồng.
- Từ 1.000 đến dưới 2.000 chủ thể cơ bản hoặc từ 200 đến dưới 400 chủ thể nhạy cảm: 100.000.000 – 300.000.000 đồng.
- Từ 2.000 đến dưới 10.000 chủ thể cơ bản hoặc từ 400 đến 2.000 chủ thể nhạy cảm: 300.000.000 – 500.000.000 đồng.
- Từ 10.000 chủ thể cơ bản trở lên hoặc từ 2.000 chủ thể nhạy cảm trở lên: 500.000.000 – 1.000.000.000 đồng.
- Hành vi xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, tài sản: 1.000.000.000 – 3.000.000.000 đồng.
- Biện pháp bổ sung & khắc phục: Tịch thu tang vật, phương tiện vi phạm; buộc nộp lại toàn bộ khoản thu bất hợp pháp; buộc hủy, xóa vĩnh viễn dữ liệu; buộc thông báo đến toàn bộ chủ thể dữ liệu bị ảnh hưởng.
Điều 54. Vi phạm thông báo vi phạm và ứng phó sự cố (Data Breach)
| Hành vi vi phạm | Khung phạt (Tổ chức) | Căn cứ áp dụng |
|---|---|---|
| Bên xử lý phát hiện vi phạm không báo kịp thời cho Bên kiểm soát; Bên kiểm soát không lập biên bản xác nhận vi phạm; Báo cáo sự cố nhưng cố ý che giấu, cung cấp sai quy mô, sai loại dữ liệu | 10.000.000 – 20.000.000 đ | Khoản 1 Điều 54 |
| Không thông báo cho Cục A05 (Bộ Công an) khi phát hiện vi phạm, dữ liệu bị xử lý sai mục đích, hoặc quyền chủ thể bị xâm phạm | 20.000.000 – 40.000.000 đ | Khoản 2 Điều 54 |
| Thông báo cho Cục A05 chậm hơn 72 giờ kể từ khi phát hiện vi phạm gây hoặc có thể gây tổn hại đến an ninh, trật tự, tính mạng, sức khỏe, danh dự, tài sản của chủ thể | 40.000.000 – 60.000.000 đ | Khoản 3 Điều 54 |
| Không thực hiện các biện pháp ngăn chặn, không khắc phục hậu quả xảy ra; Không phối hợp với cơ quan chuyên trách xử lý sự cố | 60.000.000 – 80.000.000 đ | Khoản 4 Điều 54 |
Lưu ý đặc biệt: Các khung phạt tại Điều 54 áp dụng cho từng hành vi và điều kiện cụ thể, không cộng dồn mặc định. Doanh nghiệp tự khắc phục kỹ thuật không thay thế nghĩa vụ thông báo pháp lý trong 72 giờ khi thuộc diện bắt buộc.
Điều 55. Vi phạm quy định về đánh giá tác động xử lý dữ liệu (DPIA)
- Phạt 20.000.000 – 30.000.000 đồng (Khoản 1): Bắt đầu hoạt động xử lý dữ liệu nhưng không lập, không lưu giữ hồ sơ DPIA tại trụ sở; không gửi 01 bản chính hồ sơ DPIA cho Cục A05 trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý; cố ý không hoàn thiện hồ sơ khi có yêu cầu; không cập nhật định kỳ 06 tháng khi có thay đổi hoặc không cập nhật trong 10 ngày khi thuộc trường hợp bắt buộc.
- Phạt 50.000.000 – 100.000.000 đồng (Khoản 2): Cố tình làm giả số liệu, cung cấp thông tin sai lệch trong hồ sơ DPIA hoặc từ chối chỉnh sửa khi có văn bản yêu cầu của Cục A05.
- Biện pháp khắc phục hậu quả trọng yếu (Điểm b Khoản 3): Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ DPIA và được cơ quan chuyên trách xác nhận đối với hành vi không lập/nộp hồ sơ. Đây là chế tài có thể làm gián đoạn toàn bộ hoạt động kinh doanh nếu doanh nghiệp không hoàn tất hồ sơ tuân thủ.
Điều 56. Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới
- Khung vi phạm hồ sơ (Khoản 1): Phạt 30.000.000 – 50.000.000 đồng nếu không lập hồ sơ chuyển dữ liệu xuyên biên giới; không nộp bản chính trong thời hạn 60 ngày; không cập nhật hồ sơ; không thông báo thông tin liên lạc của DPO phía bên nhận; không kiểm soát việc bên nhận chuyển tiếp dữ liệu cho bên thứ ba.
- Khung vi phạm thỏa thuận và bảo mật (Khoản 2): Phạt 50.000.000 – 100.000.000 đồng nếu không có hợp đồng/thỏa thuận chuyển giao ràng buộc trách nhiệm; không có sự đồng ý chuyển ra nước ngoài; không áp dụng biện pháp bảo mật phù hợp; cản trở kiểm tra; tiếp tục chuyển dữ liệu sau khi có lệnh ngừng.
- Khung phạt theo tỷ lệ doanh thu (Khoản 3): Áp dụng đối với tổ chức thực hiện chuyển dữ liệu xuyên biên giới không lập hồ sơ, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân của công dân Việt Nam, hoặc chuyển dữ liệu sau khi có quyết định ngừng:
- 1% đến 2% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam: Lộ, mất dữ liệu từ 10.000 đến dưới 100.000 chủ thể.
- 2% đến 3% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam: Lộ, mất dữ liệu từ 100.000 đến dưới 1.000.000 chủ thể.
- 3% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam: Lộ, mất dữ liệu từ 1.000.000 chủ thể trở lên, hoặc tiếp tục chuyển dữ liệu sau lệnh ngừng gây tổn hại quốc phòng, an ninh quốc gia.
- Khung tiền phạt thay thế (Khoản 4): Trường hợp tổ chức vi phạm không có doanh thu tại Việt Nam hoặc mức phạt tính theo % doanh thu dưới 3 tỷ đồng:
- Từ 10.000 đến dưới 100.000 chủ thể: phạt 200.000.000 – 500.000.000 đồng.
- Từ 100.000 đến dưới 1.000.000 chủ thể: phạt 500.000.000 – 1.000.000.000 đồng.
- Từ 1.000.000 chủ thể trở lên hoặc chuyển sau lệnh ngừng gây tổn hại an ninh: phạt 1.000.000.000 – 3.000.000.000 đồng.
- Hình thức xử phạt bổ sung & Khắc phục: Đình chỉ hoạt động chuyển dữ liệu xuyên biên giới từ 06 đến 12 tháng (điểm b khoản 5); Buộc ngừng việc chuyển dữ liệu cho đến khi hoàn thành hồ sơ và được cơ quan chuyên trách xác nhận (điểm b khoản 6); buộc yêu cầu bên nhận hủy xóa toàn bộ dữ liệu đã chuyển trái quy định.
Điều 57. Chỉ định nhân sự và bộ phận bảo vệ dữ liệu (DPO nội bộ)
- Phạt cảnh cáo hoặc phạt tiền 10.000.000 – 20.000.000 đồng: Không ký thỏa thuận trách nhiệm bảo mật với nhân sự DPO; không tổ chức đào tạo, bồi dưỡng kiến thức cho nhân sự; văn bản chỉ định/thành lập không nêu rõ chức năng, nhiệm vụ, quyền hạn theo luật.
- Phạt tiền 20.000.000 – 30.000.000 đồng: Chỉ định nhân sự không đáp ứng điều kiện về trình độ học vấn (từ cao đẳng trở lên) hoặc không có tối thiểu 02 năm kinh nghiệm công tác trong các lĩnh vực liên quan (pháp chế, CNTT, an ninh mạng, kiểm soát tuân thủ, quản trị rủi ro, nhân sự); chỉ định nhân sự chưa được đào tạo, bồi dưỡng chuyên môn về bảo vệ dữ liệu; không ban hành quyết định chính thức chỉ định/thành lập.
- Biện pháp khắc phục: Buộc thay thế nhân sự đáp ứng đủ điều kiện theo luật và cung cấp minh chứng cho cơ quan có thẩm quyền.
Điều 58. Cung cấp dịch vụ bảo vệ dữ liệu cá nhân (DPO thuê ngoài)
- Đối với cá nhân cung cấp dịch vụ: Phạt 10.000.000 – 30.000.000 đồng nếu không đáp ứng điều kiện trình độ từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công tác liên quan; cung cấp dịch vụ vượt quá phạm vi hợp đồng; không xóa hủy dữ liệu của khách hàng sau khi xong hợp đồng.
- Đối với tổ chức cung cấp dịch vụ: Phạt 30.000.000 – 50.000.000 đồng nếu không xây dựng hồ sơ năng lực đầy đủ; không có tối thiểu 03 nhân sự đáp ứng đủ điều kiện năng lực; không giao kết hợp đồng dịch vụ và thỏa thuận xử lý dữ liệu với khách hàng; không công khai thông tin tổ chức cung cấp dịch vụ.
- Hành vi nghiêm trọng: Phạt 50.000.000 – 100.000.000 đồng nếu lợi dụng việc cung cấp dịch vụ để truy cập, thu thập, xử lý trái phép dữ liệu của khách hàng; kèm hình thức đình chỉ hoạt động cung cấp dịch vụ từ 06 đến 12 tháng và tịch thu tang vật.
Điều 61. Vi phạm bảo vệ dữ liệu trong tuyển dụng và quản lý lao động
Phạt tiền từ 20.000.000 đến 100.000.000 đồng đối với tổ chức có hành vi thu thập thông tin người lao động ngoài phạm vi phục vụ tuyển dụng; sử dụng dữ liệu nhân sự sai mục đích; không xóa dữ liệu của người lao động khi đã chấm dứt hợp đồng lao động và hết thời hạn lưu trữ theo quy định; tiết lộ thông tin lương, hồ sơ cá nhân của nhân sự cho bên thứ ba trái phép.
Điều 71. Bảo vệ dữ liệu từ camera giám sát, ghi âm, ghi hình
Phạt tiền từ 30.000.000 đến 80.000.000 đồng đối với hành vi lắp đặt camera giám sát hoặc thu âm, ghi hình tại khu vực công cộng, văn phòng mà không có thông báo rõ ràng cho chủ thể dữ liệu được biết; chia sẻ, công khai dữ liệu hình ảnh, video giám sát trái mục đích hoặc không có biện pháp bảo mật dẫn đến rò rỉ dữ liệu.
Thẩm quyền xử phạt và Thi hành
Thẩm quyền xử phạt (Điều 72 – Điều 79)
Thẩm quyền xử phạt vi phạm hành chính trong bảo vệ dữ liệu cá nhân và an ninh mạng được phân định rõ ràng:
- Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 – Bộ Công an): Cục trưởng A05 có thẩm quyền phạt tiền tới 3.000.000.000 đồng đối với vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân; phạt tiền tới 200.000.000 đồng đối với vi phạm lĩnh vực an ninh mạng; có quyền đình chỉ hoạt động có thời hạn và áp dụng các biện pháp khắc phục hậu quả theo luật định.
- Giám đốc Công an cấp tỉnh: Thẩm quyền phạt tiền tới 1.500.000.000 đồng đối với bảo vệ dữ liệu cá nhân (tổ chức) và tới 100.000.000 đồng đối với an ninh mạng.
- Trưởng phòng An ninh mạng và phòng, chống tội phạm công nghệ cao Công an cấp tỉnh: Thẩm quyền phạt tiền tới 300.000.000 đồng đối với bảo vệ dữ liệu cá nhân và tới 40.000.000 đồng đối với an ninh mạng.
- Chủ tịch UBND các cấp, Thanh tra: Xử phạt theo chức năng, nhiệm vụ và thẩm quyền luật định tại Điều 73, 74.
- Thẩm quyền lập biên bản vi phạm (Điều 79): Sĩ quan, hạ sĩ quan Công an nhân dân; cán bộ, công chức, thanh tra viên đang thi hành công vụ trong phạm vi quản lý.
Hiệu lực thi hành và Điều khoản chuyển tiếp (Điều 80 – Điều 81)
- Hiệu lực thi hành (Điều 80): Nghị định 330/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 19 tháng 8 năm 2026.
- Điều khoản chuyển tiếp (Điều 81): Hành vi xảy ra trước ngày Nghị định có hiệu lực mà sau đó mới phát hiện hoặc đang xem xét thì áp dụng quy định tại thời điểm thực hiện; trường hợp Nghị định này không quy định trách nhiệm hoặc quy định trách nhiệm nhẹ hơn thì áp dụng Nghị định 330/2026/NĐ-CP.