CHÍNH PHỦ _______ Số: 330/2026/NĐ-CP
CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập – Tự do – Hạnh phúc
Hà Nội, ngày 19 tháng 08 năm 2026
NGHỊ ĐỊNH
QUY ĐỊNH XỬ PHẠT VI PHẠM HÀNH CHÍNH TRONG LĨNH VỰC AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN
- Cơ quan ban hành: Chính phủ
- Người ký: Phó Thủ tướng Phạm Gia Túc (TM. CHÍNH PHỦ, KT. THỦ TƯỚNG)
- Ngày ban hành: 19/08/2026 | Ngày có hiệu lực: 19/08/2026
- Nguồn chính thức Cổng TTĐT Chính phủ: vanban.chinhphu.vn (DocID: 219266)
- File văn bản ký số: Tải file PDF chính thức (330_2026_nd-cp_19082026-signed.pdf)
- Tra cứu trực tuyến toàn văn: Nghị định 330/2026/NĐ-CP — Thư Viện Pháp Luật
Lưu ý nghiệp vụ: Trang này là bản tổng hợp và đối chiếu thực thi chuyên sâu do đội ngũ chuyên gia pháp lý LexData biên soạn nhằm giúp doanh nghiệp, DPO và đội ngũ kỹ thuật tra cứu nhanh các chế tài trọng yếu. Để tra cứu toàn văn đầy đủ 82 điều khoản của Nghị định, vui lòng xem tại các nguồn chính thức ở trên.
Bản dự thảo Nghị định xử phạt lấy ý kiến tháng 3/2026 được LexData lưu trữ để đối chiếu; nghĩa vụ và mức phạt hiện hành được xác định theo Nghị định 330/2026/NĐ-CP, không theo dự thảo.
Căn cứ ban hành và Bố cục văn bản
Nghị định được ban hành căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15, Luật Tổ chức chính quyền địa phương số 72/2025/QH15, Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15 (sửa đổi, bổ sung bởi Luật 87/2025/QH15), Luật Xử lý vi phạm hành chính số 15/2012/QH13 (được sửa đổi, bổ sung bởi các Luật số 54/2014/QH13, 18/2017/QH14, 67/2020/QH14, 09/2022/QH15, 11/2022/QH15, 56/2024/QH15, 88/2025/QH15, 116/2025/QH15 và 120/2025/QH15), Luật An ninh mạng số 116/2025/QH15, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Luật Chuyển đổi số số 148/2025/QH15, Luật Giao dịch điện tử số 20/2023/QH15, Luật Thương mại điện tử số 122/2025/QH15 và Luật Công nghiệp công nghệ số số 71/2025/QH15.
Văn bản gồm 4 Chương, 82 Điều:
- Chương I (Điều 1 – Điều 8): Những quy định chung (phạm vi, đối tượng, thời hiệu, hình thức xử phạt, mức phạt tiền tối đa, xử phạt trên môi trường điện tử).
- Chương II (Điều 9 – Điều 71): Hành vi vi phạm, hình thức xử phạt và biện pháp khắc phục hậu quả:
- Mục 1 – Mục 5 (Điều 9 – Điều 38): Lĩnh vực an ninh mạng (Mục 1 bắt đầu từ vi phạm quy định về bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng).
- Mục 6 (Điều 39 – Điều 71): Lĩnh vực bảo vệ dữ liệu cá nhân (sự đồng ý, quyền chủ thể, chuyển giao, mua bán, sự cố, DPIA, chuyển dữ liệu xuyên biên giới, DPO, nhân sự, camera…).
- Chương III (Điều 72 – Điều 79): Thẩm quyền lập biên bản và thẩm quyền xử phạt (Công an nhân dân, Cục A05, Chủ tịch UBND, Thanh tra…).
- Chương IV (Điều 80 – Điều 82): Điều khoản thi hành và điều khoản chuyển tiếp.
Nguyên tắc xử phạt và Mức phạt tiền tối đa
Điều 7. Quy định về mức phạt tiền, thẩm quyền xử phạt
Điều 7 Nghị định 330/2026/NĐ-CP thiết lập các nguyên tắc nền tảng để xác định mức phạt tiền giữa cá nhân và tổ chức:
- Nguyên tắc áp dụng đối tượng:
- Trong lĩnh vực an ninh mạng (Mục 1 đến Mục 5 Chương II): Mức phạt quy định áp dụng cho cá nhân vi phạm; tổ chức vi phạm cùng hành vi bị phạt bằng 2 lần mức phạt áp dụng đối với cá nhân.
- Trong lĩnh vực bảo vệ dữ liệu cá nhân (Mục 6 Chương II): Mức phạt quy định áp dụng trực tiếp cho tổ chức vi phạm; cá nhân vi phạm cùng hành vi bị phạt bằng 1/2 mức phạt áp dụng đối với tổ chức.
- Mức phạt tiền tối đa đối với tổ chức:
- Vi phạm an ninh mạng thông thường: tối đa 200.000.000 đồng (tổ chức) / 100.000.000 đồng (cá nhân).
- Vi phạm bảo vệ dữ liệu cá nhân: mức phạt tối đa chung là 3.000.000.000 đồng (tổ chức) / 1.500.000.000 đồng (cá nhân).
- Riêng hành vi mua, bán trái phép dữ liệu cá nhân: tối đa 10 lần khoản thu có được từ hành vi vi phạm (nếu không có khoản thu hoặc tính ra dưới 3 tỷ thì áp dụng mức tối đa 3 tỷ đồng).
- Riêng tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: tối đa 5% doanh thu của năm trước liền kề của tổ chức đó (nếu không có doanh thu hoặc tính ra thấp hơn 3 tỷ thì áp dụng mức tối đa 3 tỷ đồng). Các khung phạt cụ thể theo tỷ lệ doanh thu năm tài chính liền trước tại thị trường Việt Nam nằm tại khoản 3 Điều 56; mức phạt tiền thay thế (khi không có doanh thu tại Việt Nam hoặc tính ra dưới 3 tỷ đồng) nằm tại khoản 4 Điều 56.
- Thẩm quyền xử phạt: thẩm quyền của các chức danh tại Chương III là thẩm quyền áp dụng đối với một hành vi vi phạm của tổ chức; trường hợp phạt tiền, thẩm quyền xử phạt đối với cá nhân bằng 1/2 thẩm quyền đối với tổ chức (khoản 2 Điều 7).
Điều 8. Xử phạt vi phạm hành chính trên môi trường điện tử
- Chứng cứ điện tử gồm thông điệp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số thu thập trực tiếp hoặc trực tuyến trên thiết bị, hệ thống thông tin có giá trị pháp lý làm căn cứ xử lý vi phạm.
- Biên bản vi phạm hành chính có thể được lập, ký số, gửi, nhận và quản lý bằng phương thức điện tử bảo đảm tính xác thực và toàn vẹn.
Các khung phạt trọng yếu trong bảo vệ dữ liệu cá nhân (Mục 6)
Điều 43. Vi phạm quy định về sự đồng ý của chủ thể dữ liệu
| Hành vi vi phạm | Khung phạt (Tổ chức) | Biện pháp bổ sung & Khắc phục |
|---|---|---|
| Xử lý dữ liệu khi chưa có sự đồng ý hợp lệ; kèm điều kiện bắt buộc từ chối dịch vụ nếu không đồng ý mục đích khác; không chứng minh được sự đồng ý; không thông báo khi xử lý dữ liệu nhạy cảm | 30.000.000 – 50.000.000 đ | Riêng hành vi xử lý khi chưa có sự đồng ý (điểm a khoản 1): Tịch thu tang vật phương tiện; Buộc hủy, xóa không thể khôi phục dữ liệu đã xử lý |
| Thiết lập mặc định đồng ý; gây hiểu lầm giữa đồng ý và không đồng ý | 30.000.000 – 50.000.000 đ | Tịch thu tang vật phương tiện; Buộc hủy, xóa dữ liệu thu thập trái quy định |
| Cố ý tiếp tục xử lý dữ liệu sau khi chủ thể yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước yêu cầu bằng văn bản | 50.000.000 – 70.000.000 đ | Tịch thu tang vật phương tiện; Buộc nộp lại khoản thu bất hợp pháp; Buộc hủy, xóa dữ liệu |
| Tự ý coi sự im lặng hoặc không phản hồi là sự đồng ý | 50.000.000 – 70.000.000 đ | Tịch thu tang vật phương tiện; Buộc nộp lại khoản thu bất hợp pháp; Buộc hủy, xóa dữ liệu thu thập không hợp lệ |
Điều 44. Vi phạm thủ tục thực hiện quyền của chủ thể dữ liệu
| Hành vi vi phạm | Khung phạt (Tổ chức) | Thời hạn bắt buộc theo luật |
|---|---|---|
| Không thiết lập quy trình, biểu mẫu; không phân định trách nhiệm; không phản hồi hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận yêu cầu | 10.000.000 – 20.000.000 đ | Quá thời hạn 02 ngày làm việc kể từ khi nhận yêu cầu hợp lệ |
| Bên xử lý / Bên thứ ba không thực hiện đúng thời hạn yêu cầu của Bên kiểm soát để đáp ứng quyền của chủ thể (ngừng xử lý, xóa, chỉnh sửa dữ liệu) | 20.000.000 – 30.000.000 đ | Theo thời hạn do Bên kiểm soát dữ liệu xác định |
| Bên kiểm soát không thực hiện đúng thời hạn yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân | 30.000.000 – 40.000.000 đ | Thời hạn 10 ngày (gia hạn tối đa 10 ngày) |
| Bên kiểm soát không thực hiện đúng thời hạn yêu cầu rút lại sự đồng ý, hạn chế hoặc phản đối xử lý dữ liệu | 30.000.000 – 40.000.000 đ | Thời hạn 15 ngày (gia hạn tối đa 15 ngày) |
| Bên kiểm soát không thực hiện đúng thời hạn yêu cầu xóa dữ liệu cá nhân | 30.000.000 – 40.000.000 đ | Thời hạn 20 ngày (gia hạn tối đa 20 ngày) |
Điều 52. Vi phạm quy định về chuyển giao dữ liệu cá nhân
- Phạt 20.000.000 – 30.000.000 đồng: Thỏa thuận chuyển giao không xác định rõ trách nhiệm bảo vệ dữ liệu, quyền chủ thể và cơ chế phối hợp khi có vi phạm; chia sẻ dữ liệu nội bộ giữa các bộ phận mà không xây dựng quy trình kiểm soát, không có biện pháp phòng ngừa rò rỉ cho bên thứ ba.
- Phạt 30.000.000 – 50.000.000 đồng: Chuyển giao dữ liệu theo điểm a, điểm d khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân có thu phí nhưng không xác định rõ vai trò Bên kiểm soát / Bên xử lý / Bên thứ ba; không xác định, giới hạn loại dữ liệu chuyển giao trong phạm vi mục đích chuyển giao; không xác định thời hạn lưu trữ hoặc không xóa dữ liệu khi hoàn tất mục đích.
- Phạt 50.000.000 – 80.000.000 đồng: Chuyển giao dữ liệu cá nhân nhạy cảm mà không có biện pháp bảo mật vật lý cho thiết bị lưu trữ/truyền tải, biện pháp mã hóa, ẩn danh dữ liệu và các biện pháp bảo mật khác trong quá trình chuyển giao.
Điều 53. Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân
- Khung phạt chính: Phạt tiền từ 02 lần đến tối đa 10 lần khoản thu đối với các hành vi mua bán, trao đổi nhằm thu lợi tài sản trái phép; chuyển giao dữ liệu có thu phí không thỏa thuận hoặc sai mục đích; kinh doanh dữ liệu trên sàn mà không khử nhận dạng.
- Khung phạt khi không có khoản thu (khoản 3): (Theo khoản 2, trường hợp không có khoản thu và mức 10 lần khoản thu thấp hơn 3 tỷ đồng thì mức phạt được xác định đến mức tối đa 3 tỷ đồng.)
- Dưới 1.000 chủ thể cơ bản hoặc dưới 200 chủ thể nhạy cảm: 70.000.000 – 100.000.000 đồng.
- Từ 1.000 đến dưới 2.000 chủ thể cơ bản hoặc từ 200 đến dưới 400 chủ thể nhạy cảm: 100.000.000 – 300.000.000 đồng.
- Từ 2.000 đến dưới 10.000 chủ thể cơ bản hoặc từ 400 đến 2.000 chủ thể nhạy cảm: 300.000.000 – 500.000.000 đồng.
- Từ 10.000 chủ thể cơ bản trở lên hoặc từ 2.000 chủ thể nhạy cảm trở lên: 500.000.000 – 1.000.000.000 đồng.
- Hành vi xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu, quyền và lợi ích hợp pháp của tổ chức, cá nhân: 1.000.000.000 – 3.000.000.000 đồng.
- Biện pháp bổ sung & khắc phục: Tịch thu tang vật, phương tiện vi phạm; buộc nộp lại toàn bộ khoản thu bất hợp pháp; buộc hủy, xóa vĩnh viễn dữ liệu; buộc thông báo đến toàn bộ chủ thể dữ liệu bị ảnh hưởng.
Điều 54. Vi phạm thông báo vi phạm và ứng phó sự cố (Data Breach)
| Hành vi vi phạm | Khung phạt (Tổ chức) | Căn cứ áp dụng |
|---|---|---|
| Bên xử lý phát hiện vi phạm không báo kịp thời cho Bên kiểm soát; Bên kiểm soát không lập biên bản xác nhận vi phạm; Báo cáo sự cố nhưng cố ý che giấu, cung cấp sai quy mô, sai loại dữ liệu | 10.000.000 – 20.000.000 đ | Khoản 1 Điều 54 |
| Không thông báo cho Cục A05 (Bộ Công an) khi phát hiện vi phạm, dữ liệu bị xử lý sai mục đích, hoặc quyền chủ thể bị xâm phạm | 20.000.000 – 40.000.000 đ | Khoản 2 Điều 54 |
| Thông báo cho Cục A05 chậm hơn 72 giờ kể từ khi phát hiện vi phạm gây hoặc có thể gây tổn hại đến an ninh, trật tự, tính mạng, sức khỏe, danh dự, tài sản của chủ thể | 40.000.000 – 60.000.000 đ | Khoản 3 Điều 54 |
| Không thực hiện các biện pháp ngăn chặn, không khắc phục hậu quả xảy ra; Không phối hợp với cơ quan chuyên trách xử lý sự cố | 60.000.000 – 80.000.000 đ | Khoản 4 Điều 54 |
Lưu ý đặc biệt: Các khung phạt tại Điều 54 áp dụng cho từng hành vi và điều kiện cụ thể. Doanh nghiệp tự khắc phục kỹ thuật không thay thế nghĩa vụ thông báo pháp lý trong 72 giờ khi thuộc diện bắt buộc.
Điều 55. Vi phạm quy định về đánh giá tác động xử lý dữ liệu (DPIA)
- Phạt 20.000.000 – 30.000.000 đồng (Khoản 1): Bắt đầu hoạt động xử lý dữ liệu nhưng không lập, không lưu giữ hồ sơ DPIA tại trụ sở; không gửi 01 bản chính hồ sơ DPIA cho Cục A05 trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý; cố ý không hoàn thiện hồ sơ khi có yêu cầu; không cập nhật định kỳ 06 tháng khi có thay đổi hoặc không cập nhật trong 10 ngày khi thuộc trường hợp bắt buộc.
- Phạt 50.000.000 – 100.000.000 đồng (Khoản 2): Cố tình làm giả số liệu, cung cấp thông tin sai lệch trong hồ sơ DPIA hoặc từ chối chỉnh sửa khi có văn bản yêu cầu của Cục A05.
- Biện pháp khắc phục hậu quả trọng yếu (Điểm b Khoản 3): Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ DPIA và được cơ quan chuyên trách xác nhận, áp dụng đối với hành vi bắt đầu xử lý dữ liệu mà không lập, không duy trì hồ sơ DPIA (điểm a khoản 1). Đây là chế tài có thể làm gián đoạn toàn bộ hoạt động kinh doanh nếu doanh nghiệp không hoàn tất hồ sơ tuân thủ.
Điều 56. Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới
- Khung vi phạm hồ sơ (Khoản 1): Phạt 30.000.000 – 50.000.000 đồng nếu không lập hồ sơ chuyển dữ liệu xuyên biên giới; không nộp bản chính trong thời hạn 60 ngày; không cập nhật hồ sơ; không thông báo thông tin liên lạc của DPO phía bên nhận; không kiểm soát việc bên nhận chuyển tiếp dữ liệu cho bên thứ ba.
- Khung vi phạm thỏa thuận và bảo mật (Khoản 2): Phạt 50.000.000 – 100.000.000 đồng nếu không có hợp đồng/thỏa thuận chuyển giao ràng buộc trách nhiệm; không có sự đồng ý chuyển ra nước ngoài; không áp dụng biện pháp bảo mật phù hợp; cản trở kiểm tra; tiếp tục chuyển dữ liệu sau khi có lệnh ngừng.
- Khung phạt theo tỷ lệ doanh thu (Khoản 3): Áp dụng đối với tổ chức thực hiện chuyển dữ liệu xuyên biên giới không lập hồ sơ, che giấu hoặc khai sai dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân của công dân Việt Nam, hoặc chuyển dữ liệu sau khi có quyết định ngừng:
- 1% đến 2% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam: Lộ, mất dữ liệu từ 10.000 đến dưới 100.000 chủ thể.
- 2% đến 3% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam: Lộ, mất dữ liệu từ 100.000 đến dưới 1.000.000 chủ thể.
- 3% đến 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam: Lộ, mất dữ liệu từ 1.000.000 chủ thể trở lên, hoặc tiếp tục chuyển dữ liệu sau lệnh ngừng gây tổn hại quốc phòng, an ninh quốc gia.
- Khung tiền phạt thay thế (Khoản 4): Trường hợp tổ chức vi phạm không có doanh thu tại Việt Nam hoặc mức phạt tính theo % doanh thu dưới 3 tỷ đồng:
- Từ 10.000 đến dưới 100.000 chủ thể: phạt 200.000.000 – 500.000.000 đồng.
- Từ 100.000 đến dưới 1.000.000 chủ thể: phạt 500.000.000 – 1.000.000.000 đồng.
- Từ 1.000.000 chủ thể trở lên hoặc chuyển sau lệnh ngừng gây tổn hại an ninh: phạt 1.000.000.000 – 3.000.000.000 đồng.
- Hình thức xử phạt bổ sung & Khắc phục: Đình chỉ hoạt động chuyển dữ liệu xuyên biên giới từ 06 đến 12 tháng (điểm b khoản 5); Buộc ngừng việc chuyển dữ liệu cho đến khi hoàn thành hồ sơ và được cơ quan chuyên trách xác nhận (điểm b khoản 6); buộc yêu cầu bên nhận hủy xóa toàn bộ dữ liệu đã chuyển trái quy định.
Điều 57. Chỉ định nhân sự và bộ phận bảo vệ dữ liệu (DPO nội bộ)
- Phạt cảnh cáo hoặc phạt tiền 10.000.000 – 20.000.000 đồng: Không ký thỏa thuận trách nhiệm bảo mật với nhân sự DPO; không tổ chức đào tạo, bồi dưỡng kiến thức cho nhân sự; văn bản chỉ định/thành lập không nêu rõ chức năng, nhiệm vụ, quyền hạn theo luật.
- Phạt tiền 20.000.000 – 30.000.000 đồng: Chỉ định nhân sự không đáp ứng điều kiện về trình độ học vấn (từ cao đẳng trở lên) hoặc không có tối thiểu 02 năm kinh nghiệm công tác trong các lĩnh vực liên quan (pháp chế, CNTT, an ninh mạng, kiểm soát tuân thủ, quản trị rủi ro, nhân sự); chỉ định nhân sự chưa được đào tạo, bồi dưỡng chuyên môn về bảo vệ dữ liệu; không ban hành quyết định chính thức chỉ định/thành lập.
- Biện pháp khắc phục: Buộc thay thế nhân sự đáp ứng đủ điều kiện theo luật và cung cấp minh chứng cho cơ quan có thẩm quyền.
Điều 58. Cung cấp dịch vụ bảo vệ dữ liệu cá nhân (DPO thuê ngoài)
- Đối với cá nhân cung cấp dịch vụ: Phạt 10.000.000 – 30.000.000 đồng nếu không đáp ứng điều kiện trình độ từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công tác liên quan; cung cấp dịch vụ vượt quá phạm vi hợp đồng; không xóa hủy dữ liệu của khách hàng sau khi xong hợp đồng.
- Đối với tổ chức cung cấp dịch vụ: Phạt 30.000.000 – 50.000.000 đồng nếu không xây dựng hồ sơ năng lực đầy đủ; không có tối thiểu 03 nhân sự đáp ứng đủ điều kiện năng lực; không giao kết hợp đồng dịch vụ và thỏa thuận xử lý dữ liệu với khách hàng; không công khai thông tin tổ chức cung cấp dịch vụ.
- Hành vi nghiêm trọng: Phạt 50.000.000 – 100.000.000 đồng nếu lợi dụng việc cung cấp dịch vụ để truy cập, thu thập, xử lý trái phép dữ liệu của khách hàng; kèm tịch thu tang vật. Hình thức đình chỉ hoạt động cung cấp dịch vụ từ 06 đến 12 tháng áp dụng đối với hành vi này và hành vi không có hồ sơ năng lực đầy đủ, không có tối thiểu 03 nhân sự đủ điều kiện (điểm a, b khoản 2).
Điều 61. Vi phạm bảo vệ dữ liệu trong tuyển dụng và quản lý lao động
Phạt tiền từ 20.000.000 đến 100.000.000 đồng, chia theo ba khung:
- Phạt 20.000.000 – 50.000.000 đồng (Khoản 1): Yêu cầu người dự tuyển cung cấp dữ liệu không phục vụ mục đích tuyển dụng; sử dụng dữ liệu người dự tuyển vào mục đích khác khi không có thỏa thuận; xử lý dữ liệu người dự tuyển khi chưa có sự đồng ý hoặc vượt phạm vi đã đồng ý; không xóa, hủy dữ liệu người dự tuyển khi không tuyển dụng (trừ khi có thỏa thuận khác).
- Phạt 50.000.000 – 70.000.000 đồng (Khoản 2): Lưu trữ dữ liệu người lao động vượt quá thời hạn luật định hoặc đã thỏa thuận; không xóa, hủy dữ liệu người lao động khi chấm dứt hợp đồng lao động (trừ khi có thỏa thuận hoặc pháp luật quy định khác); áp dụng biện pháp công nghệ, kỹ thuật thu thập dữ liệu mà không bảo đảm người lao động biết rõ, kể cả lắp phần mềm theo dõi, camera giám sát tại nơi làm việc mà không thông báo; áp dụng biện pháp công nghệ, kỹ thuật không phù hợp quy định pháp luật.
- Phạt 70.000.000 – 100.000.000 đồng (Khoản 3): Xử lý, sử dụng dữ liệu người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định.
Điều 71. Bảo vệ dữ liệu từ camera giám sát, ghi âm, ghi hình
- Phạt 10.000.000 – 20.000.000 đồng (Khoản 1): Lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng, khu vực cung cấp dịch vụ cho khách hàng mà không thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết; không cung cấp thông tin liên hệ của Bên kiểm soát khi chủ thể dữ liệu yêu cầu truy xuất hình ảnh của mình.
- Phạt 30.000.000 – 50.000.000 đồng (Khoản 2): Sử dụng dữ liệu, hình ảnh, giọng nói từ hệ thống camera giám sát công cộng vào mục đích thương mại, phân tích hành vi hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân mà không có sự đồng ý hợp lệ; trích xuất, chia sẻ, công khai trái phép dữ liệu ghi âm, ghi hình (trừ trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền).
- Hình thức bổ sung & Khắc phục: Tịch thu tang vật, phương tiện đối với hành vi tại khoản 2; buộc hủy, xóa tới mức không thể khôi phục dữ liệu thu thập trái quy định; buộc thiết lập và công khai thông tin liên hệ của Bên kiểm soát.
Thẩm quyền xử phạt và Thi hành
Thẩm quyền xử phạt (Điều 72 – Điều 79)
Thẩm quyền xử phạt vi phạm hành chính trong bảo vệ dữ liệu cá nhân và an ninh mạng được phân định rõ ràng:
- Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 – Bộ Công an): Cục trưởng A05 có thẩm quyền phạt tiền đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II; phạt tiền tới 200.000.000 đồng đối với vi phạm lĩnh vực an ninh mạng; có quyền tước quyền sử dụng giấy phép, đình chỉ hoạt động có thời hạn và áp dụng các biện pháp khắc phục hậu quả (khoản 6 Điều 72).
- Giám đốc Công an cấp tỉnh: Thẩm quyền phạt tiền đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II và tới 200.000.000 đồng đối với an ninh mạng (khoản 5 Điều 72).
- Trưởng phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao Công an cấp tỉnh: Thẩm quyền phạt tiền đến 80% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân và tới 160.000.000 đồng đối với an ninh mạng (khoản 3 Điều 72).
- Chủ tịch UBND các cấp, Thanh tra: Xử phạt theo chức năng, nhiệm vụ và thẩm quyền luật định tại Điều 73, 74.
- Thẩm quyền lập biên bản vi phạm (Điều 79): Người có thẩm quyền xử phạt quy định tại Điều 72 – Điều 77; thanh tra viên; công chức, viên chức, người thuộc lực lượng Quân đội nhân dân, Công an nhân dân, cơ quan quản lý nhà nước tại Điều 77 đang thi hành công vụ, nhiệm vụ thuộc lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Hiệu lực thi hành và Điều khoản chuyển tiếp (Điều 80 – Điều 81)
- Hiệu lực thi hành (Điều 80): Nghị định 330/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 19 tháng 8 năm 2026.
- Điều khoản chuyển tiếp (Điều 81): Hành vi xảy ra trước ngày Nghị định có hiệu lực mà sau đó mới phát hiện hoặc đang xem xét thì áp dụng quy định tại thời điểm thực hiện; trường hợp Nghị định này không quy định trách nhiệm hoặc quy định trách nhiệm nhẹ hơn thì áp dụng Nghị định 330/2026/NĐ-CP.
