Doanh nghiệp có thể bị phạt thế nào khi vi phạm quy định bảo vệ dữ liệu cá nhân? 

Theo Nghị định 330/2026/NĐ-CP, các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân được quy định từ Điều 39 đến Điều 71, với nhiều mức phạt khác nhau tùy tính chất, mức độ vi phạm.

Dưới đây là một số hành vi và mức phạt doanh nghiệp cần đặc biệt lưu ý gồm:

1. Sử dụng dữ liệu cá nhân người khác thực hiện hành vi trái pháp luật bị phạt đến 60 triệu đồng

Theo khoản 2 Điều 39 Nghị định 330/2026/NĐ-CP, phạt tiền từ 40 - 60 triệu đồng đối với hành vi:

• Có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân;
• Sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái quy định của pháp luật.

Như vậy trường hợp tổ chức, doanh nghiệp sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái pháp luật có thể bị phạt đến 60 triệu đồng.

Ngoài tiền phạt, tùy hành vi, doanh nghiệp còn có thể bị buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục; nộp lại khoản thu bất hợp pháp hoặc thực hiện các biện pháp khắc phục hậu quả khác.

2. Chậm thông báo vi phạm dữ liệu cá nhân quá 72 giờ có thể bị phạt đến 60 triệu đồng

Căn cứ vào Điều 54 Nghị định 330 2026 Chính phủ, bên kiểm soát dữ liệu, bên kiểm soát và xử lý dữ liệu hoặc bên thứ ba có thể bị phạt từ 40 - 60 triệu đồng nếu thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm hơn 72 giờ kể từ khi phát hiện vi phạm gây tổn hại hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu.

Bên xử lý dữ liệu phát hiện vi phạm nhưng không thông báo kịp thời cho bên kiểm soát dữ liệu có thể bị phạt từ 10 - 20 triệu đồng.

3. Doanh nghiệp lắp camera nơi làm việc không thông báo cho người lao động bị phạt đến 70 triệu đồng

Đây là điểm đáng chú ý được quy định tại Điều 61 Nghị định 330/2026/NĐ-CP. Cụ thể tại khoản 2 Điều 61 quy định:

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;

b) Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác;

c) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động;

d) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

Như vậy, doanh nghiệp lắp camera giám sát tại nơi làm việc để thu thập dữ liệu cá nhân mà không thông báo cho người lao động có thể bị phạt đến 70 triệu đồng.

Ngoài việc bị phạt tiền, theo điểm a khoản 4 Điều 61 Nghị định 330/2026/NĐ-CP, đối với hành vi tại điểm c khoản 2 Điều này, tổ chức, cá nhân vi phạm còn bị buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định.

4. Chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt đến 5% doanh thu

Đây là một trong những nhóm vi phạm có mức xử phạt đáng chú ý nhất tại Nghị định 330/2026/NĐ-CP.

Theo Điều 56, doanh nghiệp có thể bị phạt từ 30 - 50 triệu đồng đối với các vi phạm liên quan đến việc lập, nộp, cập nhật và duy trì Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

Mức phạt từ 50 - 100 triệu đồng được áp dụng đối với một số hành vi như không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu giữa bên chuyển và bên nhận; không bảo đảm sự đồng ý của chủ thể dữ liệu theo quy định; không áp dụng biện pháp bảo mật phù hợp...

Đặc biệt, một số hành vi chuyển dữ liệu cá nhân xuyên biên giới gây lộ, mất dữ liệu có thể bị phạt theo tỷ lệ từ 1% - 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam, tùy số lượng chủ thể dữ liệu bị ảnh hưởng và tính chất của hành vi.

Theo khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt tiền tối đa đối với hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức.

5. Vi phạm bảo vệ dữ liệu vị trí, dữ liệu sinh trắc học có thể bị phạt đến 150 triệu đồng

Theo Điều 70 Nghị định 330/2026/NĐ-CP, doanh nghiệp có thể bị phạt từ 50 - 70 triệu đồng đối với một số hành vi vi phạm trong xử lý dữ liệu vị trí, dữ liệu sinh trắc học như không thông báo cho người dùng về việc thu thập dữ liệu vị trí; không có biện pháp ngăn chặn bên thứ ba không liên quan thu thập dữ liệu vị trí; không thực hiện các biện pháp bảo mật theo quy định...

Đáng chú ý, mức phạt từ 70 - 150 triệu đồng có thể áp dụng đối với hành vi lắp đặt, sử dụng công nghệ theo dõi định vị mà không có sự đồng ý của chủ thể dữ liệu trong trường hợp pháp luật yêu cầu phải có sự đồng ý hoặc khai thác, sử dụng dữ liệu sinh trắc học vượt quá mục đích ban đầu mà chưa được chủ thể dữ liệu đồng ý.

6. Lắp camera tại khu vực phục vụ khách hàng nhưng không cảnh báo có thể bị phạt đến 20 triệu đồng

Theo điểm a khoản 1 Điều 71 Nghị định 330/2026/NĐ-CP quy định:

Điều 71. Vi phạm quy định về bảo vệ dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng, khu vực cung cấp dịch vụ cho khách hàng mà không áp dụng các hình thức thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết để chủ thể dữ liệu cá nhân hiểu được mình đang bị ghi âm, ghi hình;

...

Theo đó, khi lắp đặt, sử dụng camera tại khu vực cung cấp dịch vụ cho khách hàng, tổ chức phải có hình thức thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết, để chủ thể dữ liệu cá nhân biết mình đang được ghi hình.

Như vậy, tổ chức lắp camera tại khu vực cung cấp dịch vụ cho khách hàng nhưng không thực hiện thông báo, cảnh báo theo quy định có thể bị phạt từ 10 - 20 triệu đồng.

Trên đây là thông tin liên quan đến bài viết: Doanh nghiệp có thể bị phạt thế nào khi vi phạm quy định bảo vệ dữ liệu cá nhân? được quy định tại Nghị định 330/2026/NĐ-CP, áp dụng từ ngày 19/8/2026…