Tổng hợp mức phạt vi phạm về sử dụng dữ liệu sinh trắc học và dữ liệu vị trí cá nhân

1. Tổng hợp mức phạt vi phạm về sử dụng dữ liệu sinh trắc học và dữ liệu vị trí cá nhân

Dữ liệu sinh trắc học và dữ liệu vị trí cá nhân là những thông tin có tính nhạy cảm, cần được bảo vệ trong quá trình thu thập, xử lý và sử dụng. Theo Điều 70 Nghị định 330/2026/NĐ-CP, các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học và mức phạt tương ứng như sau:

STT	Hành vi vi phạm	Mức phạt
1	Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng không thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân	Phạt tiền từ 50 - 70 triệu đồng
2	Không có biện pháp kỹ thuật ngăn chặn việc thu thập dữ liệu vị trí cá nhân của các bên thứ ba không liên quan hoặc không cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân
3	Thu thập, xử lý dữ liệu sinh trắc học nhưng không thiết lập các biện pháp bảo mật vật lý đối với hệ thống, thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học
4	Không thực hiện hạn chế quyền truy cập hoặc không có hệ thống theo dõi phòng ngừa hành vi xâm phạm đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học
5	Không thực hiện thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát hiện ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học
6	Thông báo cho chủ thể dữ liệu bị ảnh hưởng không bao gồm các nội dung tối thiểu theo quy định pháp luật
7	Không ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý; không bảo đảm lưu hồ sơ vi phạm trong thời gian tối thiểu 05 năm kể từ ngày khắc phục xong sự cố
8	Không thông báo công khai bằng phương tiện điện tử chính thức của tổ chức qua Trang thông tin điện tử, ứng dụng; không gửi thông báo cho chủ thể dữ liệu cá nhân liên quan khi điều kiện kỹ thuật cho phép trong trường hợp không thể thông báo cho tất cả chủ thể dữ liệu cá nhân bị ảnh hưởng trong thời hạn quy định vì lý do kỹ thuật hoặc khẩn cấp
9	Lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác mà không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc không có yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật hoặc pháp luật không có quy định khác	Phạt tiền từ 70 - 150 triệu đồng
10	Khai thác, sử dụng dữ liệu sinh trắc học của chủ thể dữ liệu cá nhân vượt quá mục đích ban đầu mà chưa có được sự đồng ý

Đối với các hành vi (9) và (10) còn bị áp dụng hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả sau:

• Tịch thu các thiết bị phát sóng, thẻ RFID, thiết bị thu thập và máy chủ lưu trữ sinh trắc học được sử dụng để thực hiện hành vi vi phạm;
• Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng;
• Buộc hủy, xóa tới mức không thể khôi phục dữ liệu vị trí cá nhân và dữ liệu sinh trắc học đã bị thu thập, theo dõi trái phép.

Đồng thời buộc cung cấp cho người dùng tùy chọn bật/tắt thu thập dữ liệu vị trí cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm còn lại.

Đáng chú ý, mức phạt nêu trên chỉ áp dụng đối với tổ chức vi phạm. Trường hợp, cá nhân có cùng hành vi vi phạm thì mức phạt tiền đối với cá nhân bằng 1/2 mức phạt tiền đối với tổ chức (theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP).

2. Vi phạm về an ninh mạng, dữ liệu cá nhân có thể bị phạt đến 3 tỷ đồng

Theo khoản 1 Điều 4 Nghị định 330/2026/NĐ-CP, hai hình thức xử phạt chính đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân gồm cảnh cáo và phạt tiền.

Đối với lĩnh vực an ninh mạng, mức phạt tiền quy định tại Mục 1 đến Mục 5 Chương II Nghị định này được áp dụng đối với cá nhân. Trường hợp tổ chức thực hiện cùng hành vi vi phạm thì mức phạt tiền bằng 02 lần mức phạt đối với cá nhân.

Quy định này áp dụng đối với các nhóm hành vi vi phạm liên quan đến:

• Bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng;
• Phòng, chống tấn công mạng;
• Triển khai hoạt động bảo vệ an ninh mạng;
• Quản lý sản phẩm, dịch vụ an ninh mạng;
• Chống tin nhắn rác, thư điện tử rác và cuộc gọi rác.

Bên cạnh đó, khoản 3 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt tiền tối đa trong lĩnh vực an ninh mạng là 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức.

Đối với lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền được quy định riêng và có thể cao hơn tùy theo hành vi vi phạm.

Cụ thể, theo điểm a khoản 4 Điều 7, hành vi mua, bán dữ liệu cá nhân có thể bị phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp hành vi vi phạm không phát sinh khoản thu hoặc mức phạt tính theo khoản thu thấp hơn mức phạt tối đa đối với các hành vi vi phạm khác thì áp dụng mức phạt theo điểm c khoản 4 Điều 7.

Đối với hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, điểm b khoản 4 Điều 7 quy định mức phạt tiền tối đa đối với tổ chức bằng 5% doanh thu của năm trước liền kề. Nếu tổ chức không có doanh thu trong năm trước hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tối đa đối với các hành vi vi phạm khác thì mức phạt được xác định theo điểm c khoản 4 Điều 7.

Đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa là 03 tỷ đồng đối với tổ chức. Cá nhân thực hiện cùng hành vi vi phạm có mức phạt tiền tối đa bằng một nửa mức phạt đối với tổ chức, tương đương 1,5 tỷ đồng.

Bên cạnh hình thức xử phạt chính, khoản 2 Điều 4 Nghị định 330/2026/NĐ-CP còn quy định các hình thức xử phạt bổ sung có thể được áp dụng tùy theo hành vi vi phạm.

Trong đó, cá nhân, tổ chức vi phạm có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 tháng đến 24 tháng, bao gồm:

• Giấy phép cung cấp dịch vụ mạng xã hội;
• Giấy phép thiết lập trang thông tin điện tử tổng hợp;
• Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng;
• Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân;
• Giấy phép, chứng chỉ hành nghề của ngành, nghề có hành vi vi phạm về xử lý dữ liệu cá nhân.

Ngoài ra, tùy theo tính chất và mức độ vi phạm, cá nhân, tổ chức còn có thể bị đình chỉ hoạt động từ 01 tháng đến 24 tháng hoặc tịch thu tang vật, phương tiện được sử dụng để thực hiện hành vi vi phạm. Đối với người nước ngoài có hành vi vi phạm, hình thức xử phạt trục xuất cũng có thể được áp dụng theo quy định.

3. Nguyên tắc bảo vệ dữ liệu cá nhân

Căn cứ vào Điều 3 Luật Bảo vệ dữ liệu cá nhân 2025, nguyên tắc bảo vệ dữ liệu cá nhân được quy định như sau:

(1) Tuân thủ quy định của Hiến pháp, quy định của Luật này và quy định khác của pháp luật có liên quan.

(2) Chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.

(3) Bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.

(4) Thực hiện đồng bộ có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân.

(5) Chủ động phòng ngừa, phát hiện, ngăn chặn, đấu tranh, xử lý kịp thời, nghiêm minh mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

(6) Bảo vệ dữ liệu cá nhân gắn với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh và đối ngoại; bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Trên đây là Tổng hợp mức phạt vi phạm về sử dụng dữ liệu sinh trắc học và dữ liệu vị trí cá nhân theo Nghị định 330/2026/NĐ-CP, áp dụng từ ngày 19/8/2026…