Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân: 11 điểm đáng chú ý

1. Bổ sung mức phạt tiền đối với vi phạm về phòng ngừa, xử lý tình huống nguy hiểm về an ninh mạng

Theo Điều 17 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định về phòng ngừa, xử lý tình huống nguy hiểm về an ninh mạng như sau:

Phạt tiền từ 25 - 50 triệu đồng đối với các hành vi:

- Không phối hợp ngăn chặn, gỡ, xóa bỏ thông tin có nội dung kích động trên không gian mạng có nguy cơ xảy ra bạo loạn, phá rối an ninh, khủng bố;

- Không phối hợp triển khai các giải pháp kỹ thuật, nghiệp vụ để phòng ngừa, phát hiện, xử lý tình huống nguy hiểm về an ninh mạng;

- Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong phòng ngừa, phát hiện, xử lý tình huống nguy hiểm về an ninh mạng;

- Không triển khai ngay phương án phòng ngừa, ứng phó khẩn cấp về an ninh mạng, ngăn chặn, loại trừ hoặc giảm nhẹ thiệt hại do tình huống nguy hiểm về an ninh mạng gây ra;

- Không phối hợp thu thập thông tin liên quan; theo dõi, giám sát liên tục đối với tình huống nguy hiểm về an ninh mạng;

- Không thực hiện ngừng cung cấp thông tin mạng tại khu vực cụ thể hoặc ngắt cổng kết nối mạng quốc tế đối với tình huống nguy hiểm về an ninh mạng;

- Không bố trí lực lượng, phương tiện ngăn chặn, loại bỏ tình huống nguy hiểm về an ninh mạng.

2. Tăng mức phạt tiền đối với vi phạm về biện pháp giám sát an toàn, bảo vệ hệ thống thông tin

Trước đây, theo Điều 87 Nghị định 15/2020/NĐ-CP quy định mức phạt đối với hành vi vi phạm quy định về biện pháp giám sát an toàn, bảo vệ hệ thống thông tin như sau:

- Phạt tiền từ 10 - 20 triệu đồng đối với hành vi không ban hành quy định về bảo đảm an toàn thông tin mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin.

- Phạt tiền từ 20 - 30 triệu đồng đối với các hành vi:

• Không kiểm tra, giám sát việc tuân thủ quy định về bảo đảm an toàn thông tin mạng hoặc không đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng;

• Không phối hợp với chủ quản hệ thống thông tin trong việc giám sát an toàn hệ thống thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền;

• Không tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm an toàn thông tin.

- Phạt tiền từ 50 - 70 triệu đồng đối với hành vi không áp dụng biện pháp quản lý hoặc biện pháp kỹ thuật theo tiêu chuẩn hoặc quy chuẩn kỹ thuật an toàn thông tin mạng để phòng, chống nguy cơ, khắc phục sự cố an toàn thông tin mạng.

Theo Điều 25 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi Vi phạm quy định về biện pháp giám sát an toàn, bảo vệ hệ thống thông tin như sau:

- Phạt tiền từ 25 - 50 triệu đồng đối với hành vi không ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin.

- Phạt tiền từ 50 - 75 triệu đồng đối với các hành vi:

• Không kiểm tra, giám sát việc tuân thủ quy định về bảo đảm an ninh mạng hoặc không đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng;

• Không phối hợp với chủ quản hệ thống thông tin trong việc giám sát an toàn hệ thống thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền;

• Không tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm an toàn thông tin.

- Phạt tiền từ 75 - 100 triệu đồng đối với hành vi không áp dụng biện pháp quản lý hoặc biện pháp kỹ thuật theo tiêu chuẩn hoặc quy chuẩn kỹ thuật an ninh mạng để phòng, chống nguy cơ, khắc phục sự cố an ninh mạng.

3. Bổ sung mức phạt tiền đối với vi phạm trong công tác phối hợp liên ngành phòng, chống tội phạm mạng, tội phạm sử dụng công nghệ cao, lừa đảo trực tuyến

Theo Điều 23 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định trong công tác phối hợp liên ngành phòng, chống tội phạm mạng, tội phạm sử dụng công nghệ cao, lừa đảo trực tuyến như sau:

Phạt tiền từ 70 - 100 triệu đồng đối với các hành vi:

- Không bố trí nhân sự chuyên trách trong công tác phối hợp liên ngành phòng, chống tội phạm mạng, tội phạm sử dụng công nghệ cao, lừa đảo trực tuyến

- Không phong tỏa, tạm ngừng giao dịch bằng phương tiện điện tử, không kiểm tra, cập nhật, đánh giá, xác minh thông tin đối với tài khoản số sau khi nhận được cảnh báo của cơ quan có thẩm quyền về nghi ngờ liên quan đến hoạt động của tội phạm mạng, tội phạm sử dụng công nghệ cao, lừa đảo trực tuyến, rửa tiền.

- Không cung cấp, cung cấp chậm thông tin về tài khoản số nghi ngờ liên quan đến hoạt động của tội phạm mạng, tội phạm sử dụng công nghệ cao, lừa đảo trực tuyến, rửa tiền.

- Không thực hiện hoặc thực hiện không đúng yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật về tình trạng khẩn cấp hoặc để đảm bảo an ninh quốc gia, trật tự an toàn xã hội, gây ảnh hưởng xấu đến tình hình an ninh trật tự, thiệt hại tài sản cho người khác.

- Không kết nối với hệ thống thông tin phục vụ công tác phối hợp liên ngành phòng, chống tội phạm mạng, tội phạm sử dụng công nghệ cao, lừa đảo trực tuyến sau khi nhận được yêu cầu, hướng dẫn kỹ thuật của cơ quan có thẩm quyền.

4. Tăng mức phạt tiền đối với vi phạm về phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại

Trước đây, theo Điều 83 Nghị định 15/2020/NĐ-CP quy định mức phạt đối với hành vi Vi phạm quy định về phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại như sau:

- Phạt tiền từ 10 - 20 triệu đồng đối với các hành vi: 

• Không có biện pháp quản lý hoặc phòng ngừa hoặc phát hiện hoặc ngăn chặn phát tán phần mềm độc hại;

• Không báo cáo cơ quan nhà nước có thẩm quyền về hệ thống lọc phần mềm độc hại trong quá trình gửi, nhận, lưu trữ thông tin trên hệ thống của mình theo quy định của pháp luật.

- Phạt tiền từ 20 - 30 triệu đồng đối với các hành vi:

• Không có hệ thống lọc phần mềm độc hại trong quá trình gửi hoặc nhận hoặc lưu trữ thông tin trên hệ thống của doanh nghiệp cung cấp dịch vụ thư điện tử, truyền đưa, lưu trữ thông tin;

• Không thực hiện phòng ngừa hoặc không ngăn chặn hoặc không xử lý việc phát tán * Không triển khai hệ thống kỹ thuật nghiệp vụ nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý kịp thời phần mềm độc hại.

Theo Điều 24 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi Vi phạm quy định về phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại như sau:

- Phạt tiền từ 25 - 50 triệu đồng đối với các hành vi:

• Không có biện pháp quản lý hoặc phòng ngừa hoặc phát hiện hoặc ngăn chặn phát tán phần mềm độc hại;

• Không báo cáo cơ quan nhà nước có thẩm quyền về hệ thống lọc phần mềm độc hại trong quá trình gửi, nhận, lưu trữ thông tin trên hệ thống của mình theo quy định của pháp luật.

- Phạt tiền từ 50 - 75 triệu đồng đối với các hành vi:

• Không có hệ thống lọc phần mềm độc hại trong quá trình gửi hoặc nhận hoặc lưu trữ thông tin trên hệ thống của doanh nghiệp cung cấp dịch vụ thư điện tử, truyền đưa, lưu trữ thông tin;

• Không thực hiện phòng ngừa hoặc không ngăn chặn hoặc không xử lý việc phát tán 

• Không triển khai hệ thống kỹ thuật nghiệp vụ nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý kịp thời phần mềm độc hại.

5. Bổ sung mức phạt tiền đối với vi phạm về xác thực, định danh, bảo mật tài khoản số

Theo Điều 37 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định về xác thực, định danh, bảo mật tài khoản số như sau:

Phạt tiền từ 25 - 50 triệu đồng đối với các hành vi:

- Không xác thực, định danh bằng giấy tờ tùy thân hợp pháp hoặc xác thực, định danh bằng giấy tờ không hợp pháp đối với tài khoản số bắt buộc phải xác thực, định danh theo quy định của pháp luật;

- Không có biện pháp cảnh báo chủ sở hữu khi tài khoản số phát sinh giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng;

- Không lưu trữ thông tin thiết bị, địa chỉ IP, thời gian đăng nhập của tài khoản số tối thiểu 90 ngày;

- Không tạm dừng giao dịch tài khoản số phục vụ các hoạt động giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng khi phát hiện có sai sót, nhầm lẫn, bị lộ lọt thông tin hoặc khi có thông báo, yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng;

- Sử dụng giấy tờ tùy thân của người khác để xác thực tài khoản số;

- Sử dụng giấy tờ tùy thân giả, tạo lập, chỉnh sửa, cắt ghép hình ảnh giấy tờ tùy thân hoặc các thủ đoạn gian dối khác để xác thực tài khoản số;

- Định danh bằng phương thức điện tử không chính xác thông tin chủ tài khoản số phục vụ các hoạt động giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng.

- Sử dụng công nghệ trí tuệ nhân tạo (AI), Deepfake hoặc các biện pháp kỹ thuật công nghệ cao để giả mạo dữ liệu sinh trắc học (khuôn mặt, giọng nói) nhằm xác thực tài khoản trái phép.

6. Bổ sung mức phạt tiền đối với một số vi phạm về bảo đảm an ninh thông tin mạng

Theo Điều 32 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định về bảo đảm an ninh thông tin mạng như sau:

Phạt tiền từ 75 - 100 triệu đồng đối với các hành vi:

- Không xác thực thông tin khi người dùng đăng ký tài khoản số;

- Không bảo mật thông tin, tài khoản của người dùng;

- Không ngăn chặn hoặc áp dụng các biện pháp ngăn chặn không đúng mức độ cần thiết để ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin có nội dung quy định tại các khoản 1, 2, 3, 4 và 5 Điều 16 của Luật An ninh mạng trên dịch vụ hoặc hệ thống thông tin do cơ quan, tổ chức trực tiếp quản lý chậm nhất là 24 giờ kể từ thời điểm có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an hoặc cơ quan có thẩm quyền của Bộ Công an và lưu nhật ký hệ thống để phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng;

7. Tăng mức phạt tiền và mở rộng phạm vi một số hành vi vi phạm liên quan đến xử lý dữ liệu cá nhân

Trước đây, theo Nghị định 15/2020/NĐ-CP quy định mức phạt tiền đối với một số hành vi vi phạm quy định liên quan đến xử lý thông tin cá nhân như sau:

- Phạt tiền từ 10 - 20 triệu đồng đối với hành vi thu thập thông tin cá nhân khi chưa có sự đồng ý của chủ thể thông tin cá nhân về phạm vi, mục đích của việc thu thập và sử dụng thông tin đó;

- Phạt tiền từ 40 - 60 triệu đồng đối với hành vi thu thập, sử dụng, phát tán, kinh doanh trái pháp luật thông tin cá nhân của người khác.

- Phạt tiền từ 40 - 60 triệu đồng đối với hành vi sử dụng không đúng mục đích thông tin cá nhân đã thỏa thuận khi thu thập hoặc khi chưa có sự đồng ý của chủ thể thông tin cá nhân;

- Phạt tiền từ 30 - 50 triệu đồng đối với hành vi không áp dụng biện pháp quản lý hoặc biện pháp kỹ thuật theo quy định để bảo vệ thông tin cá nhân.

- Phạt tiền từ 20 - 30 triệu đồng đối với hành vi không hủy bỏ thông tin cá nhân đã được lưu trữ khi đã hoàn thành mục đích sử dụng hoặc hết thời hạn lưu trữ.

- Phạt tiền từ 20 - 30 triệu đồng đối với hành vi không cập nhật, sửa đổi, hủy bỏ thông tin cá nhân đã lưu trữ theo yêu cầu của chủ thể thông tin cá nhân

- Phạt tiền từ 40 - 60 triệu đồng đối với hành vi cung cấp hoặc chia sẻ hoặc phát tán thông tin cá nhân đã thu thập, tiếp cận, kiểm soát cho bên thứ ba khi chưa có sự đồng ý của chủ thông tin cá nhân"

Theo dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với một số hành vi vi phạm liên quan đến xử lý dữ liệu cá nhân như sau:

- Phạt tiền từ 50 - 70 triệu đồng đối với hành vi thu thập, xử lý dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng;

- Phạt tiền từ 70 - 100 triệu đồng đối với hành vi xử lý dữ liệu cá nhân trái quy định của pháp luật;

- Phạt tiền từ 70 - 100 triệu đồng đối với hành vi sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật;

- Phạt tiền từ 50 - 70 triệu đồng đối với hành vi không thực hiện có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân.

- Phạt tiền từ 50 - 70 triệu đồng đối với hành vi không xóa dữ liệu cá nhân thuộc diện phải xóa theo quy định của pháp luật

- Phạt tiền từ 50 - 70 triệu đồng đối với hành vi dữ liệu cá nhân không đảm bảo độ chính xác và không được chỉnh sửa, cập nhật, bổ sung khi cần thiết;

- Phạt tiền từ 70 - 100 triệu đồng đối với hành vi cố ý làm lộ dữ liệu cá nhân

8. Bổ sung mức phạt tiền đối với một số vi phạm về lưu trữ, xóa, hủy dữ liệu cá nhân

Theo Điều 62 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định về lưu trữ, xóa, hủy dữ liệu cá nhân như sau:

- Phạt tiền từ 25 - 50 triệu đồng đối với các hành vi:

• Tiếp tục lưu trữ dữ liệu cá nhân khi không còn phù hợp với mục đích thu thập, khi chủ thể dữ liệu đã rút lại sự đồng ý hoặc yêu cầu xóa, hủy, dữ liệu cá nhân của mình;

• Lưu trữ dữ liệu cá nhân mà không có hợp đồng hoặc không có văn bản của cơ quan nhà nước có thẩm quyền quy định về chức năng, nhiệm vụ được giao phù hợp với việc lưu trữ dữ liệu cá nhân;

• Tiếp tục xử lý dữ liệu cá nhân khi đã có phản đối của chủ thể dữ liệu và Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và Xử lý dữ liệu cá nhân không có lý do chính đáng để tiếp tục xử lý dữ liệu cá nhân;

• Việc xóa dữ liệu không được thực hiện trong 02 ngày làm việc sau khi có yêu cầu của chủ thể dữ liệu với toàn bộ dữ liệu cá nhân mà Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân thu thập được, trừ trường hợp pháp luật có quy định khác;

- Phạt tiền từ 50 - 70 triệu đồng đối với hành vi dữ liệu cá nhân được xử lý không đúng với mục đích đã đồng ý hoặc việc xử lý dữ liệu cá nhân là vi phạm quy định của pháp luật;

9. Bổ sung mức phạt tiền đối với hành vi vi phạm quy định về thu thập, chuyển giao, mua, bán trái phép dữ liệu cá nhân

Theo Điều 65 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định về thu thập, chuyển giao, mua, bán trái phép dữ liệu cá nhân như sau:

- Phạt tiền từ 50 - 70 triệu đồng đối với các hành vi:

• Chuyển giao dữ liệu cá nhân không thuộc các trường hợp được pháp luật quy định cho phép chuyển giao hoặc trái với nguyên tắc bảo vệ dữ liệu cá nhân;

• Mua, bán trái phép dữ liệu cá nhân nhưng chưa đến mức truy cứu trách nhiệm hình sự;

• Thiết lập các hệ thống phần mềm, biện pháp kỹ thuật thu thập, xử lý trái phép dữ liệu cá nhân.

• Thu thập, xử lý hoặc sử dụng dữ liệu để phát triển, huấn luyện, kiểm thử hoặc vận hành hệ thống trí tuệ nhân tạo trái với quy định của pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân.

- Phạt tiền tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi nêu trên vi phạm từ lần 2 trở lên

10. Bổ sung mức phạt tiền đối với vi phạm về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo

Theo Điều 64 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt vi phạm đối với hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo như sau:

- Phạt tiền từ 50 - 70 triệu đồng đối với các hành vi:

• Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo sử dụng dữ liệu cá nhân ngoài khách hàng được bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao theo thỏa thuận hoặc thu thập qua hoạt động kinh doanh của mình để kinh doanh dịch vụ quảng cáo;

• Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu; xác định thời gian lưu trữ; xóa, hủy dữ liệu khi không còn cần thiết.

- Phạt tiền tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi nêu trên vi phạm từ lần 2 trở lên.

11. Bổ sung mức phạt tiền đối với vi phạm về biện pháp bảo vệ dữ liệu cá nhân

Theo Điều 69 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt vi phạm đối với hành vi vi phạm quy định về biện pháp bảo vệ dữ liệu cá nhân như sau:

- Phạt tiền từ 50 - 70 triệu đồng đối với các hành vi:

• Không áp dụng các biện pháp bảo vệ dữ liệu cá nhân theo quy định;

• Không xây dựng, ban hành các quy định về bảo vệ dữ liệu cá nhân cơ bản, không nêu rõ những việc cần thực hiện theo quy định của Nghị định số 356/2025/NĐ-CP và không kiểm tra an ninh mạng đối với hệ thống và phương tiện, thiết bị phục vụ xử lý dữ liệu cá nhân trước khi xử lý, xoá không thể khôi phục được hoặc huỷ các thiết bị chứa dữ liệu cá nhân cơ bản.

- Phạt tiền từ 70 - 90 triệu đồng đối với hành vi không chỉ định bộ phận có chức năng bảo vệ dữ liệu cá nhân nhạy cảm, không chỉ định nhân sự phụ trách bảo vệ dữ liệu cá nhân nhạy cảm và trao đổi thông tin về bộ phận và cá nhân phụ trách bảo vệ dữ liệu cá nhân nhạy cảm với Cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

12. Bổ sung mức phạt tiền đối với vi phạm về rút lại sự đồng ý

Điều 60 dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân quy định mức phạt đối với hành vi vi phạm quy định về rút lại sự đồng ý như sau:

- Phạt tiền từ 25 - 50 triệu đồng đối với các hành vi:

• Ngăn chặn hoặc cố tình gây khó khăn cho sự rút lại sự đồng ý xử lý dữ liệu cá nhân của chủ thể dữ liệu;

• Không thông báo cho chủ thể dữ liệu về hậu quả, thiệt hại có thể xảy ra khi rút lại sự đồng ý;

- Phạt tiền từ 50 - 70 triệu đồng đối với các hành vi:

• Không ngừng xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu đã rút lại sự đồng ý;

• Không yêu cầu các tổ chức, cá nhân có liên quan ngừng xử lý dữ liệu của chủ thể dữ liệu đã rút lại sự đồng ý.

Trên đây là thông tin về việc Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân: 11 điểm đáng chú ý...