Mua bán trái phép dữ liệu cá nhân bị phạt bao nhiêu tiền?

1. Mua bán trái phép dữ liệu cá nhân bị phạt bao nhiêu tiền?

Theo khoản 1, khoản 3 Điều 53 và khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, tổ chức mua bán trái phép dữ liệu cá nhân bị phạt từ 02 đến tối đa 10 lần khoản thu; trường hợp không có khoản thu, mức phạt từ 70 triệu đồng đến 03 tỷ đồng, tùy trường hợp vi phạm.

Cá nhân thực hiện cùng hành vi bị áp dụng mức phạt bằng một nửa mức phạt đối với tổ chức. 

Đối với tổ chức, cách xác định mức phạt cụ thể như sau:

• Có khoản thu từ hành vi vi phạm: Khoản 1 Điều 53 quy định mức phạt từ 02 đến tối đa 10 lần khoản thu. Các hành vi bị xử phạt theo quy định này được trình bày tại mục 2 dưới đây.
• Không có khoản thu từ hành vi vi phạm: Khoản 3 Điều 53 quy định các khung phạt từ 70 triệu đồng đến 03 tỷ đồng, tùy loại dữ liệu, số lượng người có dữ liệu bị mua bán và trường hợp vi phạm.

Về mức phạt tối đa đối với hành vi mua bán dữ liệu cá nhân là 10 lần khoản thu từ hành vi vi phạm. Nếu không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn 03 tỷ đồng thì áp dụng quy định về mức phạt tối đa là 03 tỷ đồng. 

Như vậy, 03 tỷ đồng là mức phạt tối đa trong các trường hợp nêu trên, không có nghĩa mọi hành vi mua bán trái phép dữ liệu cá nhân đều bị phạt 03 tỷ đồng.

Đối với cá nhân, mức phạt và mức phạt tối đa bằng một nửa mức áp dụng đối với tổ chức. Do đó, nếu không có khoản thu, cá nhân có thể bị phạt từ 35 triệu đồng đến 1,5 tỷ đồng, tùy trường hợp vi phạm.

2. Những hành vi mua bán trái phép dữ liệu cá nhân nào bị xử phạt?

Khoản 1 Điều 53 Nghị định 330/2026/NĐ-CP quy định 06 hành vi mua, bán trái phép dữ liệu cá nhân bị phạt từ 02 đến tối đa 10 lần khoản thu, gồm:

• Cung cấp, chia sẻ, trao đổi nhằm thu tài sản hoặc lợi ích khác không thuộc các trường hợp quy định tại khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân.
• Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác nhưng không có thỏa thuận về việc chuyển giao dữ liệu cá nhân.
• Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà thỏa thuận không xác định mục đích chuyển giao hoặc không thực hiện đúng mục đích trong thỏa thuận.
• Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu.
• Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà xử lý dữ liệu không đúng cho mục đích chuyển giao được chủ thể dữ liệu đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh.
• Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.

3. Không có khoản thu từ mua bán trái phép dữ liệu cá nhân bị phạt thế nào?

Khoản 3 Điều 53 Nghị định 330/2026/NĐ-CP quy định riêng các khung phạt đối với trường hợp không có khoản thu từ hành vi vi phạm. Mức phạt được xác định theo loại dữ liệu, số lượng chủ thể dữ liệu hoặc trường hợp xâm phạm được quy định tại khoản này.

3.1. Mức phạt theo loại dữ liệu và số lượng chủ thể dữ liệu

Theo các điểm a, b, c, d khoản 3 Điều 53 và khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt đối với tổ chức và cá nhân được xác định như sau:

STT	Hành vi	Mức phạt đối với tổ chức	Mức phạt đối với cá nhân
1	Mua, bán dữ liệu cá nhân cơ bản của dưới 1.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của dưới 200 chủ thể dữ liệu.	Từ 70 đến 100 triệu đồng	Từ 35 đến 50 triệu đồng
2	Mua, bán dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 2.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của từ 200 đến dưới 400 chủ thể dữ liệu.	Từ 100 đến 300 triệu đồng	Từ 50 đến 150 triệu đồng
3	Mua, bán dữ liệu cá nhân cơ bản của từ 2.000 đến dưới 10.000 chủ thể dữ liệu hoặc dữ liệu cá nhân nhạy cảm của từ 400 đến 2.000 chủ thể dữ liệu.	Từ 300 đến 500 triệu đồng	Từ 150 đến 250 triệu đồng
4	Mua, bán dữ liệu cá nhân cơ bản của từ 10.000 chủ thể dữ liệu trở lên, dữ liệu cá nhân nhạy cảm của từ 2.000 chủ thể dữ liệu trở lên.	Từ 500 triệu đồng đến 01 tỷ đồng	Từ 250 đến 500 triệu đồng

3.2. Mua, bán dữ liệu cá nhân trái phép xâm phạm quốc phòng an ninh, tính mạng, sức khỏe phạt thế nào? 

Theo điểm đ khoản 3 Điều 53 Nghị định 330/2026/NĐ-CP, tổ chức bị phạt từ 01 tỷ đồng đến tối đa 03 tỷ đồng đối với các hành vi mua, bán dữ liệu cá nhân trái phép xâm phạm tới:

• Quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô;
• Tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân;
• Quyền và lợi ích hợp pháp của tổ chức, cá nhân.

Căn cứ khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt đối với cá nhân thực hiện cùng hành vi là từ 500 triệu đồng đến 1,5 tỷ đồng.

4. Khoản thu từ mua bán trái phép dữ liệu cá nhân được xác định thế nào?

Theo khoản 1 Điều 6 Nghị định 330/2026/NĐ-CP, khoản thu có được từ hành vi vi phạm hành chính về bảo vệ dữ liệu cá nhân là toàn bộ giá trị bằng vật, tiền, giấy tờ có giá, tài sản hoặc lợi ích vật chất khác mà tổ chức, cá nhân thu được trực tiếp hoặc gián tiếp từ hành vi vi phạm.

Riêng đối với mua, bán trái phép dữ liệu cá nhân, điểm a khoản 2 Điều 6 Nghị định 330/2026/NĐ-CP quy định khoản thu được xác định là tổng giá trị giao dịch ghi trên:

• Hợp đồng, hóa đơn, chứng từ thanh toán;
• Lịch sử tin nhắn, giao dịch điện tử;
• Dữ liệu sao kê tài khoản ngân hàng, ví điện tử;
• Cách thức tương tự khác liên quan trực tiếp đến giao dịch đó.

Trường hợp thực hiện nhiều hành vi vi phạm hành chính hoặc thực hiện hành vi vi phạm nhiều lần, khoản thu được xác định theo từng hành vi, từng lần vi phạm, căn cứ khoản 1 Điều 6 Nghị định 330/2026/NĐ-CP.

5. Ngoài tiền phạt, mua bán trái phép dữ liệu cá nhân còn bị xử lý thế nào?

5.1. Tịch thu tang vật, phương tiện vi phạm

Theo khoản 4 Điều 53 Nghị định 330/2026/NĐ-CP, hình thức xử phạt bổ sung đối với hành vi vi phạm tại Điều này là tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm.

5.2. Xóa dữ liệu, nộp lại khoản thu và thông báo cho người bị ảnh hưởng

Khoản 5 Điều 53 Nghị định 330/2026/NĐ-CP quy định các biện pháp khắc phục hậu quả:

• Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã mua, bán trái phép trên tất cả hệ thống lưu trữ đối với hành vi vi phạm tại Điều 53.
• Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều 53.
• Buộc thông báo đến toàn bộ chủ thể dữ liệu cá nhân bị ảnh hưởng về hành vi vi phạm và biện pháp khắc phục đối với hành vi vi phạm tại Điều 53.

Trên đây là thông tin về “Mua bán trái phép dữ liệu cá nhân bị phạt bao nhiêu tiền?”. Bạn đọc vui lòng xem chi tiết Nghị định 330/2026/NĐ-CP trên LuatVietnam.vn, đồng thời tham khảo các tính năng liên quan như: Tình trạng hiệu lực, Lược đồ...