Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân như thế nào?

1. Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân như thế nào?

Nghị định 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định về hành vi vi phạm, hình thức và mức xử phạt, biện pháp khắc phục hậu quả, đối tượng bị xử phạt, thẩm quyền xử phạt, thẩm quyền lập biên bản và việc thi hành quyết định xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Cụ thể, theo quy định tại Điều 1 Nghị định 330/2026/NĐ-CP, phạm vi điều chỉnh của Nghị định bao gồm:

• Hành vi vi phạm hành chính;
• Hành vi vi phạm hành chính đã kết thúc và hành vi đang được thực hiện;
• Hình thức xử phạt và mức xử phạt;
• Biện pháp khắc phục hậu quả đối với từng hành vi;
• Đối tượng bị xử phạt;
• Thẩm quyền xử phạt, mức phạt tiền cụ thể theo từng chức danh;
• Thẩm quyền lập biên bản vi phạm hành chính;
• Việc thi hành các hình thức xử phạt và biện pháp khắc phục hậu quả trong lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân.

Trường hợp hành vi vi phạm có liên quan đến an ninh mạng hoặc bảo vệ dữ liệu cá nhân nhưng không được quy định tại Nghị định 330/2026/NĐ-CP thì áp dụng nghị định xử phạt trong lĩnh vực quản lý nhà nước có liên quan. 

Trường hợp một hành vi đồng thời được quy định tại Nghị định này và nghị định xử phạt thuộc lĩnh vực khác, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi để lựa chọn căn cứ xử phạt.

Trường hợp hành vi đồng thời được quy định tại Nghị định 330 2026 và Nghị định xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước khác thì áp dụng Nghị định này nếu hành vi vi phạm trên lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; trường hợp dấu hiệu cấu thành hành vi vi phạm nghĩa vụ, trách nhiệm, điều cấm khác thuộc phạm vi quản lý nhà nước chuyên ngành khác thì áp dụng nghị định của lĩnh vực đó.

2. Đối tượng áp dụng Nghị định 330/2026/NĐ-CP 

Theo quy định tại Điều 2, Nghị định 330/2026/NĐ-CP áp dụng đối với các đối tượng có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của Việt Nam; trên tàu bay mang quốc tịch Việt Nam, tàu biển mang cờ quốc tịch Việt Nam (trừ trường hợp điều ước quốc tế mà Việt Nam là thành viên có quy định khác), cụ thể như sau:

• Cá nhân Việt Nam
• Tổ chức Việt Nam 
• Cá nhân nước ngoài
• Tổ chức nước ngoài 

3. Nghị định 330/2026/NĐ-CP quy định những nhóm hành vi vi phạm nào?

Chương II Nghị định 330/2026/NĐ-CP quy định cụ thể hành vi vi phạm hành chính, hình thức xử phạt và biện pháp khắc phục hậu quả, được chia thành 06 nhóm lớn.

3.1. Vi phạm về bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng

Mục 1 Chương II quy định các vi phạm liên quan đến bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng, bắt đầu từ Điều 9 đến Điều 15 Nghị định 330/2026/NĐ-CP. 

Nhóm này bao gồm các hành vi như cung cấp, chia sẻ thông tin trên không gian mạng có nội dung vi phạm pháp luật; làm ra, phát tán thông tin xâm phạm trật tự quản lý kinh tế; thông tin sai sự thật, chưa được kiểm chứng; vi phạm trách nhiệm ngăn chặn, xử lý thông tin vi phạm; xâm phạm bí mật cá nhân, bí mật công tác, bí mật kinh doanh, bí mật gia đình và đời sống riêng tư...

3.2. Vi phạm về phòng, chống tấn công mạng

Mục 2 Chương II quy định các vi phạm về phòng, chống tấn công mạng, bắt đầu từ Điều 16 đến Điều 18 Nghị định 330/2026/NĐ-CP.

Các hành vi thuộc nhóm này có thể gồm cung cấp, chia sẻ hoặc sử dụng chương trình tin học gây ảnh hưởng đến hoạt động của hệ thống thông tin; đưa chương trình, mã lệnh, ứng dụng vào hệ thống làm ảnh hưởng đến việc quản lý, lưu trữ, khai thác dữ liệu; truy cập, can thiệp trái quy định vào dữ liệu; khai thác hoặc sử dụng điểm yếu, lỗ hổng kỹ thuật không đúng quy định; cung cấp dịch vụ tấn công mạng trái pháp luật...

3.3. Vi phạm về triển khai hoạt động bảo vệ an ninh mạng

Mục 3 Chương II là nhóm vi phạm quy định về triển khai hoạt động bảo vệ an ninh mạng, bắt đầu từ Điều 19 đến Điều 33 Nghị định 330/2026/NĐ-CP. 

Nội dung xử phạt trong nhóm này liên quan đến các vấn đề như cung cấp, sử dụng trái phép thông tin trên mạng; quản lý việc gửi thông tin trên mạng; ứng cứu sự cố an ninh mạng; phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại; giám sát, bảo vệ hệ thống thông tin; bảo đảm an ninh hệ thống thông tin theo cấp độ; bảo vệ hệ thống thông tin quan trọng về an ninh quốc gia...

3.4. Vi phạm về quản lý sản phẩm, dịch vụ an ninh mạng

Mục 4 Chương II quy định vi phạm về quản lý sản phẩm, dịch vụ an ninh mạng, bắt đầu từ Điều 34 đến Điều 36 Nghị định 330/2026/NĐ-CP. 

Các hành vi được quy định trong nhóm này liên quan đến xác thực, định danh, bảo mật tài khoản số; hoạt động kinh doanh sản phẩm, dịch vụ an ninh mạng; xuất khẩu, nhập khẩu sản phẩm an ninh mạng thuộc trường hợp phải đáp ứng điều kiện hoặc có giấy phép.

3.5. Vi phạm về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác

Mục 5 Chương II quy định vi phạm về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác, bắt đầu từ Điều 37 đến Điều 38 Nghị định 330/2026/NĐ-CP. 

Nhóm này xử lý các hành vi vi phạm liên quan đến việc gửi tin nhắn, thư điện tử quảng cáo, thực hiện cuộc gọi quảng cáo; việc tiếp nhận và xử lý yêu cầu từ chối của người nhận; gửi quảng cáo đến số điện thoại thuộc Danh sách không quảng cáo; phát tán tin nhắn rác, thư điện tử rác hoặc thực hiện cuộc gọi rác.

3.6. Vi phạm quy định về bảo vệ dữ liệu cá nhân

Mục 6 Chương II quy định về vi phạm quy định về bảo vệ dữ liệu cá nhân, , bắt đầu từ Điều 39 đến Điều 71 Nghị định 330/2026/NĐ-CP. 

Các quy định xử phạt trải rộng từ nguyên tắc bảo vệ dữ liệu cá nhân, quyền của chủ thể dữ liệu, sự đồng ý trong xử lý dữ liệu, bảo vệ dữ liệu cá nhân nhạy cảm, đánh giá tác động xử lý dữ liệu, chuyển dữ liệu cá nhân xuyên biên giới đến nghĩa vụ thông báo khi xảy ra vi phạm.

4. Mức phạt tiền theo Nghị định 330/2026/NĐ-CP được xác định thế nào?

Điều 7 Nghị định 330/2026/NĐ-CP quy định cách xác định mức phạt khác nhau giữa lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Đối với lĩnh vực an ninh mạng, mức phạt quy định từ Mục 1 đến Mục 5 Chương II là mức áp dụng đối với cá nhân. Nếu tổ chức thực hiện cùng hành vi, mức phạt tiền của tổ chức bằng 02 lần mức phạt đối với cá nhân.

Đối với lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tại Mục 6 Chương II được quy định đối với tổ chức. Cá nhân thực hiện cùng hành vi bị phạt bằng 1/2 mức phạt của tổ chức. 

4.1. Mức phạt tối đa trong lĩnh vực an ninh mạng

Mức phạt tiền tối đa trong lĩnh vực an ninh mạng theo khoản 3 Điều 7 Nghị định 330/2026/NĐ-CP là:

• 200 triệu đồng đối với tổ chức;
• 100 triệu đồng đối với cá nhân.

4.2. Mức phạt tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân

Mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân theo khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP như sau:

• Đối với hành vi mua, bán dữ liệu cá nhân: mức phạt tối đa là 10 lần khoản thu có được từ hành vi vi phạm. Trong trường hợp không có khoản thu hoặc mức tính theo khoản thu thấp hơn mức phạt tối đa đối với các vi phạm khác thì áp dụng mức phạt theo quy định tương ứng;
• Đối với tổ chức có hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới: mức phạt tối đa là 5% doanh thu của năm trước liền kề của tổ chức;
• Đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân: mức phạt tối đa là 03 tỷ đồng;

4.3. Ngoài phạt tiền, người vi phạm còn có thể bị xử lý thế nào?

Theo Điều 4 Nghị định 330/2026/NĐ-CP, hình thức xử phạt chính gồm cảnh cáo và phạt tiền. Tùy theo tính chất, mức độ vi phạm, cá nhân hoặc tổ chức còn có thể bị áp dụng các hình thức xử phạt bổ sung như:

• Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 - 24 tháng;
• Đình chỉ hoạt động có thời hạn từ 01 - 24 tháng;
• Tịch thu tang vật, phương tiện vi phạm hành chính;
• Trục xuất đối với người nước ngoài có hành vi vi phạm. 

Điều 5 Nghị định này còn quy định nhiều biện pháp khắc phục hậu quả như khôi phục tình trạng ban đầu của hệ thống thông tin; thu hồi hoặc hoàn trả thông tin, dữ liệu, sản phẩm, thiết bị; khắc phục tình trạng mất an ninh mạng, lộ lọt dữ liệu; cải chính thông tin; thực hiện đầy đủ quyền của chủ thể dữ liệu; xóa dữ liệu được thu thập, xử lý, công khai hoặc chuyển giao trái pháp luật; hoàn trả hoặc nộp lại số lợi bất hợp pháp. 

5. Nghị định 330/2026/NĐ-CP có hiệu lực từ ngày nào?

Theo Điều 80 Nghị định 330/2026/NĐ-CP, Nghị định có hiệu lực thi hành kể từ ngày 19/8/2026. 

Tuy nhiên, cần lưu ý quy định chuyển tiếp tại Điều 81 Nghị định 330/2026/NĐ-CP, đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân xảy ra trước ngày 19/8/2926 mà sau đó mới bị phát hiện hoặc đang được xem xét, giải quyết thì áp dụng quy định của các Nghị định của Chính phủ về xử phạt vi phạm hành chính có hiệu lực tại thời điểm thực hiện hành vi vi phạm;

Trường hợp Nghị định đang áp dụng không quy định trách nhiệm pháp lý hoặc quy định trách nhiệm pháp lý nhẹ hơn đối với hành vi đó thì áp dụng quy định của Nghị định 330 2026. 

Trên đây là thông tin về Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân như thế nào? Vui lòng xem chi tiết Nghị định 330/2026/NĐ-CP trên LuatVietnam.vn và các tính năng liên quan như: Tình trạng hiệu lực, Lược đồ...