Sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép bị phạt bao nhiêu?

1. API là gì?

API là chữ viết tắt thường dùng cho giao diện lập trình ứng dụng. Tại điểm c khoản 3 Điều 13 Nghị định 363/2026/NĐ-CP, văn bản dùng cụm từ “giao diện lập trình ứng dụng (API) dữ liệu” khi liệt kê các phương thức có thể được sử dụng để kết nối và khai thác dữ liệu.

Hiểu đơn giản, API là giao diện để một phần mềm gửi yêu cầu và nhận phản hồi từ phần mềm hoặc hệ thống khác. Khi gắn với dữ liệu, giao diện này có thể được dùng để trao đổi dữ liệu giữa các hệ thống theo cách thức mà bên quản lý thiết lập. 

2. Sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép bị phạt bao nhiêu?

Điểm c khoản 3 Điều 13 Nghị định 363/2026/NĐ-CP quy định phạt tiền từ 80 triệu đồng đến 100 triệu đồng đối với hành vi: 

“Sử dụng kết nối dữ liệu, giao diện lập trình ứng dụng (API) dữ liệu, nền tảng chia sẻ dữ liệu để thu thập, sao chép, trích xuất dữ liệu trái phép.”

Theo quy định trên, hành vi vi phạm có thể được thực hiện thông qua 01 trong 03 phương thức gồm kết nối dữ liệu, API dữ liệu hoặc nền tảng chia sẻ dữ liệu nhằm thực hiện hành vi thu thập, sao chép hoặc trích xuất dữ liệu trái phép.

Mức phạt từ 80 triệu đồng đến 100 triệu đồng nêu trên áp dụng đối với cá nhân. Theo khoản 2 Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền đối với tổ chức bằng 02 lần mức phạt đối với cá nhân. Vì vậy, tổ chức thực hiện hành vi vi phạm bị phạt từ 160 triệu đồng đến 200 triệu đồng.

3. Ngoài phạt tiền, hành vi sử dụng API để lấy dữ liệu trái phép bị xử lý thế nào?

3.1. Đình chỉ hoạt động và tịch thu tang vật, phương tiện

Theo điểm a khoản 4 Điều 13 Nghị định 363/2026/NĐ-CP, hành vi sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép, còn bị đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu từ 01 tháng đến 06 tháng.

Điều luật này cũng quy định tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép. 

Đối với phần mềm, dữ liệu vi phạm, khoản 1 Điều 5 Nghị định 363/2026/NĐ-CP quy định việc tịch thu chỉ áp dụng đối với phần mềm, dữ liệu được sử dụng trực tiếp làm tang vật, phương tiện thực hiện hành vi vi phạm hoặc là sản phẩm, kết quả trực tiếp của hành vi vi phạm.

3.2. Xóa dữ liệu thu thập trái phép và nộp lại khoản lợi bất hợp pháp

Điểm c khoản 5 Điều 13 Nghị định 363/2026/NĐ-CP quy định buộc xóa, tiêu hủy dữ liệu đã thu thập, sao chép, trích xuất trái phép đối với hành vi sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép. Đây là biện pháp khắc phục hậu quả nhằm xử lý trực tiếp đối với dữ liệu được tạo ra hoặc có được từ hành vi vi phạm.

Trường hợp phần mềm hoặc dữ liệu vi phạm vẫn còn được lưu trên thiết bị, tài khoản, kho dữ liệu hoặc môi trường điện tử, việc tịch thu phần mềm, dữ liệu được thực hiện theo pháp luật về xử lý vi phạm hành chính. Đồng thời, phần mềm, dữ liệu còn lưu có thể bị xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng theo quy định.

Việc xử lý phần mềm, dữ liệu phải tuân thủ giới hạn tại khoản 3 Điều 5 Nghị định 363/2026/NĐ-CP, theo đó chỉ được thực hiện trong phạm vi cần thiết và tương ứng với tính chất, mức độ của hành vi vi phạm. Việc xử lý cũng không được làm ảnh hưởng đến dữ liệu, phần mềm hoặc hệ thống thông tin hợp pháp khác, trừ trường hợp pháp luật có quy định khác.

Ngoài ra, người thực hiện hành vi sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép còn có thể bị buộc nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.

4. Mức phạt theo Nghị định 363/2026/NĐ-CP được áp dụng từ khi nào?

Theo Điều 34 Nghị định 363/2026/NĐ-CP, nghị định này chính thức có hiệu lực từ ngày 11/11/2026. 

Vì vậy, đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu xảy ra ở thời điểm trước, trong hoặc sau ngày này, việc xác định quy định xử phạt áp dụng cần căn cứ vào thời điểm hành vi được thực hiện và việc hành vi đã chấm dứt hay vẫn đang tiếp diễn.

Về quy định chuyển tiếp, khoản 1 Điều 35 Nghị định 363/2026/NĐ-CP phân biệt hai trường hợp chính:

• Thứ nhất, nếu hành vi được thực hiện và hoàn thành trước thời điểm Nghị định 363/2026/NĐ-CP có hiệu lực, nhưng đến sau ngày 11/11/2026 mới bị phát hiện hoặc đang được cơ quan có thẩm quyền xem xét, xử lý, thì việc xử phạt vẫn được thực hiện theo quy định pháp luật có hiệu lực tại thời điểm hành vi xảy ra. 
• Thứ hai, nếu hành vi vi phạm đã bắt đầu trước ngày Nghị định 363/2026/NĐ-CP có hiệu lực nhưng chưa chấm dứt và vẫn đang được thực hiện tại ngày 11/11/2026, thì hành vi thuộc trường hợp đang tiếp diễn khi nghị định mới có hiệu lực. 

Trên đây là thông tin về “Sử dụng API để thu thập, sao chép, trích xuất dữ liệu trái phép bị phạt bao nhiêu?”. Vui lòng xem chi tiết Nghị định 363/2026/NĐ-CP trên LuatVietnam.vn và các tính năng liên quan như Tình trạng hiệu lực, Lược đồ văn bản để đối chiếu quy định khi áp dụng.