Tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý bị phạt bao nhiêu tiền?

1. Tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý bị phạt bao nhiêu tiền?

Theo khoản 1 Điều 48 Nghị định 330/2026/NĐ-CP:

“Điều 48. Vi phạm quy định về thu thập dữ liệu cá nhân

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật.”

Như vậy, hành vi tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể dữ liệu đồng ý sẽ bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng.

Căn cứ khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt nêu trên áp dụng đối với tổ chức, cá nhân có cùng hành vi vi phạm có mức phạt bằng ½ mức phạt đối với tổ chức.

Ngoài ra, hộ kinh doanh, hộ gia đình, cộng đồng dân cư thực hiện hành vi nêu trên bị áp dụng mức phạt tiền như đối với cá nhân. Do đó, mức phạt cụ thể đối với các trường hợp như sau:

Chủ thể thực hiện hành vi vi phạm	Khung phạt tiền
Tổ chức	30 triệu đồng - 50 triệu đồng
Cá nhân	15 triệu đồng - 25 triệu đồng
Hộ kinh doanh, hộ gia đình, cộng đồng dân cư	15 triệu đồng - 25 triệu đồng

2. Thu thập dữ liệu cá nhân nhạy cảm khi chưa được đồng ý bị phạt thế nào?

Đối với dữ liệu cá nhân nhạy cảm, khoản 4 Điều 48 Nghị định 330/2026/NĐ-CP quy định khung phạt riêng.

Cụ thể, tổ chức có hành vi thu thập dữ liệu cá nhân nhạy cảm khi chưa được chủ thể dữ liệu đồng ý sẽ bị phạt tiền từ 50 triệu đồng đến 80 triệu đồng. Cá nhân, hộ kinh doanh, hộ gia đình có cùng hành vi vi phạm bị phạt bằng ½ mức này.

Theo đó, mức phạt tương ứng đối với từng chủ thể vi phạm quy định về thu thập dữ liệu cá nhân nhạy cảm khi chưa được chủ thể dữ liệu đồng ý như sau:

• Tổ chức: Phạt tiền từ 50 triệu đồng đến 80 triệu đồng.
• Cá nhân: Phạt tiền từ 25 triệu đồng đến 40 triệu đồng.
• Hộ kinh doanh, hộ gia đình, cộng đồng dân cư: Phạt tiền từ 25 triệu đồng đến 40 triệu đồng.

3. Dùng công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái pháp luật bị phạt bao nhiêu?

Theo khoản 3 Điều 48 Nghị định 330/2026/NĐ-CP, trường hợp áp dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái quy định của pháp luật sẽ bị xử phạt từ 100 triệu đến 800 triệu đồng, tuỳ theo loại dữ liệu và số lượng chủ thể dữ liệu bị thu thập. 

Cụ thể, các khung phạt đối với cá nhân, tổ chức được quy định như sau:

Phạm vi thu thập trái pháp luật bằng công nghệ, kỹ thuật	Mức phạt áp dụng với tổ chức	Mức phạt áp dụng với cá nhân
Dữ liệu cá nhân cơ bản của dưới 500 chủ thể hoặc dữ liệu cá nhân nhạy cảm của dưới 100 chủ thể	100 triệu - 200 triệu đồng	50 triệu - 100 triệu đồng
Dữ liệu cá nhân cơ bản của từ 500 đến dưới 1.000 chủ thể hoặc dữ liệu cá nhân nhạy cảm của từ 100 đến dưới 200 chủ thể	200 triệu - 300 triệu đồng	100 triệu - 150 triệu đồng
Dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể hoặc dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể	300 triệu - 500 triệu đồng	150 triệu - 250 triệu đồng
Dữ liệu cá nhân cơ bản của từ 5.000 chủ thể trở lên hoặc dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể trở lên	500 triệu - 800 triệu đồng	250 triệu - 400 triệu đồng

4. Ngoài phạt tiền, thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý còn bị xử lý thế nào?

Về biện pháp khắc phục hậu quả: Căn cứ khoản 6 Điều 48 Nghị định 330/2026/NĐ-CP, người vi phạm thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý bị buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái quy định.

Như vậy, ngoài bị phạt tiền do vi phạm quy định về thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý, người vi phạm còn có thể bị tịch thu tang vật, phương tiện vi phạm khi thu thập dữ liệu và buộc phải huỷ, xoá không thể khôi phục đối với các dữ liệu đã thu thập trái pháp luật.

Trên đây là thông tin về “Tự ý thu thập dữ liệu cá nhân khi chưa được chủ thể đồng ý bị phạt bao nhiêu tiền?”. Vui lòng xem chi tiết văn bản pháp luật điều chỉnh trên LuatVietnam.vn và các tính năng liên quan như: Tình trạng hiệu lực, Lược đồ...