English
RSS
Ngày 19/8/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực ngay từ ngày ban hành.
Một trong những nội dung đáng chú ý nhất là mức phạt đối với hành vi mua, bán trái phép dữ liệu cá nhân.
Theo khoản 1 Điều 53 Nghị định 330/2026 của Chính phủ, tổ chức thực hiện hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt tiền từ 02 lần đến tối đa 10 lần khoản thu có được từ hành vi vi phạm.
Các hành vi bị xử phạt gồm: cung cấp, chia sẻ, trao đổi dữ liệu cá nhân nhằm thu tài sản hoặc lợi ích khác trái quy định; chuyển giao dữ liệu cá nhân có thu phí nhưng không có thỏa thuận; thỏa thuận không xác định mục đích chuyển giao hoặc không thực hiện đúng mục đích đã thỏa thuận.
Mức phạt trên còn áp dụng đối với hành vi không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu đồng ý rõ ràng theo từng lần chuyển giao; xử lý dữ liệu không đúng mục đích đã được đồng ý hoặc không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.
Trường hợp không có khoản thu, khoản 3 Điều 53 quy định mức phạt dựa trên số lượng và loại dữ liệu được mua bán. Trong đó, mua bán dữ liệu cá nhân cơ bản của từ 10.000 người trở lên hoặc dữ liệu cá nhân nhạy cảm của từ 2.000 người trở lên bị phạt từ 500 triệu đồng đến 01 tỷ đồng.
Đặc biệt, mức phạt từ 01-03 tỷ đồng được áp dụng nếu việc mua bán dữ liệu trái phép xâm phạm quốc phòng, an ninh, trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản hoặc quyền và lợi ích hợp pháp của tổ chức, cá nhân.
Ngoài tiền phạt, người vi phạm còn bị tịch thu tang vật, phương tiện; buộc hủy, xóa đến mức không thể khôi phục toàn bộ dữ liệu đã mua bán trái phép; nộp lại khoản thu có được và thông báo cho toàn bộ chủ thể dữ liệu bị ảnh hưởng.
Các mức phạt tại Điều 53 được áp dụng đối với tổ chức. Cá nhân có cùng hành vi bị phạt bằng một nửa mức phạt áp dụng đối với tổ chức theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP.
