Nghị định 330/2026: Vi phạm về bảo vệ dữ liệu cá nhân có thể bị phạt đến 3 tỷ đồng

Nghị định 330/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân được ban hành và có hiệu lực từ ngày 19/8/2026.

Một trong những nội dung quan trọng nhất của Nghị định là quy định mức phạt tiền tối đa đối với từng lĩnh vực và từng nhóm hành vi vi phạm.

Theo khoản 3 Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt tiền tối đa trong lĩnh vực an ninh mạng là 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân.

Đối với lĩnh vực bảo vệ dữ liệu cá nhân, khoản 4 Điều 7 quy định mức phạt tối đa theo tính chất của từng hành vi. Cụ thể, hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm.

Tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt đến 5% doanh thu của năm trước liền kề.

Trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa áp dụng đối với các hành vi vi phạm khác thì áp dụng mức phạt tối đa là 03 tỷ đồng.

Đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa được xác định là 03 tỷ đồng.

Khoản 1 Điều 7 cũng xác định rõ cách áp dụng mức phạt đối với cá nhân và tổ chức. Từ Mục 1 đến Mục 5 Chương II, mức phạt trong lĩnh vực an ninh mạng được quy định cho cá nhân; tổ chức thực hiện cùng hành vi bị phạt gấp hai lần. Cụ thể gồm:

• Vi phạm quy định về bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng
• Vi phạm quy định về phòng, chống tấn công mạng
• Vi phạm quy định về triển khai hoạt động bảo vệ an ninh mạng
• Vi phạm quy định về quản lý sản phẩm, dịch vụ an ninh mạng
• Vi phạm quy định về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác

Ngược lại, các mức phạt tại Mục 6 Chương II về bảo vệ dữ liệu cá nhân được áp dụng đối với tổ chức. Cá nhân thực hiện cùng hành vi bị phạt bằng một nửa mức phạt áp dụng đối với tổ chức.

Ngoài tiền phạt, Điều 4 và Điều 5 Nghị định 330 còn quy định các hình thức xử phạt bổ sung và biện pháp khắc phục như đình chỉ hoạt động, tước giấy phép, tịch thu tang vật, buộc xóa dữ liệu, khắc phục tình trạng lộ lọt dữ liệu và nộp lại khoản thu bất hợp pháp.