Chính phủ ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực thi hành ngay từ ngày 19/8/2026, tạo cơ sở pháp lý cụ thể cho việc xác định hành vi vi phạm, hình thức và mức xử phạt, cũng như các biện pháp khắc phục hậu quả trong hai lĩnh vực này.
Nghị định 330/2026/NĐ-CP quy định những nội dung gì?
Nghị định 330/2026/NĐ-CP gồm 4 chương, 82 điều, quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Phạm vi điều chỉnh bao gồm các hành vi vi phạm, đối tượng bị xử phạt, hình thức và mức xử phạt, biện pháp khắc phục hậu quả, thẩm quyền lập biên bản và xử phạt, cũng như việc thi hành quyết định xử phạt.
Về đối tượng áp dụng, Nghị định quy định đối với cá nhân, tổ chức Việt Nam và cá nhân, tổ chức nước ngoài có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân thuộc phạm vi quy định. Trong đó, tổ chức thuộc diện xử phạt được xác định khá rộng, bao gồm doanh nghiệp, tổ chức cung cấp dịch vụ viễn thông, Internet, nội dung trên không gian mạng, công nghệ thông tin, an ninh mạng, các tổ chức có liên quan đến hoạt động xử lý dữ liệu cá nhân và các chủ thể khác được quy định tại Điều 2. Hộ kinh doanh, hộ gia đình và cộng đồng dân cư thực hiện hành vi vi phạm bị áp dụng mức phạt tiền như đối với cá nhân.
Nghị định cũng quy định một số nguyên tắc và nội dung chung đáng chú ý, trong đó thời hiệu xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân là 01 năm. Đồng thời, việc xử phạt có thể được thực hiện trên môi trường điện tử; chứng cứ điện tử được sử dụng làm căn cứ xử lý vi phạm, trong khi biên bản và quyết định xử phạt có thể được lập, ký số, gửi, lưu trữ và quản lý bằng phương thức điện tử theo quy định.
Các nhóm hành vi vi phạm
Chương II của Nghị định 330/2026/NĐ-CP tập trung quy định về các hành vi vi phạm hành chính, hình thức xử phạt và biện pháp khắc phục hậu quả trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Đối với lĩnh vực bảo vệ an ninh mạng, các hành vi vi phạm được quy định khá rộng, từ hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội trên không gian mạng (Mục 1), phòng, chống tấn công mạng (Mục 2) đến việc triển khai các hoạt động bảo vệ an ninh mạng (Mục 3). Các quy định này bao quát nhiều hoạt động trên môi trường mạng, từ cung cấp, chia sẻ thông tin, phòng ngừa và xử lý các hành vi tấn công mạng, ứng cứu sự cố đến bảo vệ hệ thống thông tin quan trọng và bảo vệ trẻ em trên không gian mạng. Bên cạnh đó, Nghị định cũng quy định về quản lý sản phẩm, dịch vụ an ninh mạng (Mục 4) và xử phạt các hành vi liên quan đến tin nhắn rác, thư điện tử rác, cuộc gọi rác (Mục 5).
Đáng chú ý, các quy định về bảo vệ dữ liệu cá nhân được tập trung tại Mục 6, từ Điều 39 đến Điều 71. Nhóm quy định này bao quát nhiều hoạt động trong quá trình xử lý dữ liệu cá nhân, như bảo đảm nguyên tắc xử lý và sự đồng ý của chủ thể dữ liệu; thu thập, chuyển giao, công khai, mua, bán dữ liệu cá nhân; thực hiện quyền của chủ thể dữ liệu và chuyển dữ liệu cá nhân xuyên biên giới.
Cùng với đó, Nghị định cũng quy định xử phạt đối với một số hoạt động xử lý dữ liệu gắn với các công nghệ và phương thức xử lý dữ liệu mới, trong đó có dữ liệu lớn (Big Data), trí tuệ nhân tạo (AI), vũ trụ ảo, điện toán đám mây và công nghệ chuỗi khối (Blockchain) tại Điều 66 đến Điều 69.
Phạt 10 lần khoản thu đối với hành vi mua bán trái phép dữ liệu cá nhân
Đối với lĩnh vực an ninh mạng, mức phạt tiền tối đa được áp dụng là 200.000.000 đồng đối với tổ chức và 100.000.000 đồng đối với cá nhân có hành vi vi phạm. Mức phạt quy định tại Nghị định được áp dụng đối với cá nhân; trường hợp tổ chức thực hiện cùng hành vi vi phạm thì mức phạt bằng 02 lần mức phạt đối với cá nhân.
Ngược lại, đối với các vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt được quy định áp dụng trực tiếp cho tổ chức, và cá nhân có cùng hành vi vi phạm sẽ chịu mức phạt bằng một phần hai so với tổ chức. Đáng chú ý, mức phạt tiền tối đa đối với hành vi mua, bán trái phép dữ liệu cá nhân có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm. Trong trường hợp tổ chức có hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa có thể áp dụng lên tới 5% tổng doanh thu của năm trước liền kề của tổ chức đó. Đối với các hành vi vi phạm khác về bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa là 03 tỷ đồng đối với tổ chức.
Bên cạnh hình thức phạt tiền, tùy hành vi vi phạm, tổ chức, cá nhân còn có thể bị áp dụng các hình thức xử phạt bổ sung như tước quyền sử dụng giấy phép, chứng chỉ hành nghề; đình chỉ hoạt động có thời hạn từ 01 tháng đến 24 tháng; hoặc tịch thu tang vật, phương tiện vi phạm hành chính. Đồng thời, Nghị định cũng quy định các biện pháp khắc phục hậu quả tương xứng với từng hành vi, như buộc khôi phục tình trạng ban đầu, thu hồi, hoàn trả hoặc xóa dữ liệu đã xử lý trái quy định và buộc nộp lại khoản thu bất hợp pháp.
