NGHỊ ĐỊNH 330/2026/NĐ-CP: NHỮNG QUY ĐỊNH ĐÁNG CHÚ Ý VỀ XỬ PHẠT VI PHẠM AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN
Trong bối cảnh hoạt động giao dịch, kinh doanh, trao đổi thông tin và cung cấp dịch vụ ngày càng được thực hiện trên môi trường số, các hành vi vi phạm liên quan đến an ninh mạng và dữ liệu cá nhân cũng ngày càng đa dạng. Việc đăng tải, chia sẻ thông tin sai sự thật, sử dụng trái phép tài khoản số, xâm nhập hệ thống thông tin, xử lý dữ liệu cá nhân không đúng quy định hay chuyển dữ liệu cá nhân ra nước ngoài đều có thể gây ra những ảnh hưởng đáng kể đối với cá nhân, doanh nghiệp và tổ chức.
Nhằm quy định cụ thể về trách nhiệm pháp lý đối với các hành vi vi phạm trong lĩnh vực này, Chính phủ đã ban hành Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định không chỉ quy định các hành vi bị xử phạt mà còn thiết lập hệ thống hình thức xử phạt, mức phạt, biện pháp khắc phục hậu quả và thẩm quyền xử phạt tương ứng. Nghị định 330/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 19/8/2026.
Ảnh minh họa( Internet)
- Phạm vi và đối tượng áp dụng được quy định rộng
Theo Nghị định 330/2026/NĐ-CP, phạm vi điều chỉnh bao gồm các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; hình thức, mức xử phạt; biện pháp khắc phục hậu quả; đối tượng bị xử phạt; thẩm quyền xử phạt và việc thi hành quyết định xử phạt.
Đối tượng áp dụng không chỉ bao gồm cá nhân, tổ chức Việt Nam mà còn bao gồm cá nhân, tổ chức nước ngoài có hành vi vi phạm trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của Việt Nam; trên tàu bay mang quốc tịch Việt Nam và tàu biển mang cờ quốc tịch Việt Nam, trừ trường hợp điều ước quốc tế mà Việt Nam là thành viên có quy định khác.
Đáng chú ý, Nghị định xác định nhiều nhóm tổ chức thuộc phạm vi áp dụng như doanh nghiệp, đơn vị phụ thuộc doanh nghiệp, tổ chức xã hội, tổ chức xã hội – nghề nghiệp, doanh nghiệp nước ngoài hoặc chi nhánh, văn phòng đại diện, địa điểm kinh doanh của doanh nghiệp nước ngoài có hoạt động liên quan đến viễn thông, Internet, nội dung trên không gian mạng, công nghệ thông tin, an ninh mạng, dịch vụ xuyên biên giới hoặc hoạt động xử lý dữ liệu cá nhân. Hộ kinh doanh, hộ gia đình và cộng đồng dân cư khi thực hiện hành vi vi phạm cũng bị áp dụng mức phạt tiền như đối với cá nhân.
- Mức phạt tiền trong lĩnh vực an ninh mạng được quy định cụ thể
Một điểm đáng chú ý của Nghị định 330/2026/NĐ-CP là việc quy định nhiều nhóm hành vi vi phạm trên không gian mạng với mức xử phạt tương ứng.
Đối với hành vi cung cấp, chia sẻ thông tin trên không gian mạng có nội dung vi phạm pháp luật, gây ảnh hưởng đến an ninh, trật tự, mức phạt có thể từ 5 triệu đồng đến 10 triệu đồng đối với một số hành vi như cung cấp, chia sẻ thông tin nhằm cổ súy, vận động hoặc dụ dỗ người khác thực hiện hành vi xâm hại an ninh, trật tự xã hội; thông tin mang tính đe dọa, kích động mâu thuẫn, chia rẽ hoặc kích động, lôi kéo tụ tập đông người.
Đối với một số hành vi nghiêm trọng hơn như đăng tải, chia sẻ thông tin sai sự thật về chủ quyền quốc gia, an ninh, quốc phòng; tạo ra, đăng tải, chia sẻ thông tin giả mạo gây ảnh hưởng đến an ninh, trật tự hoặc cung cấp, chia sẻ thông tin sai sự thật, xuyên tạc gây ảnh hưởng đến hoạt động bình thường hoặc uy tín của cơ quan, tổ chức, chính quyền nhân dân, mức phạt được quy định từ 10 triệu đồng đến 20 triệu đồng. Người vi phạm còn có thể bị buộc gỡ, xóa thông tin và cải chính thông tin sai sự thật.
Bên cạnh đó, Nghị định cũng quy định trách nhiệm đối với chủ thể quản lý, điều hành trang thông tin điện tử, mạng xã hội, tài khoản, hội, nhóm hoặc chuyên trang. Trường hợp không triển khai các biện pháp phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa thông tin có nội dung vi phạm pháp luật, mức phạt có thể từ 10 triệu đồng đến 20 triệu đồng; trường hợp không thực hiện khi có yêu cầu của cơ quan chức năng hoặc không cung cấp thông tin, tài liệu liên quan đến hành vi vi phạm có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng.
- Đáng chú ý: hành vi mua, bán hoặc xử lý trái phép tài khoản số có thể bị xử phạt
Nghị định 330/2026/NĐ-CP cũng đặt ra các chế tài đối với việc sử dụng không gian mạng, công nghệ thông tin và phương tiện điện tử để xâm phạm trật tự quản lý kinh tế.
Theo đó, hành vi bán, cho thuê, cho mượn, tặng cho thông tin tài khoản số của mình, bao gồm tài khoản ngân hàng, thẻ ngân hàng, tài khoản ví điện tử, tài khoản tiền di động, tài khoản chứng khoán, tài khoản giao dịch, tài khoản bảo hiểm, tài khoản thuế và các tài khoản số khác có chức năng giao dịch tài chính, có thể bị phạt từ 5 triệu đồng đến 10 triệu đồng.
Các hành vi như sử dụng danh tính giả hoặc giấy tờ giả để đăng ký tài khoản tài chính; sử dụng tài khoản số làm công cụ trung gian để giao dịch, nhận, chuyển tiền và thanh toán cho người thụ hưởng khác trái quy định; thuê, cho thuê hoặc sử dụng dịch vụ xác thực, định danh tài khoản tài chính trái phép có thể bị phạt từ 10 triệu đồng đến 20 triệu đồng.
Đối với các hành vi nghiêm trọng hơn, mức phạt có thể lên tới 100 triệu đồng, trong đó có trường hợp mở hoặc duy trì tài khoản số có chức năng giao dịch tài chính bằng thông tin định danh giả mạo hoặc mở tài khoản số cho người thuộc danh sách bị cấm mở và sử dụng tài khoản số.
- Xâm nhập trái phép hệ thống thông tin có thể bị phạt đến 70 triệu đồng
Nghị định cũng quy định riêng về các hành vi vi phạm trong phòng, chống tấn công mạng và cung cấp, sử dụng trái phép thông tin trên mạng.
Theo Điều 19, hành vi truy cập trái phép vào mạng hoặc thiết bị số của người khác để chiếm quyền điều khiển, thay đổi hoặc xóa thông tin; xâm nhập, sửa đổi, xóa bỏ nội dung thông tin của tổ chức, cá nhân khác; cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin; ngăn chặn trái phép việc truy nhập thông tin hoặc làm mất an toàn, bí mật thông tin của tổ chức, cá nhân khác có thể bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng nếu chưa đến mức truy cứu trách nhiệm hình sự.
Đối với các hành vi liên quan đến tấn công mạng, việc cung cấp, chia sẻ hoặc sử dụng chương trình gây ảnh hưởng đến an toàn, ổn định của hệ thống thông tin, mạng máy tính và phương tiện điện tử có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng. Sản xuất, mua bán, trao đổi hoặc cung cấp dịch vụ tấn công mạng trái pháp luật có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng, cùng với các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả theo quy định.
- Mức phạt đáng chú ý trong lĩnh vực bảo vệ dữ liệu cá nhân
Bên cạnh an ninh mạng, Nghị định 330/2026/NĐ-CP dành một phần quan trọng để quy định xử phạt vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân.
Theo quy định về mức phạt chung, đối với các hành vi vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tối đa đối với tổ chức có thể lên tới 3 tỷ đồng đối với các hành vi vi phạm khác. Riêng hành vi mua, bán dữ liệu cá nhân, mức phạt tối đa có thể bằng 10 lần khoản thu có được từ hành vi vi phạm. Đối với hành vi chuyển dữ liệu cá nhân xuyên biên giới, mức phạt tối đa có thể lên tới 5% doanh thu của năm trước liền kề của tổ chức trong trường hợp thuộc các điều kiện được Nghị định quy định.
Đây là điểm doanh nghiệp cần đặc biệt lưu ý, bởi trách nhiệm bảo vệ dữ liệu cá nhân không chỉ dừng lại ở việc không để xảy ra tình trạng mua bán dữ liệu. Doanh nghiệp còn phải kiểm soát quá trình thu thập, xử lý, sử dụng, lưu trữ, chia sẻ và chuyển giao dữ liệu cá nhân theo đúng mục đích, phạm vi và yêu cầu pháp luật.
- Chuyển dữ liệu cá nhân xuyên biên giới: doanh nghiệp cần đặc biệt lưu ý
Nghị định 330/2026/NĐ-CP quy định cụ thể nhiều nghĩa vụ liên quan đến hoạt động chuyển dữ liệu cá nhân xuyên biên giới.
Theo đó, một số hành vi như không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn theo yêu cầu; không cập nhật hồ sơ khi có thay đổi; không duy trì hồ sơ ở trạng thái sẵn sàng phục vụ kiểm tra; không có cơ chế kiểm soát việc chuyển tiếp dữ liệu cho bên thứ ba có thể bị xử phạt.
Đối với hành vi không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận; không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích chuyển dữ liệu; không thông báo về việc dữ liệu được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý; hoặc không áp dụng biện pháp bảo mật phù hợp, mức phạt có thể từ 50 triệu đồng đến 100 triệu đồng.
Đáng chú ý, đối với một số hành vi chuyển dữ liệu cá nhân xuyên biên giới gây hậu quả nghiêm trọng, tổ chức có thể bị phạt theo tỷ lệ doanh thu. Cụ thể, mức phạt có thể từ 1% đến 2% doanh thu, 2% đến 3% doanh thu hoặc 3% đến 5% doanh thu, tùy thuộc vào số lượng chủ thể dữ liệu cá nhân bị ảnh hưởng và trường hợp vi phạm tương ứng.
Ngoài phạt tiền, tổ chức vi phạm còn có thể bị đình chỉ hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng đối với trường hợp thuộc quy định tương ứng; đồng thời có thể phải lập, hoàn thiện hồ sơ đánh giá tác động, ngừng chuyển dữ liệu cho đến khi hoàn thành nghĩa vụ, yêu cầu bên nhận hủy hoặc xóa dữ liệu đã chuyển trái quy định và nộp lại khoản thu có được từ hành vi vi phạm.
- Trách nhiệm của doanh nghiệp trong bảo vệ dữ liệu cá nhân được đặt ra cụ thể hơn
Nghị định 330/2026/NĐ-CP cũng quy định trách nhiệm liên quan đến việc tổ chức bộ phận, bố trí nhân sự thực hiện nhiệm vụ bảo vệ dữ liệu cá nhân.
Theo Điều 57, cơ quan, tổ chức có thể bị cảnh cáo hoặc phạt tiền từ 10 triệu đồng đến 20 triệu đồng nếu không ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân, không tổ chức đào tạo, bồi dưỡng kiến thức và kỹ năng về bảo vệ dữ liệu cá nhân cho nhân sự hoặc văn bản chỉ định nhân sự, quyết định thành lập bộ phận bảo vệ dữ liệu cá nhân không thể hiện đầy đủ chức năng, nhiệm vụ, quyền hạn theo quy định.
Trường hợp chỉ định nhân sự bảo vệ dữ liệu cá nhân không đáp ứng yêu cầu về trình độ, kinh nghiệm hoặc chưa được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân, tổ chức có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng.
Quy định này cho thấy việc bảo vệ dữ liệu cá nhân trong doanh nghiệp không chỉ là vấn đề kỹ thuật mà còn liên quan trực tiếp đến cơ cấu tổ chức, nhân sự, quy trình quản trị và trách nhiệm pháp lý của doanh nghiệp.
- Nhiều biện pháp khắc phục hậu quả có thể được áp dụng
Ngoài phạt tiền, Nghị định 330/2026/NĐ-CP còn quy định nhiều biện pháp khắc phục hậu quả nhằm xử lý trực tiếp hậu quả phát sinh từ hành vi vi phạm.
Tùy từng trường hợp, cá nhân, tổ chức vi phạm có thể bị buộc khôi phục tình trạng ban đầu của hệ thống thông tin; thu hồi, hoàn trả thông tin, dữ liệu, tài khoản số, tên miền hoặc các yếu tố liên quan; khắc phục tình trạng mất an ninh mạng, lộ lọt dữ liệu; loại bỏ yếu tố vi phạm trong quy trình xử lý dữ liệu cá nhân; cải chính thông tin sai sự thật; xin lỗi công khai; thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân; chỉnh sửa, cập nhật, bổ sung hoặc xóa dữ liệu cá nhân được xử lý trái pháp luật.
Đồng thời, người vi phạm còn có thể phải hoàn trả hoặc nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm. Đối với một số trường hợp, cơ quan có thẩm quyền còn có thể yêu cầu thực hiện các biện pháp kỹ thuật, quản lý cần thiết nhằm ngăn chặn và khắc phục nguy cơ mất an toàn, an ninh mạng.
- Xử phạt vi phạm trên môi trường điện tử được quy định rõ
Một điểm mới đáng lưu ý là Nghị định quy định cụ thể về chứng cứ và trình tự xử lý vi phạm hành chính trên môi trường điện tử.
Theo đó, thông điệp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số và các dạng dữ liệu khác được thu thập trên thiết bị điện tử hoặc hệ thống thông tin có thể được sử dụng làm chứng cứ chứng minh hành vi vi phạm. Cơ quan có thẩm quyền có trách nhiệm kiểm tra, đánh giá độ tin cậy và tính toàn vẹn của chứng cứ điện tử.
Biên bản vi phạm hành chính được lập, ký số, gửi, nhận, lưu trữ và quản lý bằng phương thức điện tử có giá trị pháp lý như biên bản được lập bằng văn bản giấy. Tương tự, quyết định xử phạt vi phạm hành chính được ban hành trên môi trường điện tử cũng có giá trị pháp lý như quyết định được ban hành bằng văn bản giấy, nếu đáp ứng các điều kiện theo quy định.
