Thu thập dữ liệu không xin phép có thể bị phạt tới 80 triệu đồng từ ngày 11/11

Ngày 19/9/2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định chính thức có hiệu lực từ ngày 11/11/2026. Văn bản quy định cụ thể các hành vi vi phạm, mức phạt tiền, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả đối với các tổ chức, cá nhân có hoạt động liên quan đến dữ liệu tại Việt Nam. Đối với doanh nghiệp, đây là văn bản cần đọc kỹ, bởi mức phạt cao nhất có thể lên tới 200 triệu đồng đối với tổ chức, và nhiều hành vi vi phạm xuất phát từ những thói quen làm việc hằng ngày mà không ít đơn vị vẫn cho là bình thường.

Thu thập dữ liệu không xin phép: phạt tới 80 triệu đồng

Theo khoản 1 Điều 8 của nghị định, hành vi thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định pháp luật sẽ bị phạt tiền từ 20 triệu đồng đến 40 triệu đồng đối với cá nhân. Theo Điều 6, đối với tổ chức thực hiện cùng hành vi vi phạm, mức phạt bằng hai lần mức phạt đối với cá nhân, tương ứng từ 40 triệu đồng đến 80 triệu đồng. Cùng khung phạt này còn áp dụng cho hành vi không kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập. Riêng hành vi không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không áp dụng biện pháp bảo vệ dữ liệu trước khi thu thập, nghị định quy định khung phạt từ 20 triệu đồng đến 40 triệu đồng áp dụng trực tiếp đối với tổ chức. Với các doanh nghiệp đang vận hành website, ứng dụng hay hệ thống chăm sóc khách hàng, đây là lời nhắc rõ ràng về việc phải có quy trình dữ liệu bằng văn bản, thay vì làm theo thói quen.

Vi phạm nghiêm trọng: phạt tới 120 triệu đồng, buộc xóa dữ liệu

Nghị định còn quy định mức xử phạt cao hơn đối với những vi phạm nghiêm trọng trong quá trình thu thập, tạo lập dữ liệu. Theo khoản 2 Điều 8, cá nhân cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc; cố ý tạo lập dữ liệu giả mạo hoặc thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo bị phạt từ 40 triệu đồng đến 60 triệu đồng. Đối với tổ chức, mức phạt tương ứng từ 80 triệu đồng đến 120 triệu đồng. Khung phạt này cũng áp dụng khi vi phạm đối với dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia. Đặc biệt, hành vi vi phạm làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia cũng thuộc diện xử phạt từ 40 triệu đồng đến 60 triệu đồng đối với cá nhân. Mức phạt tiền tối đa đối với cá nhân vi phạm trong lĩnh vực dữ liệu là 100 triệu đồng, còn đối với tổ chức có thể lên đến 200 triệu đồng.

Người dân và doanh nghiệp cần lưu ý những gì?

Trong bối cảnh dữ liệu ngày càng được sử dụng rộng rãi trong kinh doanh và giao dịch trực tuyến, việc tuân thủ quy định về thu thập, tạo lập và sử dụng dữ liệu là vấn đề cần được quan tâm. Người dân cần thận trọng khi thu thập, sao chép hoặc chia sẻ những dữ liệu không thuộc quyền quản lý của mình, đồng thời tìm hiểu mục đích thu thập và phạm vi sử dụng trước khi cung cấp thông tin cho các ứng dụng, website hoặc tổ chức. Đối với doanh nghiệp, cần rà soát quy trình thu thập, tạo lập dữ liệu và áp dụng các biện pháp bảo vệ dữ liệu, kiểm tra tính xác thực. Đặc biệt, cần phân biệt giữa lĩnh vực dữ liệu và lĩnh vực bảo vệ dữ liệu cá nhân: nghị định này không điều chỉnh những hành vi thuộc phạm vi của nghị định về xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, trong đó có Nghị định 330/2026/NĐ-CP.

Nguồn tin: CafeF