- Ngày 19/09/2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định có hiệu lực thi hành kể từ ngày 11/11/2026, trong đó quy định cụ thể các hành vi vi phạm trong hoạt động thu thập, tạo lập dữ liệu và mức xử phạt tương ứng, đặc biệt đối với trường hợp vi phạm gây rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.
- Cụ thể, theo khoản 1 Điều 8 Nghị định số 363/2026/NĐ-CP, các hành vi vi phạm quy định về thu thập, tạo lập dữ liệu bao gồm:
+ Thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật;
+ Không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu;
+ Không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập dữ liệu.
- Đáng chú ý, tại điểm đ khoản 2 Điều 8 Nghị định quy định phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với hành vi vi phạm tại khoản 1 Điều này nếu làm rò rỉ thông tin nhạy cảm, làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.
Như vậy, trách nhiệm pháp lý trong hoạt động thu thập, tạo lập dữ liệu không chỉ dừng lại ở việc phải có sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định. Các tổ chức, cá nhân còn phải xây dựng quy trình thực hiện, đánh giá và áp dụng biện pháp bảo vệ dữ liệu trước khi thu thập, tạo lập; đồng thời kiểm tra tính xác thực và bảo đảm chất lượng dữ liệu trong suốt quá trình thực hiện. Quy định này có ý nghĩa quan trọng trong bối cảnh dữ liệu ngày càng được khai thác rộng rãi trong hoạt động quản lý, kinh doanh và chuyển đổi số. Việc thu thập dữ liệu thiếu kiểm soát, không có biện pháp bảo vệ phù hợp hoặc không bảo đảm tính xác thực có thể dẫn đến nguy cơ rò rỉ thông tin, xâm phạm quyền riêng tư, bí mật kinh doanh và gây thiệt hại cho các chủ thể liên quan.
