Từ ngày 19/8/2026, Nghị định 330/2026/NĐ-CP của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân chính thức có hiệu lực. Theo quy định tại Điều 48 Nghị định 330/2026/NĐ-CP hành vi vi phạm quy định về thu thập dữ liệu cá nhân bị xử phạt như sau:
- Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật;
- Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý.
- Trường hợp áp dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái quy định của pháp luật thì mức phạt tiền được xác định như sau:
+ Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của dưới 500 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của dưới 100 chủ thể dữ liệu;
+ Phạt tiền từ 200.000.000 đồng đến 300.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 500 đến dưới 1.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 100 đến dưới 200 chủ thể dữ liệu;
+ Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể dữ liệu;
- Phạt tiền từ 500.000.000 đồng đến 800.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 5.000 chủ thể dữ liệu trở lên hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể dữ liệu trở lên.
- Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi quy định tại khoản 1 Điều 48 Nghị định 330/2026/NĐ-CP nếu đối tượng của hành vi vi phạm là dữ liệu cá nhân nhạy cảm;
- Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1, 2, 3 Điều 48 Nghị định 330/2026/NĐ-CP;
- Không chỉ dừng lại ở việc xử phạt tiền, Nghị định 330/2026/NĐ-CP còn quy định các biện pháp khắc phục hậu quả nhằm xử lý trực tiếp đối với dữ liệu đã bị thu thập, sử dụng trái quy định. Theo đó, người vi phạm có thể bị buộc hủy, xóa toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái pháp luật đến mức không thể khôi phục. Trường hợp sử dụng dữ liệu cá nhân thu thập trái phép để phục vụ hoạt động kinh doanh, người vi phạm còn phải nộp lại khoản thu có được từ hoạt động kinh doanh có sử dụng số dữ liệu này.
Quy định này cho thấy trách nhiệm pháp lý không chỉ nằm ở việc nộp phạt mà còn hướng tới việc loại bỏ dữ liệu được thu thập trái phép và khắc phục lợi ích kinh tế phát sinh từ hành vi vi phạm, qua đó tăng tính răn đe và yêu cầu các tổ chức, cá nhân phải kiểm soát chặt chẽ quá trình thu thập, xử lý dữ liệu cá nhân.
