Ngày 19/9/2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định có hiệu lực từ ngày 11/11/2026, tạo cơ sở pháp lý quan trọng nhằm tăng cường bảo vệ dữ liệu, bảo đảm an ninh, an toàn thông tin và nâng cao trách nhiệm của các chủ thể tham gia hoạt động dữ liệu.

Theo Nghị định, đối tượng áp dụng gồm cơ quan, tổ chức, cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam và các chủ thể nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam.

Cá nhân vi phạm có thể bị phạt đến 100 triệu đồng

Theo Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền tối đa đối với cá nhân vi phạm hành chính trong lĩnh vực dữ liệu là 100 triệu đồng. Đối với tổ chức, mức phạt tiền bằng 2 lần mức phạt áp dụng đối với cá nhân đối với cùng hành vi vi phạm.

Việc quy định mức xử phạt cao cho thấy quyết tâm của cơ quan quản lý trong việc bảo vệ dữ liệu, bảo đảm an toàn thông tin và nâng cao trách nhiệm của các chủ thể tham gia hoạt động thu thập, xử lý, khai thác và chia sẻ dữ liệu.

Làm rò rỉ dữ liệu nhạy cảm có thể bị phạt đến 60 triệu đồng

Một trong những nội dung đáng chú ý của Nghị định là quy định xử phạt đối với hành vi vi phạm trong hoạt động thu thập, tạo lập dữ liệu.

Theo Điều 8, hành vi thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu; không ban hành quy trình thu thập dữ liệu; không kiểm tra tính xác thực và chất lượng dữ liệu có thể bị phạt từ 20 đến 40 triệu đồng.

Đặc biệt, mức phạt từ 40 đến 60 triệu đồng được áp dụng đối với trường hợp thu thập, tạo lập dữ liệu làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc ảnh hưởng đến an ninh quốc gia. Ngoài ra, hành vi cố ý thu thập dữ liệu giả mạo hoặc thu thập dữ liệu vượt quá phạm vi, mục đích đã thông báo cũng thuộc nhóm vi phạm bị xử phạt ở khung này.

Đối với các vi phạm nghiêm trọng liên quan đến dữ liệu cốt lõi hoặc dữ liệu quan trọng quốc gia, tổ chức, cá nhân vi phạm còn có thể bị đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6 đến 9 tháng.

Nghiêm cấm giả mạo, làm sai lệch dữ liệu

Điều 7 Nghị định 363/2026/NĐ-CP quy định phạt tiền từ 40 đến 60 triệu đồng đối với hành vi giả mạo, cố ý làm sai lệch, làm mất hoặc làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự.

Cùng mức phạt này còn áp dụng đối với hành vi cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền.

Quy định trên nhằm bảo đảm tính chính xác, đầy đủ và tin cậy của dữ liệu trong hoạt động quản lý nhà nước, đồng thời ngăn chặn các hành vi làm sai lệch thông tin gây ảnh hưởng đến việc ra quyết định của cơ quan có thẩm quyền.

Nhiều hành vi liên quan đến xử lý dữ liệu xuyên biên giới bị xử phạt nặng

Nghị định cũng đặt ra chế tài nghiêm khắc đối với các hành vi vi phạm liên quan đến chuyển và xử lý dữ liệu xuyên biên giới.

Theo quy định, hành vi chuyển hoặc xử lý dữ liệu vượt phạm vi được chấp thuận; không bảo đảm an toàn dữ liệu trong quá trình chuyển dữ liệu xuyên biên giới hoặc không thực hiện nghĩa vụ giải trình theo yêu cầu của cơ quan có thẩm quyền có thể bị phạt từ 40 đến 60 triệu đồng.

Trong khi đó, hành vi chuyển dữ liệu cốt lõi xuyên biên giới khi chưa thực hiện đánh giá tác động hoặc chưa được cơ quan có thẩm quyền chấp thuận có thể bị phạt từ 60 đến 80 triệu đồng.

Không báo cáo sự cố dữ liệu có thể bị phạt tới 100 triệu đồng

Đáng chú ý, Nghị định quy định mức phạt từ 60 đến 100 triệu đồng đối với nhiều hành vi vi phạm nghiêm trọng trong hoạt động xử lý, kết nối và chia sẻ dữ liệu.

Trong đó có các hành vi như không thông báo sự cố dữ liệu cốt lõi hoặc dữ liệu quan trọng cho cơ quan có thẩm quyền; không chấp hành yêu cầu khắc phục, tạm dừng hoặc đình chỉ hoạt động xử lý dữ liệu; cố ý che giấu hoặc làm sai lệch dữ liệu giám sát, nhật ký hệ thống; không thiết lập hệ thống quản lý bảo vệ và sao lưu dữ liệu.

Ngoài phạt tiền, các tổ chức vi phạm còn có thể bị đình chỉ hoạt động xử lý dữ liệu, kết nối hoặc chia sẻ dữ liệu từ 3 đến 6 tháng.

Áp dụng nhiều hình thức xử phạt bổ sung

Theo Điều 4 Nghị định 363/2026/NĐ-CP, ngoài hình thức cảnh cáo và phạt tiền, cá nhân, tổ chức vi phạm còn có thể bị áp dụng các hình thức xử phạt bổ sung như tước quyền sử dụng giấy phép, chứng chỉ hành nghề; tịch thu tang vật, phương tiện vi phạm; đình chỉ hoạt động cung cấp, xử lý, kết nối, chia sẻ hoặc khai thác dữ liệu có thời hạn.

Bên cạnh đó, cơ quan có thẩm quyền có thể áp dụng nhiều biện pháp khắc phục hậu quả như buộc khôi phục dữ liệu; buộc khắc phục lỗ hổng bảo mật; buộc thông báo sự cố dữ liệu; buộc xóa, tiêu hủy dữ liệu được thu thập hoặc sử dụng trái phép; buộc nộp lại khoản lợi bất hợp pháp thu được từ hành vi vi phạm.

Việc ban hành Nghị định 363/2026/NĐ-CP được kỳ vọng sẽ góp phần hoàn thiện hành lang pháp lý về dữ liệu, nâng cao hiệu quả quản lý nhà nước, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân, đồng thời tạo nền tảng pháp lý quan trọng cho quá trình chuyển đổi số quốc gia trong giai đoạn mới.