Chính phủ vừa ban hành Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định quy định tương đối toàn diện từ hành vi vi phạm, hình thức và mức xử phạt đến thẩm quyền lập biên bản, xử phạt và các biện pháp khắc phục hậu quả.

Theo quy định mới, mức phạt tiền tối đa đối với một hành vi vi phạm hành chính trong lĩnh vực dữ liệu áp dụng đối với cá nhân là 100 triệu đồng. Bên cạnh phạt tiền, tùy tính chất và mức độ vi phạm, tổ chức, cá nhân còn có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề; tịch thu tang vật, phương tiện; đình chỉ hoạt động cung cấp, xử lý, kết nối dữ liệu hoặc đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu trong thời hạn nhất định. Người nước ngoài vi phạm trong trường hợp thuộc quy định còn có thể bị áp dụng hình thức trục xuất.

Nghị định có hiệu lực từ ngày 11/11 và không điều chỉnh những hành vi đã thuộc phạm vi xử phạt theo nghị định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Không phải mọi vi phạm dữ liệu đều dừng ở mức phạt tiền

Một trong những nhóm hành vi được quy định đáng chú ý là hành vi xâm phạm, phá hoại hoặc làm sai lệch dữ liệu thuộc các cơ sở dữ liệu của cơ quan Đảng, Nhà nước và Ủy ban Mặt trận Tổ quốc Việt Nam.

Theo đó, hành vi giả mạo, cố ý làm sai lệch, làm mất hoặc làm hư hỏng dữ liệu nhưng chưa đến mức bị truy cứu trách nhiệm hình sự có thể bị phạt từ 40-60 triệu đồng. Mức phạt tương tự được áp dụng với hành vi cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền, trừ trường hợp thuộc quy định riêng.

Mức phạt tăng lên 60-80 triệu đồng đối với hành vi cản trở hoặc ngăn chặn trái pháp luật quá trình xử lý, quản trị dữ liệu; tấn công, chiếm đoạt hoặc phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị và bảo vệ dữ liệu khi chưa đến mức truy cứu trách nhiệm hình sự.

Đáng chú ý, với hành vi tấn công, chiếm đoạt hoặc phá hoại cơ sở dữ liệu, ngoài tiền phạt, người vi phạm còn có thể bị tịch thu tang vật, phương tiện. Đồng thời, pháp luật đặt ra yêu cầu khắc phục thực tế chứ không chỉ xử lý về mặt tiền bạc, như khôi phục dữ liệu, áp dụng biện pháp kỹ thuật bảo đảm an toàn, thông báo sự cố và hậu quả cho chủ thể dữ liệu, đồng thời gỡ bỏ ứng dụng hoặc phần mềm được sử dụng để thực hiện hành vi vi phạm.

Cách thiết kế này có ý nghĩa đáng chú ý: mục tiêu của chế tài không chỉ là xử phạt người vi phạm mà còn đưa hệ thống dữ liệu trở lại trạng thái an toàn, hạn chế hậu quả tiếp diễn.

Thu thập dữ liệu không được phép có thể bị phạt đến 40 triệu đồng

Một nhóm quy định khác tác động trực tiếp đến hoạt động của doanh nghiệp, tổ chức và các đơn vị thường xuyên thu thập dữ liệu là Điều 8 Nghị định 363/2026/NĐ-CP.

Theo đó, việc thu thập, tạo lập dữ liệu mà không có sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định có thể bị phạt từ 20-40 triệu đồng. Mức phạt tương tự cũng áp dụng với việc không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không đánh giá, áp dụng biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập; không kiểm tra tính xác thực và bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập.

Đáng chú ý hơn, nếu tổ chức, cá nhân cố ý thu thập dữ liệu không đúng dữ liệu gốc, cố ý tạo lập dữ liệu giả mạo hoặc thu thập vượt quá phạm vi, mục đích đã thông báo, mức phạt có thể lên tới 40-60 triệu đồng.

Mức phạt này cũng được đặt ra đối với trường hợp vi phạm liên quan đến dữ liệu cốt lõi, dữ liệu quan trọng quốc gia hoặc hành vi thu thập, tạo lập dữ liệu làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia. Đây cũng là nội dung được Chính phủ nhấn mạnh khi giới thiệu Nghị định 363/2026/NĐ-CP.

Không dừng ở xử phạt tiền, một số trường hợp còn có thể bị tịch thu tang vật, phương tiện hoặc đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6-9 tháng.

Người vi phạm còn có thể bị buộc xóa hoặc tiêu hủy dữ liệu được thu thập, tạo lập trái quy định; đính chính, hiệu chỉnh, cập nhật dữ liệu sai lệch hoặc giả mạo; áp dụng biện pháp bảo vệ dữ liệu và nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.

Dữ liệu nhạy cảm được bảo vệ ở mức độ cao hơn

Điểm cần lưu ý là khái niệm "dữ liệu nhạy cảm" không chỉ giới hạn ở những thông tin như tình trạng sức khỏe hay tài khoản ngân hàng.

Có nhiều nhóm dữ liệu cá nhân nhạy cảm, trong đó có dữ liệu về nguồn gốc chủng tộc, dân tộc; quan điểm chính trị, tôn giáo, tín ngưỡng; đời sống riêng tư, bí mật cá nhân, bí mật gia đình; tình trạng sức khỏe; dữ liệu sinh trắc học, đặc điểm di truyền; dữ liệu về đời sống tình dục, xu hướng tình dục; dữ liệu về tội phạm, vi phạm pháp luật được cơ quan thực thi pháp luật thu thập, lưu trữ.

Đáng chú ý, thông tin đăng nhập và mật khẩu truy cập tài khoản định danh điện tử, hình ảnh thẻ căn cước, căn cước công dân, chứng minh nhân dân; thông tin tài khoản, thẻ ngân hàng, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm; dữ liệu vị trí và dữ liệu theo dõi hành vi sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ trực tuyến cũng thuộc nhóm dữ liệu cá nhân nhạy cảm.

Việc đặt các loại thông tin này vào nhóm dữ liệu nhạy cảm cho thấy một thay đổi quan trọng trong cách tiếp cận pháp lý: giá trị của dữ liệu không chỉ nằm ở khả năng sử dụng mà còn nằm ở mức độ thiệt hại có thể xảy ra nếu dữ liệu bị sử dụng sai mục đích hoặc bị phát tán.

Chẳng hạn, một tập dữ liệu tưởng như chỉ phục vụ hoạt động kinh doanh, nếu kết hợp thông tin định danh với lịch sử giao dịch, vị trí hoặc hành vi trên môi trường mạng, có thể tạo ra hồ sơ rất chi tiết về một cá nhân. Khi đó, rủi ro không còn đơn thuần là mất một tệp dữ liệu mà có thể liên quan đến tài sản, quyền riêng tư và nhiều quyền, lợi ích hợp pháp khác.

Doanh nghiệp cần thay đổi cách quản trị dữ liệu

Một điểm đáng chú ý của Nghị định 363/2026/NĐ-CP là trách nhiệm không chỉ xuất hiện sau khi sự cố xảy ra.

Quy định về thu thập, tạo lập dữ liệu đặt ra yêu cầu về quy trình, kiểm tra tính xác thực, chất lượng dữ liệu và biện pháp bảo vệ ngay từ trước và trong quá trình xử lý. Điều này đồng nghĩa với việc quản trị dữ liệu dần trở thành một nội dung gắn với quản trị rủi ro của tổ chức.

Về thực tế, một doanh nghiệp thu thập thông tin khách hàng để bán hàng, cung cấp dịch vụ, chăm sóc khách hàng hay phân tích hành vi không nên chỉ đặt câu hỏi "có thu thập được dữ liệu hay không", mà còn phải xác định dữ liệu nào được phép thu thập, phạm vi đến đâu, sử dụng cho mục đích gì, ai được tiếp cận và khi phát sinh sự cố thì quy trình xử lý như thế nào.

Đây là điểm có ý nghĩa đặc biệt trong bối cảnh dữ liệu ngày càng được khai thác cho các hệ thống tự động hóa và trí tuệ nhân tạo. Một dữ liệu đầu vào không chính xác có thể dẫn tới hàng loạt kết quả sai lệch ở các khâu phía sau; trong khi một dữ liệu được thu thập vượt quá mục đích ban đầu có thể tạo ra rủi ro pháp lý cho chính đơn vị sở hữu hoặc vận hành hệ thống.

Ranh giới giữa xử phạt hành chính và trách nhiệm hình sự cần được lưu ý

Nghị định 363/2026/NĐ-CP nhiều lần sử dụng giới hạn "chưa đến mức truy cứu trách nhiệm hình sự". Điều này cho thấy chế tài hành chính không thay thế trách nhiệm hình sự khi hành vi đã đủ yếu tố cấu thành tội phạm.

Chẳng hạn, việc tấn công, chiếm đoạt hoặc phá hoại cơ sở dữ liệu nếu chưa đến mức truy cứu trách nhiệm hình sự có thể bị xử phạt hành chính từ 60-80 triệu đồng. Tuy nhiên, việc xác định một hành vi có dừng ở xử phạt hành chính hay chuyển sang xử lý hình sự phải căn cứ vào tính chất, mức độ, hậu quả, lỗi và các dấu hiệu pháp lý cụ thể của vụ việc.

Vì vậy, không nên hiểu mức phạt trong Nghị định 363/2026/NĐ-CP là "mức giá" cho việc xâm phạm dữ liệu. Tiền phạt chỉ là một phần của cơ chế xử lý; trong nhiều trường hợp, người vi phạm còn phải khôi phục dữ liệu, xóa dữ liệu trái phép, khắc phục sự cố, bảo đảm an toàn hệ thống hoặc nộp lại khoản lợi bất hợp pháp.

Một bước chuyển từ "bảo vệ dữ liệu" sang "quản trị trách nhiệm dữ liệu"

Có thể thấy, Nghị định 363/2026/NĐ-CP đặt trọng tâm vào cả ba khâu: dữ liệu được tạo lập như thế nào, được quản trị ra sao và phải xử lý thế nào khi xảy ra vi phạm.

Điểm đáng chú ý là pháp luật không chỉ xử lý hành vi phá hoại hay đánh cắp dữ liệu mà còn can thiệp từ giai đoạn đầu tiên: thu thập không được phép, tạo lập dữ liệu giả, thu thập vượt phạm vi hoặc không có quy trình bảo vệ. Cách tiếp cận này hướng tới việc ngăn ngừa rủi ro ngay từ đầu thay vì chờ đến khi dữ liệu bị phát tán hoặc hệ thống bị tấn công mới xử lý.

Đối với tổ chức, doanh nghiệp, yêu cầu đặt ra vì thế không đơn thuần là "bảo mật hệ thống". Cần hình thành một quy trình quản trị dữ liệu xuyên suốt, từ xác định mục đích thu thập, kiểm soát quyền truy cập, bảo đảm chất lượng dữ liệu đến cơ chế ứng phó sự cố và khắc phục hậu quả.

Trong khi đó, đối với cá nhân, việc pháp luật ngày càng phân loại cụ thể các nhóm dữ liệu nhạy cảm cũng cho thấy người dân cần thận trọng hơn khi cung cấp thông tin cá nhân trên môi trường số. Một bức ảnh giấy tờ tùy thân, thông tin đăng nhập tài khoản định danh điện tử, dữ liệu tài chính hay lịch sử vị trí không còn có thể được xem như những thông tin đơn lẻ, mà có thể trở thành một phần của hồ sơ dữ liệu có giá trị và mức độ rủi ro cao.

Từ thời điểm Nghị định trên có hiệu lực, cùng với các quy định về bảo vệ dữ liệu cá nhân đã được triển khai từ đầu năm 2026, khung pháp lý về dữ liệu tại Việt Nam tiếp tục được hoàn thiện theo hướng xác lập rõ hơn trách nhiệm của những chủ thể tham gia vào toàn bộ vòng đời của dữ liệu.