Bỏ qua tới nội dung chính
DuLieuCaNhan.vn

Mức phạt vi phạm dữ liệu cá nhân theo Nghị định 330/2026

Bảng mức phạt theo Nghị định 330/2026/NĐ-CP: 30–50 triệu đồng cho lỗi xin đồng ý, 10–20 hay 30–40 triệu khi xử lý yêu cầu chậm, trần 3 tỷ đồng.

Bản Markdown của bài

Trả lời nhanh

Mức phạt hành chính về dữ liệu cá nhân nằm ở Nghị định 330/2026/NĐ-CP, có hiệu lực từ 19/8/2026. Các lỗi hay gặp ở doanh nghiệp nhỏ có khung rõ: 30–50 triệu đồng cho lỗi về xin đồng ý, 50–70 triệu đồng khi coi im lặng là đồng ý, 10–20 triệu đồng khi không phản hồi yêu cầu của khách trong 02 ngày làm việc, 30–40 triệu đồng khi không làm đúng thời hạn, 40–60 triệu đồng khi chậm báo lộ dữ liệu. Mức trần là 3 tỷ đồng; riêng mua bán dữ liệu tới 10 lần khoản thu, chuyển dữ liệu xuyên biên giới tới 5% doanh thu. Các mức này áp cho tổ chức, cá nhân bị phạt một nửa.

Văn bản nào quy định mức phạt

Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15), Điều 8 nói người vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, kèm bồi thường nếu gây thiệt hại, và đặt mức trần. Nghị định 330/2026/NĐ-CP quy định từng hành vi và khung phạt hành chính, áp cho tổ chức; cá nhân bị phạt một nửa (Điều 7 khoản 1). Bài này chỉ nói về phạt hành chính.

Mức trần

Hành viMức tối đa với tổ chứcCăn cứ
Mua, bán dữ liệu cá nhân10 lần khoản thu có được từ vi phạmLuật 91, Điều 8; Nghị định 330, Điều 7 khoản 4 điểm a
Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới5% doanh thu năm trước liền kềNghị định 330, Điều 7 khoản 4 điểm b
Các vi phạm khác3 tỷ đồngNghị định 330, Điều 7 khoản 4 điểm c

Không có khoản thu, không có doanh thu, hoặc mức tính ra thấp hơn 3 tỷ đồng thì mức tối đa là 3 tỷ đồng. Đây là trần; lỗi của doanh nghiệp nhỏ thường nằm ở các khung dưới đây.

Bảng mức phạt các lỗi hay gặp

Mức áp cho tổ chức, theo toàn văn Nghị định 330/2026/NĐ-CP.

Hành viMức phạtCăn cứ
Xử lý dữ liệu sau khi thu thập mà chưa có đồng ý, trừ trường hợp pháp luật có quy định khác30–50 triệu đồngĐiều 43 khoản 1 điểm a
Đặt sẵn mặc định đồng ý; chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý30–50 triệu đồngĐiều 43 khoản 1 điểm c
Xin đồng ý không rõ ràng, cụ thể; không kiểm chứng được ai đồng ý, lúc nào, đồng ý gì30–50 triệu đồngĐiều 43 khoản 1 điểm d
Không ghi nhận, không lưu nhật ký đồng ý, không chứng minh được đã có đồng ý30–50 triệu đồngĐiều 43 khoản 1 điểm g
Không báo cho khách biết dữ liệu nhạy cảm của họ đang được xử lý30–50 triệu đồngĐiều 43 khoản 1 điểm h
Coi im lặng là đồng ý50–70 triệu đồngĐiều 43 khoản 2 điểm b
Không có quy trình, biểu mẫu cho khách thực hiện quyền; không phản hồi yêu cầu trong 02 ngày làm việc; không báo lý do gia hạn hay từ chối10–20 triệu đồngĐiều 44 khoản 1
Không thực hiện yêu cầu của khách đúng thời hạn30–40 triệu đồngĐiều 44 khoản 3
Chậm thông báo vi phạm về bảo vệ dữ liệu cá nhân40–60 triệu đồngĐiều 54 khoản 3
Không lập, không gửi trong 60 ngày, không cập nhật hồ sơ đánh giá tác động xử lý dữ liệu20–30 triệu đồngĐiều 55 khoản 1
Không lập, không nộp trong 60 ngày, không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới30–50 triệu đồngĐiều 56 khoản 1
Không bảo đảm đồng ý với mục đích chuyển dữ liệu ra nước ngoài, hoặc không báo cho khách việc chuyển, bên nhận và mục đích50–100 triệu đồngĐiều 56 khoản 2 điểm b
Mua, bán trái phép dữ liệu cá nhân02–10 lần khoản thu; không có khoản thu thì từ 70 triệu đồng tới 3 tỷ đồng tuỳ số người và hậu quảĐiều 53

Thời hạn ở dòng "không đúng thời hạn" là các mốc của Nghị định 356/2025/NĐ-CP, Điều 5: xem khách đòi xoá dữ liệu: có bao nhiêu ngày.

Các bậc 1–5% tổng doanh thu năm tài chính liền trước tại Việt Nam (Điều 56 khoản 3) chỉ áp cho tổ chức chuyển dữ liệu xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai sai dòng dữ liệu, dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc tiếp tục chuyển sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia (bậc 3–5%). Chi tiết ở dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài và mua bán dữ liệu cá nhân bị phạt thế nào.

Ngoài tiền phạt

Nhiều khi phần nặng hơn là biện pháp đi kèm:

  • buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ (Điều 43 khoản 4 điểm a);
  • buộc lập và gửi hồ sơ đánh giá tác động, buộc dừng xử lý tới khi gửi đủ (Điều 55);
  • với mua bán trái phép: buộc xoá toàn bộ dữ liệu đã mua bán trên mọi hệ thống, nộp lại khoản thu, thông báo cho toàn bộ người bị ảnh hưởng (Điều 53 khoản 5);
  • với chuyển dữ liệu xuyên biên giới: có thể bị đình chỉ hoạt động chuyển từ 06 đến 12 tháng, đi kèm các trường hợp của khoản 3 (Điều 56 khoản 5).

Ví dụ: một phòng khám nhỏ

Một phòng khám nha khoa nhỏ (ví dụ giả định) có ba chỗ hay gặp:

  1. Form đặt lịch online có ô "Tôi đồng ý nhận ưu đãi" đã tick sẵn. Đó là đặt sẵn mặc định đồng ý (Điều 43 khoản 1 điểm c).
  2. Form hỏi "Tình trạng răng hiện tại của bạn?" nhưng không nói đây là dữ liệu cá nhân nhạy cảm (Điều 43 khoản 1 điểm h).
  3. Một bệnh nhân nhắn yêu cầu xoá số điện thoại, một tuần sau chưa ai trả lời (Điều 44 khoản 1).

Đây là ba hành vi khác nhau, mỗi hành vi có khung phạt riêng; nhiều hành vi cùng lúc thì tính thế nào do pháp luật về xử lý vi phạm hành chính quy định, bài này không đi vào. Cả ba sửa được trong một buổi: bỏ tick sẵn, thêm một câu báo dữ liệu nhạy cảm, giao một người trực hộp thư yêu cầu.

Pixel và cookie thì sao?

Nghị định không có hành vi riêng mang tên hay cookie. Theo cách hiểu thận trọng, đang chờ luật sư xác nhận, mã theo dõi chạy trước khi khách đồng ý có thể rơi vào Điều 43 khoản 1. Mức theo doanh thu không áp cho mọi website gắn Pixel. Xem Facebook Pixel có vi phạm luật không.

Bạn cần làm gì

  • Bỏ mọi ô tick sẵn và dòng "tiếp tục sử dụng là đồng ý"; lưu nhật ký đồng ý.
  • Thêm câu báo dữ liệu nhạy cảm ở chỗ thu loại đó.
  • Có kênh nhận yêu cầu của khách, có người trực, trả lời trong 02 ngày làm việc.
  • Viết sẵn kế hoạch 72 giờ khi lộ dữ liệu.
  • Không mua, không bán dữ liệu.

Lỗi đầu bảng hay nằm ở mã theo dõi trên website: dán địa chỉ vào máy quét miễn phí ở trang chủ để xem mã nào chạy trước khi khách đồng ý. Muốn biết doanh nghiệp có phải lập hồ sơ không, dùng kiểm tra nghĩa vụ.

Căn cứ pháp lý

  • Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 8.
  • Nghị định 356/2025/NĐ-CP, Điều 5 (thời hạn thực hiện yêu cầu).
  • Nghị định 330/2026/NĐ-CP: Điều 7, 43, 44, 53, 54, 55, 56: toàn văn trên Công báo.

Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.

Câu hỏi thường gặp

Nghị định xử phạt vi phạm dữ liệu cá nhân là nghị định nào?

Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, ký và có hiệu lực ngày 19/8/2026.

Cá nhân vi phạm bị phạt bằng bao nhiêu?

Mức phạt trong phần bảo vệ dữ liệu cá nhân của Nghị định 330/2026/NĐ-CP là mức áp cho tổ chức. Cá nhân có cùng hành vi bị phạt bằng một nửa (Điều 7 khoản 1).

Mức phạt cao nhất là bao nhiêu?

Theo Điều 7 khoản 4: mua bán dữ liệu tối đa 10 lần khoản thu; chuyển dữ liệu xuyên biên giới sai quy định tối đa 5% doanh thu năm trước liền kề; vi phạm khác tối đa 3 tỷ đồng. Không có khoản thu, doanh thu, hoặc mức tính ra thấp hơn thì mức tối đa là 3 tỷ đồng.

Gắn Facebook Pixel mà chưa xin đồng ý bị phạt bao nhiêu?

Nghị định không có hành vi riêng mang tên Pixel. Theo cách hiểu thận trọng, Pixel chạy khi chưa có đồng ý hợp lệ có thể rơi vào Điều 43 khoản 1 (30–50 triệu đồng với tổ chức). Mức theo phần trăm doanh thu không áp cho mọi website gắn Pixel.

Nguồn

  1. 1.Nghị định 330/2026/NĐ-CP (Công báo số 498, toàn văn)congbao.chinhphu.vn
  2. 2.Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (Công báo, toàn văn)congbao.chinhphu.vn
  3. 3.Nghị định 356/2025/NĐ-CP (Công báo, toàn văn)congbao.chinhphu.vn

Bài liên quan

Nhận tin quy định và xử phạt

Tin quy định mới và các vụ xử phạt liên quan đến dữ liệu cá nhân ở Việt Nam, mỗi tin kèm link nguồn. Thư nào cũng có liên kết huỷ nhận.

Xem các tin đã đăng

Đang tải câu đồng ý…