# Mức phạt vi phạm dữ liệu cá nhân theo Nghị định 330/2026

## Trả lời nhanh

Mức phạt hành chính về dữ liệu cá nhân nằm ở Nghị định 330/2026/NĐ-CP, có hiệu lực từ 19/8/2026. Các lỗi hay gặp ở doanh nghiệp nhỏ có khung rõ: 30–50 triệu đồng cho lỗi về xin đồng ý, 50–70 triệu đồng khi coi im lặng là đồng ý, 10–20 triệu đồng khi không phản hồi yêu cầu của khách trong 02 ngày làm việc, 30–40 triệu đồng khi không làm đúng thời hạn, 40–60 triệu đồng khi chậm báo lộ dữ liệu. Mức trần là 3 tỷ đồng; riêng mua bán dữ liệu tới 10 lần khoản thu, chuyển dữ liệu xuyên biên giới tới 5% doanh thu. Các mức này áp cho tổ chức, cá nhân bị phạt một nửa.

## Văn bản nào quy định mức phạt

Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15), Điều 8 nói người vi phạm có thể bị xử phạt hành chính hoặc truy cứu trách nhiệm hình sự, kèm bồi thường nếu gây thiệt hại, và đặt mức trần. Nghị định 330/2026/NĐ-CP quy định từng hành vi và khung phạt hành chính, áp cho tổ chức; cá nhân bị phạt một nửa (Điều 7 khoản 1). Bài này chỉ nói về phạt hành chính.

## Mức trần

| Hành vi | Mức tối đa với tổ chức | Căn cứ |
|---|---|---|
| Mua, bán dữ liệu cá nhân | 10 lần khoản thu có được từ vi phạm | Luật 91, Điều 8; Nghị định 330, Điều 7 khoản 4 điểm a |
| Vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới | 5% doanh thu năm trước liền kề | Nghị định 330, Điều 7 khoản 4 điểm b |
| Các vi phạm khác | 3 tỷ đồng | Nghị định 330, Điều 7 khoản 4 điểm c |

Không có khoản thu, không có doanh thu, hoặc mức tính ra thấp hơn 3 tỷ đồng thì mức tối đa là 3 tỷ đồng. Đây là trần; lỗi của doanh nghiệp nhỏ thường nằm ở các khung dưới đây.

## Bảng mức phạt các lỗi hay gặp

Mức áp cho tổ chức, theo toàn văn Nghị định 330/2026/NĐ-CP.

| Hành vi | Mức phạt | Căn cứ |
|---|---|---|
| Xử lý dữ liệu sau khi thu thập mà chưa có đồng ý, trừ trường hợp pháp luật có quy định khác | 30–50 triệu đồng | Điều 43 khoản 1 điểm a |
| Đặt sẵn mặc định đồng ý; chỉ dẫn gây hiểu lầm giữa đồng ý và không đồng ý | 30–50 triệu đồng | Điều 43 khoản 1 điểm c |
| Xin đồng ý không rõ ràng, cụ thể; không kiểm chứng được ai đồng ý, lúc nào, đồng ý gì | 30–50 triệu đồng | Điều 43 khoản 1 điểm d |
| Không ghi nhận, không lưu nhật ký đồng ý, không chứng minh được đã có đồng ý | 30–50 triệu đồng | Điều 43 khoản 1 điểm g |
| Không báo cho khách biết dữ liệu nhạy cảm của họ đang được xử lý | 30–50 triệu đồng | Điều 43 khoản 1 điểm h |
| Coi im lặng là đồng ý | 50–70 triệu đồng | Điều 43 khoản 2 điểm b |
| Không có quy trình, biểu mẫu cho khách thực hiện quyền; không phản hồi yêu cầu trong 02 ngày làm việc; không báo lý do gia hạn hay từ chối | 10–20 triệu đồng | Điều 44 khoản 1 |
| Không thực hiện yêu cầu của khách đúng thời hạn | 30–40 triệu đồng | Điều 44 khoản 3 |
| Chậm thông báo vi phạm về bảo vệ dữ liệu cá nhân | 40–60 triệu đồng | Điều 54 khoản 3 |
| Không lập, không gửi trong 60 ngày, không cập nhật hồ sơ đánh giá tác động xử lý dữ liệu | 20–30 triệu đồng | Điều 55 khoản 1 |
| Không lập, không nộp trong 60 ngày, không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới | 30–50 triệu đồng | Điều 56 khoản 1 |
| Không bảo đảm đồng ý với mục đích chuyển dữ liệu ra nước ngoài, hoặc không báo cho khách việc chuyển, bên nhận và mục đích | 50–100 triệu đồng | Điều 56 khoản 2 điểm b |
| Mua, bán trái phép dữ liệu cá nhân | 02–10 lần khoản thu; không có khoản thu thì từ 70 triệu đồng tới 3 tỷ đồng tuỳ số người và hậu quả | Điều 53 |

Thời hạn ở dòng "không đúng thời hạn" là các mốc của Nghị định 356/2025/NĐ-CP, Điều 5: xem [khách đòi xoá dữ liệu: có bao nhiêu ngày](https://dulieucanhan.online/bai-viet/thoi-han-tra-loi-yeu-cau-du-lieu).

Các bậc 1–5% tổng doanh thu năm tài chính liền trước tại Việt Nam (Điều 56 khoản 3) chỉ áp cho tổ chức chuyển dữ liệu xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai sai dòng dữ liệu, dẫn đến lộ, mất dữ liệu của từ 10.000 công dân Việt Nam trở lên, hoặc tiếp tục chuyển sau quyết định yêu cầu ngừng gây tổn hại quốc phòng, an ninh quốc gia (bậc 3–5%). Chi tiết ở [dùng Facebook, Google có phải chuyển dữ liệu ra nước ngoài](https://dulieucanhan.online/bai-viet/chuyen-du-lieu-ra-nuoc-ngoai) và [mua bán dữ liệu cá nhân bị phạt thế nào](https://dulieucanhan.online/bai-viet/mua-ban-du-lieu-ca-nhan-bi-phat).

## Ngoài tiền phạt

Nhiều khi phần nặng hơn là biện pháp đi kèm:

- buộc huỷ, xoá tới mức không thể khôi phục dữ liệu đã thu khi không có đồng ý hợp lệ (Điều 43 khoản 4 điểm a);
- buộc lập và gửi hồ sơ đánh giá tác động, buộc dừng xử lý tới khi gửi đủ (Điều 55);
- với mua bán trái phép: buộc xoá toàn bộ dữ liệu đã mua bán trên mọi hệ thống, nộp lại khoản thu, thông báo cho toàn bộ người bị ảnh hưởng (Điều 53 khoản 5);
- với chuyển dữ liệu xuyên biên giới: có thể bị đình chỉ hoạt động chuyển từ 06 đến 12 tháng, đi kèm các trường hợp của khoản 3 (Điều 56 khoản 5).

## Ví dụ: một phòng khám nhỏ

Một phòng khám nha khoa nhỏ (ví dụ giả định) có ba chỗ hay gặp:

1. Form đặt lịch online có ô "Tôi đồng ý nhận ưu đãi" đã tick sẵn. Đó là đặt sẵn mặc định đồng ý (Điều 43 khoản 1 điểm c).
2. Form hỏi "Tình trạng răng hiện tại của bạn?" nhưng không nói đây là dữ liệu cá nhân nhạy cảm (Điều 43 khoản 1 điểm h).
3. Một bệnh nhân nhắn yêu cầu xoá số điện thoại, một tuần sau chưa ai trả lời (Điều 44 khoản 1).

Đây là ba hành vi khác nhau, mỗi hành vi có khung phạt riêng; nhiều hành vi cùng lúc thì tính thế nào do pháp luật về xử lý vi phạm hành chính quy định, bài này không đi vào. Cả ba sửa được trong một buổi: bỏ tick sẵn, thêm một câu báo dữ liệu nhạy cảm, giao một người trực hộp thư yêu cầu.

## Pixel và cookie thì sao?

Nghị định không có hành vi riêng mang tên [Pixel](https://dulieucanhan.online/thuat-ngu/pixel) hay cookie. Theo cách hiểu thận trọng, đang chờ luật sư xác nhận, mã theo dõi chạy trước khi khách đồng ý có thể rơi vào Điều 43 khoản 1. Mức theo doanh thu không áp cho mọi website gắn Pixel. Xem [Facebook Pixel có vi phạm luật không](https://dulieucanhan.online/bai-viet/facebook-pixel-luat-du-lieu-ca-nhan).

## Bạn cần làm gì

- Bỏ mọi ô tick sẵn và dòng "tiếp tục sử dụng là đồng ý"; lưu nhật ký đồng ý.
- Thêm câu báo dữ liệu nhạy cảm ở chỗ thu loại đó.
- Có kênh nhận yêu cầu của khách, có người trực, trả lời trong 02 ngày làm việc.
- Viết sẵn kế hoạch 72 giờ khi lộ dữ liệu.
- Không mua, không bán dữ liệu.

Lỗi đầu bảng hay nằm ở mã theo dõi trên website: dán địa chỉ vào máy quét miễn phí ở [trang chủ](https://dulieucanhan.online/) để xem mã nào chạy trước khi khách đồng ý. Muốn biết doanh nghiệp có phải lập hồ sơ không, dùng [kiểm tra nghĩa vụ](https://dulieucanhan.online/kiem-tra-nghia-vu).

## Căn cứ pháp lý

- Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Điều 8.
- Nghị định 356/2025/NĐ-CP, Điều 5 (thời hạn thực hiện yêu cầu).
- Nghị định 330/2026/NĐ-CP: Điều 7, 43, 44, 53, 54, 55, 56: [toàn văn trên Công báo](https://congbao.chinhphu.vn/van-ban/nghi-dinh-so-330-2026-nd-cp-470339.htm).

*Bài viết để cung cấp thông tin, không thay cho tư vấn pháp lý cho trường hợp cụ thể.*