Ngày 19/8/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP, có hiệu lực ngay, quy định khung xử phạt hành chính đối với các vi phạm về an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định này không thay đổi các nghĩa vụ hiện có theo Luật An ninh mạng số 116/2025/QH15 và Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (cùng Nghị định hướng dẫn số 356/2025/NĐ-CP), mà bổ sung mức phạt tiền, chế tài bổ sung và biện pháp khắc phục cụ thể cho từng hành vi vi phạm. Mức phạt được thiết kế theo ba tầng: phạt cố định cho vi phạm thông thường (ví dụ 30-50 triệu đồng cho lỗi thu thập sự đồng ý không hợp lệ), phạt theo mức độ ảnh hưởng (ví dụ 70-100 triệu đồng khi chia sẻ trái phép dữ liệu của hàng trăm khách hàng), và phạt theo doanh thu hoặc khoản lợi bất hợp pháp cho vi phạm nghiêm trọng nhất - lên đến 5% doanh thu năm trước tại thị trường Việt Nam đối với vi phạm chuyển dữ liệu xuyên biên giới nghiêm trọng, hoặc 2-10 lần khoản lợi bất hợp pháp đối với hành vi mua bán dữ liệu cá nhân trái phép. Mức trần cho các vi phạm khác là 3 tỷ đồng. Ngoài phạt tiền, doanh nghiệp có thể bị đình chỉ hoạt động xử lý hoặc chuyển dữ liệu, buộc xóa dữ liệu, công khai cải chính hoặc phải chứng minh việc khắc phục với cơ quan có thẩm quyền. Phạm vi áp dụng rất rộng: gần như mọi doanh nghiệp hoạt động tại Việt Nam đều có khả năng thuộc diện điều chỉnh, kể cả doanh nghiệp không thuộc lĩnh vực công nghệ hay thương mại điện tử, vì dữ liệu cá nhân xuất hiện trong hồ sơ nhân sự, bảng lương, hệ thống CRM/ERP, camera giám sát và các nhà cung cấp dịch vụ thuê ngoài. Lưu trữ dữ liệu trên máy chủ nước ngoài, cho công ty mẹ ở nước ngoài truy cập, hoặc dùng nền tảng HR/CRM toàn cầu cũng có thể bị coi là chuyển dữ liệu xuyên biên giới dù hợp đồng không gọi tên như vậy. Với chủ doanh nghiệp SME và kế toán, Nghị định 330 là lời nhắc rà soát lại việc lập bản đồ dữ liệu, cơ sở pháp lý cho việc thu thập sự đồng ý, hợp đồng với bên xử lý dữ liệu và quy trình xử lý sự cố, vì khoảng cách giữa chính sách trên giấy và thực tế vận hành từ nay có thể bị xử phạt trực tiếp.
Nghị định 330/2026/NĐ-CP (Nghị định 330), ban hành ngày 19/8/2026 và có hiệu lực ngay, là lớp chế tài được xây dựng trên nền các nghĩa vụ đã tồn tại từ trước:
Khung pháp lý về dữ liệu cá nhân của Việt Nam khởi đầu từ Nghị định 13/2023/NĐ-CP, sau đó được thay thế bằng PDPL và Nghị định 356 (cùng có hiệu lực từ 1/1/2026), quy định toàn diện hơn về xử lý dữ liệu, sự đồng ý, quyền của chủ thể dữ liệu, đánh giá tác động, chuyển dữ liệu xuyên biên giới, biện pháp an ninh và trách nhiệm nội bộ. Những nghĩa vụ này đã có hiệu lực trước Nghị định 330; điều thay đổi là rủi ro bị xử phạt.
Nghị định 330 áp dụng cho cá nhân, tổ chức Việt Nam và nước ngoài vi phạm trên lãnh thổ và vùng biển Việt Nam, hành vi trên tàu bay, tàu biển mang quốc tịch Việt Nam, cũng như hộ kinh doanh và hộ gia đình (áp dụng mức phạt của cá nhân). Thời hiệu xử phạt nói chung là một năm; với vi phạm kéo dài, thời điểm kết thúc cần được xác định theo quy định của Nghị định 330 chứ không mặc định tính từ hành vi ban đầu.
Trước Nghị định 330, nhiều doanh nghiệp coi tuân thủ dữ liệu cá nhân là quan trọng nhưng chưa cấp bách, vì nghĩa vụ tồn tại mà chưa có khung xử phạt riêng đi kèm. Trên thực tế, tuân thủ thường dừng ở việc soạn chính sách, thông báo quyền riêng tư, mẫu đồng ý và hồ sơ đánh giá tác động, thay vì xây dựng các biện pháp kiểm soát hoạt động thực sự trong hệ thống, hợp đồng, nhà cung cấp và vận hành hằng ngày.
Sau Nghị định 330, khoảng cách giữa hồ sơ trên giấy và thực tế triển khai dễ bị kiểm tra và xử phạt hơn. Rủi ro chuyển dữ liệu xuyên biên giới, trước đây thường coi là vấn đề thủ tục, nay có thể dẫn đến mức phạt tính theo doanh thu. An ninh mạng và bảo vệ dữ liệu cá nhân, trước đây thường quản lý tách biệt, nay được nhìn nhận là hai yếu tố liên kết của cùng một rủi ro pháp lý.
Hậu quả không dừng ở tiền phạt: doanh nghiệp có thể bị đình chỉ hoạt động xử lý hoặc chuyển dữ liệu liên quan, buộc xóa dữ liệu, tịch thu khoản lợi bất hợp pháp, buộc công khai cải chính, thay đổi quy trình nội bộ hoặc phải chứng minh việc khắc phục với cơ quan có thẩm quyền - nhiều biện pháp trong số này có thể gây gián đoạn vận hành nghiêm trọng hơn cả tiền phạt.
Vi phạm không chỉ đến từ việc thiếu chính sách hay thiếu đánh giá tác động, mà thường xuất phát từ hoạt động vận hành thường ngày:
Mức phạt dưới đây áp dụng cho tổ chức; cá nhân thường chịu một nửa mức phạt của tổ chức (ngược lại với phần an ninh mạng của Nghị định 330, nơi mức nêu ra áp dụng cho cá nhân và tổ chức chịu gấp đôi).
Khung phạt kết hợp mức cố định với mức tính theo khoản lợi bất hợp pháp hoặc doanh thu cho các hành vi nghiêm trọng nhất:
| Hành vi nghiêm trọng nhất | Mức phạt tối đa |
|---|---|
| Vi phạm nghiêm trọng về chuyển dữ liệu xuyên biên giới (Điều 56) | Đến 5% doanh thu năm liền trước tại thị trường Việt Nam, có mức phạt cố định thay thế trong trường hợp cụ thể |
| Mua bán trái phép dữ liệu cá nhân (Điều 53) | 2 đến 10 lần khoản lợi bất hợp pháp, có mức phạt cố định trong trường hợp cụ thể |
| Vi phạm khác (mức trần) | Đến 3 tỷ đồng (mức tối đa, không phải mức mặc định) |
Một số ví dụ minh họa mức phạt cụ thể đối với tổ chức:
Ngoài phạt tiền, Nghị định 330 cho phép áp dụng chế tài bổ sung như đình chỉ giấy phép hoặc hoạt động, buộc xóa dữ liệu xử lý hoặc chuyển giao trái phép, đình chỉ chuyển dữ liệu xuyên biên giới, tịch thu khoản lợi bất hợp pháp và khắc phục sự cố dữ liệu.
Gần như mọi doanh nghiệp hoạt động tại Việt Nam đều có thể thuộc phạm vi điều chỉnh, không chỉ công ty công nghệ, sàn thương mại điện tử hay tổ chức tài chính. Doanh nghiệp thông thường cũng xử lý dữ liệu cá nhân qua hồ sơ nhân sự, bảng lương, tuyển dụng, thông tin khách hàng và nhà cung cấp, camera giám sát, hệ thống CRM/ERP và các nhà cung cấp dịch vụ thuê ngoài (payroll, IT).
Yếu tố nước ngoài không loại trừ trách nhiệm: Nghị định 330 xem xét theo luồng dữ liệu và quyền truy cập thực tế, kể cả truy cập từ nước ngoài, chứ không chỉ theo địa chỉ đăng ký kinh doanh. Việc lưu trữ dữ liệu trên máy chủ nước ngoài, công ty mẹ hoặc văn phòng khu vực truy cập, xử lý qua hệ thống HR/CRM/ERP toàn cầu, hoặc chia sẻ với nhà cung cấp/nhà thầu IT ở nước ngoài đều có thể cấu thành chuyển dữ liệu xuyên biên giới, dù không được gọi tên như vậy trong hợp đồng.
Một đợt rà soát thực tế nên bao gồm:
Nghị định 330 không thay đổi nghĩa vụ gốc theo PDPL và Nghị định 356, nhưng khiến hậu quả của việc chính sách không khớp với thực tế vận hành trở nên cụ thể: phạt hành chính, chế tài bổ sung như đình chỉ xử lý hoặc chuyển dữ liệu, và khả năng phát sinh trách nhiệm hình sự trong tương lai đối với hành vi nghiêm trọng nhất, khi dự thảo sửa đổi Bộ luật Hình sự liên quan đến dữ liệu cá nhân được thông qua.
