Cập nhật Nghị định 330/2026/NĐ-CP: Những thay đổi về bảo mật dữ liệu người dùng cần biết

Nghị định 330/2026/NĐ-CP của Chính phủ Việt Nam, có hiệu lực từ ngày 19/8/2026, đã bổ sung các quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Điều này có nghĩa là các doanh nghiệp và tổ chức phải nâng cao trách nhiệm trong việc bảo mật thông tin khách hàng, đồng thời người dùng cũng có thêm quyền lợi và công cụ để bảo vệ dữ liệu của mình.

Các điểm chính cần lưu ý về Nghị định 330/2026/NĐ-CP

Nghị định có hiệu lực từ ngày 19/8/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Mức phạt tiền tối đa cho các hành vi vi phạm nguyên tắc bảo vệ dữ liệu cá nhân có thể lên đến 60.000.000 đồng.
Doanh nghiệp có nghĩa vụ chứng minh sự đồng ý hợp lệ của người dùng khi thu thập và xử lý dữ liệu.
Người dùng có quyền kiểm soát dữ liệu cá nhân, bao gồm quyền biết dữ liệu được sử dụng ra sao và yêu cầu ngừng xử lý trong các trường hợp luật định.
Các hành vi như mua bán dữ liệu trái phép hoặc sử dụng AI/Deepfake để giả mạo xác thực tài khoản sẽ bị xử phạt nghiêm khắc.

Mức phạt cụ thể cho các hành vi vi phạm dữ liệu cá nhân

Nghị định 330/2026/NĐ-CP quy định rõ ràng các mức phạt tiền đối với nhiều hành vi vi phạm liên quan đến bảo mật dữ liệu cá nhân. Điều này thể hiện sự nghiêm túc của pháp luật trong việc bảo vệ thông tin của người dân.

Vi phạm nguyên tắc và hành vi bị nghiêm cấm

Các tổ chức, cá nhân vi phạm nguyên tắc bảo vệ dữ liệu cá nhân hoặc thực hiện các hành vi xử lý dữ liệu cá nhân bị nghiêm cấm có thể bị phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng. Điều này bao gồm việc xử lý dữ liệu mà không tuân thủ các quy định cơ bản về sự đồng ý, mục đích, phạm vi và thời gian xử lý.

Xử lý dữ liệu khi chưa có sự đồng ý

Hành vi xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân sẽ bị phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng. Nếu cố ý tiếp tục xử lý dữ liệu sau khi có yêu cầu ngừng/hạn chế hoặc tự coi sự im lặng là đồng ý, mức phạt sẽ tăng lên từ 50.000.000 đồng đến 70.000.000 đồng. Điều này nhấn mạnh tầm quan trọng của sự đồng ý rõ ràng và minh bạch từ người dùng.

Mua bán dữ liệu cá nhân trái phép

Một trong những hành vi bị xử phạt nặng nhất là mua bán dữ liệu cá nhân trái phép. Mức phạt tối đa có thể lên đến 10 lần khoản thu từ hành vi vi phạm. Trong trường hợp không phát sinh khoản thu, hoặc số tiền phạt tính theo khoản thu thấp hơn 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân, mức phạt tiền tối đa áp dụng tương ứng là 3 tỷ đồng và 1,5 tỷ đồng.

Chuyển dữ liệu cá nhân xuyên biên giới trái quy định

Đối với hành vi chuyển dữ liệu cá nhân xuyên biên giới trái quy định, tổ chức có thể bị phạt tối đa 5% doanh thu của năm trước liền kề. Trường hợp không có doanh thu hoặc số tiền phạt tính theo doanh thu thấp hơn 3 tỷ đồng, mức phạt tối đa là 3 tỷ đồng. Cá nhân thực hiện hành vi này có thể bị phạt tối đa 1,5 tỷ đồng.

Sử dụng AI, Deepfake giả mạo khuôn mặt để xác thực tài khoản

Cá nhân sử dụng công nghệ AI, Deepfake hoặc các biện pháp công nghệ cao để giả mạo khuôn mặt, giọng nói nhằm xác thực tài khoản trái phép sẽ bị phạt từ 30.000.000 đồng đến 50.000.000 đồng. Điều này nhằm ngăn chặn các hành vi lừa đảo và mạo danh trên không gian mạng.

Trách nhiệm của doanh nghiệp và quyền của người dùng

Nghị định 330/2026/NĐ-CP không chỉ quy định các mức phạt mà còn làm rõ trách nhiệm của doanh nghiệp và quyền của người dùng trong việc bảo vệ dữ liệu cá nhân.

Nghĩa vụ chứng minh sự đồng ý của doanh nghiệp

Các doanh nghiệp có nghĩa vụ chứng minh sự đồng ý hợp lệ của người dùng trước khi gửi tin tiếp thị và phải lưu trữ bằng chứng đồng ý này. Sự im lặng hoặc ô tick chọn sẵn sẽ không được xem là đồng ý hợp lệ. Điều này đòi hỏi doanh nghiệp phải có quy trình thu thập sự đồng ý rõ ràng và minh bạch hơn.

Quyền của người dùng

Nghị định nhấn mạnh quyền của người dân trong việc kiểm soát dữ liệu cá nhân. Người dùng có quyền biết dữ liệu của mình được sử dụng ra sao, và trong các trường hợp luật định, có quyền yêu cầu ngừng hoặc hạn chế xử lý dữ liệu. Điều này trao quyền nhiều hơn cho người dùng trong việc quản lý thông tin cá nhân của mình.

Các biện pháp xử phạt bổ sung và khắc phục hậu quả

Ngoài phạt tiền, tổ chức, cá nhân vi phạm còn có thể bị áp dụng các hình thức xử phạt bổ sung như tước quyền sử dụng giấy phép, chứng chỉ hành nghề (từ 01 đến 24 tháng), đình chỉ hoạt động (từ 01 đến 24 tháng), tịch thu tang vật, phương tiện vi phạm hành chính hoặc trục xuất đối với người nước ngoài có hành vi vi phạm.

Các biện pháp khắc phục hậu quả bao gồm buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục trong một số trường hợp xử lý dữ liệu trái quy định, hoặc buộc nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Người dùng 69VN cần làm gì để bảo vệ dữ liệu cá nhân?

Với những thay đổi từ Nghị định 330/2026/NĐ-CP, người dùng 69VN cần nâng cao cảnh giác và chủ động bảo vệ thông tin cá nhân của mình. Hãy luôn kiểm tra kỹ các yêu cầu đồng ý từ các nền tảng trực tuyến, không cung cấp thông tin cá nhân tùy tiện, và thận trọng với các đường link không rõ nguồn gốc. Việc hiểu rõ quyền lợi của mình sẽ giúp bạn an toàn hơn trong môi trường số.

Chưa phân loại