Nghị định 330/2026/NĐ-CP: Những chế tài mới về bảo vệ dữ liệu cá nhân bạn cần biết

Nghị định 330/2026/NĐ-CP của Chính phủ Việt Nam, có hiệu lực từ ngày 19/8/2026, là một văn bản pháp lý quan trọng quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định này ra đời sau khi Luật An ninh mạng 2025 và Luật Bảo vệ dữ liệu cá nhân 2025 (Luật số 91/2025/QH15) được thông qua, tạo ra một khung pháp lý rõ ràng và đồng bộ hơn về chế tài xử phạt, đặc biệt ảnh hưởng đến các nền tảng giải trí trực tuyến và người dùng.

Các điểm chính của Nghị định 330/2026/NĐ-CP

Ngày hiệu lực: Chính thức có hiệu lực từ ngày 19/8/2026.
Phạm vi áp dụng: Bao gồm các cơ quan, tổ chức, cá nhân Việt Nam và nước ngoài tại Việt Nam, cũng như các tổ chức, cá nhân nước ngoài liên quan đến xử lý dữ liệu cá nhân của công dân Việt Nam.
Mức phạt tăng cường: Quy định các mức phạt tiền cụ thể và nghiêm khắc hơn cho nhiều hành vi vi phạm dữ liệu cá nhân.
Trách nhiệm doanh nghiệp: Đặt ra yêu cầu cao hơn về việc bảo vệ dữ liệu, bao gồm cả việc bổ nhiệm Cán bộ bảo vệ dữ liệu (DPO) cho các doanh nghiệp lớn.
Quyền của chủ thể dữ liệu: Củng cố và mở rộng các quyền của người dùng đối với dữ liệu cá nhân của họ.

Các hành vi vi phạm và mức xử phạt hành chính mới

Nghị định 330/2026/NĐ-CP quy định chi tiết các mức xử phạt cho nhiều hành vi vi phạm dữ liệu cá nhân, nhằm tăng cường tính răn đe và bảo vệ quyền lợi của người dùng. Các mức phạt tiền tối đa đối với cá nhân vi phạm bằng một phần hai mức phạt tiền đối với tổ chức cho cùng hành vi vi phạm.

Vi phạm liên quan đến sự đồng ý và minh bạch

Xử lý dữ liệu cá nhân không có sự đồng ý hợp lệ, ràng buộc điều kiện, thiết lập mặc định “đồng ý” hoặc gây nhầm lẫn, không lưu nhật ký đồng ý, không minh bạch thông tin: Phạt tiền từ 30 triệu đến 50 triệu đồng.
Cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu yêu cầu ngừng, hạn chế xử lý hoặc tự coi sự im lặng là đồng ý: Phạt tiền từ 50 triệu đến 70 triệu đồng.

Vi phạm về thu thập và xử lý dữ liệu vị trí, sinh trắc học

Thu thập, xử lý dữ liệu vị trí cá nhân nhưng không thông báo cho người dùng: Phạt tiền từ 50 triệu đến 70 triệu đồng.
Không áp dụng biện pháp kỹ thuật ngăn chặn bên thứ ba thu thập dữ liệu vị trí, không cung cấp tùy chọn theo dõi vị trí, không hạn chế quyền truy cập hoặc không có hệ thống theo dõi, phòng ngừa xâm phạm dữ liệu vị trí và sinh trắc học: Phạt tiền từ 50 triệu đến 70 triệu đồng.
Lắp đặt, sử dụng công nghệ theo dõi định vị (RFID) mà không có sự đồng ý của chủ thể dữ liệu: Mức phạt có thể cao hơn 70 triệu đồng.

Vi phạm về sự cố dữ liệu và lưu trữ hồ sơ

Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và người bị ảnh hưởng trong vòng 72 giờ khi phát hiện sự cố lộ, mất dữ liệu nhạy cảm: Phạt tiền từ 50 triệu đến 70 triệu đồng.
Không ghi nhận, cập nhật và lưu giữ hồ sơ vi phạm trong ít nhất 5 năm kể từ ngày khắc phục sự cố: Phạt tiền từ 50 triệu đến 70 triệu đồng.

Các hành vi vi phạm nghiêm trọng khác

Công khai dữ liệu cá nhân trái quy định (không có mục đích cụ thể, không thuộc trường hợp được phép công khai): Phạt tiền từ 20 triệu đến 30 triệu đồng.
Mua, bán dữ liệu cá nhân trái phép: Phạt tiền từ 02 lần đến tối đa 10 lần khoản thu lợi bất chính từ hành vi vi phạm.
Chuyển dữ liệu cá nhân xuyên biên giới không đúng quy định: Phạt tới 5% doanh thu năm liền kề trước đó của tổ chức vi phạm.
Các hành vi xử lý dữ liệu cá nhân bị nghiêm cấm, vi phạm nguyên tắc bảo vệ dữ liệu cá nhân: Phạt tiền tối đa từ 40 triệu đến 60 triệu đồng.

Hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Ngoài phạt tiền, Nghị định 330/2026/NĐ-CP còn quy định các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả nghiêm khắc:

Hình thức xử phạt bổ sung: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề (từ 1 đến 24 tháng), đình chỉ hoạt động (từ 1 đến 24 tháng), tịch thu tang vật, phương tiện vi phạm, và trục xuất đối với người nước ngoài vi phạm.
Biện pháp khắc phục hậu quả: Buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục trong một số trường hợp xử lý dữ liệu trái quy định, hoặc buộc nộp lại khoản thu bất hợp pháp.

Trách nhiệm của doanh nghiệp và quyền của người dùng

Trách nhiệm của doanh nghiệp

Các doanh nghiệp, đặc biệt là các nền tảng giải trí trực tuyến, không thể lấy lý do hệ thống AI tự động xử lý để miễn trừ trách nhiệm. Các doanh nghiệp xử lý khối lượng thông tin lớn, đặc biệt trong lĩnh vực y tế, tài chính, giáo dục, bắt buộc phải bổ nhiệm Cán bộ bảo vệ dữ liệu (DPO). Các nền tảng mạng xã hội không được yêu cầu người dùng cung cấp hình ảnh, video giấy tờ tùy thân để xác thực tài khoản và phải cung cấp lựa chọn từ chối thu thập cookies, cũng như lựa chọn “không theo dõi”.

Ngoài ra, các nền tảng này không được nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn khi không có sự đồng ý của người dùng, trừ trường hợp pháp luật có quy định khác.

Quyền của chủ thể dữ liệu cá nhân

Theo Luật Bảo vệ dữ liệu cá nhân 2025, người dùng có các quyền sau:

Được biết về hoạt động xử lý dữ liệu cá nhân của mình.
Đồng ý hoặc rút lại sự đồng ý cho việc xử lý dữ liệu.
Xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân.
Yêu cầu cung cấp, xóa hoặc hạn chế xử lý dữ liệu.
Gửi yêu cầu phản đối xử lý dữ liệu.
Khiếu nại, tố cáo, khởi kiện hoặc yêu cầu bồi thường thiệt hại.
Yêu cầu cơ quan có thẩm quyền thực hiện các biện pháp bảo vệ.

Nghị định 330/2026/NĐ-CP ảnh hưởng đến người chơi và nền tảng giải trí trực tuyến như thế nào?

Nghị định 330/2026/NĐ-CP có tác động sâu rộng đến cả người chơi và các nền tảng giải trí trực tuyến tại Việt Nam. Đối với người chơi, đây là cơ hội để bảo vệ thông tin cá nhân của mình một cách mạnh mẽ hơn, với các quyền được pháp luật bảo đảm và các chế tài rõ ràng cho hành vi vi phạm.

Các nền tảng giải trí trực tuyến sẽ phải rà soát và điều chỉnh quy trình thu thập, xử lý, lưu trữ và chia sẻ dữ liệu để đảm bảo tuân thủ nghiêm ngặt các quy định mới, tránh các mức phạt nặng có thể lên tới 5% doanh thu năm liền kề trước đó. Điều này đòi hỏi sự đầu tư vào công nghệ bảo mật, đào tạo nhân sự và minh bạch hóa chính sách dữ liệu.

Người chơi cần làm gì để bảo vệ dữ liệu cá nhân của mình?

Để bảo vệ dữ liệu cá nhân theo các quy định mới, người chơi cần:

Đọc kỹ chính sách bảo mật: Luôn tìm hiểu cách các nền tảng giải trí thu thập và sử dụng dữ liệu của bạn trước khi đồng ý.
Cân nhắc quyền đồng ý: Chỉ đồng ý cung cấp dữ liệu khi thực sự cần thiết và hiểu rõ mục đích sử dụng. Bạn có quyền rút lại sự đồng ý bất cứ lúc nào.
Sử dụng quyền của mình: Chủ động yêu cầu các nền tảng cung cấp, chỉnh sửa, xóa hoặc hạn chế xử lý dữ liệu cá nhân của bạn khi cần.
Cảnh giác với yêu cầu thông tin: Không cung cấp các thông tin nhạy cảm như hình ảnh giấy tờ tùy thân nếu không có lý do chính đáng và được pháp luật cho phép.
Báo cáo vi phạm: Nếu phát hiện bất kỳ hành vi vi phạm dữ liệu cá nhân nào, hãy thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân để được hỗ trợ.

Kết luận: Tăng cường bảo vệ dữ liệu, nâng cao trách nhiệm

Nghị định 330/2026/NĐ-CP đánh dấu một bước tiến quan trọng trong việc hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam. Với các chế tài xử phạt rõ ràng và nghiêm khắc hơn, Nghị định này không chỉ nâng cao trách nhiệm của các tổ chức, doanh nghiệp trong việc bảo vệ thông tin người dùng mà còn trao quyền mạnh mẽ hơn cho mỗi cá nhân trong việc kiểm soát dữ liệu của mình.

Người chơi các nền tảng giải trí trực tuyến cần nắm vững các quy định này để tự bảo vệ mình, đồng thời các doanh nghiệp cũng cần chủ động tuân thủ để tránh những hậu quả pháp lý nghiêm trọng.

Chưa phân loại