Từ 11/11/2026, vi phạm trong lĩnh vực dữ liệu bị phạt đến 200 triệu đồng

Ngày mai, 25/9/2026, Nghị định 314/2026/NĐ-CP về hoạt động của sàn dữ liệu có hiệu lực. Chế tài đi kèm thì phải bảy tuần sau mới áp dụng. Ngày 19/9/2026, Chính phủ ký Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, có hiệu lực từ ngày 11/11/2026. Đây là văn bản xử phạt của Luật Dữ liệu số 60/2024/QH15, luật đã có hiệu lực từ 1/7/2025.

Văn bản là gì

Số hiệu: 363/2026/NĐ-CP
Cơ quan ban hành: Chính phủ. Phó Thủ tướng Hồ Quốc Dũng ký, theo đề nghị của Bộ trưởng Bộ Công an
Ngày ký: 19/9/2026
Hiệu lực: 11/11/2026 (Điều 34)
Bố cục: 4 chương, 36 điều. Chương II (Điều 7–26) quy định hành vi vi phạm, Chương III quy định thẩm quyền xử phạt, Chương IV là điều khoản thi hành và chuyển tiếp.

Nghị định vạch ranh giới rõ ràng. Theo khoản 2 Điều 1, văn bản không điều chỉnh các hành vi thuộc phạm vi của nghị định xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân, tức Nghị định 330/2026/NĐ-CP mà blog đã viết hồi tháng 8. Nói ngắn gọn, 330 xử lý vi phạm về dữ liệu cá nhân và an ninh mạng. 363 xử lý phần còn lại của Luật Dữ liệu: thu thập, phân loại, lưu trữ, kết nối, chia sẻ, phân tích, xác thực, công khai, mã hóa, chuyển ra nước ngoài và giao dịch dữ liệu. Theo Điều 2, nghị định áp dụng cả với tổ chức, cá nhân nước ngoài “trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam”.

Điểm mới

Luật Dữ liệu đặt ra nhiều nghĩa vụ mà đến nay vẫn chưa có mức phạt cụ thể: phân loại dữ liệu, quản lý dữ liệu cốt lõi và dữ liệu quan trọng, đánh giá tác động khi chuyển dữ liệu xuyên biên giới, điều kiện kinh doanh sàn dữ liệu và dịch vụ trung gian, cơ chế thử nghiệm có kiểm soát. Nghị định 363 quy định khung phạt cho từng nghĩa vụ này.

Mức trần. Theo Điều 6, mức phạt tiền tối đa với cá nhân là 100 triệu đồng. Tổ chức có cùng hành vi bị phạt gấp đôi, tức tối đa 200 triệu đồng. Riêng điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16 đã ghi sẵn mức phạt áp cho tổ chức nên không nhân đôi. Thời hiệu xử phạt là 01 năm (Điều 3).

Một số mức phạt đáng chú ý (mức áp cho cá nhân, trừ khi ghi khác):

Thu thập, tạo lập dữ liệu khi chưa được chủ thể hoặc chủ sở hữu dữ liệu đồng ý: phạt 20–40 triệu đồng. Nếu dữ liệu thuộc danh mục cốt lõi, quan trọng, hoặc việc thu thập làm rò rỉ thông tin nhạy cảm, mức phạt tăng lên 40–60 triệu đồng, kèm đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6 đến 9 tháng (Điều 8).
Khai thác dữ liệu tự động. Dùng công cụ tự động, phần mềm dò quét để truy xuất trái phép bị phạt 40–60 triệu đồng. Dùng kết nối dữ liệu, API hoặc nền tảng chia sẻ dữ liệu để thu thập, sao chép, trích xuất trái phép bị phạt 80–100 triệu đồng (điểm d khoản 3 Điều 12; điểm c khoản 3 Điều 13).
Sửa đổi, giả mạo mô hình, thuật toán, công thức hoặc kết quả phân tích dữ liệu: phạt 80–100 triệu đồng, có thể đình chỉ hoạt động phân tích đến 6 tháng (điểm c khoản 3 Điều 14).
Lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng tại hệ thống, nền tảng đặt ngoài lãnh thổ Việt Nam hoặc do tổ chức, cá nhân nước ngoài quản lý trái quy định: phạt tổ chức 30–70 triệu đồng (điểm c khoản 2 Điều 10).
Chuyển dữ liệu xuyên biên giới. Không gửi hồ sơ đánh giá tác động đúng hạn bị phạt 20–40 triệu đồng. Chuyển dữ liệu cốt lõi khi chưa đánh giá tác động hoặc chưa có văn bản chấp thuận bị phạt 60–80 triệu đồng. Hành vi gây ảnh hưởng đến an ninh quốc gia hoặc quyền lợi của chủ thể dữ liệu bị phạt 80–100 triệu đồng, có thể bị đình chỉ 3–12 tháng, và người nước ngoài vi phạm có thể bị trục xuất (Điều 19).
Nghĩa vụ báo cáo sự cố. Không thông báo sự cố dữ liệu cốt lõi, quan trọng cho Bộ Công an hoặc Bộ Quốc phòng bị phạt 60–100 triệu đồng. Không lưu nhật ký xử lý dữ liệu ít nhất 06 tháng bị phạt 10–20 triệu đồng (Điều 22).

Sàn dữ liệu và trung gian dữ liệu là hai điều dài nhất. Theo Điều 23, sàn không duy trì kênh hỗ trợ 24/7, không đạt an toàn hệ thống thông tin cấp độ 3, không tạm ngừng giao dịch trong 24 giờ khi có căn cứ, hoặc không lưu thông tin truy vết giao dịch tối thiểu 10 năm có thể bị phạt từ 20 đến 80 triệu đồng tùy hành vi. Kinh doanh dịch vụ sàn dữ liệu khi chưa có Giấy chứng nhận đủ điều kiện bị phạt 60–80 triệu đồng. Tổ chức giao dịch dữ liệu bị cấm, gồm dữ liệu cốt lõi, quan trọng hoặc dữ liệu chưa được chủ thể đồng ý, bị phạt 80–100 triệu đồng. Nhiều hành vi còn có thể khiến sàn bị đình chỉ hoạt động 12–18 tháng. Môi trường thử nghiệm cũng có yêu cầu cụ thể: dữ liệu thử nghiệm và bản sao phải bị xóa trong 24 giờ sau khi hết hạn thử nghiệm, và dữ liệu gốc của bên bán không được đưa ra khỏi môi trường thử nghiệm. Điều 24 áp dụng cách tiếp cận tương tự cho dịch vụ trung gian dữ liệu, tập trung vào xung đột lợi ích, chẳng hạn bên trung gian tự thẩm định dữ liệu do chính mình bán.

Ngoài phạt tiền, cơ quan có thẩm quyền có thể tịch thu phần mềm, dữ liệu dùng để vi phạm. Theo Điều 5, trước khi xóa hoặc chặn truy cập, người có thẩm quyền phải lập biên bản ghi tên, dung lượng, vị trí lưu trữ và mã băm của dữ liệu, phần mềm vi phạm, đồng thời chỉ xóa trong phạm vi cần thiết để không làm hỏng dữ liệu hợp pháp. Các biện pháp khắc phục hậu quả còn có buộc xóa, buộc thông báo cho người bị ảnh hưởng và buộc nộp lại số lợi bất hợp pháp.

Ai xử phạt

Lực lượng Công an giữ vai trò chính. Giám đốc Trung tâm dữ liệu quốc gia, Cục trưởng Cục An ninh mạng và Giám đốc Công an cấp tỉnh được phạt đến mức trần 100/200 triệu đồng. Trưởng các phòng nghiệp vụ của Trung tâm dữ liệu quốc gia được phạt đến 80/160 triệu đồng. Chủ tịch UBND cấp tỉnh, cấp xã, thanh tra Bộ Quốc phòng, Bộ Công an và Ban Cơ yếu Chính phủ cũng có thẩm quyền xử phạt (Điều 27–30).

Tác động thực tế

Sàn dữ liệu và tổ chức trung gian bắt đầu hoạt động theo Nghị định 314 từ 25/9 còn khoảng bảy tuần trước khi chế tài áp dụng từ 11/11. Đây là thời gian để hoàn thiện giấy chứng nhận, nhật ký, quy trình tạm ngừng giao dịch trong 24 giờ và cơ chế xóa dữ liệu thử nghiệm, vì đó đều là những nghĩa vụ sẽ bị phạt.
Doanh nghiệp có đường ống dữ liệu, như công ty phân tích, nhóm huấn luyện AI trên dữ liệu bên thứ ba, hay bất kỳ ai thu thập dữ liệu tự động hoặc qua API, cần rà lại tính hợp pháp của nguồn dữ liệu. Trích xuất trái phép qua API thuộc khung phạt cao nhất.
Doanh nghiệp lưu trữ dữ liệu ở nước ngoài cần xác định bộ dữ liệu nào của mình thuộc diện cốt lõi hay quan trọng, vì việc phân loại này quyết định doanh nghiệp có phải tuân thủ các quy định về lưu trữ và chuyển dữ liệu hay không.
Hành vi vi phạm kéo dài cũng bị xử lý. Theo Điều 35, hành vi bắt đầu trước 11/11 nhưng vẫn đang diễn ra vào ngày đó sẽ bị xử phạt theo nghị định mới.

Vấn đề còn bỏ ngỏ

Mức trần thấp so với doanh nghiệp lớn. Nghị định 330 cho phép phạt đến 3 tỷ đồng, hoặc 5% doanh thu với hành vi chuyển dữ liệu cá nhân ra nước ngoài trái phép. Ở Nghị định 363, mức trần với tổ chức chỉ là 200 triệu đồng. Với các nền tảng lớn, sức răn đe thực sự nhiều khả năng đến từ việc buộc nộp lại số lợi bất hợp pháp, đình chỉ hoạt động và tước giấy chứng nhận.
Ranh giới giữa 330 và 363. Nhiều bộ dữ liệu có cả dữ liệu cá nhân lẫn dữ liệu phi cá nhân. Khi một hành vi vi phạm cả hai chế độ, ngoài quy định loại trừ phạm vi ở Điều 1, nghị định chưa có quy tắc cho biết văn bản nào được áp dụng.
Điều kiện phân loại dữ liệu. Nhiều khung phạt nặng nhất chỉ áp dụng khi dữ liệu là “cốt lõi” hoặc “quan trọng”. Doanh nghiệp cần danh mục và phương pháp định lượng dữ liệu quan trọng rõ ràng thì mới đánh giá được rủi ro của mình.

Nguồn

Bài viết mang tính thông tin, không phải tư vấn pháp lý.