Nghị định 401/2026/NĐ-CP: gian dối hồ sơ hưởng ưu đãi chip bán dẫn, trung tâm dữ liệu AI bị phạt tới 200 triệu đồng, buộc nộp lại số lợi bất hợp pháp từ 22/12/2026

Luật Công nghiệp công nghệ số (số 71/2025/QH15) có hiệu lực từ 1/1/2026 với rất nhiều ưu đãi: hỗ trợ sản phẩm công nghệ số trọng điểm, dự án bán dẫn, trung tâm dữ liệu trí tuệ nhân tạo, ưu tiên trong mua sắm công, cơ chế thử nghiệm có kiểm soát, cơ sở dữ liệu công nghiệp công nghệ số. Đến nay luật vẫn chưa có chế tài xử phạt riêng đi kèm. Ngày 4/11/2026, Chính phủ ban hành Nghị định 401/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực công nghiệp công nghệ số để lấp khoảng trống này. Phó Thủ tướng Hồ Quốc Dũng ký thay mặt Chính phủ. Bản ký được đăng trên Cổng Thông tin điện tử Chính phủ ngày 6/11, và Báo Chính phủ đưa tin ngay chiều cùng ngày.

Nghị định có hiệu lực từ 22/12/2026, gồm 4 chương, 30 điều, do Bộ Khoa học và Công nghệ chủ trì soạn thảo.

Những con số chính

Mức phạt tối đa: 200 triệu đồng với tổ chức, 100 triệu đồng với cá nhân (Điều 4). Mọi mức phạt trong Chương II là mức áp dụng cho tổ chức; cá nhân có cùng hành vi bị phạt bằng một nửa.
Hình thức xử phạt chính: cảnh cáo hoặc phạt tiền. Hình thức bổ sung: tịch thu tang vật, phương tiện vi phạm; trục xuất người nước ngoài vi phạm (Điều 3).
Biện pháp khắc phục hậu quả: buộc báo cáo, cung cấp, kết nối dữ liệu đầy đủ; buộc thu hồi, gỡ bỏ hoặc áp dụng biện pháp kỹ thuật phù hợp với sản phẩm, dịch vụ công nghệ số dùng để vi phạm; buộc tái xuất hoặc tiêu hủy hàng hóa; buộc nộp lại số lợi bất hợp pháp.
Thời hiệu xử phạt: 1 năm; riêng các vi phạm liên quan đến nhập khẩu là 2 năm (Điều 5).

Mức trần này từng gây tranh luận khi soạn thảo. Tháng 6, Bộ Tư pháp đăng hồ sơ thẩm định. Trong hồ sơ, UBND TP Hải Phòng cho rằng 200 triệu đồng chưa đủ răn đe các tập đoàn công nghệ lớn, còn UBND tỉnh Tây Ninh đề nghị tính mức phạt theo phần trăm doanh thu. Bộ Khoa học và Công nghệ giữ nguyên. Lý do Bộ đưa ra là 200 triệu đồng đã là khung tối đa mà Luật Xử lý vi phạm hành chính cho phép với lĩnh vực này, và tính răn đe sẽ đến từ biện pháp buộc nộp lại số lợi bất hợp pháp và tịch thu tang vật. Dự thảo tháng 6 còn có hình thức tước giấy phép, nhưng bản ban hành đã bỏ.

Xử phạt những hành vi nào

Đọc gộp 10 điều về hành vi vi phạm thì thấy đối tượng chính là người trục lợi chính sách ưu đãi. Sáu điều (Điều 10, 11, 13, 14, 15 và 16) xử phạt việc cung cấp thông tin không trung thực, dùng tài liệu không hợp lệ hoặc gian dối trong hồ sơ:

Sản phẩm công nghệ số trọng điểm, sản xuất phần mềm, phát triển hệ thống trí tuệ nhân tạo, trung tâm dữ liệu trí tuệ nhân tạo (Điều 10): phạt 30–60 triệu đồng với ưu đãi thông thường. Mức 90–140 triệu đồng áp dụng với các gói ưu đãi cho sản phẩm trọng điểm và trung tâm dữ liệu AI, kể cả hỗ trợ vốn đầu tư từ ngân sách địa phương và chế độ ưu tiên hải quan. Với dự án sản phẩm trọng điểm hoặc trung tâm dữ liệu AI có quy mô đầu tư lớn, mức phạt là 150–200 triệu đồng. Gian dối để được nhập khẩu dây chuyền, máy móc đã qua sử dụng phục vụ nghiên cứu, phát triển sản phẩm công nghệ số bị phạt 60–100 triệu đồng, kèm tịch thu hoặc buộc tái xuất thiết bị.
Bán dẫn (Điều 16): phạt 90–140 triệu đồng nếu gian dối để hưởng hỗ trợ đào tạo, nghiên cứu cho dự án thiết kế chip, được nhập khẩu thiết bị cũ, hỗ trợ xây nhà máy, chế độ ưu tiên hải quan hoặc ưu đãi thuế thu nhập doanh nghiệp cho dự án sản xuất thiết bị điện tử. Dự án chip có quy mô đầu tư lớn bị phạt 150–200 triệu đồng.
Chính sách thu hút nhân lực, nhân tài công nghệ số (Điều 11, 30–60 triệu đồng), dự án khởi nghiệp sáng tạo (Điều 13, 90–140 triệu đồng) và ưu đãi trong thuê, mua sắm sản phẩm, dịch vụ công nghệ số dùng vốn ngân sách (Điều 14, 90–140 triệu đồng).
Khu công nghệ số tập trung (Điều 15): phạt 90–140 triệu đồng nếu gian dối hồ sơ công nhận hoặc chậm tiến độ xây dựng hạ tầng. Mức 150–200 triệu đồng áp dụng khi hoạt động sai chức năng, mở rộng khi chưa được chấp thuận, hoặc vẫn duy trì hoạt động khi không còn đáp ứng tiêu chí.

Trong mọi trường hợp, doanh nghiệp vi phạm còn bị buộc nộp lại phần lợi đã hưởng.

Thử nghiệm có kiểm soát, cơ sở dữ liệu và các hành vi bị cấm

Điều 12 biến cơ chế thử nghiệm có kiểm soát (sandbox) thành nghĩa vụ có chế tài. Báo cáo chậm bị cảnh cáo. Báo cáo thiếu hoặc sai mà không khắc phục bị phạt 10–20 triệu đồng; không báo cáo bị phạt 30–60 triệu đồng. Khung cao nhất 150–200 triệu đồng áp dụng khi thử nghiệm sai phạm vi được cấp phép hoặc tiếp tục sau khi đã có quyết định tạm dừng. Khung này cũng áp dụng khi không khuyến cáo rủi ro cho người tham gia, không có cơ chế quản lý dữ liệu và biện pháp ngăn truy cập trái phép dữ liệu cá nhân của người tham gia, không đánh giá rủi ro định kỳ, hoặc không công bố đầu mối giải quyết khiếu nại. Nghị định nói rõ không xử phạt các trường hợp được miễn, loại trừ trách nhiệm theo Điều 22 Luật Khoa học, công nghệ và đổi mới sáng tạo số 93/2025/QH15 (khoản 5 Điều 3). Tuy vậy, gian dối để được miễn trách nhiệm bị phạt 90–140 triệu đồng.

Điều 8 quy định về cơ sở dữ liệu công nghiệp công nghệ số. Cập nhật trực tuyến quá hạn bị cảnh cáo. Cung cấp thiếu hoặc sai mà không bổ sung bị phạt 10–20 triệu đồng; không cung cấp hoặc không kết nối bị phạt 30–60 triệu đồng. Vi phạm nhiều lần chỉ bị phạt một lần nhưng áp dụng tình tiết tăng nặng, và thời hiệu chỉ bắt đầu tính từ ngày dữ liệu được nộp đầy đủ, chính xác.

Điều 9 có phạm vi rộng nhất. Cố ý cản trở trái pháp luật hoạt động phần cứng, phần mềm, dịch vụ công nghệ số hợp pháp, hoặc cố ý cung cấp sản phẩm, dịch vụ cho người thực hiện hành vi bị cấm, bị phạt 90–140 triệu đồng. Dùng sản phẩm, dịch vụ công nghệ số để thực hiện hành vi bị cấm (khi pháp luật chuyên ngành chưa có chế tài) bị phạt 140–170 triệu đồng. Lợi dụng hoạt động công nghiệp công nghệ số để xâm phạm quốc phòng, an ninh, trật tự xã hội, quyền công dân hay đạo đức xã hội bị phạt 170–200 triệu đồng. Ngoài tiền phạt, cơ quan chức năng có thể tịch thu phương tiện, buộc thu hồi hoặc gỡ bỏ sản phẩm và trục xuất cá nhân người nước ngoài.

Điều 17 xử lý vi phạm về Danh mục sản phẩm công nghệ số đã qua sử dụng cấm nhập khẩu. Danh mục này vừa được Bộ Khoa học và Công nghệ ban hành lại tuần trước bằng Thông tư 63/2026/TT-BKHCN. Sử dụng sai mục đích hàng đã được cấp phép nhập khẩu, hoặc không thực hiện biện pháp xử lý hàng hóa theo quy định, bị phạt 100–140 triệu đồng. Gia công cho thương nhân nước ngoài khi chưa được phép, tiêu thụ hàng gia công tại Việt Nam, hoặc nhập khẩu hàng cấm khi không được cho phép bị phạt 140–170 triệu đồng, kèm tịch thu, buộc tái xuất hoặc tiêu hủy.

Thay thế quy định nào, ai có thẩm quyền xử phạt

Nghị định bãi bỏ Điều 74 và Điều 76 Nghị định 15/2020/NĐ-CP (nghị định xử phạt trong lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, công nghệ thông tin, an toàn thông tin mạng và giao dịch điện tử, đã sửa đổi bởi Nghị định 14/2022/NĐ-CP và 211/2025/NĐ-CP). Đây là hai điều về phát triển công nghiệp công nghệ thông tin và nhập khẩu sản phẩm CNTT đã qua sử dụng thuộc danh mục cấm. Theo điều khoản chuyển tiếp (Điều 29), vi phạm đã kết thúc trước 22/12 nhưng phát hiện sau đó vẫn xử lý theo hai điều cũ. Vi phạm còn đang diễn ra vào ngày đó thì áp dụng nghị định mới.

Thẩm quyền xử phạt được phân cho nhiều cơ quan. Chủ tịch UBND cấp xã được phạt đến 100 triệu đồng, Chủ tịch UBND cấp tỉnh đến 200 triệu đồng. Giám đốc Sở Khoa học và Công nghệ được phạt đến 160 triệu đồng. Trưởng đoàn kiểm tra do Bộ trưởng thành lập và Cục trưởng Cục Công nghệ số và Trí tuệ nhân tạo được phạt đến mức tối đa 200 triệu đồng. Công an được xử phạt phần lớn các hành vi; chiến sĩ đang thi hành công vụ được phạt đến 20 triệu đồng. Hải quan, Bộ đội Biên phòng và Cảnh sát biển chỉ xử phạt các hành vi liên quan đến nhập khẩu; Quản lý thị trường chỉ xử phạt theo Điều 17.

Ý nghĩa thực tế

Doanh nghiệp xin ưu đãi (công ty phần mềm muốn hưởng ưu đãi thuế, start-up thiết kế chip, nhà đầu tư trung tâm dữ liệu AI, nhà cung cấp trong nước dự thầu gói CNTT dùng vốn nhà nước): hồ sơ “làm đẹp” giờ có mức phạt cụ thể và kèm nghĩa vụ hoàn trả, ngoài việc mất ưu đãi.
Đơn vị tham gia thử nghiệm có kiểm soát nên coi phương án thử nghiệm đã được phê duyệt là văn bản tuân thủ, vì khung phạt nặng nhất dành cho việc làm sai phương án và lơ là bảo vệ người tham gia.
Mọi doanh nghiệp công nghiệp công nghệ số cần chuẩn bị cho việc nghĩa vụ báo cáo cơ sở dữ liệu được thực thi từ 22/12. Mức phạt không lớn, nhưng biện pháp buộc khắc phục và cách tính “vi phạm đang thực hiện” khiến vi phạm chưa chấm dứt cho đến khi dữ liệu được nộp đủ.

Những điểm còn bỏ ngỏ

Mức trần cố định vẫn nhỏ so với những khoản ưu đãi có giá trị hàng tỷ đồng, nên hiệu quả răn đe phụ thuộc vào việc biện pháp buộc nộp lại số lợi bất hợp pháp được áp dụng mạnh tay đến đâu. Các “hành vi bị cấm” ở Điều 9 được xác định bằng cách dẫn chiếu sang Luật, nên ranh giới với các nghị định xử phạt về an ninh mạng, bảo vệ dữ liệu cá nhân hay báo chí sẽ phải phân định qua từng vụ việc. Khoản 2 Điều 9 chỉ áp dụng khi chưa có nghị định chuyên ngành điều chỉnh. Bản thân cơ sở dữ liệu cũng cần Bộ Khoa học và Công nghệ hướng dẫn cụ thể phải báo cáo những gì, vào thời điểm nào.

Nguồn

Bài viết mang tính thông tin, không phải tư vấn pháp lý.