Mức phạt vi phạm dữ liệu cá nhân

Nghị định 330/2026/NĐ-CP (hiệu lực 19/08/2026) quy định xử phạt vi phạm an ninh mạng và bảo vệ dữ liệu cá nhân. Điều nhiều người đọc nhầm: mức ghi trong phần dữ liệu cá nhân là mức cho tổ chức.

Cá nhân và hộ kinh doanh chịu 1/2 mức của tổ chức (khoản 1 Điều 7, khoản 3 Điều 2 NĐ 330/2026). Trần chung: 3 tỷ đồng với tổ chức, 1,5 tỷ với cá nhân. Mức 5% doanh thu chỉ áp cho vi phạm chuyển dữ liệu xuyên biên giới, không áp cho mọi lỗi.

Hành vi	Tổ chức	Cá nhân, hộ KD	Căn cứ
Xử lý dữ liệu khi chưa có đồng ý; đặt mặc định đồng ý; không xin theo từng mục đích; không lưu bằng chứng đồng ý	30-50 triệu	15-25 triệu	Điều 43 khoản 1
Coi im lặng là đồng ý; cố ý tiếp tục xử lý sau khi bị yêu cầu dừng	50-70 triệu	25-35 triệu	Điều 43 khoản 2
Từ chối cung cấp dữ liệu cho chính người dùng khi có yêu cầu hợp lệ	10-20 triệu	5-10 triệu	Điều 49 khoản 1
Quảng cáo: dùng dữ liệu khi chưa có đồng ý, không có cách từ chối, mặc định đồng ý chia sẻ cho mạng quảng cáo	30-50 triệu	15-25 triệu	Điều 63 khoản 1
Quảng cáo: theo dõi trên website để quảng cáo theo hành vi khi chưa có đồng ý; dùng dữ liệu nhạy cảm	50-70 triệu	25-35 triệu	Điều 63 khoản 2

Mức cụ thể lấy từ ít nhất hai nguồn thứ cấp trùng khớp (Luật Việt An, LSVN, LuatVietnam), chưa đối chiếu câu chữ tiếng Việt gốc. Nguyên tắc tổ chức và cá nhân đã đối chiếu với bản dịch toàn văn.

Đáng lo hơn tiền phạt: biện pháp khắc phục

Ngoài tiền phạt, có thể bị buộc xóa dữ liệu thu thập trái phép đến mức không khôi phục được (Điều 5 NĐ 330/2026). Với site đã gom danh sách khách hàng nhiều năm, đây mới là thiệt hại lớn.

NĐ 330 khác gì NĐ 363?

Nghị định 363/2026/NĐ-CP (hiệu lực 11/11/2026) xử phạt trong lĩnh vực dữ liệu nói chung theo Luật Dữ liệu, chủ yếu nhắm vào dữ liệu quan trọng, cơ sở dữ liệu nhà nước, dịch vụ xác thực dữ liệu. Ở NĐ 363, mức ghi là của cá nhân, tổ chức gấp đôi. Với website bán hàng, landing page thông thường, nghị định cần để ý vẫn là NĐ 330.

Hỏi nhanh

Hộ kinh doanh bị phạt bao nhiêu nếu không xin đồng ý?

Theo NĐ 330/2026, hộ kinh doanh bị phạt như cá nhân, bằng 1/2 mức của tổ chức. Với lỗi xử lý dữ liệu khi chưa có đồng ý, mức tham khảo là 15-25 triệu đồng.

Phạt 5% doanh thu áp dụng khi nào?

Chỉ với vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới (Điều 8 khoản 4 Luật 91/2025, khoản 4 Điều 7 NĐ 330/2026). Các lỗi khác có trần 3 tỷ đồng với tổ chức.

Nội dung do một dev tổng hợp và đối chiếu với văn bản gốc, cập nhật 05/11/2026. Chỉ để tham khảo, không phải ý kiến pháp lý. Thấy chỗ sai, báo giúp mình.

Tự kiểm tra website của bạn

vn-law-check là bộ hướng dẫn mã nguồn mở cho AI coding agent (Claude Code, Cursor, Copilot, Windsurf, Cline, Codex). Bạn gõ "audit pháp lý site này", agent quét code rồi chỉ ra file, dòng cần sửa kèm điều luật liên quan. Miễn phí.

/plugin marketplace add mhfed/vn-law-check
/plugin install vn-law-check

Lệnh trên dùng trong Claude Code. Cursor, Copilot và các tool khác: xem hướng dẫn cài.

Xem trên GitHub