Theo thông tin từ Cổng Thông tin điện tử Chính phủ, ngày 19/9/2026, Chính phủ đã ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định chính thức có hiệu lực từ ngày 11/11/2026, với nhiều quy định liên quan đến hoạt động thu thập, quản lý, khai thác và sử dụng dữ liệu.

Văn bản gồm 4 chương, 36 điều, quy định cụ thể về các hành vi vi phạm hành chính, hình thức xử phạt, mức phạt tiền, biện pháp khắc phục hậu quả cũng như thẩm quyền xử phạt trong lĩnh vực dữ liệu.

Đáng chú ý, theo Điều 6 của nghị định, mức phạt tiền tối đa đối với cá nhân vi phạm trong lĩnh vực dữ liệu là 100 triệu đồng. Đối với tổ chức, mức phạt tối đa có thể lên tới 200 triệu đồng.

Cụ thể, mức phạt tiền quy định tại Chương II của nghị định được áp dụng đối với cá nhân, trừ một số trường hợp được quy định trực tiếp cho tổ chức. Với các hành vi áp dụng mức phạt của cá nhân, mức phạt tương ứng đối với tổ chức bằng hai lần. Riêng hộ kinh doanh, hộ gia đình và cộng đồng dân cư được áp dụng mức phạt như cá nhân vi phạm.

Về phạm vi áp dụng, nghị định điều chỉnh các hành vi vi phạm trong lĩnh vực dữ liệu của cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và các chủ thể nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam.

Như vậy, không phải mọi người dân đều phải chịu mức phạt 200 triệu đồng. Mức xử phạt cụ thể phụ thuộc vào đối tượng, tính chất và hành vi vi phạm theo quy định.

Hàng loạt hành vi liên quan đến dữ liệu có thể bị phạt hàng chục triệu đồng

Một trong những nội dung đáng chú ý của Nghị định 363/2026/NĐ-CP là quy định xử phạt đối với hành vi thu thập, tạo lập dữ liệu không đúng quy định.

Theo Điều 8, hành vi thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật có thể bị phạt tiền từ 20–40 triệu đồng. Khung phạt này cũng áp dụng đối với hành vi không thực hiện kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập.

Đối với các vi phạm nghiêm trọng hơn, mức phạt được nâng lên từ 40–60 triệu đồng. Cụ thể, nghị định quy định xử phạt đối với hành vi cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc; cố ý thu thập, tạo lập dữ liệu giả mạo hoặc thu thập dữ liệu vượt quá phạm vi, mục đích đã thông báo.

Đặc biệt, theo thông tin được Báo Điện tử Chính phủ đăng tải ngày 23/9, hành vi vi phạm quy định về thu thập, tạo lập dữ liệu dẫn đến rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia cũng thuộc khung phạt từ 40–60 triệu đồng.

Không chỉ hoạt động thu thập dữ liệu, việc giả mạo hoặc phá hoại dữ liệu trong hệ thống của các cơ quan nhà nước cũng được quy định chế tài cụ thể.

Theo Điều 7, hành vi giả mạo, cố ý làm sai lệch, làm mất hoặc làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam, nhưng chưa đến mức truy cứu trách nhiệm hình sự, bị phạt từ 40–60 triệu đồng.

Trong khi đó, hành vi cản trở trái pháp luật quá trình xử lý, quản trị dữ liệu hoặc tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu và hệ thống thông tin phục vụ quản lý, bảo vệ dữ liệu, khi chưa đến mức truy cứu trách nhiệm hình sự, có thể bị phạt từ 60–80 triệu đồng.

Ngoài ra, theo Điều 12, việc sử dụng tài khoản, chứng thư số hoặc khóa truy cập của người khác để truy cập, truy xuất dữ liệu trái quy định có thể bị phạt từ 20–40 triệu đồng. Mức phạt tương tự cũng áp dụng đối với hành vi cho người khác sử dụng tài khoản, chứng thư số hoặc khóa truy cập thuộc quyền quản lý, sử dụng của mình để truy cập dữ liệu.

Đáng chú ý, mức phạt từ 80–100 triệu đồng đối với cá nhân được quy định tại Điều 13 cho các hành vi như chia sẻ, cung cấp dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia khi chưa được phép; cố ý làm sai lệch dữ liệu trong quá trình chia sẻ; sử dụng kết nối dữ liệu, giao diện lập trình ứng dụng (API) hoặc nền tảng chia sẻ dữ liệu để thu thập, sao chép, trích xuất dữ liệu trái phép.

Với các hành vi này, nếu chủ thể vi phạm là tổ chức, mức phạt có thể lên tới 200 triệu đồng.

Không chỉ phạt tiền, người vi phạm còn có thể bị đình chỉ hoạt động

Bên cạnh các mức phạt tiền, Nghị định 363/2026/NĐ-CP còn quy định những hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả tùy theo tính chất, mức độ của từng hành vi.

Theo đó, tổ chức, cá nhân vi phạm có thể bị tịch thu tang vật, phương tiện vi phạm; tước quyền sử dụng giấy phép, chứng chỉ hành nghề hoặc đình chỉ một số hoạt động liên quan đến cung cấp, xử lý và kết nối dữ liệu trong thời hạn nhất định.

Đáng chú ý, Điều 8 quy định một số vi phạm liên quan đến dữ liệu cốt lõi, dữ liệu quan trọng quốc gia hoặc làm rò rỉ thông tin nhạy cảm có thể bị đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6–9 tháng.

Ngoài ra, tùy hành vi, người vi phạm còn có thể bị buộc xóa, tiêu hủy dữ liệu đã thu thập trái quy định; đính chính, hiệu chỉnh dữ liệu sai lệch; khôi phục dữ liệu bị phá hoại hoặc nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.

Một điểm cần lưu ý là nghị định này không điều chỉnh các hành vi đã thuộc phạm vi xử phạt theo quy định chuyên ngành về an ninh mạng và bảo vệ dữ liệu cá nhân. Do đó, không phải mọi hành vi chia sẻ thông tin trên mạng xã hội đều được xử lý theo các mức phạt nêu trên.