Theo thông tin từ Báo Điện tử Chính phủ, ngày 19/9/2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định chính thức có hiệu lực từ ngày 11/11/2026.

Văn bản quy định cụ thể các hành vi vi phạm, mức phạt tiền, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả đối với các tổ chức, cá nhân có hoạt động liên quan đến dữ liệu tại Việt Nam.

Đáng chú ý, theo khoản 1 Điều 8 Nghị định 363/2026/NĐ-CP, hành vi thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định pháp luật sẽ bị phạt tiền từ 20 triệu đồng đến 40 triệu đồng.

Theo Điều 6 của nghị định, đây là mức phạt áp dụng đối với cá nhân. Đối với tổ chức thực hiện cùng hành vi vi phạm, mức phạt bằng hai lần mức phạt đối với cá nhân, tương ứng từ 40 triệu đồng đến 80 triệu đồng.

Không chỉ hành vi trên, khoản 1 Điều 8 còn quy định mức phạt từ 20 triệu đồng đến 40 triệu đồng đối với hành vi không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập. Với tổ chức vi phạm, mức phạt tương ứng từ 40 triệu đồng đến 80 triệu đồng.

Riêng hành vi không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện đánh giá, áp dụng biện pháp bảo vệ dữ liệu trước khi thu thập, tạo lập, nghị định quy định khung phạt từ 20 triệu đồng đến 40 triệu đồng áp dụng trực tiếp đối với tổ chức.

Nhiều hành vi còn có thể bị phạt tới 120 triệu đồng, buộc xóa dữ liệu

Bên cạnh các hành vi nêu trên, Nghị định 363/2026/NĐ-CP còn quy định mức xử phạt cao hơn đối với những vi phạm nghiêm trọng trong quá trình thu thập, tạo lập dữ liệu.

Theo khoản 2 Điều 8, cá nhân có hành vi cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc; cố ý tạo lập dữ liệu giả mạo hoặc thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo bị phạt từ 40 triệu đồng đến 60 triệu đồng.

Đối với tổ chức thực hiện cùng hành vi, mức phạt tương ứng từ 80 triệu đồng đến 120 triệu đồng.

Khung phạt này cũng áp dụng khi thực hiện các hành vi vi phạm quy định tại khoản 1 Điều 8 đối với dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia.

Đặc biệt, hành vi vi phạm tại khoản 1 Điều 8 làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia cũng thuộc diện xử phạt từ 40 triệu đồng đến 60 triệu đồng đối với cá nhân.

Theo Báo Điện tử Chính phủ, ngoài tiền phạt, một số hành vi vi phạm còn có thể bị áp dụng các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả.

Cụ thể, đối với hành vi thu thập, tạo lập dữ liệu không được sự đồng ý theo quy định, người vi phạm có thể bị tịch thu tang vật, phương tiện vi phạm hành chính; buộc xóa, tiêu hủy dữ liệu đã thu thập, tạo lập trái quy định và buộc nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.

Trường hợp cố ý tạo lập dữ liệu sai lệch hoặc giả mạo, người vi phạm còn có thể bị buộc đính chính, hiệu chỉnh, cập nhật dữ liệu.

Đối với các hành vi vi phạm liên quan đến dữ liệu cốt lõi, dữ liệu quan trọng quốc gia hoặc làm rò rỉ thông tin nhạy cảm thuộc trường hợp được quy định, nghị định còn áp dụng hình thức đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 6 tháng đến 9 tháng.

Như vậy, hậu quả pháp lý của việc thu thập, tạo lập dữ liệu trái quy định không chỉ dừng lại ở tiền phạt. Các tổ chức, cá nhân vi phạm còn phải thực hiện những biện pháp cần thiết để khắc phục hậu quả.

Người dân, doanh nghiệp cần lưu ý những gì?

Trong bối cảnh dữ liệu ngày càng được sử dụng rộng rãi trong các hoạt động kinh doanh, cung cấp dịch vụ và giao dịch trực tuyến, việc tuân thủ quy định về thu thập, tạo lập và sử dụng dữ liệu là vấn đề cần được quan tâm.

Trước hết, người dân cần thận trọng khi thu thập, sao chép hoặc chia sẻ những dữ liệu không thuộc quyền quản lý của mình. Trước khi thực hiện, cần xác định có căn cứ hợp pháp hay không, có phải xin sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu hay không.

Đồng thời, khi cung cấp thông tin cho các ứng dụng, website hoặc tổ chức, người dân nên tìm hiểu mục đích thu thập, phạm vi sử dụng và hạn chế chia sẻ những dữ liệu không cần thiết.

Đối với doanh nghiệp, tổ chức, cần rà soát quy trình thu thập, tạo lập dữ liệu, xác định rõ nguồn gốc, quyền sử dụng và mục đích thu thập. Việc áp dụng các biện pháp bảo vệ dữ liệu, kiểm tra tính xác thực và hạn chế truy cập trái phép cũng là những nội dung cần được thực hiện theo quy định.

Đặc biệt, cần phân biệt giữa lĩnh vực dữ liệu và lĩnh vực bảo vệ dữ liệu cá nhân.

Theo Điều 1 Nghị định 363/2026/NĐ-CP, văn bản này không điều chỉnh những hành vi vi phạm hành chính thuộc phạm vi điều chỉnh của nghị định về xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Do đó, những hành vi liên quan đến việc thu thập số điện thoại, thông tin căn cước hoặc dữ liệu cá nhân của khách hàng cần được xem xét theo các quy định tương ứng, trong đó có Nghị định 330/2026/NĐ-CP. Không thể mặc nhiên áp dụng mức phạt 80 triệu đồng cho mọi trường hợp thu thập thông tin cá nhân khi chưa được đồng ý.

Bên cạnh đó, pháp luật cũng quy định những trường hợp được xử lý dữ liệu mà không cần sự đồng ý. Vì vậy, việc xác định vi phạm cần dựa trên từng trường hợp cụ thể, thay vì cho rằng mọi hoạt động thu thập dữ liệu đều bắt buộc phải xin phép.