Nghị định 330/2026: Chế tài mạnh tay bảo vệ dữ liệu cá nhân

1. Phủ sóng mọi chủ thể quản lý và xử lý dữ liệu

Nghị định giăng một "tấm lưới" pháp lý rộng lớn, điều chỉnh mọi cá nhân và tổ chức tham gia vào chuỗi xử lý dữ liệu:

• Cá nhân, tổ chức Việt Nam và nước ngoài có hoạt động vi phạm trên phạm vi lãnh thổ, vùng biển và không phận Việt Nam.

• Doanh nghiệp cung cấp dịch vụ viễn thông, Internet, dịch vụ nội dung số và các nền tảng xuyên biên giới.

• Hộ gia đình, hộ kinh doanh có hành vi vi phạm cũng bị áp dụng mức phạt tiền tương đương với cá nhân.

2. Xử phạt nghiêm các vi phạm nguyên tắc bảo vệ dữ liệu

Bất kỳ sự cẩu thả hoặc cố tình lạm dụng dữ liệu cá nhân nào đều phải trả giá bằng các khung phạt nặng:

• Phạt từ 20 - 40 triệu đồng: Áp dụng khi xử lý dữ liệu sai mục đích, vượt quá phạm vi thỏa thuận ban đầu; lưu trữ dữ liệu quá thời hạn cần thiết; hoặc không chịu đính chính khi dữ liệu bị sai lệch.

• Phạt từ 40 - 60 triệu đồng: Áp dụng đối với các hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu của cơ quan chức năng hoặc cố tình sử dụng dữ liệu của người khác để làm việc phi pháp.

3. Siết chặt quy định xin phép "sự đồng ý"

Người dùng số từ nay sẽ được bảo vệ khỏi các chiêu trò ép buộc hoặc lừa gạt lấy thông tin:

• Phạt từ 30 - 50 triệu đồng: Nếu doanh nghiệp xử lý dữ liệu mà chưa được phép; dùng điều kiện bắt buộc nộp dữ liệu mới cung cấp dịch vụ; thiết kế nút "mặc định đồng ý" gây hiểu lầm; hoặc không lưu lại nhật ký bằng chứng xin phép.

• Phạt từ 50 - 70 triệu đồng: Dành riêng cho hành vi tự ý coi "sự im lặng là đồng ý" hoặc ngoan cố tiếp tục xử lý thông tin ngay cả khi chủ thể đã yêu cầu ngừng lại.

4. Triệt tiêu nguồn thu và khắc phục hậu quả

Để răn đe triệt để, ngoài việc nộp phạt hành chính, các chủ thể vi phạm còn phải đối mặt với các biện pháp cưỡng chế:

• Bị tịch thu toàn bộ tang vật, phương tiện thực hiện vi phạm.

• Buộc phải hủy, xóa vĩnh viễn toàn bộ dữ liệu cá nhân đã thu thập sai quy định (đến mức không thể khôi phục).

• Buộc nộp lại toàn bộ khoản thu bất hợp pháp có được do khai thác dữ liệu trái phép.

• Phải công khai xin lỗi nạn nhân bị lộ lọt dữ liệu trên các phương tiện thông tin đại chúng.