Phạt đến 70 triệu đồng nếu tự ý xử lý dữ liệu cá nhân khi chưa được đồng ý

Siết chặt nguyên tắc đồng ý khi xử lý dữ liệu cá nhân

Trong quá trình chuyển đổi số, dữ liệu cá nhân ngày càng trở thành một nguồn tài nguyên quan trọng đối với doanh nghiệp, tổ chức cung cấp dịch vụ. Tuy nhiên, việc thu thập và sử dụng dữ liệu không thể được thực hiện tùy tiện.

Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân đã đặt ra những yêu cầu cụ thể hơn đối với việc lấy ý kiến và chứng minh sự đồng thuận của chủ thể dữ liệu.

Theo đó, nếu một tổ chức hoặc cá nhân tiến hành xử lý dữ liệu sau khi thu thập nhưng chưa nhận được sự đồng ý hợp lệ, trong khi không thuộc trường hợp pháp luật cho phép xử lý mà không cần đồng ý, hành vi này có thể bị xử phạt từ 30-50 triệu đồng.

Quy định này cho thấy sự đồng ý không còn đơn thuần là một thủ tục mang tính hình thức. Doanh nghiệp phải có cơ chế để chứng minh rằng người có dữ liệu thực sự biết, hiểu và chủ động chấp thuận việc sử dụng thông tin của mình.

Không thể mặc định khách hàng đã đồng ý

Một trong những điểm đáng chú ý là quy định xử lý đối với trường hợp doanh nghiệp thiết kế cơ chế khiến người dùng dễ nhầm lẫn giữa việc đồng ý và từ chối.

Chẳng hạn, doanh nghiệp không được đặt điều kiện rằng khách hàng chỉ được tiếp tục sử dụng một dịch vụ nếu chấp nhận cho dữ liệu của mình được sử dụng vào những mục đích khác không liên quan trực tiếp đến thỏa thuận cung cấp dịch vụ.

Việc thiết lập sẵn lựa chọn đồng ý, trình bày thông tin theo cách gây hiểu nhầm hoặc không tạo điều kiện để người dùng thực sự lựa chọn cũng có thể dẫn tới chế tài.

Điều này đặt ra yêu cầu doanh nghiệp phải rà soát toàn bộ giao diện, biểu mẫu, hợp đồng điện tử, ứng dụng và quy trình thu thập thông tin. Một nút bấm được thiết kế thiếu minh bạch cũng có thể trở thành căn cứ xác định việc lấy sự đồng ý không đáp ứng yêu cầu.

Sự im lặng không đồng nghĩa với chấp thuận

Một nguyên tắc đặc biệt quan trọng được đặt ra là không được tự suy diễn sự im lặng thành sự đồng ý.

Nếu chủ thể dữ liệu không phản hồi khi được yêu cầu đưa ra ý kiến mà tổ chức vẫn tự xác định rằng người này đã chấp thuận việc thu thập hoặc xử lý dữ liệu, hành vi đó có thể bị phạt từ 50-70 triệu đồng.

Quy định này có ý nghĩa lớn trong thực tiễn, bởi nhiều hệ thống có thể được thiết kế theo hướng người dùng không phản đối thì mặc nhiên tiếp tục sử dụng dịch vụ. Với dữ liệu cá nhân, cách tiếp cận như vậy tiềm ẩn nguy cơ xâm phạm quyền kiểm soát thông tin của cá nhân.

Do đó, doanh nghiệp cần phân biệt rõ giữa không phản đối, không phản hồi và chủ động đồng ý. Đây là ba trạng thái không thể mặc nhiên coi là tương đương.

Tiếp tục xử lý dữ liệu sau khi bị yêu cầu dừng có thể bị phạt tới 70 triệu đồng

Mức chế tài cao nhất trong nhóm hành vi liên quan đến sự đồng ý được áp dụng đối với trường hợp cố tình tiếp tục xử lý dữ liệu cá nhân dù chủ thể dữ liệu đã yêu cầu ngừng hoặc hạn chế xử lý.

Tương tự, khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản mà đơn vị vẫn tiếp tục xử lý dữ liệu, mức phạt có thể nằm trong khoảng 50-70 triệu đồng.

Điểm đáng lưu ý ở đây là trách nhiệm của đơn vị xử lý dữ liệu không kết thúc ngay sau khi có được sự đồng ý ban đầu. Khi người có dữ liệu thay đổi lựa chọn trong phạm vi pháp luật cho phép, doanh nghiệp phải có khả năng tiếp nhận, ghi nhận và thực hiện yêu cầu đó.

Nói cách khác, quản trị dữ liệu cá nhân phải được xây dựng như một quy trình xuyên suốt, thay vì chỉ tập trung vào bước xin phép ban đầu.

Doanh nghiệp phải chứng minh được sự đồng ý

Không chỉ yêu cầu phải có sự đồng ý, quy định còn đặt nặng vấn đề khả năng kiểm chứng.

Việc lấy ý kiến phải được thể hiện rõ ràng, cụ thể; đồng thời phải có cơ sở xác định ai là người đồng ý, đồng ý vào thời điểm nào và đồng ý với nội dung gì.

Nếu đơn vị không ghi nhận, lưu trữ thông tin về sự đồng ý hoặc không thể chứng minh việc đã nhận được sự đồng ý hợp lệ khi cơ quan có thẩm quyền yêu cầu, hành vi vi phạm có thể bị xử phạt từ 30-50 triệu đồng.

Điều này đồng nghĩa với việc doanh nghiệp cần xây dựng cơ chế lưu vết trong quá trình xử lý dữ liệu. Các hệ thống công nghệ thông tin cần có khả năng ghi nhận lịch sử thay đổi, thời điểm chấp thuận, phạm vi đồng ý và những thay đổi liên quan.

Đây cũng là yếu tố quan trọng giúp doanh nghiệp tự bảo vệ mình trong trường hợp phát sinh tranh chấp hoặc bị kiểm tra.

Không phải cứ có dữ liệu là được sử dụng tùy ý

Bên cạnh nhóm vi phạm về sự đồng ý, Nghị định còn quy định chế tài đối với nhiều hành vi khác trong quá trình quản lý dữ liệu cá nhân.

Mức phạt 20-40 triệu đồng có thể được áp dụng đối với hành vi sử dụng dữ liệu không đúng phạm vi hoặc mục đích đã xác định, không bảo đảm độ chính xác của thông tin, lưu giữ dữ liệu lâu hơn thời gian cần thiết hoặc thiếu biện pháp chủ động phòng ngừa, phát hiện và phối hợp xử lý vi phạm.

Trong khi đó, những hành vi cản trở hoạt động bảo vệ dữ liệu cá nhân hoặc sử dụng dữ liệu của người khác để thực hiện hành vi trái pháp luật có thể bị phạt từ 40-60 triệu đồng.

Như vậy, trách nhiệm pháp lý không chỉ phát sinh ở thời điểm doanh nghiệp thu thập thông tin. Toàn bộ vòng đời của dữ liệu, từ thu thập, sử dụng, lưu trữ đến chấm dứt xử lý, đều cần được kiểm soát.

Cảnh báo cho doanh nghiệp trong quá trình chuyển đổi số

Các quy định mới đặt ra yêu cầu doanh nghiệp phải thay đổi cách tiếp cận đối với dữ liệu khách hàng. Dữ liệu cá nhân không nên được xem đơn thuần là nguồn thông tin phục vụ kinh doanh mà phải được quản trị như một tài sản gắn với quyền của chủ thể dữ liệu.

Doanh nghiệp cần rà soát lại các biểu mẫu thu thập thông tin, chính sách bảo mật, điều khoản dịch vụ, hệ thống quản lý khách hàng và quy trình xử lý yêu cầu của người dùng.

Đặc biệt, cần tránh những cách thức như đánh dấu đồng ý mặc định, gộp nhiều mục đích xử lý vào một lựa chọn duy nhất, gây khó khăn khi từ chối hoặc tiếp tục sử dụng dữ liệu sau khi người dùng yêu cầu dừng.

Nếu chỉ chú trọng thu thập dữ liệu mà bỏ qua cơ chế kiểm soát và lưu trữ bằng chứng về sự đồng ý, doanh nghiệp có thể đối mặt với rủi ro xử phạt và phải khắc phục hậu quả.

Có thể phải hủy, xóa dữ liệu và nộp lại khoản thu bất hợp pháp

Ngoài tiền phạt, hậu quả đối với đơn vị vi phạm có thể còn đáng kể hơn. Tùy tính chất hành vi, tổ chức, cá nhân có thể bị áp dụng các biện pháp bổ sung và biện pháp khắc phục hậu quả.

Trong đó có thể bao gồm tịch thu tang vật, phương tiện vi phạm; buộc hủy hoặc xóa dữ liệu cá nhân được thu thập, xử lý không đúng quy định; đồng thời nộp lại khoản thu bất hợp pháp phát sinh từ hành vi vi phạm.

Điều này cho thấy chi phí của việc tuân thủ không chỉ nằm ở tiền phạt. Một vi phạm dữ liệu còn có thể khiến doanh nghiệp phải thay đổi hệ thống, xóa dữ liệu đã xây dựng trong thời gian dài và chịu tổn thất về uy tín.

Hộ kinh doanh và nhiều chủ thể khác cũng cần lưu ý

Nghị định quy định hộ kinh doanh, hộ gia đình và cộng đồng dân cư khi thực hiện hành vi vi phạm hành chính thuộc phạm vi điều chỉnh sẽ áp dụng mức phạt tiền tương ứng với cá nhân vi phạm.

Quy định này mở rộng phạm vi chủ thể cần quan tâm đến việc bảo vệ dữ liệu cá nhân. Không chỉ các tập đoàn công nghệ hay doanh nghiệp lớn, những đơn vị thường xuyên thu thập thông tin khách hàng, người lao động hoặc đối tác cũng cần chủ động kiểm tra quy trình của mình.

Thông điệp quan trọng từ quy định mới là: có dữ liệu không đồng nghĩa với có quyền sử dụng dữ liệu vô điều kiện. Doanh nghiệp cần bảo đảm việc xử lý có căn cứ pháp lý, đúng mục đích, đúng phạm vi và đặc biệt phải tôn trọng lựa chọn của người có dữ liệu.