Phạt đến 60 triệu đồng với hành vi thu thập dữ liệu trái quy định

Ngày 19/9/2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, có hiệu lực thi hành từ ngày 11/11/2026.

Nghị định thiết lập hệ thống chế tài đối với các hành vi vi phạm trong quá trình thu thập, tạo lập, quản trị, xử lý và bảo vệ dữ liệu, đồng thời quy định nhiều biện pháp khắc phục hậu quả nhằm bảo đảm an toàn, tính chính xác và toàn vẹn của dữ liệu.

Xử phạt vi phạm ngay từ khâu thu thập, tạo lập dữ liệu

Một trong những nội dung đáng chú ý của Nghị định số 363/2026/NĐ-CP là trách nhiệm bảo vệ dữ liệu được đặt ra ngay từ khâu thu thập, tạo lập.

Theo Điều 8 Nghị định số 363/2026/NĐ-CP, doanh nghiệp vi phạm quy định về thu thập, tạo lập dữ liệu có thể bị xử phạt như sau:

1. Phạt tiền từ 20 - 40 triệu đồng đối với một trong những hành vi: thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật; không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu; không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập dữ liệu.

2. Phạt tiền từ 40 - 60 triệu đồng đối với một trong những hành vi: Cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc; cố ý thu thập, tạo lập dữ liệu giả mạo; thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo; hành vi vi phạm tại khoản 1 Điều 8 nêu trên mà dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia; hành vi vi phạm tại khoản 1 Điều 8 nêu trên làm rò rỉ thông tin nhạy cảm, làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

Bảo đảm tính chính xác, toàn vẹn của dữ liệu

Điều 7 Nghị định số 363/2026/NĐ-CP quy định xử phạt đối với các hành vi bị nghiêm cấm trong lĩnh vực dữ liệu, cụ thể:

- Phạt tiền từ 40 - 60 triệu đồng đối với một trong những hành vi sau đây: Giả mạo, cố ý làm sai lệch, làm mất, làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban MTTQ Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự; cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền; trừ trường hợp quy định tại Điều 16 Nghị định số 363/2026/NĐ-CP.

- Phạt tiền từ 60 - 80 triệu đồng đối với một trong những hành vi sau đây: Cản trở hoặc ngăn chặn trái pháp luật quá trình xử lý dữ liệu, quản trị dữ liệu của cơ quan, tổ chức, người có thẩm quyền theo quy định của pháp luật; tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị, bảo vệ dữ liệu nhưng chưa đến mức truy cứu trách nhiệm hình sự.

Trách nhiệm khôi phục, khắc phục hậu quả

Nghị định số 363/2026/NĐ-CP không chỉ quy định mức xử phạt mà tùy từng trường hợp cụ thể nêu trên, người vi phạm còn bị áp dụng hình thức xử phạt bổ sung, biện pháp khắc phục hậu quả tương ứng nhằm đưa dữ liệu và hệ thống dữ liệu trở lại trạng thái an toàn, chính xác, phù hợp.

Đối với các hành vi vi phạm liên quan đến dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban MTTQ Việt Nam, doanh nghiệp có thể bị buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu.

Đối với hành vi tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị, bảo vệ dữ liệu, doanh nghiệp có thể bị buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu; buộc thông báo về sự cố dữ liệu, hậu quả và kết quả khắc phục đến chủ thể dữ liệu và các tổ chức, cá nhân có liên quan; đồng thời gỡ bỏ ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm.

Đối với vi phạm trong thu thập, tạo lập dữ liệu, các biện pháp khắc phục có thể bao gồm buộc ban hành quy trình; xóa, tiêu hủy dữ liệu được thu thập, tạo lập trái quy định; đính chính, hiệu chỉnh, cập nhật dữ liệu được tạo lập sai lệch, giả mạo; áp dụng biện pháp bảo vệ dữ liệu, an toàn dữ liệu và nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm.