Những lưu ý khi sử dụng dữ liệu cá nhân trên môi trường mạng

Nghị định có hiệu lực từ ngày 19/8/2026.

Theo điều 43 Nghị định số 330/2026/NĐ-CP, doanh nghiệp vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân có thể bị xử phạt như sau:

Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

- Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác.

- Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó.

- Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân.

- Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý.

- Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, bên kiểm soát hoặc bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ.

- Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân.

- Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền.

- Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

- Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản.

- Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.

Nghị định số 330/2026/NĐ-CP cũng quy định các nhóm hành vi vi phạm liên quan đến mạng xã hội, thông tin trên không gian mạng, tài khoản số và hoạt động sử dụng không gian mạng trái pháp luật. Ngoài cảnh cáo và phạt tiền, tùy tính chất, mức độ vi phạm, chủ thể vi phạm còn có thể bị áp dụng các hình thức xử phạt bổ sung như tước quyền sử dụng giấy phép có thời hạn từ 1 tháng đến 24 tháng, đình chỉ hoạt động từ 1 tháng đến 24 tháng; tịch thu tang vật vi phạm hành chính, phương tiện được sử dụng để vi phạm hành chính hoặc trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.

Đối với dữ liệu cá nhân nhạy cảm, yêu cầu bảo vệ được đặt ở mức cao hơn. Hành vi không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng.

Đối với tin nhắn rác, cuộc gọi rác và hoạt động quảng cáo khi chưa được người dùng đồng ý, Nghị định yêu cầu phải có căn cứ hợp pháp khi sử dụng dữ liệu cá nhân. Doanh nghiệp có thể bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng đối với một trong các hành vi sau: Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản; thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.

Các hành vi như thiết lập mặc định trạng thái đồng ý; thiết kế giao diện hoặc chỉ dẫn khiến người dùng khó phân biệt giữa lựa chọn đồng ý và không đồng ý; không cho phép lựa chọn riêng đối với từng mục đích xử lý; không ghi nhận hoặc lưu trữ được bằng chứng về sự đồng ý có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng.