Ngày 19/8/2026, Chính phủ ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“Nghị định 330”). Nghị định 330 có hiệu lực thi hành kể từ ngày ban hành.

Nghị định 330 được coi là “mảnh ghép chế tài” trong khung pháp lý về lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Trong khi Luật Bảo vệ Dữ liệu cá nhân số 91/2025/QH-15 (“Luật BVDLCN”) đặt ra các nghĩa vụ mà các bên tham gia xử lý dữ liệu phải tuân thủ và Nghị định 365/2025/ND-CP hướng dẫn cách thức thực hiện các nghĩa vụ đó, thì Nghị định 330 quy định cụ thể các hành vi vi phạm, mức xử phạt, hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả. Trong khuôn khổ bài viết này, chúng tôi xin trình bày một số điểm đáng chú ý của Nghị định 330 mà doanh nghiệp cần lưu ý như sau:

1. Cơ chế phạt tiền theo doanh thu và khoản thu từ hành vi vi phạm

Trên cơ sở các mức phạt tiền tối đa đã được quy định tại Luật BVDLCN, Nghị định 330 quy định cụ thể cơ chế xác định mức phạt dựa trên khoản thu từ hành vi vi phạm hoặc doanh thu của tổ chức, theo đó:
• Mua, bán dữ liệu cá nhân trái phép: Mức phạt tối đa có thể lên đến 10 lần khoản thu từ hành vi vi phạm. Trường hợp không phát sinh khoản thu, hoặc số tiền phạt tính theo khoản thu thấp hơn 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân, mức phạt tiền tối đa áp dụng tương ứng là 3 tỷ đồng và 1,5 tỷ đồng.
• Chuyển dữ liệu cá nhân xuyên biên giới trái quy định: Mức phạt tối đa đối với tổ chức có thể lên đến 5% doanh thu của năm trước liền kề. Trường hợp tổ chức không có doanh thu trong năm trước liền kề hoặc số tiền phạt tính theo doanh thu thấp hơn 3 tỷ đồng, mức phạt tối đa áp dụng là 3 tỷ đồng. Đối với cá nhân thực hiện cùng hành vi, mức phạt tiền tối đa là 1,5 tỷ đồng.
• Các vi phạm khác về dữ liệu cá nhân: Mức phạt tối đa áp dụng là 3 tỷ đồng đối với tổ chức và 1,5 tỷ đồng đối với cá nhân
• Vi phạm trong lĩnh vực an ninh mạng: Mức phạt tối đa áp dụng là 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân

Cơ chế này làm gia tăng đáng kể rủi ro tài chính đối với doanh nghiệp. Vì vậy, doanh nghiệp cần đánh giá đầy đủ mức độ tuân thủ trong toàn bộ hoạt động xử lý và bảo vệ dữ liệu cá nhân.

2. Chính thức hóa quy trình xử phạt trên môi trường điện tử

Nghị định 330 quy định việc xử phạt vi phạm hành chính có thể được thực hiện trên môi trường điện tử khi đáp ứng các điều kiện luật định. Theo đó, chứng cứ điện tử có thể được sử dụng để xác định hành vi vi phạm. Biên bản vi phạm hành chính hành chính có thể được lập dưới hình thức điện tử và ký số và cho phép xác thực bằng sinh trắc học khuôn mặt hoặc vân tay trong trường hợp không sử dụng được chữ ký số. Quyết định xử phạt cũng có thể được ban hành và gửi bằng phương thức điện tử. Do vậy, doanh nghiệp cần lưu ý việc tiếp nhận và xử lý các tài liệu, thông báo và quyết định của cơ quan có thẩm quyền được thực hiện trên môi trường điện tử, để tránh bỏ lỡ thời han giải trình hoặc việc thực hiện quyết định xử phạt.

3. Tăng cường xử phạt vi phạm bảo vệ dữ liệu cá nhân

Nghị định 330 tăng nặng chế tài đối với các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân. Cụ thể là:

a. Mức phạt tiền từ 30 triệu đồng đến 50 triệu đồng đối với tổ chức, 15 triệu đồng đến 25 triệu đồng đối với cá nhân được áp dụng đối với các lỗi phổ biến liên quan đến quy trình và hình thức lấy sự đồng ý của người dùng. Nhóm hành vi này bao gồm việc xử lý dữ liệu sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu; kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích xử lý không liên quan đến nội dung thỏa thuận cung cấp dịch vụ để được sử dụng dịch vụ; thiết lập phương thức mặc định đồng ý hoặc tạo ra chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân. Mức phạt tăng lên 50 triệu đồng đến 70 triệu đồng nếu tổ chức, cá nhân cố ý tiếp tục thực hiện xử lý dữ liệu sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý; hoặc thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng của khách hàng là đồng ý.

b. Bên cạnh đó, các hành vi không phân tách rõ từng mục đích xử lý do hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân; thiếu minh bạch thông tin khi không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền; không thông báo cho chủ thể dữ liệu cá nhân biết xử lý dữ liệu cá nhân nhạy cảm của họ đang được xử lý cũng sẽ chịu cùng khung phạt này.

c. Đi kèm với các mức phạt tiền, người vi phạm quy định còn bị áp dụng: (i) hình thức phạt bổ sung là tịch thu toàn bộ tang vật, phương tiện vi phạm hành chính; và (ii) biện pháp khắc phục hậu quả: tổ chức và cá nhân vi phạm bắt buộc phải hủy hoặc xóa triệt để toàn bộ dữ liệu cá nhân đã thu thập trái phép tới mức không thể khôi phục, đồng thời bị cưỡng chế nộp lại toàn bộ khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm.

d. Mức phạt từ 30 triệu đồng đến 50 triệu đồng đối với tổ chức, 15 triệu đồng đến 25 triệu đồng đối với cá nhân cho một trong các hành vi sau: Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em; xử lý dữ liệu cá nhân của trẻ em dưới 07 tuổi mà không có sự đồng ý của người đại diện theo pháp luật hoặc xử lý dữ liệu cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp LBVDLCN có quy định khác. Ngoài ra, người vi phạm còn phải chịu hình thức xử phạt bổ sung như đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng và biện pháp khắc phục hậu quả như: Buộc ngừng hoạt động xử lý dữ liệu cá nhân và thông báo bằng văn bản cho người đại diện theo pháp luật về việc dừng xử lý; buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã xử lý trái quy định.

e. Đặc biệt trong tuyển dụng, quản lý, sử dụng lao động:

(i) Mức phạt từ 20 triệu đến 50 triệu đồng đối với tổ chức, 10 triệu đồng đến 25 triệu đồng đối với cá nhân, cho các hành vi sau: (a) Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý; (b) Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển; và
(ii) Mức phạt tiền từ 50 triệu đến 70 triệu đồng đối với tổ chức, 25 triệu đồng đến 35 triệu đồng đối với cá nhân, cho các hành vi sau: Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận; Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác; Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động. Ngoài ra, người vi phạm còn phải thực hiện biện pháp khắc phục hậu quả như: Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định; Buộc nộp lại khoản thu có được từ hành vi vi phạm.

4. Siết chặt quản lý tin nhắn rác, cuộc gọi rác và cuộc gọi quảng cáo

Một trong những nội dung trọng tâm của Nghị định 330 là doanh nghiệp triển khai hoạt động tiếp thị, quảng cáo cần tuân thủ các quy định khắt khe về thời gian và tần suất liên hệ tiếp thị tới thuê bao. Theo đó:

a. Các hành vi thực hiện cuộc gọi rác hoặc quảng cáo sẽ bị phạt nặng theo Nghị định mới như sau:

(i) Hành vi gửi tin nhắn đăng ký quảng cáo, tin nhắn quảng cáo hoặc gọi điện quảng cáo đến các số điện thoại nằm trong Danh sách không quảng cáo sẽ bị phạt tiền từ 70 đến 90 triệu đồng đối với tổ chức, và từ 35 đến 45 triệu đồng đối với cá nhân;
(ii) Hành vi gọi điện quảng cáo, gửi tin nhắn quảng cáo hoặc thư điện tử quảng cáo ngoài khung giờ hoặc vượt quá tần suất quy định sẽ bị phạt tiền từ 30 đến 50 triệu đồng đối với tổ chức, 15 triệu đến 25 triệu đồng đối với cá nhân.
Theo Nghị định số 91/2020/NĐ-CP ngày 14/8/2020 về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác, trừ trường hợp có thỏa thuận khác với người nhận
• Cuộc gọi quảng cáo chỉ được thực hiện trong khoảng thời gian từ 8 giờ đến 17 giờ và tin nhắn quảng cáo chỉ được gử trong khoảng thời gian từ 7 giờ đến 22 giờ mỗi ngày;
• Trong vòng 24 giờ, không được thực hiện quá 1 cuộc gọi quảng cáo, 3 tin nhắn quảng cáo hoặc 3 thư điện tử quảng cáo tới cùng một địa chỉ liên hệ.
(iii) Đối với các vi phạm khác trong hoạt động tiếp thị, người thực hiện quảng cáo gửi tin nhắn quảng cáo, thư điện tử quảng cáo đến người nhận nhưng chưa được sự đồng ý của người nhận hoặc gọi điện quảng cáo đến người sử dụng khi chưa được người sử dụng đồng ý một cách rõ ràng, hoặc tiếp tục gửi sau khi người dùng đã từ chối, sẽ đối mặt mức phạt từ 10 đến 20 triệu đồng đối với tổ chức, 5 triệu đến 10 triệu đồng đối với cá nhân. Trường hợp không gắn nhãn tin nhắn quảng cáo, thư điện tử quảng cáo theo quy định; hoặc không lưu lại thông tin đăng ký nhận quảng cáo, thông tin yêu cầu từ chối và thông tin xác nhận yêu cầu từ chối thư điện tử quảng cáo, tin nhắn quảng cáo, cuộc gọi quảng cáo trong thời gian tối thiểu một năm, mức phạt áp dụng từ 20 đến 30 triệu đồng đối với tổ chức, 10 triệu đến 15 triệu đồng đối với cá nhân.
(iv) Bên cạnh đó, cá nhân và tổ chức vi phạm còn bị áp dụng hình thức xử phạt bổ sung là đình chỉ quyền sử dụng tên định danh từ 1 đến 3 tháng, có thể buộc áp dụng biện pháp khắc phục hậu quả thu hồi số điện thoại vi phạm theo quy định.

b. Ngoài ra, người thực hiện tiếp thị, quảng cáo phải cung cấp cho người sử dụng công cụ tra cứu hoặc lưu trữ các thỏa thuận về việc đăng ký, từ chối cuộc gọi quảng cáo, tin nhắn quản cáo để phục vụ công tác thanh tra, kiểm tra và giải quyết khiếu nại theo quy định pháp luật. Nếu không thực hiện đúng các nghĩa vụ kỹ thuật bắt buộc nói trên, người thực hiện tiếp thị, quảng cáo sẽ bị phạt tiền 30 đến 50 triệu đồng đối với tổ chức, 15 đến 25 triệu đồng đối với cá nhân.

c. Bên cạnh đó, Nghị định 330 tăng cường trách nhiệm kiểm soát hạ tầng của các nhà mạng và nhà cung cấp dịch vụ internet. Cụ thể:

(i) Nhà mạng có thể bị phạt tiền từ 90 đến 100 triệu đồng đối với hành vi không ngăn chặn, thu hồi số thuê bao dùng để phát tán tin nhắn rác, cuộc gọi rác.
(ii) Doanh nghiệp cung cấp dịch vụ thoại qua internet (VoIP) và SIP Trunk phải duy trì cơ chế kỹ thuật tự động chặn toàn bộ lưu lượng phát sinh cuộc gọi ra mạng viễn thông công cộng nếu không gắn tên định danh (Voice Brandname) hợp lệ. Đồng thời, nhà mạng có trách nhiệm giám sát, phân tích phát hiện lưu lượng bất thường để kịp thời cảnh báo, tạm dừng hoặc chấm dứt cung cấp dịch vụ cho khách hàng có dấu hiệu phát tán cuộc gọi rác, lừa đảo, mạo danh. Nếu không thực hiện đúng các nghĩa vụ kỹ thuật bắt buộc nói trên, nhà mạng sẽ bị phạt tiền từ 50 đến 70 triệu đồng và bị đình chỉ cung cấp dịch vụ SIP Trunk, VoIP từ 1 đến 3 tháng.
(iii) Để bảo đảm quyền lợi trực tiếp của người sử dụng, các tổ chức liên quan có trách nhiệm cung cấp công cụ, ứng dụng cho phép người dùng tự chủ động ngăn chặn thư điện tử rác, tin nhắn rác, cuộc gọi rác và gửi phản ánh về thư điện tử rác, tin nhắn rác, cuộc gọi rác. Doanh nghiệp vi phạm nghĩa vụ cung cấp công cụ phản ánh sẽ bị phạt từ 5 triệu đồng 5 triệu đến 30 triệu đồng.

5. Xử phạt doanh nghiệp nước ngoài vi phạm nghĩa vụ bảo đảm an ninh thông tin mạng

Nghị định 330 quy định doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam có thể bị xử phạt tiền từ 60 triệu đồng đến 100 triệu đồng nếu không đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam. Đồng thời, các doanh nghiệp này còn phải thực hiện các biện pháp khắc phục hậu quả như buộc lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam và buộc ngừng cung cấp dịch vụ hoặc ngừng kết nối viễn thông, internet.

6. Tăng cường chế tài bảo vệ trẻ em trên không gian mạng

Nghị định 330 quy định mức phạt từ 25 triệu đến 100 triệu đồng đối với tổ chức đối với các hành vi không triển khai các biện pháp kiểm soát nội dung thông tin trên hệ thống hoặc trên dịch vụ do doanh nghiệp cung cấp gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em; không ngăn chặn việc chia sẻ và xóa bỏ thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em; không có dấu hiệu cảnh báo đối với sản phẩm, dịch vụ công nghệ thông tin mang nội dung không có lợi cho trẻ em; đăng tải phát tán, chia sẻ, lưu trữ, trao đổi, sử dụng thông tin, hình ảnh, âm thanh có nội dung khiêu dâm, đồi trụy, bạo lực liên quan đến trẻ em; hoặc kích động, lôi kéo, dụ dỗ, ép buộc trẻ em theo dõi, chia sẻ, phát tán thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em hoặc tham gia vào các hoạt động vi phạm pháp luật khác. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với tổ chức.