Ngày 19/8/2026, Chính phủ ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“Nghị định 330”), có hiệu lực kể từ ngày ký. Đáng chú ý, Nghị định 330 quy định chi tiết về mức xử phạt đối với các hành vi vi phạm liên quan đến bảo vệ dữ liệu cá nhân.
Cụ thể:
1. Về nguyên tắc xử phạt
Theo quy định tại Điều 7 Nghị định 330, khác với quy định về mức phạt tiền từ Mục 1 đến Mục 5 Chương II Nghị định 330, Mục 6 Chương II (Vi phạm quy định về bảo vệ dữ liệu cá nhân) quy định mức phạt tiền áp dụng đối với hành vi vi phạm do tổ chức thực hiện. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với tổ chức.
Về trần xử phạt, mức phạt tối đa đối với hành vi mua, bán dữ liệu cá nhân có thể lên tới 10 lần khoản thu có được từ hành vi vi phạm; đối với hành vi chuyển dữ liệu cá nhân xuyên biên giới trái quy định, mức phạt tối đa có thể lên tới 5% doanh thu năm liền trước của tổ chức vi phạm; các hành vi vi phạm khác về bảo vệ dữ liệu cá nhân có mức phạt tối đa là 3 tỷ đồng. 
2. Một số nhóm hành vi vi phạm tiêu biểu và mức xử phạt tương ứng
a) Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm (Điều 39):
- Phạt từ 20-40 triệu đồng đối với doanh nghiệp: (i) xử lý dữ liệu cá nhân không đúng phạm vi hoặc vượt quá mục đích đã xin sự đồng ý; (ii) không bảo đảm tính chính xác của dữ liệu hoặc không thực hiện chỉnh sửa, bổ sung, cập nhật kịp thời khi phát hiện sai sót; (iii) lưu trữ dữ liệu vượt quá thời gian cần thiết cho mục đích xử lý; hoặc (iv) không chủ động phòng ngừa, phát hiện, phối hợp kịp thời với các cơ quan có thẩm quyền trong xử lý mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
- Phạt từ 40-60 triệu đồng đối với doanh nghiệp (i) có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân; hoặc (ii) sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái quy định của pháp luật.
b) Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân (Điều 43):
- Phạt tiền từ 30-50 triệu đồng đối với các hành vi như: xử lý dữ liệu mà chưa có sự đồng ý của chủ thể dữ liệu; kèm theo điềukiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó; thiết lập phương thức mặc định đồng ý, chỉ dẫn không rõ ràng, gây hiểu lầm; hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân;…
- Phạt tiền từ 50-70 triệu đồng đối với các hành vi: cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản; hoặc thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.
c) Vi phạm quy định về thu thập dữ liệu cá nhân (Điều 48):
- Phạt tiền từ 30-50 triệu đồng đối với hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật;
- Phạt tiền từ 50-80 triệu đồng đối với thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý.
d) Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng lao động (Điều 61):
- Phạt tiền từ 20-50 triệu đồng đôi với một trong các hành vi: (i) yêu cầu người dự tuyển cung cấp dữ liệu cá nhân không phục vụ cho mục đích tuyển dụng hoặc không phù hợp với quy định của pháp luật; (ii) sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển; (iii) xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý; hoặc (iv) không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển;
- Phạt tiền từ 50-70 triệu đồng đối với một trong các hành vi: (i) lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận; (ii) không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác; (iii) áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động; hoặc (iv) áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động;
- Phạt tiền từ 70-100 triệu đồng đối với hành vi xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.
