Ảnh minh họa
Ngày 19/8/2026, Chính phủ ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, có hiệu lực thi hành kể từ ngày ký ban hành. Nghị định thiết lập cơ chế xử lý tương đối toàn diện đối với các hành vi vi phạm trên không gian mạng, đồng thời đặt ra yêu cầu chủ động phòng ngừa, kiểm soát rủi ro và khắc phục hậu quả. Dưới đây là một số nội dung cơ quan, tổ chức, doanh nghiệp và người dân cần lưu ý:
Đối tượng nào thuộc phạm vi áp dụng?
Theo Nghị định, đối tượng áp dụng gồm cá nhân, tổ chức Việt Nam và nước ngoài hoạt động hoặc xử lý dữ liệu trong phạm vi thuộc quyền tài phán của Việt Nam, bao gồm: doanh nghiệp cung cấp dịch vụ viễn thông, Internet, nội dung số, mạng xã hội, dịch vụ xuyên biên giới; chủ quản và đơn vị vận hành hệ thống thông tin. [Quy định tại Điều 2 khoản 1 và khoản 2 điểm đ, e, g, k.]
Chia sẻ thông tin sai sự thật có thể bị phạt đến 20 triệu đồng
Nghị định yêu cầu người sử dụng phải kiểm chứng nguồn, tính chính xác và bối cảnh của thông tin trước khi đăng tải hoặc lan truyền. Hành vi cung cấp, chia sẻ thông tin sai sự thật, chưa được kiểm chứng, kích động, gây hoang mang, chia rẽ hoặc xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân có thể bị phạt tiền từ 05 triệu đồng đến 20 triệu đồng tùy tính chất, mức độ vi phạm. Việc làm ra, phát tán thông tin hoặc thiết lập trang, nhóm, tài khoản để lan truyền nội dung vi phạm có thể bị áp dụng mức phạt cao hơn. [Theo Điều 9 khoản 1 điểm b, c, đ; khoản 2 điểm a, d, đ và Điều 11 khoản 2 điểm a.]
Ngoài phạt tiền, cơ quan có thẩm quyền có thể buộc gỡ bỏ, xóa, cải chính thông tin, thu hồi tên miền hoặc đình chỉ hoạt động. Mạng xã hội là môi trường giao tiếp nhưng không nằm ngoài khuôn khổ pháp luật; trách nhiệm pháp lý có thể được xác định đối với cả người tạo ra, người đăng tải, người quản trị và người chia sẻ nội dung khi có đủ căn cứ xác định vi phạm. [ Điều 2 khoản 1, khoản 2; Điều 11 khoản 5 điểm a, b; khoản 6 điểm a, b, c và Điều 10 khoản 4, khoản 5 điểm a, b, c.]
Xử lý dữ liệu cá nhân phải đúng mục đích, đúng phạm vi
Việc thu thập, xử lý, lưu trữ, cung cấp và chuyển giao dữ liệu cá nhân phải đúng mục đích, đúng phạm vi, bảo đảm tính chính xác và có căn cứ hợp pháp. Hành vi xử lý dữ liệu vượt quá mục đích đã xác định, lưu trữ quá thời hạn cần thiết hoặc không chủ động phòng ngừa vi phạm có thể bị phạt tiền từ 20 triệu đồng đến 40 triệu đồng; sử dụng dữ liệu của người khác để thực hiện hành vi trái pháp luật có thể bị phạt tiền từ 40 triệu đồng đến 60 triệu đồng. [Điều 39 khoản 1 điểm a, b, c, d và khoản 2 điểm b.]
Đặc biệt, hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt tiền từ 02 lần đến 10 lần khoản thu, mức phạt tối đa đến 03 tỷ đồng theo trường hợp luật định. [Điều 53 khoản 1, khoản 2 và khoản 3 điểm đ.]
Sự đồng ý của chủ thể dữ liệu phải rõ ràng, có thể kiểm chứng
Theo Nghị định, sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể, có thể kiểm chứng và gắn với từng mục đích xử lý. Tổ chức, doanh nghiệp không được mặc định coi im lặng là đồng ý, không được cài sẵn lựa chọn đồng ý, thiết kế chỉ dẫn gây nhầm lẫn hoặc buộc người dùng chấp thuận những mục đích không liên quan đến dịch vụ. [ Điều 43 khoản 1 điểm a, c, d, đ, e, g, h.]
Vi phạm quy định về sự đồng ý có thể bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng; trường hợp cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu đã yêu cầu dừng hoặc hạn chế xử lý, hoặc tự coi sự im lặng là đồng ý, có thể bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng. [Theo Điều 43 khoản 1, khoản 2 điểm a, b và khoản 4.]
Lưu ý khi ứng dụng trí tuệ nhân tạo, sử dụng camera giám sát
Các quy định trên có ý nghĩa đặc biệt đối với hoạt động ứng dụng trí tuệ nhân tạo (AI), quảng cáo trực tuyến, dịch vụ số, camera giám sát, dữ liệu trẻ em và dữ liệu cá nhân nhạy cảm. Việc sử dụng AI để giả mạo hình ảnh, giọng nói, danh tính, tạo hoặc phát tán thông tin sai sự thật, hoặc đưa dữ liệu cá nhân vào hệ thống khi không có căn cứ hợp pháp vẫn bị xem xét, xử lý theo hành vi vi phạm tương ứng. Lý do hệ thống tự động xử lý không loại trừ trách nhiệm của chủ thể quyết định việc thu thập, đưa dữ liệu vào hệ thống và khai thác kết quả. [Đối với các hành vi cụ thể quy định tại Điều 11 khoản 2 điểm a; Điều 15 khoản 1 điểm m; Điều 34 khoản 2 điểm c; Điều 39 khoản 1; Điều 43 khoản 1; Điều 60 khoản 1, 2 và Điều 63 khoản 1, 2.]
Bên cạnh đó, tổ chức sử dụng camera, thiết bị ghi âm, ghi hình tại nơi công cộng hoặc khu vực cung cấp dịch vụ phải thực hiện việc thông báo, cảnh báo theo quy định và bảo đảm quyền của người bị ghi nhận dữ liệu. [Quy định tại Điều 71 khoản 1 điểm a, b; khoản 2 điểm a, b và khoản 4.]
Hình thức xử phạt và biện pháp khắc phục hậu quả
Hình thức xử phạt chính gồm cảnh cáo và phạt tiền. Tùy trường hợp, người vi phạm còn có thể bị tước quyền sử dụng giấy phép, chứng chỉ từ 01 tháng đến 24 tháng; đình chỉ hoạt động; tịch thu tang vật, phương tiện vi phạm hoặc trục xuất đối với người nước ngoài. [Điều 4 khoản 1, khoản 2 và khoản 3.]
Cùng với đó, biện pháp khắc phục hậu quả có thể bao gồm: Khôi phục hệ thống; gỡ bỏ, xóa, cải chính thông tin; thu hồi hoặc hủy dữ liệu thu thập trái phép; bảo đảm quyền của chủ thể dữ liệu và buộc nộp lại khoản thu bất hợp pháp. [Điều 5 khoản 1, 2, 3, 5, 7 và 8.]
Chủ động phòng ngừa vi phạm
Để chủ động phòng ngừa vi phạm pháp luật trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, Công an tỉnh Hưng Yên khuyến cáo:
Đối với người dân: Cần kiểm chứng thông tin trước khi đăng tải, chia sẻ; bảo vệ tài khoản cá nhân; tuyệt đối không cung cấp mật khẩu, mã OTP, thông tin định danh cho người không rõ nhân thân. [Quy định tại Điều 34 khoản 1, khoản 2.]
Đối với cơ quan, tổ chức, doanh nghiệp: Cần xác định rõ mục đích xử lý dữ liệu cá nhân; kiểm soát chặt chẽ quyền truy cập; lưu giữ bằng chứng về sự đồng ý của chủ thể dữ liệu; xây dựng quy trình ứng phó khi xảy ra sự cố. [Theo Điều 39 khoản 1; Điều 43 khoản 1 điểm g; Điều 54 khoản 1, khoản 4, khoản 5 và tại Điều 5 khoản 6.]
Việc chấp hành nghiêm các quy định của Nghị định số 330/2026/NĐ-CP không chỉ giúp cơ quan, tổ chức, cá nhân tránh bị xử phạt mà còn góp phần xây dựng môi trường số an toàn, minh bạch, tôn trọng quyền riêng tư và bảo đảm an ninh, trật tự trên không gian mạng.