Tóm tắt 30 giây

  • Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, được ban hành ngày 19/9/2026 và có hiệu lực từ ngày 11/11/2026.
  • Thu thập hoặc tạo lập dữ liệu khi chưa có sự đồng ý của chủ thể hay chủ sở hữu dữ liệu bị phạt từ 20 đến 40 triệu đồng.
  • Các trường hợp nặng hơn, như cố ý tạo dữ liệu giả hoặc làm lộ thông tin nhạy cảm, bị phạt từ 40 đến 60 triệu đồng.
  • Nghị định không áp dụng cho các hành vi đã thuộc phạm vi nghị định xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân.

Nghị định 363/2026 điều chỉnh những ai và hành vi nào

Nghị định 363/2026/NĐ-CP do Chính phủ ban hành ngày 19/9/2026, quy định hành vi vi phạm, hình thức và mức xử phạt trong lĩnh vực dữ liệu. Văn bản áp dụng với tổ chức, cá nhân Việt Nam và nước ngoài có hoạt động dữ liệu tại Việt Nam, bao gồm doanh nghiệp, hợp tác xã, tổ chức tín dụng, đơn vị sự nghiệp công lập, hộ kinh doanh, hộ gia đình và cộng đồng dân cư.

Theo nội dung được báo chí đăng tải, hình thức xử phạt chính là cảnh cáo hoặc phạt tiền; mức phạt tối đa đối với cá nhân trong lĩnh vực này là 100 triệu đồng. Các hành vi đã được điều chỉnh bởi nghị định xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân không thuộc phạm vi của văn bản này.

Mức phạt với hành vi thu thập, tạo lập dữ liệu

Điều 8 của nghị định chia hành vi thu thập, tạo lập dữ liệu thành hai nhóm mức phạt.

Mức phạtHành vi tiêu biểu
20–40 triệu đồngThu thập hoặc tạo lập dữ liệu khi chưa được chủ thể, chủ sở hữu dữ liệu đồng ý; không ban hành quy trình thu thập hoặc không đánh giá biện pháp bảo vệ trước khi thu thập; không kiểm tra tính xác thực và chất lượng dữ liệu
40–60 triệu đồngCố ý thu thập dữ liệu không đúng với dữ liệu gốc; cố ý tạo dữ liệu giả; thu thập vượt phạm vi, mục đích đã thông báo; vi phạm liên quan dữ liệu cốt lõi, dữ liệu quan trọng quốc gia; làm lộ thông tin nhạy cảm, ảnh hưởng quyền, lợi ích hợp pháp hoặc an ninh quốc gia

Ngoài phạt tiền, người vi phạm có thể bị tịch thu tang vật, phương tiện; với hai nhóm hành vi nặng nhất còn có thể bị đình chỉ quản trị, vận hành cơ sở dữ liệu từ 6 đến 9 tháng. Biện pháp khắc phục gồm xây dựng quy trình thu thập, xóa hoặc tiêu hủy dữ liệu thu thập trái phép, sửa lại dữ liệu bị làm sai lệch, áp dụng biện pháp bảo vệ và nộp lại lợi bất hợp pháp.

Các hành vi vi phạm khác trong lĩnh vực dữ liệu

Điều 7 quy định phạt 40–60 triệu đồng với việc giả mạo, cố ý làm sai lệch, làm mất hoặc hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Mặt trận Tổ quốc nhưng chưa đến mức truy cứu trách nhiệm hình sự, hoặc cố ý cung cấp dữ liệu sai, từ chối cung cấp dữ liệu theo yêu cầu hợp pháp. Mức 60–80 triệu đồng áp dụng với hành vi cản trở trái pháp luật việc xử lý, quản trị dữ liệu của bên có thẩm quyền, hoặc tấn công, chiếm đoạt, phá hoại hệ thống quản lý, bảo vệ dữ liệu khi chưa đến mức truy cứu trách nhiệm hình sự.

Ý nghĩa với cá nhân và doanh nghiệp

  • Đơn vị thu thập dữ liệu cần có quy trình thu thập và thông báo rõ phạm vi, mục đích theo đúng nội dung quy định.
  • Việc kiểm tra tính xác thực, chất lượng dữ liệu trước khi sử dụng là một nghĩa vụ có thể bị xử phạt nếu không thực hiện.
  • Hộ kinh doanh, hộ gia đình và cộng đồng dân cư cũng nằm trong đối tượng áp dụng của nghị định.

Nghị định 363/2026 có hiệu lực từ ngày nào?

Nghị định 363/2026/NĐ-CP được ban hành ngày 19/9/2026 và có hiệu lực thi hành từ ngày 11/11/2026. Từ thời điểm này, các hành vi vi phạm trong lĩnh vực dữ liệu thuộc phạm vi điều chỉnh của nghị định sẽ được xử phạt theo các mức nêu trong văn bản.

Thu thập dữ liệu khi chưa được đồng ý bị phạt bao nhiêu?

Theo Điều 8, hành vi thu thập hoặc tạo lập dữ liệu khi chưa được chủ thể hoặc chủ sở hữu dữ liệu đồng ý bị phạt từ 20 đến 40 triệu đồng. Nếu hành vi làm lộ thông tin nhạy cảm hoặc ảnh hưởng quyền, lợi ích hợp pháp, an ninh quốc gia thì mức phạt là 40–60 triệu đồng.

Nghị định này có thay thế quy định về dữ liệu cá nhân không?

Không. Nghị định 363/2026/NĐ-CP nêu rõ không điều chỉnh các hành vi thuộc phạm vi nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; các hành vi đó tiếp tục áp dụng theo nghị định riêng.

Nguồn: Tổng hợp từ Báo điện tử Chính phủ, Báo điện tử Chính phủ (đăng ngày 23/09/2026 và 01/11/2026)