Nghị định 330/2026/NĐ-CP: Những thay đổi quan trọng về xử phạt vi phạm an ninh mạng người dùng cần biết

Nghị định số 330/2026/NĐ-CP của Chính phủ, có hiệu lực từ ngày 19/8/2026, đã chính thức thiết lập khung pháp lý mới, siết chặt kỷ cương trên môi trường mạng và nâng cao hiệu quả bảo vệ dữ liệu cá nhân. Đây là lần đầu tiên các hành vi vi phạm liên quan đến bảo vệ dữ liệu cá nhân được điều chỉnh bởi một cơ chế xử phạt chuyên biệt, buộc các cơ quan, tổ chức, doanh nghiệp và người dùng phải chủ động hơn trong việc đảm bảo an toàn thông tin.

Các điểm chính cần lưu ý

Nghị định 330/2026/NĐ-CP có hiệu lực từ ngày 19/8/2026.
Phạm vi điều chỉnh bao gồm xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Mục tiêu là tạo cơ chế phòng ngừa, buộc các tổ chức và cá nhân phải bảo vệ dữ liệu và an toàn trên không gian mạng.
Mức phạt tối đa có thể lên đến 3 tỷ đồng, cùng nhiều hình thức xử phạt bổ sung khác.
Người dùng có quyền kiểm soát dữ liệu cá nhân, bao gồm quyền biết dữ liệu được sử dụng ra sao và yêu cầu ngừng xử lý.

Bối cảnh và sự cần thiết của Nghị định 330/2026/NĐ-CP

Trong bối cảnh công nghệ phát triển nhanh chóng, đặc biệt là sự bùng nổ của trí tuệ nhân tạo (AI) và Internet vạn vật (IoT), các mối đe dọa an ninh mạng và rủi ro lộ lọt dữ liệu cá nhân ngày càng gia tăng. Nghị định 330/2026/NĐ-CP được ban hành nhằm hợp nhất các quy định từ Luật An toàn thông tin mạng năm 2015 và Luật An ninh mạng năm 2018, đồng thời mở rộng các hành vi bị nghiêm cấm để phù hợp với tình hình mới.

Luật An ninh mạng năm 2025 (Luật ANM 2025), có hiệu lực từ ngày 01/7/2026, cũng đã đặt ra những quy định rõ ràng hơn về bảo vệ dữ liệu cá nhân và trách nhiệm của các doanh nghiệp cung cấp dịch vụ trên không gian mạng.

Mục tiêu của Nghị định không chỉ dừng lại ở việc xử lý các hành vi vi phạm mà còn hướng tới việc tạo ra một cơ chế phòng ngừa hiệu quả, khuyến khích các tổ chức, doanh nghiệp và cá nhân chủ động thực hiện các biện pháp bảo vệ dữ liệu và đảm bảo an toàn trên không gian mạng.

Những hành vi vi phạm và mức xử phạt cụ thể

Vi phạm về sự đồng ý của chủ thể dữ liệu cá nhân

Nghị định quy định rõ ràng về sự đồng ý của chủ thể dữ liệu cá nhân. Các hành vi vi phạm sẽ bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng. Cụ thể, bao gồm:

Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu (trừ trường hợp pháp luật có quy định khác).
Buộc người sử dụng phải đồng ý cho xử lý dữ liệu vào những mục đích không liên quan đến nội dung thỏa thuận cung cấp dịch vụ.
Không ghi nhận/lưu trữ nhật ký về sự đồng ý hoặc không chứng minh được sự đồng ý khi có yêu cầu.
Không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

Xử lý tin nhắn rác, cuộc gọi rác và quảng cáo không được người dùng đồng ý

Các hành vi tự ý coi sự im lặng hoặc không phản hồi của chủ thể dữ liệu là sự đồng ý, hoặc cố ý tiếp tục xử lý khi người dân đã yêu cầu ngừng, hạn chế xử lý sẽ bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng.

Cung cấp, chia sẻ thông tin sai sự thật, chưa kiểm chứng

Đây là một trong những điểm nhấn của Nghị định, với nhiều mức phạt khác nhau tùy theo tính chất và mức độ nghiêm trọng của hành vi:

Phạt tiền từ 5 triệu đồng đến 10 triệu đồng đối với các hành vi như cung cấp, chia sẻ thông tin nhằm cổ súy, vận động hoặc dụ dỗ người khác thực hiện hành vi xâm hại an ninh, trật tự xã hội; thông tin mang tính đe dọa, kích động mâu thuẫn, chia rẽ hoặc gây tác động tiêu cực đến tình hình an ninh, trật tự; thông tin kích động, lôi kéo tụ tập đông người, gây ảnh hưởng đến trật tự, an toàn xã hội và hoạt động của cơ quan, tổ chức; thông tin chưa kiểm chứng liên quan đến lịch sử, truyền thống cách mạng.
Phạt tiền từ 10 triệu đồng đến 20 triệu đồng đối với các hành vi cung cấp, chia sẻ thông tin có nội dung sai sự thật về chủ quyền quốc gia, an ninh, quốc phòng, gây ảnh hưởng đến an ninh, trật tự; thông tin không phù hợp, gây ảnh hưởng đến sự tôn nghiêm của dân tộc, quốc kỳ, quốc huy, quốc ca, vĩ nhân, lãnh tụ, danh nhân, anh hùng dân tộc; thông tin không phù hợp liên quan đến dân tộc, tín ngưỡng, tôn giáo, giới hoặc chủng tộc, gây tác động tiêu cực trong xã hội; tạo ra, đăng tải, chia sẻ thông tin giả mạo trên không gian mạng, gây ảnh hưởng đến an ninh, trật tự.
Mức phạt có thể lên đến 15-25 triệu đồng đối với cá nhân và 30-50 triệu đồng đối với tổ chức nếu gây hoang mang, thiệt hại kinh tế – xã hội, xâm phạm quyền và lợi ích hợp pháp hoặc tiết lộ bí mật nhà nước, đời tư mà chưa đến mức truy cứu trách nhiệm hình sự.

Vi phạm xâm phạm trật tự quản lý kinh tế trên không gian mạng

Mức phạt dao động từ 5 triệu đến 30 triệu đồng tùy tính chất, với hình thức bổ sung đình chỉ hoạt động 1-3 tháng đối với tổ chức lập trang thông tin điện tử chuyên để thực hiện các hành vi này.

Cung cấp, phát tán chương trình gây hại, khai thác lỗ hổng bảo mật trái phép

Phạt từ 20 triệu đến 30 triệu đồng. Sản xuất, mua bán phần mềm độc hại hoặc cung cấp dịch vụ tấn công mạng trái phép bị phạt từ 30 triệu đến 50 triệu đồng, kèm theo có thể bị trục xuất nếu là người nước ngoài.

Mức phạt tối đa và các biện pháp bổ sung

Mức phạt tối đa có thể lên đến 3 tỷ đồng. Ngoài ra, các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả bao gồm:

Cảnh cáo và phạt tiền.
Đình chỉ hoạt động từ 1 tháng đến 24 tháng.
Tịch thu tang vật, phương tiện được sử dụng để thực hiện hành vi vi phạm.
Buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục.
Buộc nộp lại khoản thu bất hợp pháp.
Buộc cải chính; thông báo, xin lỗi công khai hoặc cung cấp đầy đủ, minh bạch thông tin.
Buộc khôi phục tình trạng ban đầu của hệ thống thông tin; thu hồi hoặc hoàn trả thông tin, dữ liệu, chương trình, phần mềm, mã độc, tài khoản số, chứng thư số, sản phẩm, thiết bị, dịch vụ, tài nguyên internet, tên miền, địa chỉ IP, ASN, số thuê bao và các phương tiện vi phạm.
Đối với người nước ngoài, hình thức trục xuất cũng có thể được áp dụng.

Trách nhiệm của người dùng và doanh nghiệp

Quyền của người dân

Nghị định nhấn mạnh quyền của người dân trong việc kiểm soát dữ liệu cá nhân, bao gồm quyền biết dữ liệu được sử dụng ra sao và trong các trường hợp luật định còn có quyền yêu cầu ngừng, hạn chế xử lý. Sự đồng ý phải rõ ràng, theo từng mục đích và có thể chứng minh, không thể hiểu theo hướng

Chưa phân loại