Xử lý dữ liệu cá nhân chưa được đồng ý: Phạt tới 50 triệu đồng từ 19/8/2026

Chúng tôi lưu ý khách hàng và doanh nghiệp về quy định mới tại Nghị định 330/2026/NĐ-CP của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định này đã chính thức có hiệu lực từ ngày 19/8/2026.

Hành vi nào bị phạt từ 30 đến 50 triệu đồng?

Theo quy định tại Điều 43 Nghị định 330/2026/NĐ-CP, mức phạt 30 – 50 triệu đồng được áp dụng cho các hành vi vi phạm quy định về sự đồng ý của chủ thể dữ liệu, bao gồm:

• Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có sự đồng ý của chủ thể dữ liệu.
• Kèm theo điều kiện bắt buộc hoặc từ chối cung cấp dịch vụ nếu chủ thể dữ liệu không đồng ý xử lý dữ liệu vào mục đích khác không liên quan đến thỏa thuận dịch vụ.
• Thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý.
• Xin sự đồng ý bằng phương thức không rõ ràng hoặc không bảo đảm khả năng kiểm chứng.
• Không cung cấp minh bạch thông tin về loại dữ liệu, mục đích xử lý, quyền và nghĩa vụ của chủ thể dữ liệu.
• Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu được đồng ý với từng mục đích xử lý.
• Không ghi nhận, lưu trữ nhật ký về sự đồng ý hoặc không chứng minh được đã có sự đồng ý khi có yêu cầu.
• Không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

Mức phạt cao hơn: 50 – 70 triệu đồng

Đáng chú ý, mức phạt nặng hơn từ 50 – 70 triệu đồng được áp dụng cho hành vi cố ý tiếp tục xử lý dữ liệu sau khi chủ thể dữ liệu yêu cầu ngừng, hạn chế xử lý hoặc cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản. Bên cạnh đó, việc tự ý coi sự im lặng của chủ thể dữ liệu là đồng ý cũng bị xử phạt ở mức này.

Ngoài phạt tiền, người vi phạm còn có thể bị tịch thu tang vật, phương tiện vi phạm hành chính. Đối với dữ liệu bị xử lý không có sự đồng ý hợp lệ, cơ quan chức năng sẽ buộc hủy, xóa dữ liệu tới mức không thể khôi phục. Các hành vi bị phạt từ 50 – 70 triệu đồng còn phải nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Theo đánh giá của các chuyên gia pháp lý, quy định này yêu cầu doanh nghiệp phải siết chặt quy trình thu thập và xử lý dữ liệu khách hàng, đặc biệt là việc ghi nhận nhật ký đồng ý một cách rõ ràng, minh bạch và có thể kiểm chứng.

Khuyến nghị: Doanh nghiệp nên rà soát lại toàn bộ quy trình thu thập, lưu trữ và xử lý dữ liệu cá nhân, cập nhật chính sách bảo mật để tuân thủ đúng Nghị định 330/2026/NĐ-CP. Nếu cần hỗ trợ pháp lý chi tiết, hãy liên hệ với chúng tôi qua tổng đài 1900.6588 hoặc dịch vụ Luật sư tư vấn theo số 090 222 9061.