Bảo vệ dữ liệu cá nhân: Mức phạt 3 tỷ đồng hoặc 5% doanh thu áp dụng khi nào?

Trong thời đại số hóa, dữ liệu cá nhân trở thành tài sản vô giá nhưng cũng là “miếng mồi béo bở” cho các hành vi vi phạm. Nhiều doanh nghiệp và cá nhân lo lắng: Liệu có bị phạt tới 3 tỷ đồng hay mất tới 5% doanh thu nếu vi phạm quy định về bảo vệ dữ liệu cá nhân? Câu trả lời là CÓ, nhưng không phải mọi hành vi đều bị phạt ở mức tối đa. Trong bài viết này, chúng tôi sẽ phân tích chi tiết các quy định tại Luật Bảo vệ dữ liệu cá nhân 2025 (số 91/2025/QH15) và Dự thảo Nghị định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân, giúp bạn hiểu rõ trường hợp nào bị phạt nặng nhất và cách phòng tránh.

Hành vi mua bán dữ liệu cá nhân bị phạt thế nào?

Theo quy định tại Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, hành vi mua, bán dữ liệu cá nhân là một trong những vi phạm nghiêm trọng nhất. Mức phạt được tính theo công thức: 10 lần khoản thu có được từ hành vi vi phạm. Tuy nhiên, nếu không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn 3 tỷ đồng, thì áp dụng mức phạt tối đa là 3 tỷ đồng.

Ví dụ thực tế: Một nhân viên công ty công nghệ đã bán trái phép danh sách 10.000 khách hàng cho bên thứ ba với giá 200 triệu đồng. Mức phạt hành chính sẽ là 10 lần số tiền thu được, tức 2 tỷ đồng. Nếu anh ta bán với giá 50 triệu đồng, mức phạt 10 lần chỉ là 500 triệu đồng, nhưng luật vẫn cho phép phạt tới 3 tỷ đồng nếu cơ quan chức năng xét thấy cần thiết.

Lưu ý: Mức phạt trên áp dụng cho tổ chức. Nếu cá nhân thực hiện hành vi mua bán dữ liệu, mức phạt tối đa là 1,5 tỷ đồng (bằng 1/2 mức phạt tổ chức).

Chuyển dữ liệu cá nhân xuyên biên giới trái phép: Rủi ro 5% doanh thu

Đây là quy định khiến nhiều tập đoàn đa quốc gia và doanh nghiệp công nghệ lo ngại. Theo Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt 5% tổng doanh thu của năm trước liền kề.

Tuy nhiên, mức phạt này chỉ áp dụng khi tổ chức có doanh thu năm trước liền kề. Trường hợp không có doanh thu năm trước (ví dụ doanh nghiệp mới thành lập) hoặc mức phạt tính theo doanh thu thấp hơn 3 tỷ đồng, thì áp dụng mức phạt tối đa là 3 tỷ đồng.

Tình huống thực tế: Một công ty thương mại điện tử Việt Nam có doanh thu năm 2025 là 200 tỷ đồng, đã chuyển trái phép dữ liệu khách hàng sang máy chủ ở nước ngoài mà không thông báo cho cơ quan chức năng. Mức phạt có thể lên tới 10 tỷ đồng (5% của 200 tỷ), thay vì mức 3 tỷ đồng thông thường.

Các hành vi vi phạm khác bị phạt tới 3 tỷ đồng

Bên cạnh mua bán dữ liệu và chuyển dữ liệu xuyên biên giới, Luật Bảo vệ dữ liệu cá nhân 2025 quy định mức phạt tối đa 3 tỷ đồng áp dụng cho tất cả các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân. Các hành vi này bao gồm nhưng không giới hạn:

• Thu thập, xử lý dữ liệu cá nhân không đúng mục đích, phạm vi
• Không thực hiện biện pháp bảo vệ dữ liệu cá nhân theo quy định
• Làm lộ, làm mất dữ liệu cá nhân do lỗi chủ quan
• Không thông báo cho chủ thể dữ liệu khi xảy ra sự cố

Lưu ý quan trọng: Cá nhân vi phạm các hành vi trên sẽ bị phạt tối đa 1,5 tỷ đồng (1/2 mức của tổ chức).

Mức phạt cụ thể cho từng hành vi vi phạm theo dự thảo Nghị định mới

Hiện tại, Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong an ninh mạng và bảo vệ dữ liệu cá nhân (do Bộ Thông tin và Truyền thông soạn thảo) đang được lấy ý kiến. Mặc dù chưa có hiệu lực, dự thảo này đưa ra khung phạt chi tiết cho từng nhóm hành vi, cho thấy xu hướng xử lý nghiêm khắc.

Nhóm hành vi vi phạm nguyên tắc bảo vệ dữ liệu cá nhân

Mức phạt từ 50 – 70 triệu đồng đối với các hành vi:

• Xử lý dữ liệu cá nhân trái quy định pháp luật
• Thu thập, xử lý dữ liệu không đúng phạm vi, mục đích rõ ràng
• Không đảm bảo độ chính xác của dữ liệu, không cập nhật, chỉnh sửa khi cần
• Lưu trữ dữ liệu quá thời gian cho phép
• Không thực hiện biện pháp bảo vệ dữ liệu về thể chế, kỹ thuật, con người
• Không chủ động phòng ngừa, phát hiện, ngăn chặn vi phạm

Mức phạt từ 70 – 100 triệu đồng đối với các hành vi nghiêm trọng hơn:

• Xử lý dữ liệu nhằm chống lại Nhà nước, gây ảnh hưởng an ninh quốc gia
• Cản trở hoạt động bảo vệ dữ liệu cá nhân
• Lợi dụng bảo vệ dữ liệu để vi phạm pháp luật
• Mua, bán dữ liệu cá nhân (trừ trường hợp luật cho phép)
• Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu

Hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Bên cạnh phạt tiền, tổ chức, cá nhân vi phạm còn có thể bị áp dụng:

• Tịch thu tang vật, phương tiện vi phạm
• Đình chỉ xử lý dữ liệu cá nhân từ 1 đến 3 tháng
• Buộc hủy, xóa dữ liệu tới mức không thể khôi phục
• Buộc hoàn trả số lợi bất hợp pháp có được từ hành vi vi phạm
• Công khai xin lỗi chủ thể dữ liệu

Lời khuyên từ luật sư

Để tránh rủi ro pháp lý về bảo vệ dữ liệu cá nhân, chúng tôi khuyến nghị quý khách hàng thực hiện các biện pháp sau:

1. Rà soát và cập nhật chính sách bảo vệ dữ liệu theo đúng quy định của Luật Bảo vệ dữ liệu cá nhân 2025, đặc biệt là các nguyên tắc về mục đích, phạm vi xử lý dữ liệu.
2. Đầu tư hệ thống bảo mật kỹ thuật để phòng ngừa rủi ro rò rỉ, mất mát dữ liệu, bao gồm mã hóa, kiểm soát truy cập, và giám sát an ninh mạng.
3. Đào tạo nhân viên về bảo vệ dữ liệu – nhiều vụ vi phạm xuất phát từ lỗi của nhân viên nội bộ. Cần có quy trình xử lý dữ liệu chặt chẽ và trách nhiệm rõ ràng.
4. Kiểm soát chặt chẽ việc chuyển dữ liệu xuyên biên giới – phải thực hiện thủ tục đánh giá tác động, thông báo cho cơ quan chức năng trước khi chuyển dữ liệu ra nước ngoài.
5. Thường xuyên theo dõi các văn bản hướng dẫn mới – đặc biệt là Nghị định xử phạt đang được soạn thảo, để cập nhật kịp thời các mức phạt và nghĩa vụ mới.