Theo khoản 4 Điều 7 Nghị định 330/2026/NĐ-CP (ban hành và có hiệu lực từ ngày 19/8/2026), mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân được xác định theo tính chất từng hành vi. Cụ thể, hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm.
Đáng chú ý, tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt đến 5% doanh thu của năm trước liền kề. Trường hợp không có doanh thu năm trước hoặc mức phạt theo doanh thu thấp hơn mức tối đa áp dụng cho các hành vi khác, mức phạt tối đa là 03 tỷ đồng. Với các hành vi vi phạm khác trong lĩnh vực này, mức phạt tiền tối đa cũng là 03 tỷ đồng.
Phân biệt mức phạt giữa tổ chức và cá nhân
Khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP quy định rõ cách áp dụng mức phạt. Từ Mục 1 đến Mục 5 Chương II, mức phạt trong lĩnh vực an ninh mạng được quy định cho cá nhân; tổ chức thực hiện cùng hành vi bị phạt gấp hai lần. Ngược lại, mức phạt tại Mục 6 Chương II về bảo vệ dữ liệu cá nhân áp dụng cho tổ chức; cá nhân thực hiện cùng hành vi bị phạt bằng một nửa mức phạt của tổ chức.
Bên cạnh tiền phạt, Điều 4 và Điều 5 Nghị định 330/2026/NĐ-CP còn quy định các hình thức xử phạt bổ sung và biện pháp khắc phục:
- Đình chỉ hoạt động, tước giấy phép;
- Tịch thu tang vật;
- Buộc xóa dữ liệu, khắc phục tình trạng lộ lọt dữ liệu;
- Nộp lại khoản thu bất hợp pháp.
Trước đó, Luật Bảo vệ dữ liệu cá nhân cũng đã quy định mức phạt tiền tối đa 03 tỷ đồng đối với tổ chức vi phạm; cá nhân thực hiện cùng hành vi bị phạt tối đa bằng 1/2 mức phạt của tổ chức.
Bạn nên làm gì tiếp theo: Doanh nghiệp và cá nhân đang xử lý dữ liệu cá nhân cần rà soát ngay quy trình thu thập, lưu trữ và chuyển dữ liệu xuyên biên giới để tránh mức phạt lên tới 3 tỷ đồng. Liên hệ luật sư để được đánh giá mức độ tuân thủ theo Nghị định 330/2026/NĐ-CP.
Bạn đang cần Luật sư tư vấn pháp luật trực tiếp?
Kết nối ngay với tổng đài Luật Quang Huy để nhận ý kiến tư vấn pháp lý nhanh chóng, bảo mật và hoàn toàn chính xác từ đội ngũ Luật sư chuyên môn.
