Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Về chế tài xử phạt, theo khoản 3 Điều 7 Nghị định 330/2026, mức phạt tiền tối đa trong lĩnh vực an ninh mạng là 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân.
Đối với lĩnh vực bảo vệ dữ liệu cá nhân, khoản 4 Điều 7 quy định mức phạt tối đa theo tính chất của từng hành vi. Cụ thể, hành vi mua, bán dữ liệu cá nhân có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm.
Tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt đến 5% doanh thu của năm trước liền kề.
Trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa áp dụng đối với các hành vi vi phạm khác thì áp dụng mức phạt tối đa là 3 tỷ đồng.
Với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt tiền tối đa được xác định là 3 tỷ đồng.
Đối với vi phạm về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến, theo Điều 65 Nghị định 330/2026, mức phạt tiền từ 70-150 triệu đồng được áp dụng với một trong các hành vi: Bắt buộc người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm điều kiện bắt buộc để xác thực tài khoản sử dụng thông thường trong các trường hợp pháp luật chuyên ngành không có yêu cầu định danh;
Các ứng dụng OTT, mạng xã hội sử dụng các tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện thiết bị khi không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc trường hợp pháp luật không có quy định khác; Thu thập trái phép dữ liệu cá nhân vượt ra ngoài phạm vi đã thỏa thuận với người dùng khi cài đặt dịch vụ.
Mức phạt tiền từ 50-70 triệu đồng được áp dụng với tổ chức cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến, nền tảng nội dung số có một trong các hành vi:
Không thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cá nhân cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến; Không cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu (gọi là cookies);
Không cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người sử dụng;
Không công khai chính sách bảo mật một cách minh bạch hoặc không giải thích rõ ràng, dễ hiểu về cách thức thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân; Không thông báo rõ ràng về các nội dung dữ liệu cá nhân sẽ bị thu thập khi chủ thể dữ liệu tiến hành cài đặt và sử dụng ứng dụng…
Ngoài ra, tổ chức, cá nhân vi phạm còn có thể bị đình chỉ hoạt động cung cấp dịch vụ của ứng dụng, nền tảng số tại Việt Nam từ 1-6 tháng; Buộc thiết lập và cung cấp cho người dùng tính năng từ chối theo dõi và từ chối chia sẻ cookies; Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân, giấy tờ tùy thân, danh bạ, tệp tin đã bị thu thập, trích xuất trái phép…
