Vi phạm quy định về dữ liệu, tổ chức có thể bị phạt tới 200 triệu đồng
Từ ngày 11/11/2026, các hành vi thu thập, sử dụng, chia sẻ dữ liệu trái quy định có thể bị xử phạt hành chính với mức phạt cao nhất lên tới 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức.
Chính phủ đã ban hành Nghị định số 363/2026/NĐ-CP ngày 19/9/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định chính thức có hiệu lực từ ngày 11/11/2026, bổ sung các chế tài nhằm tăng cường quản lý, bảo vệ và khai thác dữ liệu đúng quy định pháp luật.
Theo đó, các hành vi vi phạm trong quá trình thu thập, tạo lập, lưu trữ, quản lý, kết nối và chia sẻ dữ liệu sẽ bị xử lý tùy theo tính chất, mức độ vi phạm.
Đáng chú ý, khoản 1 Điều 8 Nghị định quy định phạt tiền từ 20 đến 40 triệu đồng đối với cá nhân có hành vi thu thập, tạo lập dữ liệu khi chưa được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu trong trường hợp pháp luật yêu cầu.
Mức phạt này cũng áp dụng đối với một số hành vi như không thực hiện kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập.
Đối với những hành vi nghiêm trọng hơn, mức phạt được nâng lên từ 40 đến 60 triệu đồng. Trong đó có việc cố ý thu thập, tạo lập dữ liệu giả mạo, thu thập dữ liệu vượt quá phạm vi, mục đích đã thông báo hoặc vi phạm làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.
Chia sẻ dữ liệu trái phép có thể bị phạt đến 200 triệu đồng
Một trong những nội dung đáng chú ý của Nghị định là quy định xử phạt đối với hành vi kết nối, chia sẻ và cung cấp dữ liệu không đúng thẩm quyền hoặc vượt quá phạm vi được phép.
Theo Điều 13, hành vi chia sẻ, cung cấp dữ liệu ngoài phạm vi, mục đích được phép theo hợp đồng, văn bản thỏa thuận hoặc phạm vi phân quyền có thể bị phạt từ 20 đến 40 triệu đồng đối với cá nhân.
Đặc biệt, đối với hành vi chia sẻ, cung cấp dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia khi chưa được phép hoặc ngoài mục đích được cấp quyền, mức phạt đối với cá nhân từ 80 đến 100 triệu đồng.
Do mức phạt đối với tổ chức bằng hai lần mức phạt dành cho cá nhân trong trường hợp này, tổ chức vi phạm có thể bị xử phạt tới 200 triệu đồng.
Ngoài ra, hành vi cố ý sửa đổi, làm sai lệch hoặc che giấu dữ liệu trong quá trình chia sẻ, cung cấp dữ liệu; sử dụng kết nối dữ liệu, giao diện lập trình ứng dụng (API) để thu thập, sao chép, trích xuất dữ liệu trái phép cũng thuộc khung xử phạt nghiêm khắc nêu trên.
Bên cạnh phạt tiền, tổ chức, cá nhân vi phạm còn có thể bị áp dụng hình thức xử phạt bổ sung như đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu từ 1 đến 6 tháng hoặc tịch thu tang vật, phương tiện vi phạm theo từng hành vi cụ thể.
Đồng thời, cơ quan chức năng có thể áp dụng các biện pháp khắc phục hậu quả như buộc xóa, tiêu hủy dữ liệu thu thập trái phép, đính chính dữ liệu sai lệch hoặc buộc nộp lại số lợi bất hợp pháp có được từ hành vi vi phạm.
Việc ban hành Nghị định số 363/2026/NĐ-CP góp phần hoàn thiện hành lang pháp lý trong quản lý, khai thác và sử dụng dữ liệu. Trong bối cảnh dữ liệu ngày càng đóng vai trò quan trọng đối với hoạt động kinh tế - xã hội, các quy định mới được kỳ vọng sẽ nâng cao trách nhiệm của tổ chức, cá nhân, đồng thời tăng cường tính minh bạch, an toàn và tuân thủ pháp luật trong quá trình thu thập, xử lý và chia sẻ dữ liệu.