Việt Nam quy định mức phạt tới 70 triệu đồng đối với vi phạm về sự đồng ý, cùng các khoản phạt lớn hơn cho hành vi vi phạm dữ liệu

Im lặng không đồng nghĩa với cho phép sử dụng dữ liệu cá nhân

Nghị định số 330/2026/NĐ-CP của Việt Nam, có hiệu lực từ ngày 19 tháng 8 năm 2026, quy định mức phạt từ 50 triệu đến 70 triệu đồng đối với hành vi coi sự im lặng của một người là sự đồng ý cho thu thập hoặc xử lý dữ liệu cá nhân. Mức phạt tương tự áp dụng khi cố ý tiếp tục xử lý sau khi người đó yêu cầu dừng hoặc hạn chế, hoặc sau khi cơ quan có thẩm quyền ra lệnh bằng văn bản.

Các quy định về sự đồng ý là một phần trong khuôn khổ xử phạt rộng hơn nhiều. Một số vi phạm liên quan đến chuyển dữ liệu cá nhân ra nước ngoài có thể bị phạt tới 5% doanh thu của năm trước đó. Các vi phạm khác về dữ liệu cá nhân có thể bị phạt tới 3 tỷ đồng, trong khi hành vi mua bán dữ liệu trái phép có thể bị xử phạt theo bội số giá trị giao dịch.

Nghị định được công bố của Chính phủ, đề ngày 26 tháng 8, mô tả khuôn khổ gồm bốn chương và 82 điều. Nghị định bao quát an ninh mạng, mạng xã hội, hệ thống thông tin và bảo vệ dữ liệu cá nhân, với cảnh cáo và phạt tiền là các hình thức xử phạt chính.

Đối với người dùng ứng dụng, mua sắm trực tuyến hoặc nhận tin nhắn quảng cáo, vấn đề thiết thực là quyền kiểm soát: doanh nghiệp phải có căn cứ hợp pháp để sử dụng thông tin của họ, giải thích các mục đích liên quan và tôn trọng yêu cầu dừng xử lý. Đối với doanh nghiệp, rủi ro không chỉ dừng ở tiền phạt mà còn có thể gồm đình chỉ hoạt động, xóa dữ liệu được xử lý trái phép và nộp lại khoản thu bất hợp pháp.

Điều gì làm cho sự đồng ý có hiệu lực?

Khoản 1 Điều 43 quy định mức phạt từ 30 triệu đến 50 triệu đồng đối với nhiều vi phạm về sự đồng ý. Các vi phạm này gồm xử lý dữ liệu cá nhân mà không có sự đồng ý trong trường hợp pháp luật yêu cầu, đặt lựa chọn đồng ý làm mặc định và đưa ra hướng dẫn không rõ ràng khiến người dùng nhầm lẫn giữa lựa chọn chấp thuận và từ chối.

Doanh nghiệp phải có được sự đồng ý theo cách rõ ràng, cụ thể và có thể kiểm chứng. Doanh nghiệp cần có khả năng chứng minh ai đã đồng ý, họ đồng ý khi nào và đã chấp thuận điều gì. Người dùng cũng phải có thể lựa chọn riêng cho từng mục đích xử lý.

Chẳng hạn, một dịch vụ mua sắm có thể cần thông tin để thực hiện đơn hàng. Nghị định đề cập đến việc buộc người dùng chấp nhận các mục đích sử dụng dữ liệu cá nhân không liên quan như điều kiện để được sử dụng dịch vụ đó. Người dùng cần có lựa chọn riêng đối với những mục đích bổ sung này, thay vì phải chấp nhận chúng mới được nhận dịch vụ đã thỏa thuận.

Điều 43 cũng đề cập đến việc giải thích không đầy đủ về các loại dữ liệu được xử lý, mục đích xử lý, quyền và nghĩa vụ của người dùng, cũng như tổ chức kiểm soát việc xử lý. Thiếu hồ sơ ghi nhận sự đồng ý cũng có thể bị xử phạt. Vì vậy, doanh nghiệp cần vừa có quy trình xin phép hợp lệ, vừa có bằng chứng cho thấy quy trình đã hoạt động hiệu quả.

Dữ liệu cá nhân nhạy cảm được bảo vệ bổ sung. Không thông báo cho người liên quan về việc xử lý dữ liệu nhạy cảm của họ thuộc khung phạt từ 30 triệu đến 50 triệu đồng. Doanh nghiệp cần xác định những thông tin mình đang nắm giữ và áp dụng các biện pháp bảo vệ phù hợp.

Vì sao mức 70 triệu đồng chỉ là một phần của bức tranh

Mức phạt cao nhất đối với vi phạm về sự đồng ý cao hơn 20 triệu đồng so với mức tối đa của khung phạt thấp hơn, tăng từ 50 triệu lên 70 triệu đồng. Khung phạt cao hơn nhắm vào hai hành vi cụ thể: mặc nhiên coi im lặng là đồng ý và cố ý phớt lờ yêu cầu dừng hoặc hạn chế xử lý.

Trong khuôn khổ rộng hơn, mức phạt tối đa đối với vi phạm an ninh mạng là 200 triệu đồng với tổ chức và 100 triệu đồng với cá nhân. Bảo vệ dữ liệu cá nhân có cơ chế khác, gồm các khung tiền phạt cố định, mức phạt gắn với hành vi mua bán trái phép và mức phạt tính theo doanh thu.

Bản tin pháp lý tháng 10 của EY mô tả mức phạt bằng hai đến mười lần giá trị giao dịch đối với hành vi mua bán dữ liệu cá nhân trái phép. Theo EY, giá trị này được tính dựa trên các bằng chứng như hợp đồng, hóa đơn, hồ sơ thanh toán, tin nhắn và sao kê ngân hàng, không trừ chi phí.

Một số vi phạm nghiêm trọng liên quan đến chuyển dữ liệu ra nước ngoài bị phạt từ 1% đến 5% doanh thu. EY xếp các trường hợp chuyển dữ liệu dẫn đến mất mát hoặc rò rỉ dữ liệu của ít nhất 10.000 công dân Việt Nam vào nhóm này, và nêu mức tối đa 5% đối với các vụ việc ảnh hưởng đến ít nhất một triệu người. Bảng của EY mô tả mức phạt tối đa là một phần doanh thu thu được tại Việt Nam trong năm trước đó; nếu năm đó không có doanh thu, mức phạt tối đa là 3 tỷ đồng.

Doanh nghiệp nước ngoài cũng thuộc phạm vi điều chỉnh

Nghị định 330 áp dụng với cá nhân và tổ chức Việt Nam lẫn nước ngoài. Phạm vi bao gồm các doanh nghiệp nước ngoài đáp ứng điều kiện, cung cấp dịch vụ viễn thông, internet, nội dung trực tuyến, công nghệ thông tin, an ninh mạng hoặc dịch vụ xuyên biên giới, cũng như các tổ chức nước ngoài tham gia xử lý dữ liệu cá nhân của người Việt Nam thuộc diện điều chỉnh.

Những nhóm được bảo vệ bao gồm công dân Việt Nam và người gốc Việt Nam cư trú tại Việt Nam có giấy tờ xác nhận nhân thân nhưng chưa xác định được quốc tịch. Vì vậy, hoạt động ngoài lãnh thổ vẫn là vấn đề doanh nghiệp cần đánh giá cùng với các dịch vụ họ cung cấp và những người có thông tin được xử lý.

Trong phân tích về nghị định xử phạt, Tilleke & Gibbins xác định Bộ Công an là cơ quan chịu trách nhiệm về bảo vệ dữ liệu cá nhân và an ninh mạng. Hãng luật này nhận định nghị định hỗ trợ thực thi các nghĩa vụ theo luật bảo vệ dữ liệu cá nhân và luật an ninh mạng bằng một khuôn khổ xử phạt hành chính chi tiết.

Đối với công ty hoạt động ngoài Việt Nam, công việc thiết thực gồm kiểm tra xem dịch vụ và hoạt động xử lý của mình có thuộc phạm vi điều chỉnh hay không. Hệ thống quảng cáo, cơ sở dữ liệu khách hàng và việc chuyển dữ liệu cho nhà cung cấp dịch vụ ở nước ngoài đều có thể cần được rà soát theo các quy định liên quan.

Danh sách quảng cáo cần có căn cứ hợp pháp

Điều 37 đề cập đến email và tin nhắn quảng cáo không được yêu cầu, cùng các vi phạm khác về quy định quảng cáo trên mạng. Điều 48 cũng có thể liên quan nếu thông tin dùng cho quảng cáo được thu thập trái phép. Vì vậy, hoạt động quảng cáo và việc thu thập dữ liệu nền đều tạo ra những vấn đề tuân thủ riêng.

Doanh nghiệp mua danh sách số điện thoại cần kiểm tra nguồn gốc dữ liệu, căn cứ pháp lý để sử dụng và mục đích thu thập dữ liệu. Doanh nghiệp cũng phải cung cấp cách thức để mọi người từ chối quảng cáo hoặc việc chia sẻ thông tin liên quan của họ.

Điều 43 đưa các quy định về sự đồng ý vào quy trình này. Người nhận không trả lời yêu cầu xin phép không có nghĩa là đã đồng ý. Doanh nghiệp cố ý tiếp tục xử lý sau khi nhận được yêu cầu dừng hoặc hạn chế có thể bị phạt theo khung cao hơn, từ 50 triệu đến 70 triệu đồng.

EY cũng nêu một chế tài cụ thể đối với việc mặc định cho phép tiết lộ dữ liệu cá nhân cho mạng lưới quảng cáo liên kết. Các mạng lưới này kết nối doanh nghiệp với đối tác quảng bá sản phẩm hoặc đưa khách hàng tiềm năng đến doanh nghiệp. Việc chia sẻ thông tin qua các hình thức đó cần tôn trọng lựa chọn của người liên quan, thay vì được thiết lập sẵn là đồng ý.

Đối với người tiêu dùng, các quy định này nối liền việc thu thập số điện thoại ban đầu với việc sử dụng số đó về sau. Đối với doanh nghiệp, việc kiểm tra một tin nhắn tiếp thị chỉ là một phần công việc: nguồn gốc danh sách liên hệ, các quyền cho phép gắn với danh sách và cách xử lý việc từ chối đều quan trọng.

Dữ liệu trẻ em và dữ liệu giám sát cần được kiểm tra kỹ hơn

Nền tảng, dịch vụ giáo dục, ứng dụng giải trí và nhà bán lẻ trực tuyến xử lý thông tin của trẻ em phải đáp ứng các yêu cầu về mục đích xử lý, sự đồng ý hợp lệ, lượng dữ liệu thu thập và biện pháp bảo vệ. EY nêu các chế tài đối với việc không xác minh độ tuổi của trẻ trước khi xử lý dữ liệu cá nhân.

EY cũng lưu ý có sự khác biệt trong cách diễn đạt giữa luật bảo vệ dữ liệu cá nhân và nghị định. Luật yêu cầu phải có sự đồng ý của cả trẻ em từ đủ bảy tuổi trở lên và người đại diện theo pháp luật của trẻ khi việc xử lý nhằm tiết lộ đời sống riêng tư hoặc bí mật cá nhân của trẻ. Theo phân tích của EY, quy định xử phạt trong nghị định về việc cần có sự đồng ý của cả hai được diễn đạt rộng hơn.

Do đó, doanh nghiệp cung cấp dịch vụ cho trẻ em cần xem xét quy trình xác minh độ tuổi và xin sự đồng ý phù hợp thế nào với hoạt động liên quan. EY nêu mức phạt tối đa 200 triệu đồng đối với tổ chức cho một số trường hợp không xóa hoặc hủy dữ liệu trẻ em đã được xử lý vượt quá mục đích.

Dữ liệu ghi hình giám sát công cộng tạo ra một rủi ro cụ thể khác. EY nêu chế tài đối với việc sử dụng dữ liệu cá nhân, hình ảnh hoặc bản ghi âm giọng nói từ camera giám sát công cộng cho mục đích thương mại, phân tích hành vi hoặc nhận diện khuôn mặt tự động để lập hồ sơ khi không có sự đồng ý hợp lệ.

Camera lắp đặt vì mục đích an ninh có thể tạo ra thông tin mà sau đó doanh nghiệp muốn sử dụng cho mục đích khác. Theo các quy định EY đề cập, việc sử dụng tiếp cho mục đích thương mại hoặc phân tích cần được đánh giá pháp lý riêng và phải có sự đồng ý hợp lệ nếu quy định yêu cầu. Thời hạn lưu trữ cũng quan trọng: một số thỏa thuận chuyển dữ liệu phải nêu thời gian lưu trữ phù hợp với mục đích chuyển dữ liệu.

AI và mạng xã hội đặt ra trách nhiệm cho người dùng và đơn vị vận hành

Việc dùng trí tuệ nhân tạo để giả mạo hình ảnh, giọng nói hoặc danh tính của người khác có thể bị xử phạt nếu hành vi liên quan đến lừa đảo, thông tin sai sự thật, xâm phạm quyền hợp pháp hoặc thu thập và sử dụng dữ liệu cá nhân trái phép. Mức xử phạt áp dụng tùy thuộc vào hành vi và mức độ nghiêm trọng.

Doanh nghiệp vẫn chịu trách nhiệm về các quyết định thu thập thông tin, đưa thông tin vào hệ thống AI và sử dụng kết quả do hệ thống tạo ra. Vì vậy, việc xử lý tự động cần tuân thủ các bước kiểm tra tương tự như những hoạt động xử lý khác về căn cứ pháp lý, mục đích, sự đồng ý và bảo vệ dữ liệu.

Các nghĩa vụ trên mạng xã hội áp dụng với nhà cung cấp, người quản lý, đơn vị vận hành và người dùng. Người đăng hoặc chia sẻ nội dung chịu trách nhiệm về nội dung đó, kể cả khi nội dung liên quan đến giả mạo danh tính, lừa đảo hoặc xâm phạm quyền và lợi ích hợp pháp của người khác.

Các quy định về an ninh mạng cũng đề cập đến hành vi tấn công, truy cập trái phép, mã độc và không phối hợp với lực lượng chuyên trách về an ninh mạng. Theo phần giải thích được Chính phủ công bố, nếu vụ việc có dấu hiệu tội phạm, hồ sơ sẽ được chuyển theo các quy định liên quan của Luật Xử lý vi phạm hành chính.

Tiền phạt có thể đi kèm việc xóa dữ liệu hoặc đình chỉ

Tùy theo vi phạm cụ thể, hình thức xử phạt bổ sung có thể gồm tước quyền sử dụng giấy phép hoặc chứng chỉ được chỉ định trong thời hạn từ một đến 24 tháng, đình chỉ hoạt động trong cùng thời hạn, tịch thu thiết bị hoặc vật dụng khác được sử dụng để vi phạm và trục xuất người nước ngoài.

Điều 43 gắn một số vi phạm về sự đồng ý với yêu cầu xóa không thể khôi phục dữ liệu được thu thập hoặc xử lý trái phép. Điều này cũng quy định việc tịch thu trong các trường hợp cụ thể và nộp lại khoản thu bất hợp pháp đối với các vi phạm thuộc khung phạt cao hơn. Vì vậy, doanh nghiệp có thể vừa bị phạt tiền vừa mất quyền truy cập vào dữ liệu.

Nộp lại khoản thu bất hợp pháp là biện pháp khắc phục có cách tính riêng. EY giải thích rằng, trong các trường hợp áp dụng không liên quan đến mua bán dữ liệu trái phép, biện pháp này có thể bao gồm doanh thu phát sinh từ hoạt động kinh doanh sử dụng dữ liệu được thu thập, xử lý, sử dụng hoặc chuyển giao trái phép, không trừ chi phí.

Tilleke & Gibbins liệt kê các mức phạt khác ảnh hưởng đến công tác tuân thủ hằng ngày: tới 80 triệu đồng đối với vi phạm về thông báo vi phạm, 100 triệu đồng đối với vi phạm liên quan đến đánh giá tác động xử lý dữ liệu và 30 triệu đồng đối với việc không bổ nhiệm cán bộ hoặc bộ phận bảo vệ dữ liệu.

Đánh giá tác động là việc xem xét có lưu hồ sơ về ảnh hưởng tiềm tàng của hoạt động xử lý đối với dữ liệu của mọi người và cách quản lý rủi ro. Biện pháp khắc phục có thể gồm yêu cầu nộp bản đánh giá và đình chỉ xử lý cho đến khi đáp ứng yêu cầu nộp hồ sơ. Biện pháp tương tự có thể áp dụng với các đánh giá bắt buộc đối với việc chuyển dữ liệu ra nước ngoài. EY cũng nêu mức phạt tối đa 40 triệu đồng đối với tổ chức không tuân thủ thời hạn luật định để đáp ứng yêu cầu thực hiện quyền dữ liệu của một người.

Thời điểm áp dụng và quy trình xử lý vụ việc

Nghị định 330 có hiệu lực ngay từ ngày ban hành, không có thời gian chuyển tiếp. Nghị định được ban hành sau vài năm khuôn khổ bảo vệ dữ liệu cá nhân của Việt Nam phát triển:

• Ngày 1 tháng 7 năm 2023: Nghị định số 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân có hiệu lực.
• Ngày 1 tháng 1 năm 2026: Luật Bảo vệ dữ liệu cá nhân có hiệu lực, cùng các yêu cầu triển khai theo Nghị định số 356/2025/NĐ-CP.
• Ngày 19 tháng 8 năm 2026: Nghị định số 330/2026/NĐ-CP được ban hành và có hiệu lực.
• Ngày 26 tháng 8 năm 2026: Chính phủ công bố phần giải thích về nghị định và các mức phạt liên quan đến sự đồng ý.

Thời hiệu xử phạt vi phạm hành chính là một năm. Đối với vi phạm đã kết thúc, thời điểm bắt đầu được xác định gắn với việc hoàn thành nghĩa vụ hoặc việc cơ quan có thẩm quyền xác nhận vi phạm đã chấm dứt. Cơ quan chức năng cũng phải xác định hành vi đã kết thúc hay vẫn đang tiếp diễn.

Tilleke & Gibbins mô tả quy định chuyển tiếp đối với các vi phạm xảy ra trước ngày 19 tháng 8 nhưng được phát hiện hoặc vẫn đang được xem xét sau thời điểm đó. Nhìn chung, chế độ xử phạt có hiệu lực tại thời điểm xảy ra vi phạm sẽ được áp dụng. Các quy định có lợi hơn trong Nghị định 330 có thể được áp dụng nếu loại trừ trách nhiệm hoặc quy định hình phạt nhẹ hơn.

Khuôn khổ này công nhận chứng cứ điện tử và cho phép lập biên bản vi phạm, ban hành quyết định xử phạt điện tử, kể cả xác thực sinh trắc học khi không có chữ ký số. Vì vậy, các hồ sơ tuân thủ như nhật ký ghi nhận sự đồng ý, lịch sử yêu cầu và hồ sơ giao dịch đặc biệt có ý nghĩa đối với quá trình xem xét vụ việc.

Nghị định không nêu lịch trình cụ thể cho các đợt thanh tra hoặc vụ việc thực thi. Thay đổi thiết thực trước mắt là các nghĩa vụ hiện hành nay đã có khuôn khổ xử phạt riêng, bao quát việc lưu hồ sơ, nhân sự, an ninh, sự đồng ý và cách sử dụng thông tin cá nhân trên thực tế.

Điểm chính

• Nghị định 330 có hiệu lực từ ngày 19 tháng 8 năm 2026, bao quát an ninh mạng và bảo vệ dữ liệu cá nhân.
• Một số vi phạm về sự đồng ý bị phạt từ 30 triệu đến 50 triệu đồng.
• Coi im lặng là đồng ý hoặc cố ý phớt lờ yêu cầu dừng xử lý có thể bị phạt từ 50 triệu đến 70 triệu đồng.
• Một số trường hợp chuyển dữ liệu nghiêm trọng ra nước ngoài có thể bị phạt theo doanh thu, tới 5%.
• Các tổ chức nước ngoài đáp ứng điều kiện thuộc phạm vi điều chỉnh, cùng với doanh nghiệp và cá nhân Việt Nam.
• Hậu quả bổ sung có thể gồm đình chỉ hoạt động, xóa dữ liệu không thể khôi phục và nộp lại khoản thu bất hợp pháp.