Quy định mới về mức phạt vi phạm bảo vệ dữ liệu cá nhân từ ngày 19/8/2026

Đáng chú ý, với các hoạt động kinh doanh trực tuyến, doanh nghiệp sử dụng dữ liệu khách hàng để tiếp thị, chăm sóc khách hàng hoặc quảng cáo facebook cũng cần rà soát cách thu thập và sử dụng dữ liệu, đặc biệt là việc xin và lưu trữ sự đồng ý của người dùng.

Một số mức phạt đáng chú ý

Phạt từ 20–40 triệu đồng đối với các hành vi như xử lý dữ liệu vượt phạm vi hoặc mục đích đã xác định, không bảo đảm dữ liệu chính xác, lưu trữ quá thời hạn cần thiết hoặc không chủ động phòng ngừa, phối hợp xử lý vi phạm.

Phạt từ 40–60 triệu đồng nếu chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân hoặc sử dụng dữ liệu của người khác để thực hiện hành vi trái pháp luật.

Ngoài tiền phạt, một số trường hợp còn có thể bị tịch thu tang vật, buộc xóa hoặc hủy dữ liệu vi phạm, nộp lại khoản thu bất hợp pháp, chỉnh sửa dữ liệu hoặc công khai xin lỗi chủ thể dữ liệu.

Vi phạm quy định về sự đồng ý có thể bị phạt đến 70 triệu đồng

Hành vi xử lý dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ có thể bị phạt 30–50 triệu đồng. Các vi phạm gồm tự động coi người dùng đồng ý, không cung cấp đầy đủ thông tin, không cho phép đồng ý riêng theo từng mục đích hoặc không lưu trữ được bằng chứng về sự đồng ý.

Mức phạt tăng lên 50–70 triệu đồng đối với hành vi cố ý tiếp tục xử lý dữ liệu sau khi người dùng yêu cầu ngừng hoặc hạn chế xử lý; hoặc tự ý coi việc người dùng im lặng, không phản hồi là đồng ý.

Những quy định này đặc biệt đáng lưu ý với doanh nghiệp sử dụng dữ liệu khách hàng cho hoạt động marketing, chăm sóc khách hàng và quảng cáo facebook, bởi việc sử dụng dữ liệu không đúng mục đích hoặc thiếu căn cứ đồng ý có thể dẫn đến chế tài hành chính.

Nghị định 330/2026/NĐ-CP có hiệu lực từ ngày 19/8/2026.