Theo Nghị định 363/2026/NĐ-CP của Chính phủ, có hiệu lực từ ngày 11/11, nhiều hành vi vi phạm trong hoạt động thu thập, quản lý, khai thác và chia sẻ dữ liệu sẽ bị xử phạt.
Đáng chú ý, việc thu thập dữ liệu khi chưa được phép, tạo lập dữ liệu giả mạo hay sử dụng thông tin ngoài phạm vi được giao đều thuộc diện xử lý.
Cụ thể, Điều 8 quy định mức phạt 20-40 triệu đồng đối với hành vi thu thập, tạo lập dữ liệu khi chưa được sự đồng ý của chủ thể hoặc chủ sở hữu dữ liệu trong trường hợp pháp luật yêu cầu.
Những vi phạm về kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập cũng có thể bị xử phạt ở mức tương ứng.
Với các hành vi cố ý tạo lập dữ liệu giả mạo, thu thập thông tin sai lệch so với dữ liệu gốc hoặc vượt quá phạm vi, mục đích đã thông báo, mức phạt tăng lên 40-60 triệu đồng.
Khung phạt này còn áp dụng đối với một số trường hợp thu thập, tạo lập dữ liệu làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.
Bên cạnh phạt tiền, tổ chức, cá nhân vi phạm có thể bị buộc xóa, tiêu hủy dữ liệu thu thập trái quy định. Trường hợp thông tin bị làm sai lệch, bên vi phạm có thể phải khôi phục, đính chính hoặc cập nhật lại dữ liệu.
Không chỉ quy định trách nhiệm trong khâu thu thập, nghị định còn đặt ra các chế tài đối với việc khai thác và sử dụng dữ liệu sau khi tiếp nhận.
Theo Điều 11, hành vi cố ý sử dụng dữ liệu ngoài phạm vi được giao, gây ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân hoặc hoạt động quản lý nhà nước, có thể bị phạt 20-40 triệu đồng.
Hành vi che giấu, xóa bỏ hoặc làm sai lệch lịch sử dữ liệu cũng thuộc khung phạt này. Riêng trường hợp cố ý khai thác, sử dụng dữ liệu vượt phạm vi được giao, bên vi phạm còn có thể bị đình chỉ hoạt động khai thác, sử dụng dữ liệu từ 3-12 tháng.
Đối với hoạt động chia sẻ dữ liệu, việc cung cấp thông tin vượt quá phạm vi hoặc mục đích được phép theo hợp đồng, thỏa thuận hay phân quyền có thể bị phạt 20-40 triệu đồng.
Mức phạt tăng lên 80-100 triệu đồng nếu hành vi vi phạm liên quan đến dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia. Trong đó có việc chia sẻ các loại dữ liệu này khi chưa được phép hoặc ngoài mục đích đã được cấp quyền.
Việc cố ý sửa đổi, làm sai lệch hoặc che giấu dữ liệu trong quá trình chia sẻ, cung cấp cũng có thể bị xử lý theo khung phạt trên.
Theo Điều 6, mức phạt tiền tối đa trong lĩnh vực dữ liệu là 100 triệu đồng đối với cá nhân. Đối với tổ chức, mức phạt về nguyên tắc gấp đôi mức áp dụng cho cá nhân, trừ những trường hợp được quy định riêng.
Ngoài phạt tiền, tùy tính chất và mức độ vi phạm, các hình thức xử phạt bổ sung hoặc biện pháp khắc phục hậu quả có thể được áp dụng, gồm đình chỉ hoạt động, tịch thu tang vật, phương tiện vi phạm hoặc buộc khôi phục, xóa, tiêu hủy dữ liệu.
Nghị định 363/2026/NĐ-CP không điều chỉnh các hành vi thuộc phạm vi xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Những vi phạm này được xem xét, xử lý theo quy định pháp luật tương ứng.
