Phạt đến 40 triệu khi thu thập dữ liệu trái phép

Theo Nghị định số 363/2026/NĐ-CP của Chính phủ, nhiều hành vi vi phạm liên quan đến dữ liệu, từ thu thập trái phép, giả mạo thông tin đến tấn công cơ sở dữ liệu, sẽ bị xử phạt hành chính, kèm các biện pháp khắc phục hậu quả.

Mức phạt mới khi thu thập dữ liệu trái phép

Theo Điều 8 Nghị định số 363/2026/NĐ-CP, hành vi thu thập, tạo lập dữ liệu khi chưa được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định pháp luật sẽ bị phạt từ 20 đến 40 triệu đồng.

Mức phạt này cũng áp dụng đối với hành vi không ban hành quy trình thu thập, tạo lập dữ liệu; không đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi thực hiện; hoặc không kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập.

Đáng chú ý, mức phạt tăng lên từ 40 đến 60 triệu đồng đối với các hành vi cố ý thu thập, tạo lập dữ liệu sai lệch, giả mạo hoặc vượt quá phạm vi, mục đích đã thông báo. Mức phạt này cũng áp dụng đối với một số hành vi vi phạm liên quan đến dữ liệu cốt lõi, dữ liệu quan trọng quốc gia hoặc làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền và lợi ích hợp pháp của tổ chức, cá nhân.

Ngoài xử phạt bằng tiền, tổ chức, cá nhân vi phạm còn có thể bị tịch thu tang vật, phương tiện; buộc xóa, tiêu hủy dữ liệu thu thập trái quy định, đính chính dữ liệu sai lệch hoặc nộp lại khoản lợi bất hợp pháp.

Phá hoại dữ liệu có thể bị phạt nặng

Theo Điều 7 của Nghị định, hành vi giả mạo, cố ý làm sai lệch, làm mất hoặc hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban MTTQ Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự có thể bị phạt từ 40 đến 60 triệu đồng.

Đối với hành vi cản trở trái pháp luật hoạt động xử lý, quản trị dữ liệu hoặc tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu và hệ thống thông tin phục vụ quản lý dữ liệu nhưng chưa đến mức truy cứu trách nhiệm hình sự, mức phạt từ 60 đến 80 triệu đồng.

Theo quy định, mức phạt tiền tối đa trong lĩnh vực dữ liệu đối với cá nhân là 100 triệu đồng. Mức phạt đối với tổ chức bằng hai lần mức phạt đối với cá nhân, trừ một số trường hợp được Nghị định quy định riêng.

Bên cạnh đó, tùy tính chất, mức độ vi phạm, cơ quan có thẩm quyền có thể áp dụng các biện pháp khắc phục như buộc khôi phục dữ liệu, bảo đảm an toàn hệ thống, thông báo sự cố đến các chủ thể liên quan hoặc gỡ bỏ phần mềm được sử dụng để thực hiện hành vi vi phạm.

Nghị định số 363/2026/NĐ-CP gồm 4 chương, 36 điều, áp dụng đối với các tổ chức, cá nhân trong và ngoài nước có hoạt động liên quan đến dữ liệu tại Việt Nam thuộc phạm vi điều chỉnh. Các hành vi thuộc phạm vi xử phạt riêng về an ninh mạng và bảo vệ dữ liệu cá nhân không thuộc phạm vi điều chỉnh của Nghị định này.