Quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân

Ngày 19/8/2026, Chính phủ vừa ban hành Nghị định số 330/2026/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. 

Về hình thức xử phạt chính đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân bao gồm: Cảnh cáo; Phạt tiền.

Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn có thể bị áp dụng một hoặc nhiều hình thức xử phạt bổ sung sau đây:

a) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 tháng đến 24 tháng, bao gồm: Giấy phép cung cấp dịch vụ mạng xã hội; Giấy phép thiết lập trang thông tin điện tử tổng hợp; Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng; Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân; giấy phép kinh doanh, chứng chỉ hành nghề đối với ngành, nghề có vi phạm quy định về xử lý dữ liệu cá nhân;

b) Đình chỉ hoạt động có thời hạn từ 01 tháng đến 24 tháng;

c) Tịch thu tang vật vi phạm hành chính, phương tiện được sử dụng để vi phạm hành chính (sau đây gọi chung là tang vật, phương tiện vi phạm hành chính);

d) Trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.

Hình thức xử phạt bổ sung quy định tại khoản 2 Điều này được áp dụng kèm theo hình thức xử phạt chính đối với hành vi vi phạm cụ thể quy định tại Chương II Nghị định này.

Trong quá trình xem xét, xử lý vụ việc vi phạm, nếu xét thấy hành vi vi phạm có dấu hiệu tội phạm thì việc chuyển hồ sơ vụ vi phạm để truy cứu trách nhiệm hình sự và việc chuyển hồ sơ vụ vi phạm để xử phạt vi phạm hành chính trong trường hợp không truy cứu trách nhiệm hình sự được thực hiện theo quy định tại Điều 62 và Điều 63 của Luật Xử lý vi phạm hành chính.

Mức phạt tiền tối đa đối với tổ chức trong lĩnh vực an ninh mạng là 200.000.000 đồng đối với tổ chức, 100.000.000 đồng đối với cá nhân.

Mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân:

a) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại điểm c khoản này thì áp dụng mức phạt tiền theo quy định tại điểm c khoản này;

b) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại điểm c khoản này thì áp dụng mức phạt tiền theo quy định tại điểm c khoản này;

c) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng;

d) Mức phạt tiền tối đa quy định tại các điểm a, b và c khoản này được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.

Nghị định này có hiệu lực thi hành kể từ ngày 19 tháng 8 năm 2026.