Quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu

Ngày 19/9/2026, Chính phủ đã ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu.
Nghị định này quy định về hành vi vi phạm hành chính, hình thức xử phạt, mức xử phạt, việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính, đối tượng bị xử phạt, thẩm quyền lập biên bản, thẩm quyền xử phạt, áp dụng biện pháp khắc phục hậu quả, mức phạt tiền cụ thể theo từng chức danh đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu.
Đối tượng áp dụng: Cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam có hành vi vi phạm hành chính quy định tại Nghị định này.
Hình thức xử phạt chính trong lĩnh vực dữ liệu bao gồm: Cảnh cáo; Phạt tiền.
Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn bị áp dụng các hình thức xử phạt bổ sung.
Mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu đối với cá nhân là 100.000.000 đồng. Mức phạt tiền đối với tổ chức bằng 02 lần mức phạt tiền đối với cá nhân, trừ các trường hợp Nghị định quy định mức phạt trực tiếp đối với tổ chức. 
Theo Điều 16 Nghị định số 363/2026/NĐ-CP nêu rõ mức phạt hành chính vi phạm quy định về cung cấp dữ liệu cho cơ quan nhà nước. Cụ thể:
1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:
a) Cung cấp dữ liệu không đúng thời hạn theo yêu cầu hợp pháp của cơ quan nhà nước;
b) Tự ý trì hoãn, kéo dài thời gian cung cấp dữ liệu khi không có lý do chính đáng.
2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:
a) Cố ý cung cấp dữ liệu sai lệch, không chính xác, đã bị chỉnh sửa, dữ liệu không đầy đủ, không đúng loại dữ liệu, mức độ chi tiết, khối lượng, tần suất hoặc phương thức theo yêu cầu hợp pháp;
b) Không thông báo cho cơ quan nhà nước về tình trạng dữ liệu không còn tồn tại, bị hư hỏng hoặc bị thay đổi mà không xuất phát từ yêu cầu của cơ quan nhà nước;
c) Cung cấp dữ liệu mà không có sự đồng ý của chủ thể dữ liệu trong trường hợp pháp luật không cho phép cung cấp bắt buộc;
d) Không cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền trong các trường hợp bắt buộc theo quy định của pháp luật về dữ liệu.
3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:
a) Cung cấp dữ liệu giả mạo, sai nguồn gốc, sai bản chất;
b) Lợi dụng việc cung cấp dữ liệu hoặc không cung cấp dữ liệu để gây cản trở hoạt động của cơ quan nhà nước hoặc để trục lợi;
c) Tự ý chia sẻ hoặc tiết lộ yêu cầu cung cấp dữ liệu của cơ quan nhà nước trong trường hợp yêu cầu đó thuộc bí mật công tác hoặc bí mật nhà nước.
4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với cơ quan, tổ chức quy định tại khoản 2 Điều 2 Nghị định này trong quá trình tiếp nhận dữ liệu thực hiện một trong những hành vi sau đây:
a) Không bảo đảm an toàn dữ liệu, để xảy ra lộ lọt, mất mát, truy cập trái phép trong quá trình tiếp nhận và sử dụng dữ liệu;
b) Không xóa, hủy dữ liệu khi hết thời hạn lưu trữ theo quy định của pháp luật hoặc theo thời hạn lưu trữ đã xác định, trừ trường hợp pháp luật có quy định khác.
5. Hình thức xử phạt bổ sung
a) Đình chỉ hoạt động cung cấp dữ liệu hoặc tiếp nhận dữ liệu từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 4 Điều này;
b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a khoản 2, điểm a khoản 3, điểm b khoản 4 Điều này.
6. Biện pháp khắc phục hậu quả
a) Buộc cung cấp dữ liệu hoặc bổ sung, cập nhật dữ liệu đã cung cấp sai, thiếu hoặc bị làm sai lệch đối với hành vi vi phạm quy định tại khoản 1, điểm a, điểm d khoản 2 và điểm a khoản 3 Điều này;
b) Buộc xóa, tiêu hủy dữ liệu đã hết thời hạn lưu trữ đối với hành vi vi phạm quy định tại điểm b khoản 4 Điều này;
c) Buộc áp dụng biện pháp kỹ thuật cần thiết để bảo đảm an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm a khoản 4 Điều này;
d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a khoản 2, khoản 3 Điều này.
Nghị định này có hiệu lực thi hành từ ngày 11 tháng 11 năm 2026.