Trong kỷ nguyên số, dữ liệu khách hàng, đối tác và người lao động là tài sản vô cùng giá trị của doanh nghiệp. Tuy nhiên, việc thu thập, lưu trữ và xử lý dữ liệu không đúng quy định không chỉ gây rủi ro an ninh thông tin mà còn đẩy doanh nghiệp trước nguy cơ bị xử phạt hành chính nặng nề.
Từ ngày 11/11/2026, Nghị định số 363/2026/NĐ-CP của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu có hiệu lực. Doanh nghiệp cần rà soát quy trình thu thập, tạo lập dữ liệu, kiểm tra tính xác thực của thông tin và áp dụng biện pháp bảo vệ dữ liệu ngay từ khâu chuẩn bị.
Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu
Mức phạt đối với các tổ chức vi phạm:
1. Phạt tiền từ 20 đến 40 triệu đồng: Những lỗi quy trình thường gặp
Nhiều doanh nghiệp thường tập trung khai thác dữ liệu để kinh doanh mà bỏ qua các quy định về quy trình và tính pháp lý ngay từ khâu khởi tạo. Theo Điều 8 Nghị định số 363/2026/NĐ-CP, doanh nghiệp sẽ bị xử phạt từ 20.000.000 đồng đến 40.000.000 đồng nếu mắc phải các hành vi phổ biến sau:
- Thu thập dữ liệu khi chưa có sự đồng ý: Tự ý thu thập thông tin cá nhân của khách hàng qua website, ứng dụng, biểu mẫu đăng ký mà không có phần xác nhận "Đồng ý" công khai, rõ ràng từ chủ thể dữ liệu.
- Tùy tiện thu thập mà không có quy trình nội bộ: Tiến hành thu thập, tạo lập dữ liệu nhưng doanh nghiệp không ban hành quy trình vận hành chính thức, không đánh giá tác động rủi ro và không áp dụng các biện pháp bảo vệ kỹ thuật trước khi thu thập.
- Đưa dữ liệu không chính xác vào hệ thống: Không kiểm tra tính xác thực, bỏ qua công đoạn bảo đảm chất lượng dữ liệu trong quá trình thu thập và lưu trữ.
2. Phạt tiền từ 40 đến 60 triệu đồng: Vi phạm cố ý và vượt phạm vi cho phép
Các hành vi cố ý vi phạm hoặc khai thác dữ liệu vượt hạn mức đã thông báo sẽ bị xử lý nghiêm khắc hơn với mức phạt từ 40.000.000 đồng đến 60.000.000 đồng (theo Điều 8):
- Thu thập vượt phạm vi, mục đích đã thông báo: Đăng ký thu thập thông tin khách hàng để "giao hàng và chăm sóc khách hàng", nhưng sau đó lại sử dụng danh sách này để chạy quảng cáo dịch vụ khác hoặc chia sẻ cho bên thứ ba khi chưa được sự đồng ý.
- Cố ý tạo lập dữ liệu sai lệch, giả mạo: Cố ý thu thập, chỉnh sửa dữ liệu không đúng với dữ liệu gốc hoặc tạo lập dữ liệu giả mạo phục vụ mục đích thương mại, cạnh tranh không lành mạnh.
- Làm rò rỉ dữ liệu nhạy cảm: Thiếu biện pháp bảo mật dẫn đến làm rò rỉ thông tin nhạy cảm của khách hàng, đối tác, gây ảnh hưởng đến quyền và lợi ích hợp pháp của cá nhân, tổ chức.
3. Phạt tiền từ 40 đến 80 triệu đồng: Xâm phạm tính toàn vẹn và an toàn hạ tầng
Đối với các vi phạm tác động đến cơ sở dữ liệu và hệ thống thông tin quản trị:
- Xử phạt từ 40 đến 60 triệu đồng (theo Điều 7) đối với hành vi cố ý làm sai lệch, hư hỏng dữ liệu hoặc cung cấp dữ liệu sai lệch, không cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền theo yêu cầu hợp pháp.
- Xử phạt từ 60 đến 80 triệu đồng đối với hành vi cản trở trái pháp luật quá trình xử lý dữ liệu hoặc thiếu biện pháp bảo vệ để hệ thống bị tấn công, chiếm đoạt, phá hoại (chưa đến mức truy cứu trách nhiệm hình sự).
4. Các biện pháp khắc phục hậu quả
Ngoài việc bị phạt tiền, doanh nghiệp vi phạm còn phải chịu các biện pháp khắc phục hậu quả rất tốn kém và ảnh hưởng trực tiếp đến vận hành kinh doanh:
- Buộc xóa, tiêu hủy toàn bộ dữ liệu đã thu thập trái quy định (mất toàn bộ tệp khách hàng vi phạm).
- Buộc gỡ bỏ ứng dụng, phần mềm vi phạm quy định về thu thập dữ liệu trên App Store, Google Play hoặc Website.
- Buộc nộp lại toàn bộ số lợi bất hợp pháp có được từ việc sử dụng dữ liệu vi phạm.
- Buộc đính chính, hiệu chỉnh dữ liệu sai lệch và thông báo công khai sự cố dữ liệu đến từng khách hàng.
Để đảm bảo tuân thủ pháp luật và nâng cao uy tín thương hiệu, Công an tỉnh Lạng Sơn khuyến nghị các doanh nghiệp cần thực hiện ngay 4 bước sau:
- Rà soát lại toàn bộ kênh thu thập dữ liệu: Kiểm tra website, ứng dụng di động, các biểu mẫu (form) thu thập thông tin khách hàng, đảm bảo luôn có điều khoản xin ý kiến đồng ý rõ ràng.
- Xây dựng Quy chế An toàn Dữ liệu nội bộ: Ban hành quy trình quản lý, phân quyền truy cập, quy trình xử lý sự cố và thực hiện đánh giá rủi ro an ninh mạng định kỳ.
- Đào tạo nhân sự: Tuyên truyền cho nhân viên bộ phận Marketing, IT, Chăm sóc khách hàng hiểu rõ ranh giới pháp lý, tuyệt đối không mua bán, chia sẻ hoặc khai thác dữ liệu trái phép.
- Đầu tư giải pháp kỹ thuật: Trang bị các hệ thống lưu trữ, mã hóa và bảo mật dữ liệu đạt tiêu chuẩn để chủ động ngăn chặn nguy cơ thất thoát, rò rỉ thông tin.
Khi phát hiện các nguy cơ tấn công mạng, chiếm đoạt hoặc rò rỉ dữ liệu, doanh nghiệp cần chủ động báo cáo và phối hợp với Phòng An ninh mạng, Công an tỉnh Lạng Sơn để được hướng dẫn xử lý kịp thời.
Thành Duy
Phòng An ninh mạng, Công an tỉnh Lạng Sơn