Vi phạm Bảo vệ dữ liệu cá nhân có thể bị xử phạt tới 3 tỷ đồng từ 1/1/2026?

Dữ liệu cá nhân được hiểu thế nào theo luật?

Theo Điều 38 Luật Bảo vệ dữ liệu cá nhân, Luật này có hiệu lực thi hành từ ngày 01/01/2026. Đây là mốc thời gian quan trọng để các cơ quan, tổ chức, doanh nghiệp và cá nhân rà soát lại toàn bộ hoạt động thu thập, lưu trữ và sử dụng dữ liệu cá nhân.

Để tránh cách hiểu mơ hồ, Điều 2 của Luật dành riêng để giải thích các khái niệm nền tảng. Trước hết, Luật xác định rõ thế nào là dữ liệu cá nhân: “Dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm. Dữ liệu cá nhân sau khi khử nhận dạng không còn là dữ liệu cá nhân”,(Khoản 1 Điều 2).

Luật Bảo vệ dữ liệu cá nhân đồng thời phân loại dữ liệu cá nhân thành hai nhóm, gồm: “Dữ liệu cá nhân cơ bản là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành”, (Khoản 2 Điều 2).

Trong khi đó, “Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành”, (Khoản 3 Điều 2).

Luật Bảo vệ dữ liệu cá nhân cũng giải thích rất rộng về xử lý dữ liệu cá nhân, bao trùm hầu hết các hoạt động đang diễn ra trong môi trường số hiện nay: “Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân”, (Khoản 6 Điều 2).

Cách quy định này cho thấy, không chỉ việc thu thập hay mua bán dữ liệu, mà cả những hành vi tưởng chừng “kỹ thuật” như lưu trữ, phân tích, chuyển giao dữ liệu cũng đều chịu sự điều chỉnh chặt chẽ của pháp luật.

Những hành vi bị cấm và mức xử phạt lên tới 3 tỷ đồng

Trên cơ sở xác định rõ khái niệm, Điều 7 Luật Bảo vệ dữ liệu cá nhân liệt kê cụ thể các hành vi bị nghiêm cấm. Trong đó, nhiều hành vi vốn diễn ra phổ biến thời gian qua đã được “điểm danh” rõ ràng như: “Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác”, (Khoản 6 Điều 7). “Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân”, (Khoản 7 Điều 7).

Ngoài ra, Luật cũng nghiêm cấm mọi hành vi xử lý dữ liệu cá nhân trái pháp luật, lợi dụng hoạt động bảo vệ dữ liệu cá nhân để vi phạm pháp luật hoặc sử dụng dữ liệu cá nhân nhằm gây phương hại đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Đáng chú ý hơn cả là chế tài xử lý vi phạm được quy định tại Điều 8. Theo đó, tổ chức, cá nhân vi phạm tùy theo tính chất, mức độ có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự và phải bồi thường thiệt hại.

Đối với xử phạt hành chính, Luật quy định mức phạt rất cao:“Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng”, (Khoản 5 Điều 8).

Với hành vi mua, bán dữ liệu cá nhân, mức phạt còn nghiêm khắc hơn: “Mức phạt tiền tối đa… là 10 lần khoản thu có được từ hành vi vi phạm”, (Khoản 3 Điều 8).

Trong trường hợp vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, tổ chức vi phạm có thể bị phạt tới “5% doanh thu của năm trước liền kề của tổ chức đó“, (Khoản 4 Điều 8).

Luật Bảo vệ dữ liệu cá nhân cũng làm rõ nguyên tắc áp dụng mức phạt, theo đó các mức phạt nêu trên áp dụng đối với tổ chức, còn cá nhân vi phạm cùng hành vi thì mức phạt tối đa bằng một nửa.

Những điểm người dân và doanh nghiệp cần đặc biệt lưu ý: Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 01/01/2026. Mua bán, làm lộ, chiếm đoạt dữ liệu cá nhân là hành vi bị nghiêm cấm. Tổ chức vi phạm có thể bị phạt hành chính tối đa 3 tỷ đồng, thậm chí cao hơn nếu vi phạm về mua bán dữ liệu hoặc chuyển dữ liệu xuyên biên giới. Doanh nghiệp, cơ quan, tổ chức phải rà soát toàn bộ quy trình thu thập, lưu trữ, xử lý dữ liệu cá nhân để bảo đảm tuân thủ pháp luật. Người dân có quyền yêu cầu bảo vệ dữ liệu cá nhân và khi phát hiện vi phạm, cần kịp thời thông báo cho cơ quan có thẩm quyền.

×