Mức phạt vi phạm trong lĩnh vực dữ liệu năm 2026: Cá nhân và doanh nghiệp khác nhau thế nào?

Tóm tắt mức phạt cần đọc đúng

Theo Điều 6 Nghị định 363/2026/NĐ-CP, mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu đối với cá nhân là 100 triệu đồng. Mức tiền trong Chương II nhìn chung được xác định là mức dành cho cá nhân; mức dành cho tổ chức thường bằng hai lần, nhưng có ngoại lệ được nêu rõ ngay ở khoản 2 Điều 6. Nghị định có hiệu lực ngày 11/11/2026.

Không thể lấy 200 triệu đồng làm mức phạt của mọi doanh nghiệp

Việc giật tít “vi phạm dữ liệu phạt 200 triệu đồng” dễ khiến người đọc hiểu rằng bất cứ lỗi lưu trữ hoặc gửi file nào cũng bị phạt ở mức này. Thực tế phải xác định hành vi trong điều khoản, khung tiền, chủ thể và tình tiết liên quan. Con số 100 triệu đồng là mức tối đa đối với cá nhân trong lĩnh vực, không phải mức xử phạt mặc định.

Khoản 2 Điều 6 có danh sách ngoại lệ mà khung phạt tại Chương II là mức áp dụng cho tổ chức: điểm b khoản 1 Điều 8; Điều 9; Điều 10; khoản 2 Điều 13; khoản 4 Điều 16. Vì thế, khi đọc một khung tiền phải hỏi nó đang được thiết kế cho cá nhân hay tổ chức trước khi tính mức tương ứng. Không nhân đôi các khung được quy định sẵn cho tổ chức.

Ví dụ Điều 8: thu thập, tạo lập dữ liệu

Thông tin công bố trên Cổng thông tin Chính phủ về Điều 8 cho biết có khung phạt 20–40 triệu đồng đối với các hành vi nhất định về thu thập, tạo lập dữ liệu trái quy định, trong đó có trường hợp không được sự đồng ý theo quy định của pháp luật. Tuy nhiên, cần xem chính xác từng điểm, khoản và điều kiện: không phải mọi hoạt động thu thập một email hoặc biểu mẫu đều mặc nhiên thuộc khung này.

Đặc biệt, Điều 8 có ngoại lệ tại điểm b khoản 1 được Điều 6 dẫn chiếu là mức áp dụng cho tổ chức. Vì vậy, ngay trong cùng một điều, cách xác định chủ thể nhận mức tiền có thể khác nhau. Khi xuất bản bảng mức phạt chi tiết cần đối chiếu toàn văn.

Cách tính và đọc chế tài đúng

Bước	Cần làm rõ
1	Xác định hành vi và điểm, khoản, điều cụ thể
2	Kiểm tra khung tiền ghi trong điều khoản
3	Đối chiếu ngoại lệ về mức phạt dành cho tổ chức tại Điều 6
4	Xem tình tiết tăng nặng, giảm nhẹ theo luật xử lý vi phạm hành chính
5	Kiểm tra hình thức phạt bổ sung và biện pháp khắc phục hậu quả, nếu có

Phần cuối thường bị bỏ qua. Xử phạt hành chính không chỉ có tiền: một số hành vi có thể liên quan đến buộc khôi phục, xóa dữ liệu xử lý trái quy định, hoặc những biện pháp khác được nêu ở điều tương ứng. Không nên trích một con số rồi bỏ qua yêu cầu khắc phục.

Tình huống giả định: tổ chức nhận thông báo kiểm tra

Một công ty nhận được yêu cầu giải trình về hoạt động kết nối dữ liệu. Kế toán nhìn thấy trên mạng một mức phạt 80–100 triệu đồng, rồi lập tức dự toán doanh nghiệp sẽ phải trả 160–200 triệu đồng. Cách tính đó thiếu các bước quan trọng: tổ chức có thực hiện đúng hành vi bị mô tả không, mức được dẫn chiếu thuộc khoản nào, và khoản ấy vốn áp dụng cho đối tượng nào?

Hướng xử lý phù hợp là tập hợp luồng dữ liệu, hợp đồng, tài liệu kỹ thuật và nhật ký liên quan; sau đó đối chiếu điều khoản hoặc tìm tư vấn pháp lý. Không tự thừa nhận một vi phạm chỉ vì có sử dụng một phần mềm phổ biến.

Ranh giới với chế tài về dữ liệu cá nhân

Khoản 2 Điều 1 loại khỏi phạm vi điều chỉnh các hành vi thuộc nghị định xử phạt chuyên ngành về an ninh mạng và bảo vệ dữ liệu cá nhân. Một sự cố khách hàng bị lộ thông tin không thể tự động gán cho Nghị định 363: phải định danh nghĩa vụ pháp lý chính xác. Đây cũng là lý do 5SOffice sẽ tách chuỗi bài về Nghị định 363 và chuỗi bài bảo vệ dữ liệu cá nhân thay vì dùng lẫn mức phạt.

Các câu hỏi doanh nghiệp nên hỏi khi đọc tin xử phạt

• Tin dẫn đúng số nghị định, điều, khoản chưa?
• Hành vi bị xử phạt có giống tình huống của công ty không?
• Mức tiền dành cho cá nhân hay tổ chức?
• Đây là mức thấp nhất, cao nhất hay mức phạt cụ thể của quyết định?
• Có biện pháp khắc phục nào ngoài tiền phạt?
• Thông tin có phản ánh văn bản tại thời điểm hiện tại không?

FAQ

Mọi vi phạm dữ liệu của công ty đều phạt gấp đôi cá nhân?

Không. Điều 6 nêu rõ những ngoại lệ mà khung ở Chương II đã là mức dành cho tổ chức.

100 triệu đồng có phải mức phạt cố định?

Không. Đây là mức tối đa đối với cá nhân, phải đọc khung của từng hành vi.

Nên làm gì khi thấy bảng mức phạt trên mạng?

Đối chiếu toàn văn, xác định điều khoản, chủ thể và ngày hiệu lực trước khi dùng trong quyết định quản trị.

Văn bản và nguồn tham khảo

• Nghị định 363/2026/NĐ-CP – Cổng văn bản Chính phủ.
• Nghị định 363/2026/NĐ-CP – Công báo Chính phủ.
• Thông tin giới thiệu Nghị định 363 – Cổng thông tin Kiểm toán nhà nước.

Lưu ý biên tập: Bài viết nhằm phổ biến kiến thức pháp luật tại ngày 20/10/2026; chưa thay thế việc đối chiếu hồ sơ, hành vi và văn bản hiện hành khi xử lý vụ việc thực tế. Các checklist được đề xuất theo góc độ quản trị, không mặc nhiên là danh sách nghĩa vụ luật định áp dụng giống nhau cho mọi doanh nghiệp.