Nghị định 363/2026/NĐ-CP: Những quy định doanh nghiệp cần biết trước ngày 11/11/2026

Tóm tắt nhanh

Nghị định 363/2026/NĐ-CP do Chính phủ ban hành ngày 19/09/2026, có hiệu lực từ 11/11/2026, quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Văn bản gồm bốn chương, 36 điều, đề cập đến các hành vi vi phạm, chế tài, biện pháp khắc phục hậu quả và thẩm quyền xử lý. Đây là nghị định về chế tài, không phải một bộ thủ tục đăng ký kinh doanh mới.

Ba điều doanh nghiệp nên ghi nhớ

1. Phải xác định đúng hoạt động dữ liệu và đối tượng đang được quy định điều chỉnh, thay vì suy đoán rằng cứ dùng phần mềm là vi phạm.
2. Mức phạt phụ thuộc hành vi, chủ thể, tình tiết và từng khoản cụ thể; không nên lấy con số cao nhất áp vào mọi trường hợp.
3. Các vi phạm thuộc phạm vi nghị định xử phạt chuyên ngành về an ninh mạng và bảo vệ dữ liệu cá nhân không thuộc phạm vi điều chỉnh của Nghị định 363 theo khoản 2 Điều 1.

Nghị định 363 điều chỉnh vấn đề gì?

Điều 1 xác định các nội dung xử phạt hành chính trong lĩnh vực dữ liệu: hành vi, hình thức và mức xử phạt, biện pháp khắc phục, chủ thể bị xử phạt và thẩm quyền. Nghị định gắn với khuôn khổ của Luật Dữ liệu số 60/2024/QH15. Doanh nghiệp muốn đánh giá một quy trình có rủi ro cần bắt đầu bằng câu hỏi: dữ liệu gì, thực hiện hành vi nào, theo quy định nào và chủ thể nào có nghĩa vụ?

Trên thực tế, một công ty có thể sử dụng dữ liệu trong nhiều hoạt động: tạo lập hồ sơ sản phẩm, phân tích báo cáo, lưu trữ tài liệu, chia sẻ dữ liệu với đơn vị triển khai phần mềm, hoặc khai thác dữ liệu thông qua hệ thống tích hợp. Mỗi hoạt động có thể chịu các điều khoản khác nhau. Không nên gom mọi tình huống vào một nhãn chung là “vi phạm dữ liệu”.

Những nhóm hành vi đáng quan tâm

Nghị định đề cập đến các nhóm hoạt động như thu thập, tạo lập; phân tích, tổng hợp; lưu trữ; quản trị, quản lý; truy cập, truy xuất; kết nối, chia sẻ dữ liệu và một số hoạt động chuyên biệt khác. Ví dụ, Điều 8 đề cập hành vi thu thập, tạo lập dữ liệu; Điều 12 đề cập truy cập, truy xuất dữ liệu.

Tuy vậy, việc một doanh nghiệp lưu hồ sơ lên cloud, có CRM hoặc trao đổi dữ liệu giữa hai chi nhánh không tự động chứng minh vi phạm. Điều cần phân tích là hành vi cụ thể có trái quy định áp dụng không và dữ liệu có thuộc nhóm được bảo vệ, kiểm soát hoặc phân loại theo các quy định chuyên ngành hay không.

Những mốc doanh nghiệp nên kiểm tra

Mốc	Ý nghĩa thực tế
19/09/2026	Ngày Chính phủ ban hành Nghị định 363
20/10/2026	Thời điểm doanh nghiệp có thể chủ động rà soát quy trình hiện có
11/11/2026	Ngày nghị định bắt đầu có hiệu lực

Trước thời điểm có hiệu lực, bộ phận pháp chế hoặc người phụ trách vận hành nên lập danh mục các quy trình xử lý dữ liệu đang tồn tại, đọc toàn văn nghị định và phân công trách nhiệm rà soát. Đừng đợi đến khi phát sinh sự cố mới xác định ai quản lý quyền truy cập và hồ sơ dữ liệu.

Tình huống minh họa: startup mở thêm chi nhánh

Một startup có trụ sở tại Hà Nội và chi nhánh mới tại TP.HCM. Hai nơi cùng sử dụng CRM tập trung, nhân viên truy cập theo tài khoản cá nhân, bộ phận kế toán lưu chứng từ trên dịch vụ đám mây. Công việc đầu tiên không phải là kết luận quy trình sai. Doanh nghiệp cần lập bản đồ luồng dữ liệu: ai tạo dữ liệu, ai có quyền xem, bên thứ ba nào nhận dữ liệu, khi nghỉ việc quyền truy cập được thu hồi thế nào.

Kết quả rà soát giúp công ty xác định quy định nào thực sự liên quan và tài liệu nào có thể dùng để chứng minh cách quản lý. Nếu có dữ liệu cá nhân của khách hàng, cần đánh giá thêm nghĩa vụ theo pháp luật bảo vệ dữ liệu cá nhân; không chỉ dựa vào Nghị định 363.

Hướng dẫn năm bước trước 11/11

• Kiểm kê hoạt động dữ liệu: nêu mục đích, nguồn, loại dữ liệu, hệ thống và đơn vị xử lý.
• Phân loại: xác định có dữ liệu cốt lõi, dữ liệu quan trọng hay thông tin thuộc khung pháp luật khác hay không; không tự gắn nhãn theo cảm tính.
• Rà soát quyền: kiểm tra tài khoản dùng chung, quyền quản trị, quy trình cấp và thu hồi tài khoản.
• Kiểm tra hợp đồng: liệt kê các bên cung cấp CRM, lưu trữ, kế toán, vận hành hạ tầng.
• Theo dõi thay đổi: ghi nhận ngày kiểm tra, nguồn pháp luật và người chịu trách nhiệm cập nhật.

Doanh nghiệp thuê văn phòng ảo có chịu quy định khác biệt?

Hình thức thuê văn phòng ảo, chỗ ngồi làm việc hay văn phòng riêng không tự nó quyết định phạm vi điều chỉnh của Nghị định 363. Điều quan trọng là các hoạt động dữ liệu thực tế của doanh nghiệp và vai trò của từng bên. Khách thuê nên trao đổi với nhà cung cấp về phạm vi hỗ trợ thư từ, hồ sơ, thiết bị và quyền truy cập; đồng thời duy trì quy trình quản lý dữ liệu của chính mình.

Câu hỏi thường gặp

Có phải mọi công ty đều sẽ bị phạt nếu chưa có quy chế dữ liệu?

Không thể kết luận như vậy. Phải đối chiếu điều khoản, hành vi, đối tượng và điều kiện áp dụng cụ thể. Một chính sách quản trị nội bộ là thực hành tốt nhưng không thay thế phân tích nghĩa vụ pháp lý.

Nghị định có thay thế quy định bảo vệ dữ liệu cá nhân không?

Không. Khoản 2 Điều 1 xác định ngoại lệ về phạm vi xử phạt đối với các hành vi thuộc nghị định chuyên ngành tương ứng.

Doanh nghiệp nhỏ nên bắt đầu từ đâu?

Bắt đầu bằng danh sách hệ thống và luồng dữ liệu, sau đó phân quyền người phụ trách rà soát với cố vấn pháp lý khi cần.

Văn bản và nguồn tham khảo

• Nghị định 363/2026/NĐ-CP – Cổng văn bản Chính phủ.
• Nghị định 363/2026/NĐ-CP – Công báo Chính phủ.
• Thông tin giới thiệu Nghị định 363 – Cổng thông tin Kiểm toán nhà nước.

Lưu ý biên tập: Bài viết nhằm phổ biến kiến thức pháp luật tại ngày 20/10/2026; chưa thay thế việc đối chiếu hồ sơ, hành vi và văn bản hiện hành khi xử lý vụ việc thực tế. Các checklist được đề xuất theo góc độ quản trị, không mặc nhiên là danh sách nghĩa vụ luật định áp dụng giống nhau cho mọi doanh nghiệp.