Phân biệt Luật Dữ liệu, bảo vệ dữ liệu cá nhân và Nghị định 363/2026/NĐ-CP

Vì sao cần phân biệt ba lớp quy định?

Khi nghe tới từ “dữ liệu”, nhiều doanh nghiệp nghĩ ngay đến số điện thoại khách hàng hoặc danh sách nhân viên. Đây là một phần của thực tiễn dữ liệu, nhưng hệ thống pháp luật không chỉ có một văn bản. Luật Dữ liệu số 60/2024/QH15 tạo khuôn khổ pháp lý về dữ liệu; Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu; còn pháp luật bảo vệ dữ liệu cá nhân tập trung vào các quan hệ, quyền và nghĩa vụ liên quan đến dữ liệu cá nhân.

Ba lớp này có liên quan nhưng không thể hoán đổi. Nếu áp dụng sai văn bản, doanh nghiệp dễ kết luận sai về hồ sơ cần làm, mức phạt hoặc nghĩa vụ phải thực hiện.

Luật Dữ liệu: khuôn khổ nền tảng

Luật Dữ liệu quy định những vấn đề nền tảng về dữ liệu và các hoạt động liên quan trong phạm vi của luật. Khi một doanh nghiệp xử lý dữ liệu thuộc hoạt động hoặc nhóm dữ liệu mà Luật Dữ liệu điều chỉnh, việc phân tích nên bắt đầu từ quy định nền tảng, sau đó đến văn bản hướng dẫn và chế tài tương ứng.

Một lỗi tư duy thường gặp là tìm mức phạt trước khi xác định quy tắc hành vi. Hợp lý hơn là tìm điều khoản xác lập yêu cầu, xác định tổ chức có thuộc phạm vi áp dụng hay không, rồi mới xem chế tài nếu vi phạm.

Nghị định 363: quy định về xử phạt, không phải toàn bộ nghĩa vụ

Nghị định 363 được ban hành ngày 19/09/2026 và có hiệu lực từ 11/11/2026. Theo Điều 1, đây là văn bản quy định các hành vi vi phạm hành chính, mức xử phạt, hình thức xử phạt, biện pháp khắc phục hậu quả và thẩm quyền trong lĩnh vực dữ liệu. Nói cách khác, chức năng nổi bật của nghị định là xác định hệ quả hành chính khi hành vi cụ thể đáp ứng điều kiện xử phạt.

Điều 6 nêu mức phạt tối đa 100 triệu đồng đối với cá nhân, đồng thời quy định cách xác định tiền phạt với tổ chức và ngoại lệ. Không nên rút kết luận rằng Nghị định 363 đặt ra một mức phạt thống nhất cho mọi sự cố dữ liệu.

Bảo vệ dữ liệu cá nhân: cần xem khung pháp luật riêng

Dữ liệu cá nhân cần được đánh giá theo pháp luật chuyên ngành có hiệu lực tại thời điểm thực hiện hoạt động xử lý. Điểm then chốt là khoản 2 Điều 1 Nghị định 363: nghị định không điều chỉnh các hành vi vi phạm thuộc phạm vi điều chỉnh của nghị định quy định xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân.

Vì vậy, tin tức về một sự cố lộ thông tin khách hàng không đủ để xác định ngay điều khoản xử phạt của Nghị định 363. Cần phân biệt dữ liệu gì bị ảnh hưởng, hành vi gì diễn ra, nghĩa vụ của chủ thể là gì và chế tài nằm ở văn bản nào.

Bảng đối chiếu để người quản lý không nhầm lẫn

Câu hỏi	Luật Dữ liệu	Nghị định 363/2026/NĐ-CP	Pháp luật bảo vệ dữ liệu cá nhân
Vai trò chính	Khuôn khổ pháp luật trong lĩnh vực dữ liệu	Chế tài hành chính cho hành vi trong phạm vi nghị định	Quyền, nghĩa vụ, quy trình liên quan dữ liệu cá nhân
Khi nào xem trước?	Khi xác định quy tắc quản lý, xử lý dữ liệu	Sau khi xác định hành vi có thể vi phạm	Khi hoạt động hoặc sự cố liên quan dữ liệu cá nhân
Có thể thay thế nhau?	Không	Không	Không

Bảng này chỉ hỗ trợ xác định hướng tra cứu. Khi có vụ việc, cần xem thêm văn bản hướng dẫn và các quy định chuyên ngành hiện hành.

Ba ví dụ thực tế

Ví dụ 1: startup nhận email từ form liên hệ

Cần đánh giá trước hết bản chất thông tin cá nhân được cung cấp, mục đích và quyền xử lý theo pháp luật liên quan. Không được lấy một khung phạt của Điều 8 Nghị định 363 để tự động kết luận hành vi thu thập email hợp lệ hay không hợp lệ.

Ví dụ 2: doanh nghiệp truy cập một nguồn dữ liệu có phân quyền

Nếu phát sinh truy cập vượt quyền, người phụ trách cần xem nguồn, loại dữ liệu, quyền được cấp và điều khoản tương ứng của Nghị định 363 (chẳng hạn các quy định tại Điều 12), đồng thời đối chiếu các quy định khác có thể áp dụng.

Ví dụ 3: chi nhánh sử dụng chung CRM với trụ sở

Việc dùng chung phần mềm là mô hình vận hành thông thường. Cần quan tâm đến quyền truy cập, hợp đồng, mục đích dùng dữ liệu và luồng chia sẻ; không kết luận rằng trao đổi dữ liệu nội bộ luôn là một hoạt động bị xử phạt.

Quy trình tra cứu sáu bước

1. Mô tả hoạt động hoặc sự cố bằng sự kiện cụ thể.
2. Xác định loại dữ liệu và các bên tham gia.
3. Xem quy định nền tảng điều chỉnh hoạt động đó.
4. Kiểm tra văn bản chuyên ngành về dữ liệu cá nhân, an ninh mạng nếu có liên quan.
5. Đối chiếu điều khoản xử phạt và phạm vi loại trừ của Nghị định 363.
6. Lưu lại nguồn văn bản, phiên bản và thời điểm kiểm tra.

FAQ

Nghị định 363 có thay thế Luật Dữ liệu không?

Không. Nghị định về xử phạt được đọc trong mối liên hệ với các quy định nền tảng và quy định có liên quan.

Mọi sự cố lộ dữ liệu cá nhân đều theo Nghị định 363?

Không. Khoản 2 Điều 1 xác lập ranh giới với phạm vi xử phạt chuyên ngành tương ứng.

Công ty chưa có bộ phận pháp chế nên làm gì?

Lập danh mục dữ liệu và hoạt động xử lý, ghi câu hỏi cụ thể, giao người theo dõi văn bản chính thức và xin tư vấn khi có rủi ro đáng kể.

Văn bản và nguồn tham khảo

• Nghị định 363/2026/NĐ-CP – Cổng văn bản Chính phủ.
• Nghị định 363/2026/NĐ-CP – Công báo Chính phủ.
• Thông tin giới thiệu Nghị định 363 – Cổng thông tin Kiểm toán nhà nước.

Lưu ý biên tập: Bài viết nhằm phổ biến kiến thức pháp luật tại ngày 20/10/2026; chưa thay thế việc đối chiếu hồ sơ, hành vi và văn bản hiện hành khi xử lý vụ việc thực tế. Các checklist được đề xuất theo góc độ quản trị, không mặc nhiên là danh sách nghĩa vụ luật định áp dụng giống nhau cho mọi doanh nghiệp.