Mới nhất 2026: Phạt đến 70 triệu đồng nếu thu thập dữ liệu cá nhân chưa có sự đồng ý!

Trong kỷ nguyên kinh tế số, dữ liệu khách hàng được coi là tài sản vô giá của mọi doanh nghiệp. Tuy nhiên, việc tự ý thu thập, dùng thủ thuật "bẫy" khách hàng đồng ý hoặc coi sự im lặng là chấp thuận đang đứng trước những án phạt vô cùng khắt khe.

Mới đây, Nghị định 330/2026/NĐ-CP quy định về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân đã chính thức cụ thể hóa các mức phạt nặng tay. Đây là lời cảnh tỉnh nghiêm khắc đối với tất cả các tổ chức, doanh nghiệp đang thu thập và khai thác dữ liệu người dùng.

1. Mức phạt tiền từ 30 - 50 triệu đồng cho các vi phạm về sự đồng ý

Doanh nghiệp sẽ đối mặt với khung phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng nếu mắc phải một trong các hành vi sau:

• Tự ý xử lý dữ liệu sau thu thập: Khai thác dữ liệu cá nhân khi chưa được chủ thể dữ liệu đồng ý (trừ các trường hợp pháp luật có quy định riêng).
• Ép buộc giao dịch: Bắt buộc khách hàng phải đồng ý xử lý dữ liệu cho các mục đích khác ngoài hợp đồng thì mới chịu cung cấp dịch vụ.
• Cài đặt ngầm/Mặc định tích chọn: Thiết lập phương thức mặc định đồng ý hoặc dùng giao diện gây hiểu lầm, không rõ ràng giữa nút "Đồng ý" và "Không đồng ý".
• Xin sự đồng ý mập mờ: Không thể hiện bằng phương thức cụ thể, khiến doanh nghiệp không thể chứng minh hay kiểm chứng được thời điểm và nội dung người dùng đã chấp thuận.
• Thiếu minh bạch thông tin: Không công khai cho người dùng biết loại dữ liệu thu thập, mục đích xử lý, các quyền/nghĩa vụ đi kèm hay thông tin của Bên kiểm soát dữ liệu.
• Tách gộp mục đích thu thập: Không cho phép người dùng lựa chọn đồng ý riêng biệt với từng mục đích xử lý dữ liệu khác nhau.
• Bỏ qua nhật ký lưu trữ: Không ghi nhận, lưu trữ nhật ký đồng ý của khách hàng để xuất trình khi thanh tra kiểm tra.
• Giấu giếm dữ liệu nhạy cảm: Không thông báo cho chủ thể biết khi hệ thống đang xử lý các dữ liệu cá nhân mang tính chất nhạy cảm.

2. Phạt kịch khung 50 - 70 triệu đồng với các hành vi cố tình vi phạm

Khung phạt sẽ tăng lên từ 50.000.000 đồng đến 70.000.000 đồng nếu doanh nghiệp vi phạm vào các trường hợp nghiệm trọng sau:

• Cố tình xử lý dữ liệu dù đã bị cấm: Vẫn tiếp tục xử lý dữ liệu sau khi người dùng đã yêu cầu ngừng/hạn chế, hoặc khi đã có văn bản yêu cầu dừng từ cơ quan nhà nước có thẩm quyền.
• Coi im lặng là đồng ý: Tự ý mặc định sự im lặng hoặc không phản hồi của người dùng là họ đã chấp thuận cho phép thu thập dữ liệu.

3. Các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả

Không chỉ dừng lại ở việc nộp phạt hành chính, doanh nghiệp vi phạm còn chịu các chế tài rất nặng nề về vận hành và tài chính:

• Tịch thu tang vật, phương tiện: Toàn bộ phương tiện, trang thiết bị dùng để thực hiện hành vi vi phạm sẽ bị cơ quan chức năng tịch thu.
• Buộc xóa vĩnh viễn dữ liệu: Phải hủy hoặc xóa dữ liệu đã thu thập trái phép tới mức không thể khôi phục.
• Nộp lại toàn bộ lợi nhuận: Buộc nộp lại toàn bộ số tiền hoặc khoản thu bất hợp pháp có được từ việc cố tình xử lý dữ liệu trái phép hoặc coi im lặng là đồng ý.

Lời kết

Quy định tại Nghị định 330/2026/NĐ-CP là minh chứng cho thấy pháp luật Việt Nam đang thắt chặt kỷ cương trong việc bảo vệ quyền riêng tư của công dân. Việc đánh mất dữ liệu không chỉ làm doanh nghiệp thiệt hại nặng nề về tiền bạc và công cụ vận hành, mà còn phá hủy toàn bộ uy tín thương hiệu tích lũy nhiều năm. Rà soát lại quy trình thu thập dữ liệu, minh bạch hóa các điều khoản và xin sự đồng ý hợp lệ ngay hôm nay chính là chiến lược khôn ngoan nhất để doanh nghiệp phát triển bền vững trong kỷ nguyên số.