Nghị định 330/2026/NĐ-CP về xử phạt an ninh mạng và bảo vệ dữ liệu cá nhân

Nghĩa vụ nội dung tiếp tục phát sinh từ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025 và Quyết định 778, và từ Luật An ninh mạng 116/2025/QH15 cùng các nghị định triển khai. Nghị định 330 bổ sung lớp hậu quả pháp lý: hành vi nào bị xử phạt, mức nào, do ai áp dụng và kèm biện pháp khắc phục nào.

Điều 7 là quy tắc bắt buộc khi đọc mọi con số. Mức phạt an ninh mạng tại Điều 9–38 được nêu cho cá nhân; tổ chức chịu gấp đôi, với trần 200 triệu đồng cho tổ chức và 100 triệu đồng cho cá nhân. Mức phạt bảo vệ dữ liệu cá nhân tại Điều 39–71 được nêu cho tổ chức; cá nhân chịu một nửa. Ba mức tối đa vượt khung cố định gồm: mua bán dữ liệu cá nhân trái phép có thể tới 10 lần tổng doanh thu thu được từ hành vi vi phạm, không trừ chi phí theo Điều 6 khoản 2; vi phạm chuyển dữ liệu xuyên biên giới có thể tới 5% doanh thu năm liền trước của tổ chức; các vi phạm dữ liệu cá nhân khác có trần 3 tỷ đồng đối với tổ chức.

Nghị định 330 không phải văn bản xử phạt chung của Luật Trí tuệ nhân tạo. Tuy nhiên, Điều 67 quy định riêng về xử phạt trong hệ thống trí tuệ nhân tạo và thế giới ảo, gồm đánh giá tuân thủ hằng năm, giải thích thuật toán, quyền từ chối xử lý tự động, quyền đối với hồ sơ định danh, phân loại rủi ro và các biện pháp bảo vệ liên quan.

Nghĩa vụ	Thời hạn	Căn cứ
Nghị định có hiệu lực	19 tháng 8 năm 2026	Điều 80
Thời hiệu xử phạt	1 năm từ khi hành vi kết thúc	Điều 3
Gỡ bỏ hoặc chặn nội dung	24 giờ từ yêu cầu của lực lượng chuyên trách; 6 giờ khi khẩn cấp đe dọa an ninh quốc gia	Điều 29
Hợp tác với lực lượng chuyên trách	24 giờ	Điều 18, 26, 30
Lưu nhật ký xác thực tài khoản số	90 ngày	Điều 34
Lưu đăng ký, từ chối và xác nhận quảng cáo	Ít nhất 1 năm	Điều 37 khoản 2 điểm b
Phản hồi thông tin về quy trình xử lý yêu cầu hợp lệ của chủ thể dữ liệu	2 ngày làm việc	Điều 44 khoản 1 điểm d
Hoàn thành yêu cầu truy cập, chỉnh sửa hoặc cung cấp dữ liệu	10 ngày; 15 ngày khi bên xử lý/bên thứ ba phải thực hiện; có thể gia hạn tối đa 10 ngày	Điều 44 khoản 3 điểm b
Hoàn thành yêu cầu rút lại, hạn chế hoặc phản đối	15 ngày; 20 ngày khi bên xử lý/bên thứ ba phải thực hiện; có thể gia hạn tối đa 15 ngày	Điều 44 khoản 3 điểm a
Hoàn thành yêu cầu xóa	20 ngày; 30 ngày khi bên xử lý/bên thứ ba phải thực hiện; có thể gia hạn tối đa 20 ngày	Điều 44 khoản 3 điểm c
Áp dụng biện pháp bảo vệ dữ liệu được yêu cầu	15 ngày; có thể gia hạn tối đa 15 ngày	Điều 44 khoản 3 điểm d
Nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân lần đầu	60 ngày từ ngày đầu tiên xử lý	Điều 55 khoản 1 điểm b
Cập nhật đánh giá tác động khi phát sinh sự kiện cập nhật	10 ngày	Điều 55 khoản 1 điểm đ
Nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới lần đầu	60 ngày từ lần chuyển đầu tiên	Điều 56 khoản 1 điểm b
Hoàn thành đánh giá tác động chuyển dữ liệu theo yêu cầu cơ quan	30 ngày từ khi nhận yêu cầu	Điều 56 khoản 1 điểm c
Thông báo sự cố dữ liệu đủ điều kiện cho cơ quan có thẩm quyền	72 giờ	Điều 54 khoản 3
Thông báo rò rỉ dữ liệu nhạy cảm trong lĩnh vực tài chính cho cơ quan và chủ thể dữ liệu	72 giờ	Điều 64 khoản 1
Thông báo sự cố dữ liệu vị trí hoặc sinh trắc học cho cơ quan và chủ thể dữ liệu	72 giờ	Điều 70 khoản 1
Tước quyền sử dụng giấy phép hoặc chứng chỉ hành nghề; đình chỉ hoạt động	1–24 tháng	Điều 4 khoản 2

Ba mốc 72 giờ không được hợp nhất thành một nghĩa vụ chung. Mỗi mốc phải giữ đúng loại dữ liệu, chủ thể nhận thông báo, sự kiện kích hoạt và điều khoản.

ComplianceOne quản lý Nghị định 330 như một khung chế tài đang có hiệu lực. Mỗi nhóm mức phạt, thời hạn và yêu cầu đều gắn với điều khoản của văn bản đã ký. Biểu mức phạt giữ cả mức được nêu và quy tắc xác định theo đối tượng cá nhân hoặc tổ chức; các mức trần tính theo phần trăm doanh thu hoặc bội số khoản thu lợi được ghi đúng bản chất, không bị chuyển thành một mức tiền cố định.

Các thời hạn yêu cầu của chủ thể dữ liệu, hồ sơ đánh giá tác động, ba mốc 72 giờ, mốc gỡ bỏ theo yêu cầu cơ quan, 90 ngày lưu nhật ký và một năm lưu hồ sơ quảng cáo được quản lý dưới dạng các thời hạn có thể theo dõi. Hồ sơ dự thảo không bị xóa mà được giữ như bản ghi lịch sử; bằng chứng về khắc phục, sự đồng ý, đánh giá và sự cố trong các khung mẹ tiếp tục được liên kết vì đó là những nội dung có thể được kiểm tra khi áp dụng Nghị định này.

ComplianceOne không tự kết luận có vi phạm, không tự tính số tiền phải nộp, không thay thế cơ quan xử phạt và không bảo đảm tổ chức tuân thủ Nghị định 330.

• Có thể xuất trình hồ sơ sự đồng ý và việc lan truyền yêu cầu rút lại khi kiểm tra.
• Quy trình thông báo sự cố đáp ứng cả ba mốc 72 giờ, kèm dấu thời gian.
• Yêu cầu của chủ thể dữ liệu được phân loại trong 2 ngày làm việc và hoàn thành theo mốc 10, 15, 20 hoặc 30 ngày áp dụng.
• Hồ sơ đánh giá tác động xử lý và chuyển dữ liệu xuyên biên giới được nộp/cập nhật theo mốc 60, 30 và 10 ngày áp dụng.
• Đã sàng lọc hoạt động mua bán dữ liệu; nhận diện trần 10 lần tổng doanh thu từ vi phạm mà không trừ chi phí.
• Đồng hồ gỡ bỏ/chặn bắt đầu từ yêu cầu cơ quan được ghi nhận; mốc 6 giờ chỉ áp dụng trường hợp khẩn cấp đe dọa an ninh quốc gia.
• Nhật ký xác thực được lưu 90 ngày; hồ sơ đăng ký và từ chối quảng cáo được lưu ít nhất một năm.
• Hoạt động AI và thế giới ảo có bằng chứng đánh giá hằng năm, giải thích, quyền từ chối, phân loại rủi ro và rà soát của con người khi áp dụng.
• Đã chỉ định nhân sự hoặc chức năng bảo vệ dữ liệu khi pháp luật yêu cầu.
• Có bằng chứng hoàn thành biện pháp khắc phục, không chỉ bằng chứng nộp phạt.
• Hồ sơ hành vi trước ngày 19 tháng 8 năm 2026 được đánh giá theo quy định có lợi hơn.
• Không trích bất kỳ mức phạt nào mà thiếu quy tắc xác định theo cá nhân hoặc tổ chức.

• Luật Bảo vệ dữ liệu cá nhân — khung mẹ.
• Luật An ninh mạng Việt Nam 2025 — khung mẹ.
• Hồ sơ dự thảo xử phạt đã được thay thế — lịch sử trực tiếp của Nghị định 330.
• Nghị định 320/2026/NĐ-CP về định danh điện tử — nghĩa vụ xác thực tài khoản số có liên hệ.
• Tổng quan khung pháp lý Việt Nam.

Việc xác định phạm vi, hành vi vi phạm, mức phạt, quy định chuyển tiếp và biện pháp khắc phục thuộc tổ chức, người có thẩm quyền và tư vấn pháp lý. Nội dung cung cấp thông tin và không thay thế tư vấn pháp lý.