Trạng thái và phạm vi hiện hành
Liên kết đến phần này ↗Nghị định 330/2026/NĐ-CP được Chính phủ ban hành ngày 19 tháng 8 năm 2026 và có hiệu lực ngay cùng ngày. Văn bản gồm 82 điều trong bốn chương về quy định chung, các nhóm hành vi vi phạm, thẩm quyền xử phạt và thi hành. Đây là văn bản đã ban hành, đang có hiệu lực và không phải dự thảo.
Nghị định điều chỉnh vi phạm hành chính trong cả an ninh mạng và bảo vệ dữ liệu cá nhân. Phạm vi bao gồm cá nhân, tổ chức Việt Nam và nước ngoài, kể cả doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, nội dung hoặc xử lý dữ liệu xuyên biên giới liên quan dữ liệu của công dân Việt Nam. Đây là một văn bản dùng chung, không phải nghị định chỉ dành cho PDPL hoặc chỉ dành cho an ninh mạng.
Nghị định đã thay thế dự thảo xử phạt dùng chung trước đây. Các bí danh và hồ sơ dự thảo được giữ để truy vết, nhưng mọi công việc chuẩn bị dựa trên giả định của dự thảo phải được rà soát lại theo biểu mức phạt đã ký.
Quan hệ với các khung pháp lý mẹ
Liên kết đến phần này ↗Nghĩa vụ nội dung tiếp tục phát sinh từ Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 cùng Nghị định 356/2025 và Quyết định 778, và từ Luật An ninh mạng 116/2025/QH15 cùng các nghị định triển khai. Nghị định 330 bổ sung lớp hậu quả pháp lý: hành vi nào bị xử phạt, mức nào, do ai áp dụng và kèm biện pháp khắc phục nào.
Điều 7 là quy tắc bắt buộc khi đọc mọi con số. Mức phạt an ninh mạng tại Điều 9–38 được nêu cho cá nhân; tổ chức chịu gấp đôi, với trần 200 triệu đồng. Mức phạt bảo vệ dữ liệu cá nhân tại Điều 39–71 được nêu cho tổ chức; cá nhân chịu một nửa. Ba mức tối đa vượt khung cố định gồm: mua bán dữ liệu cá nhân trái phép có thể tới 10 lần khoản thu lợi bất hợp pháp; vi phạm chuyển dữ liệu xuyên biên giới có thể tới 5% doanh thu năm liền trước của tổ chức; các vi phạm dữ liệu cá nhân khác có trần 3 tỷ đồng đối với tổ chức.
Nghị định tách biệt với Nghị quyết 22/2026/NQ-CP, vốn chỉ là lớp thủ tục tạm thời, và không phải nghị định xử phạt chung của Luật Trí tuệ nhân tạo. AI chỉ liên quan khi hành vi có sử dụng AI vi phạm điều khoản về an ninh mạng, nội dung hoặc dữ liệu cá nhân.
Quy định chính và tác động vận hành
Liên kết đến phần này ↗| Điều khoản | Nội dung | Tác động vận hành |
|---|---|---|
| Điều 3 | Thời hiệu một năm kể từ khi hành vi vi phạm kết thúc | Ghi ngày cho mọi hồ sơ khắc phục; thanh tra có thể xem lại trong một năm |
| Điều 4 | Cảnh cáo, phạt tiền, thu hồi giấy phép hoặc chứng nhận, đình chỉ 1–24 tháng, thu hồi tên miền, trục xuất | Theo dõi chế tài bổ sung song song với mức tiền phạt |
| Điều 5 | Mười biện pháp khắc phục, gồm khôi phục hệ thống, khắc phục rò rỉ dữ liệu, thực hiện quyền của chủ thể dữ liệu và hoàn trả lợi bất hợp pháp | Phải có bằng chứng hoàn thành biện pháp khắc phục, không chỉ bằng chứng nộp phạt |
| Điều 7 | Quy tắc xác định mức phạt và các trần 200 triệu đồng, 3 tỷ đồng, 5% doanh thu, 10 lần lợi bất hợp pháp | Mọi số tiền phải được đọc cùng đối tượng cá nhân/tổ chức và loại trần tương ứng |
| Điều 29 | Gỡ bỏ hoặc chặn nội dung trong 24 giờ; 6 giờ với nội dung được xác định khẩn cấp | Quy trình gỡ bỏ cần dấu thời gian |
| Điều 34 | Xác thực tài khoản số và lưu nhật ký xác thực 90 ngày | Có thể truy xuất nhật ký khi được yêu cầu |
| Điều 37 | Lưu hồ sơ đồng ý tiếp thị một năm, giới hạn số tin và khung giờ gửi | Hồ sơ đồng ý tiếp thị là bằng chứng có thể kiểm tra |
| Điều 43, 45 | Vi phạm về sự đồng ý ở mức 30–50 triệu đồng; coi im lặng là đồng ý hoặc tiếp tục xử lý sau rút lại ở mức 50–70 triệu đồng đối với tổ chức | Phải chứng minh được sự đồng ý và việc lan truyền yêu cầu rút lại |
| Điều 54, 64, 70 | Ba mốc thông báo 72 giờ cho các phạm vi sự cố dữ liệu khác nhau | Mỗi loại dữ liệu cần thời hạn và bằng chứng thông báo riêng |
| Điều 81 | Quy định chuyển tiếp, gồm áp dụng quy định có lợi hơn | Hồ sơ hành vi trước ngày hiệu lực phải được đánh giá dưới cả hai chế độ trước khi kết luận |
Thời hạn và mốc thủ tục
Liên kết đến phần này ↗| Nghĩa vụ | Thời hạn | Căn cứ |
|---|---|---|
| Nghị định có hiệu lực | 19 tháng 8 năm 2026 | Điều 80 |
| Thời hiệu xử phạt | 1 năm từ khi hành vi kết thúc | Điều 3 |
| Gỡ bỏ hoặc chặn nội dung | 24 giờ; 6 giờ khi khẩn cấp | Điều 29 |
| Hợp tác với lực lượng chuyên trách | 24 giờ | Điều 18, 26, 30 |
| Lưu nhật ký xác thực tài khoản số | 90 ngày | Điều 34 |
| Lưu hồ sơ đồng ý tiếp thị | 1 năm | Điều 37 |
| Thông báo sự cố dữ liệu đủ điều kiện cho cơ quan có thẩm quyền | 72 giờ | Điều 54 khoản 3 |
| Thông báo rò rỉ dữ liệu nhạy cảm trong lĩnh vực tài chính cho cơ quan và chủ thể dữ liệu | 72 giờ | Điều 64 khoản 1 |
| Thông báo sự cố dữ liệu vị trí hoặc sinh trắc học cho cơ quan và chủ thể dữ liệu | 72 giờ | Điều 70 khoản 1 |
| Thu hồi giấy phép, chứng nhận hoặc đình chỉ | 1–24 tháng | Điều 4 |
Ba mốc 72 giờ không được hợp nhất thành một nghĩa vụ chung. Mỗi mốc phải giữ đúng loại dữ liệu, chủ thể nhận thông báo, sự kiện kích hoạt và điều khoản.
Biểu mẫu chính thức và yêu cầu dữ liệu
Liên kết đến phần này ↗Nghị định 330 không ban hành biểu mẫu phụ lục riêng. Biên bản vi phạm hành chính sử dụng biểu mẫu của khung pháp luật xử lý vi phạm hành chính; thông báo dữ liệu cá nhân mà Nghị định dẫn chiếu sử dụng biểu mẫu của khung PDPL, trong đó có Mẫu số 08 về thông báo vi phạm. Mọi mẫu do ComplianceOne cung cấp riêng cho Nghị định 330 chỉ là mẫu chuẩn bị nội bộ và phải được ghi nhãn như vậy.
Hồ sơ bằng chứng nên liên kết sự đồng ý và việc rút lại, thông báo sự cố, hồ sơ chuyển dữ liệu xuyên biên giới, nhật ký xác thực, phản hồi thanh tra, quyết định xử phạt và bằng chứng hoàn thành biện pháp khắc phục.
ComplianceOne hỗ trợ như thế nào
Liên kết đến phần này ↗ComplianceOne quản lý Nghị định 330 như một khung chế tài đang có hiệu lực. Mỗi nhóm mức phạt, thời hạn và yêu cầu đều gắn với điều khoản của văn bản đã ký. Biểu mức phạt giữ cả mức được nêu và quy tắc xác định theo đối tượng cá nhân hoặc tổ chức; các trần theo phần trăm doanh thu hoặc bội số khoản thu lợi được ghi đúng bản chất, không bị chuyển thành một mức tiền cố định.
Các mốc 72 giờ trong ba phạm vi, 24 giờ hoặc 6 giờ cho gỡ bỏ, 90 ngày lưu nhật ký và một năm lưu hồ sơ đồng ý được quản lý thành hạn có thể đo lường. Hồ sơ dự thảo không bị xóa mà được giữ như bản ghi lịch sử; bằng chứng về khắc phục, sự đồng ý, đánh giá và sự cố trong các khung mẹ tiếp tục được liên kết vì đó là những nội dung có thể được kiểm tra khi áp dụng Nghị định này.
ComplianceOne không tự kết luận có vi phạm, không tự tính số tiền phải nộp, không thay thế cơ quan xử phạt và không bảo đảm tổ chức tuân thủ Nghị định 330.
Mô-đun liên quan
Liên kết đến phần này ↗| Mô-đun | Vai trò |
|---|---|
| Quản trị chương trình | Phân công rà soát phơi nhiễm, hạn khắc phục và theo dõi biện pháp khắc phục |
| Đánh giá rủi ro | Theo dõi nhóm hành vi, khung mức phạt, trần và quy tắc đối tượng |
| Nhật ký kiểm toán | Giữ lịch sử thanh tra, khắc phục và thông báo |
| Ứng phó sự cố | Vận hành ba mốc thông báo 72 giờ với bằng chứng dấu thời gian |
| Quản trị sự đồng ý | Giữ hồ sơ đồng ý và rút lại mà Điều 43 và 45 yêu cầu có thể chứng minh |
| Biểu mẫu tuân thủ | Giữ mẫu chuẩn bị nội bộ tách biệt với biểu mẫu chính thức của các khung mẹ |
Danh sách kiểm tra mức sẵn sàng
Liên kết đến phần này ↗- Có thể xuất trình hồ sơ sự đồng ý và việc lan truyền yêu cầu rút lại khi kiểm tra.
- Quy trình thông báo sự cố đáp ứng cả ba mốc 72 giờ, kèm dấu thời gian.
- Hồ sơ đánh giá tác động và chuyển dữ liệu xuyên biên giới còn hiện hành; đã nhận diện trần 5% doanh thu.
- Đã sàng lọc hoạt động mua bán dữ liệu và nguy cơ liền kề; nhận diện trần 10 lần khoản thu lợi bất hợp pháp.
- Có thể gỡ bỏ hoặc chặn nội dung trong 24 giờ, hoặc 6 giờ khi khẩn cấp.
- Nhật ký xác thực được lưu 90 ngày và hồ sơ đồng ý tiếp thị được lưu một năm.
- Đã chỉ định nhân sự hoặc chức năng bảo vệ dữ liệu khi pháp luật yêu cầu.
- Có bằng chứng hoàn thành biện pháp khắc phục, không chỉ bằng chứng nộp phạt.
- Hồ sơ hành vi trước ngày 19 tháng 8 năm 2026 được đánh giá theo quy định có lợi hơn.
- Không trích bất kỳ mức phạt nào mà thiếu quy tắc xác định theo cá nhân hoặc tổ chức.
Giá trị vận hành trong giai đoạn thực thi
Liên kết đến phần này ↗Mức tiền được nêu không phải lúc nào cũng là mức phải nộp. Mỗi khung mức phạt phải cho biết số được nêu áp dụng cho cá nhân hay tổ chức và hệ số của đối tượng còn lại. Các mức tối đa là trần, không phải tổng phơi nhiễm; quy tắc theo doanh thu và khoản thu lợi có thể vượt khung cố định, còn nhiều vi phạm có thể cộng dồn.
Mỗi nghĩa vụ giữ điều khoản nguồn để khi cần giải thích một mức phơi nhiễm, tổ chức có thể dẫn đến nghị định đã ký. Hồ sơ dự thảo được giữ riêng, không bị xóa hoặc âm thầm đổi nhãn thành hồ sơ theo pháp luật hiện hành.
Nội dung liên quan
Liên kết đến phần này ↗- Luật Bảo vệ dữ liệu cá nhân — khung mẹ.
- Luật An ninh mạng Việt Nam 2025 — khung mẹ.
- Hồ sơ dự thảo xử phạt đã được thay thế — lịch sử trực tiếp của Nghị định 330.
- Nghị định 320/2026/NĐ-CP về định danh điện tử — nghĩa vụ xác thực tài khoản số có liên hệ.
- Tổng quan khung pháp lý Việt Nam.
Xem vận hành Nghị định 330 trong thực tế
Liên kết đến phần này ↗Xem cách ComplianceOne quản lý biểu mức phạt đã có hiệu lực, các mốc thông báo và bằng chứng phục vụ thanh tra.
Bước tiếp theo
Liên kết đến phần này ↗Bắt đầu chương trình thử nghiệm
Kiểm thử bằng chứng đồng ý, mốc thông báo, hồ sơ phơi nhiễm và theo dõi biện pháp khắc phục theo biểu mức phạt đã ký.
Trao đổi nhu cầu tuân thủ
Rà soát kiến trúc mức phạt, mức sẵn sàng thông báo và các thay đổi giữa dự thảo với Nghị định 330 đã ban hành.
Nguồn và ranh giới sử dụng
Liên kết đến phần này ↗Nội dung phải được đọc cùng Nghị định 330/2026/NĐ-CP và văn bản chính thức liên quan. Không được trích một con số tiền phạt mà thiếu quy tắc xác định theo đối tượng; không mô tả mức trần như tổng phơi nhiễm; không trình bày mẫu nội bộ là biểu mẫu chính thức.
Trách nhiệm vận hành
Liên kết đến phần này ↗Việc xác định phạm vi, hành vi vi phạm, mức phạt, quy định chuyển tiếp và biện pháp khắc phục thuộc tổ chức, người có thẩm quyền và tư vấn pháp lý. Nội dung cung cấp thông tin và không thay thế tư vấn pháp lý.