Nghị định 363/2026: mức phạt vi phạm về dữ liệu từ 11/11/2026

Ban biên tập Web 1 Ngày · 11/11/2026

Nghị định 363/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu có hiệu lực từ ngày 11/11/2026. Mức phạt tiền tối đa với cá nhân là 100 triệu đồng, tổ chức vi phạm cùng hành vi bị phạt gấp đôi, tức tối đa 200 triệu đồng. Các hành vi bị nêu tên gồm thu thập dữ liệu không được phép, làm lộ thông tin nhạy cảm, cung cấp dữ liệu sai lệch, chia sẻ ngoài phạm vi cho phép và tấn công cơ sở dữ liệu.

Thông tin cơ bản về Nghị định 363/2026

Văn bản được Chính phủ ban hành ngày 19/9/2026; Điều 34 quy định hiệu lực từ 11/11/2026. Tạp chí Luật sư Việt Nam lưu ý nghị định này không điều chỉnh các hành vi đã thuộc phạm vi nghị định về an ninh mạng và bảo vệ dữ liệu cá nhân. Nói cách khác, 363 tập trung vào "dữ liệu" nói chung: cơ sở dữ liệu nhà nước, dữ liệu quan trọng, dữ liệu cốt lõi, hoạt động xác nhận, xác thực dữ liệu, chứ không thay thế các quy định riêng về dữ liệu cá nhân.

Bảng mức phạt theo nhóm hành vi

Tổng hợp từ bài phân tích của Báo Văn hóa ngày 11/11/2026 và bài của Tạp chí Luật sư Việt Nam về hành vi chia sẻ dữ liệu. Mức nêu dưới đây áp dụng với cá nhân; tổ chức gấp đôi.

Hành vi	Mức phạt cá nhân
Thu thập, tạo lập dữ liệu khi chưa được chủ sở hữu cho phép hoặc chưa có biện pháp bảo vệ	Đến 40 triệu đồng
Chia sẻ dữ liệu vượt phạm vi được phép (Điều 13)	20–40 triệu đồng
Thu thập, tạo lập dữ liệu làm lộ thông tin nhạy cảm, xâm phạm quyền lợi hợp pháp hoặc an ninh quốc gia	40–60 triệu đồng
Cố ý tạo dữ liệu giả, vượt phạm vi, mục đích đã thông báo	40–60 triệu đồng
Giả mạo, làm sai lệch, mất, hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan nhà nước (chưa đến mức hình sự)	40–60 triệu đồng
Cố ý cung cấp dữ liệu sai sự thật	40–60 triệu đồng
Cản trở trái phép hoạt động xử lý, quản trị dữ liệu; tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu	60–80 triệu đồng
Vi phạm về xác nhận, xác thực dữ liệu (Điều 15)	60–80 triệu đồng
Chia sẻ dữ liệu cốt lõi, quan trọng, dữ liệu quốc gia khi không được phép hoặc ngoài mục đích	80–100 triệu đồng

Một lưu ý về nguồn: ở bài tổng hợp chính sách tháng 11, Tạp chí Luật sư Việt Nam ghi khung 40–60 triệu đồng trong thân bài nhưng tiêu đề lại nói "đến 40 triệu đồng" cho hành vi làm lộ thông tin nhạy cảm. Bảng trên theo cách phân tách của Báo Văn hóa; khi áp dụng cụ thể, nên đối chiếu toàn văn nghị định.

Bốn nhóm vi phạm xác nhận, xác thực

Khoản 3 Điều 15 liệt kê:

Giả mạo kết quả xác nhận, xác thực; xóa hoặc sửa dữ liệu đã được xác thực.
Dùng công cụ, phần mềm tạo kết quả xác thực giả hoặc phá vỡ cơ chế xác thực hợp pháp.
Lợi dụng hoạt động xác thực để che giấu vi phạm hoặc tạo thông tin sai lệch nhằm trục lợi.
Cung cấp dịch vụ xác thực dữ liệu khi chưa đủ điều kiện theo luật.

Không chỉ phạt tiền

Ngoài phạt tiền, người vi phạm có thể bị áp dụng hình thức bổ sung: tước giấy phép, chứng chỉ hành nghề; tịch thu phương tiện vi phạm; đình chỉ hoạt động xử lý dữ liệu. Với hành vi chia sẻ dữ liệu, Điều 13 còn cho phép đình chỉ kết nối, chia sẻ, sử dụng dữ liệu từ 1 đến 6 tháng. Biện pháp khắc phục hậu quả gồm buộc xóa, hủy dữ liệu thu thập hoặc xử lý trái phép và buộc nộp lại số lợi bất hợp pháp.

Với doanh nghiệp sống nhờ kết nối dữ liệu, như nền tảng trung gian, đơn vị cung cấp API, dịch vụ phân tích, việc bị đình chỉ vài tháng có thể gây thiệt hại lớn hơn nhiều so với số tiền phạt.

Vi phạm trước và sau ngày 11/11 xử lý thế nào?

Theo phân tích của Tạp chí Luật sư Việt Nam, hành vi đã kết thúc trước 11/11/2026 được xử lý theo quy định có hiệu lực tại thời điểm thực hiện. Hành vi bắt đầu trước nhưng vẫn tiếp diễn sau ngày này thì áp dụng nghị định mới. Một hệ thống đang chia sẻ dữ liệu ngoài phạm vi hợp đồng từ trước mà chưa dừng lại sẽ chịu mức phạt theo Nghị định 363.

Ví dụ dễ hình dung

Một nhân viên chia sẻ dữ liệu khách hàng cho bên thứ ba vượt quá phạm vi hợp đồng cho phép: 20–40 triệu đồng.
Một công ty chia sẻ dữ liệu quan trọng khi chưa được phép: 160–200 triệu đồng, có thể kèm đình chỉ 1–6 tháng.
Một cá nhân dùng phần mềm tạo kết quả xác thực giả để vượt qua kiểm tra: 60–80 triệu đồng.

Doanh nghiệp nhỏ nên rà soát gì ngay?

Lập danh mục dữ liệu: đang thu thập những gì, từ nguồn nào, đã có sự cho phép của chủ sở hữu chưa.
Đối chiếu mục đích: dữ liệu đang được dùng đúng mục đích đã thông báo hay đã "lan" sang mục đích khác.
Kiểm tra hợp đồng chia sẻ với đối tác: phạm vi, thời hạn, cách hủy dữ liệu khi kết thúc.
Phân quyền truy cập: ai được xuất dữ liệu, có nhật ký truy cập không.
Biện pháp bảo vệ trước khi thu thập: nghị định phạt cả việc thu thập khi chưa có biện pháp bảo vệ dữ liệu.

Với người dùng cá nhân, bài học là thận trọng với những trang, ứng dụng xin quá nhiều quyền hoặc yêu cầu thông tin không liên quan đến dịch vụ. Báo Văn hóa nhắc các nhóm dữ liệu nhạy cảm như đời tư, tình trạng sức khỏe, sinh trắc học, vị trí, mật khẩu tài khoản định danh điện tử, căn cước, tài khoản ngân hàng, lịch sử giao dịch. Ngay cả dữ liệu sức khỏe khi dùng các ứng dụng theo dõi bệnh, như người dùng thường gặp khi tìm hiểu tác hại của việc dùng điện thoại quá nhiều, cũng nên được cân nhắc trước khi cấp quyền. Thói quen chọn sản phẩm có nguồn gốc rõ ràng, như khi phân biệt hàng thật hàng giả, cũng áp dụng được với ứng dụng: chỉ cài từ nhà phát triển có danh tính minh bạch.

Câu hỏi thường gặp

Nghị định 363/2026 có thay Nghị định về xử phạt bảo vệ dữ liệu cá nhân không?

Không. Nghị định 363 không áp dụng với các hành vi đã được điều chỉnh bởi nghị định về an ninh mạng và bảo vệ dữ liệu cá nhân. Hai nhóm quy định tồn tại song song.

Ai có thẩm quyền xử phạt theo Nghị định 363/2026?

Thẩm quyền được quy định trong toàn văn nghị định; các bài báo tham khảo không nêu chi tiết. Doanh nghiệp nên đọc văn bản gốc hoặc hỏi luật sư khi cần xác định cơ quan có thẩm quyền.

Cá nhân bán hàng online lưu danh sách khách có bị phạt không?

Nếu thu thập dữ liệu khi chưa được cho phép, dùng sai mục đích hoặc chia sẻ vượt phạm vi thì có thể vi phạm. Với dữ liệu cá nhân của khách, còn cần tuân thủ quy định riêng về bảo vệ dữ liệu cá nhân.