Ngày 19/8/2026, Chính phủ đã ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực thi hành ngay từ ngày ban hành, đánh dấu bước hoàn thiện quan trọng trong cơ chế thực thi pháp luật về bảo vệ dữ liệu cá nhân tại Việt Nam, đồng thời quy định các chế tài xử phạt đối với những hành vi vi phạm các nguyên tắc bảo vệ dữ liệu cá nhân đã được đặt ra tại Nghị định số 13/2023/NĐ-CP.
Một trong những nội dung đáng chú ý của Nghị định là việc tăng cường xử lý các hành vi vi phạm liên quan đến sự đồng ý của chủ thể dữ liệu cá nhân. Theo đó, nhiều hành vi thu thập, sử dụng và xử lý dữ liệu cá nhân không đúng quy định có thể bị xử phạt đến 70 triệu đồng.
1. Phạt từ 30 đến 50 triệu đồng đối với hành vi xử lý dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ
Theo Khoản 1 Điều 43 Nghị định số 330/2026/NĐ-CP, tổ chức, cá nhân có hành vi vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân có thể bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng. Các hành vi vi phạm bao gồm:
a) Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác;
b) Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó;
c) Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân;
d) Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý;
đ) Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ;
e) Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân;
g) Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền;
h) Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.
2. Phạt từ 50 đến 70 triệu đồng đối với hành vi coi sự im lặng là sự đồng ý
Một trong những điểm mới đáng chú ý nhất của Nghị định số 330/2026/NĐ-CP là quy định xử phạt nghiêm khắc đối với hành vi tự ý suy diễn sự đồng ý của chủ thể dữ liệu.
Theo Điểm b Điều 43 Nghị định số 330/2026/NĐ-CP, tổ chức, cá nhân sẽ bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng nếu: “Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.”
Quy định này nhằm chấm dứt tình trạng sử dụng các cơ chế “đồng ý ngầm”, “đồng ý mặc định” hoặc các thủ thuật thiết kế giao diện khiến người dùng vô tình bị coi là đã chấp thuận cho việc thu thập và sử dụng dữ liệu cá nhân.
Việc ban hành Nghị định số 330/2026/NĐ-CP cho thấy xu hướng tăng cường bảo vệ quyền riêng tư và quyền kiểm soát dữ liệu của cá nhân trong bối cảnh chuyển đổi số ngày càng sâu rộng. Các doanh nghiệp, tổ chức và cá nhân có hoạt động thu thập, lưu trữ hoặc xử lý dữ liệu cá nhân cần rà soát lại toàn bộ quy trình xin và quản lý sự đồng ý của người dùng, bảo đảm tuân thủ đầy đủ các yêu cầu của pháp luật nhằm tránh các rủi ro pháp lý và chế tài xử phạt nghiêm khắc.
Để biết thêm chi tiết, vui lòng liên hệ Công ty luật TNHH Huỳnh Nam.