Nghị định 363/2026/NĐ-CP: Những thay đổi quan trọng về bảo vệ dữ liệu cá nhân bạn cần biết

Nghị định 363/2026/NĐ-CP vừa được Chính phủ ban hành vào ngày 23/9/2026 và sẽ chính thức có hiệu lực thi hành từ ngày 11/11/2026. Văn bản pháp luật này cụ thể hóa các chế tài xử phạt hành chính đối với những hành vi vi phạm trong lĩnh vực dữ liệu, đặc biệt là dữ liệu cá nhân, nhằm tăng cường bảo vệ quyền riêng tư và an ninh thông tin của người dân và tổ chức tại Việt Nam.

Các điểm chính cần lưu ý về Nghị định 363/2026/NĐ-CP

Ngày hiệu lực: Nghị định 363/2026/NĐ-CP có hiệu lực từ ngày 11/11/2026.
Phạm vi áp dụng rộng: Áp dụng cho mọi cơ quan, tổ chức, cá nhân Việt Nam và nước ngoài có liên quan đến hoạt động dữ liệu tại Việt Nam.
Mức phạt tối đa: Cá nhân có thể bị phạt tới 100 triệu đồng, tổ chức bị phạt gấp đôi mức đó cho cùng hành vi vi phạm.
Tập trung vào chế tài: Cụ thể hóa các hình thức xử phạt hành chính và biện pháp khắc phục hậu quả.
Không điều chỉnh các hành vi thuộc Nghị định khác: Cần phân biệt rõ với Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Khung pháp lý mới về bảo vệ dữ liệu cá nhân tại Việt Nam

Nghị định 363/2026/NĐ-CP là một phần quan trọng trong việc hoàn thiện khung pháp lý về bảo vệ dữ liệu cá nhân tại Việt Nam. Cùng với Luật Dữ liệu năm 2024, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (có hiệu lực từ 01/01/2026), Nghị định 356/2025/NĐ-CP (có hiệu lực từ 01/01/2026) và Luật An ninh mạng năm 2025 (có hiệu lực từ 01/7/2026), các văn bản này tạo nên một hệ thống chặt chẽ, nâng cao trách nhiệm của các chủ thể trong việc quản lý và sử dụng dữ liệu.

Luật An ninh mạng năm 2025 lần đầu tiên xác lập khái niệm “an ninh dữ liệu” là một nội dung trọng tâm, cho thấy tầm quan trọng ngày càng tăng của việc bảo vệ dữ liệu trong bối cảnh số hóa.

Những hành vi vi phạm và mức xử phạt theo Nghị định 363/2026/NĐ-CP

Nghị định 363/2026/NĐ-CP quy định chi tiết các hành vi vi phạm hành chính trong lĩnh vực dữ liệu, bao gồm cả hình thức và mức xử phạt cụ thể. Các hành vi này có thể gây ra rủi ro nghiêm trọng cho thông tin cá nhân và an ninh quốc gia.

Các hành vi bị nghiêm cấm và mức phạt

Thu thập, tạo lập dữ liệu làm rò rỉ thông tin nhạy cảm: Phạt tiền từ 40-60 triệu đồng đối với hành vi thu thập, tạo lập dữ liệu làm rò rỉ thông tin nhạy cảm, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.
Giả mạo, làm sai lệch dữ liệu: Phạt tiền từ 40-60 triệu đồng đối với hành vi giả mạo, cố ý làm sai lệch, làm mất, làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự.

Ngoài ra, các nhóm rủi ro phổ biến mà doanh nghiệp thường mắc phải bao gồm thu thập dữ liệu vượt quá mục đích đã thông báo và chuyển dữ liệu khách hàng cho bên thứ ba mà không có sự đồng ý của chủ thể dữ liệu.

Biện pháp khắc phục hậu quả và hình thức xử phạt bổ sung

Bên cạnh việc phạt tiền, Nghị định còn quy định các biện pháp khắc phục hậu quả và hình thức xử phạt bổ sung nhằm đảm bảo tính răn đe và khôi phục tình trạng ban đầu:

Biện pháp khắc phục hậu quả: Buộc ban hành quy trình thu thập, tạo lập dữ liệu; buộc xóa, tiêu hủy dữ liệu đã được thu thập, tạo lập trái quy định; buộc đính chính, hiệu chỉnh, cập nhật dữ liệu được tạo lập sai lệch, giả mạo; buộc áp dụng biện pháp bảo vệ dữ liệu, an toàn dữ liệu và buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm.
Hình thức xử phạt bổ sung: Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề; tịch thu tang vật, phương tiện vi phạm; đình chỉ hoạt động cung cấp, xử lý, kết nối dữ liệu có thời hạn; đình chỉ hoạt động quản trị, vận hành cơ sở/sàn dữ liệu có thời hạn; trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.

Dữ liệu cá nhân nhạy cảm và tầm quan trọng của việc bảo vệ

Nghị định 356/2025/NĐ-CP đã xác định rõ 13 nhóm dữ liệu cá nhân nhạy cảm, đòi hỏi mức độ bảo vệ cao hơn. Các loại dữ liệu này bao gồm:

Thông tin sức khỏe và y tế.
Dữ liệu sinh trắc học (vân tay, khuôn mặt).
Thông tin tài chính, tài khoản ngân hàng.
Dữ liệu về vị trí địa lý.
Dữ liệu theo dõi hành vi trên không gian mạng.
Các thông tin khác có thể gây ảnh hưởng nghiêm trọng đến quyền và lợi ích hợp pháp của cá nhân khi bị xâm phạm.

Việc bảo vệ các loại dữ liệu này là cực kỳ quan trọng để ngăn chặn các hành vi lạm dụng, lừa đảo hoặc gây tổn hại đến cá nhân.

Doanh nghiệp và người dùng cần làm gì để tuân thủ?

Với hiệu lực của Nghị định 363/2026/NĐ-CP sắp tới, các tổ chức, doanh nghiệp và cá nhân cần chủ động thực hiện các biện pháp để đảm bảo tuân thủ pháp luật.

Đối với doanh nghiệp

Rà soát và cập nhật chính sách nội bộ: Doanh nghiệp cần xem xét lại các chính sách bảo mật dữ liệu, quy trình thu thập, xử lý và lưu trữ dữ liệu cá nhân để đảm bảo phù hợp với quy định mới.
Đào tạo nhân viên: Tổ chức các buổi đào tạo về bảo vệ dữ liệu cá nhân và các quy định của Nghị định 363/2026/NĐ-CP cho toàn bộ nhân viên.
Thiết lập cơ chế đồng ý rõ ràng: Đảm bảo có sự đồng ý rõ ràng của chủ thể dữ liệu trước khi thu thập hoặc chuyển giao dữ liệu cho bên thứ ba.
Áp dụng biện pháp bảo mật kỹ thuật: Đầu tư vào các giải pháp công nghệ để bảo vệ dữ liệu khỏi các cuộc tấn công mạng và rò rỉ thông tin.

Đối với người dùng cá nhân

Nâng cao nhận thức: Hiểu rõ quyền lợi và trách nhiệm của mình trong việc bảo vệ dữ liệu cá nhân.
Cẩn trọng khi chia sẻ thông tin: Hạn chế chia sẻ thông tin cá nhân trên mạng xã hội hoặc các nền tảng không đáng tin cậy.
Kiểm tra chính sách bảo mật: Đọc kỹ chính sách bảo mật của các ứng dụng, website trước khi cung cấp thông tin.
Báo cáo vi phạm: Nếu phát hiện thông tin cá nhân bị lộ hoặc bị sử dụng sai mục đích, cần báo cáo ngay cho cơ quan chức năng có thẩm quyền.

Ý nghĩa của Nghị định 363/2026/NĐ-CP đối với bạn

Nghị định 363/2026/NĐ-CP đánh dấu một bước tiến quan trọng trong nỗ lực của Việt Nam nhằm xây dựng một môi trường số an toàn và minh bạch hơn. Đối với người dùng, Nghị định này củng cố quyền được bảo vệ thông tin cá nhân và cung cấp cơ chế pháp lý rõ ràng để xử lý các hành vi vi phạm. Đối với các tổ chức và doanh nghiệp, đây là lời nhắc nhở về nghĩa vụ tuân thủ pháp luật nghiêm ngặt hơn, đồng thời là cơ hội để nâng cao uy tín và lòng tin của khách hàng thông qua việc quản lý dữ liệu một cách có trách nhiệm.

Việc quản trị dữ liệu không còn là vấn đề kỹ thuật thuần túy mà đã trở thành nghĩa vụ pháp lý với chế tài cụ thể, đòi hỏi sự chủ động và nghiêm túc từ tất cả các bên liên quan.

Chưa phân loại