GIỚI THIỆU
Ngày 19/8/2026, Chính phủ đã ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“Nghị định 330”), có hiệu lực kể từ ngày ban hành. Nghị định quy định cụ thể các hành vi vi phạm, hình thức và mức xử phạt, biện pháp khắc phục hậu quả, thẩm quyền xử phạt và việc thi hành quyết định xử phạt trong hai lĩnh vực này.
Là văn bản tất yếu phải được ban hành nối tiếp Luật An ninh mạng 2025 và Luật Bảo vệ dữ liệu cá nhân 2025, Nghị định 330 quy định cụ thể các hình thức xử phạt đối với các hành vi vi phạm đã được các luật này quy định, thúc đẩy nghĩa vụ tuân thủ và tạo cơ chế xử lý hành chính đối với các hành vi vi phạm.
Liên quan trực tiếp đến doanh nghiệp, các chế tài của Nghị định 330 không chỉ dừng ở phạt tiền mà tùy hành vi, doanh nghiệp có thể bị áp dụng đồng thời các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả mang tính quyết định đối với hoạt động kinh doanh như đình chỉ hoạt động, tước quyền sử dụng giấy phép, buộc dừng xử lý hoặc chuyển dữ liệu hay buộc hủy hoặc xóa dữ liệu.
Do đó, CNC thực hiện bài viết này với định hướng này tập trung vào các nhóm quy định có ảnh hưởng đáng kể đến doanh nghiệp và các khuyến nghị thực tiễn được trình bày sau đây.
1. Ảnh hưởng của đối tượng áp dụng và hiệu lực
1.1. Đối tượng áp dụng bao gồm tổ chức có yếu tố nước ngoài
Nghị định 330 có phạm vi áp dụng rất rộng, bao gồm cả cá nhân, tổ chức Việt Nam và cá nhân, tổ chức nước ngoài. Theo Điều 2.1, cá nhân, tổ chức nước ngoài thuộc đối tượng áp dụng của Nghị định khi thực hiện hành vi vi phạm hành chính trong lĩnh vực an ninh mạng hoặc bảo vệ dữ liệu cá nhân “trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của nước Cộng hòa xã hội chủ nghĩa Việt Nam; trên tàu bay mang quốc tịch Việt Nam, tàu biển mang cờ quốc tịch Việt Nam”.
Phạm vi áp dụng đối với tổ chức có yếu tố nước ngoài được quy định cụ thể tại Điều 2.2(đ) Nghị định 330. Theo đó, “tổ chức” thuộc đối tượng áp dụng Nghị định 330, trong số các đối tượng khác, bao gồm “cơ quan, tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và của người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam và đã được cấp giấy chứng nhận căn cước”.
Quy định này đã loại trừ các yếu tố quốc tịch, nơi thành lập hoặc hiện diện của tổ chức tại Việt Nam của cơ quan, tổ chức trong việc xác định vi phạm quy định pháp luật về bảo vệ DLCN. Thay vào đó, tiêu chí xác định đối tượng áp dụng chỉ còn phụ thuộc vào mối quan hệ của cơ quan, tổ chức nước ngoài với hoạt động xử lý dữ liệu cá nhân của các chủ thể dữ liệu thuộc phạm vi quy định.
Theo đó, một cơ quan, tổ chức được thành lập và hoạt động ở nước ngoài, không có chi nhánh, văn phòng đại diện, địa điểm kinh doanh hoặc cơ sở hoạt động tại Việt Nam, vẫn sẽ thuộc đối tượng áp dụng của Nghị định 330 nếu cơ quan, tổ chức đó trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam hoặc của người gốc Việt Nam thuộc trường hợp được quy định tại Điều 2.2(đ). Các cơ quan, tổ chức nước ngoài, do đó cần đánh giá phạm vi áp dụng của Nghị định 330 trên cơ sở quốc tịch của chủ thể dữ liệu liên quan đến hoạt động xử lý DLCN của cơ quan, tổ chức đó.
1.2. Hiệu lực và điều khoản chuyển tiếp
Nghị định 330 có hiệu lực kể từ ngày 19/8/2026. Doanh nghiệp vì vậy cần xem ngày thực hiện hành vi hoặc ngày lập biên bản vi phạm hành chính là yếu tố đầu tiên khi đánh giá khả năng áp dụng chế tài. [1]
Đối với hành vi xảy ra trước ngày 19/8/2026 nhưng sau đó mới bị phát hiện hoặc đang được xem xét, giải quyết, nguyên tắc chung là áp dụng quy định xử phạt có hiệu lực tại thời điểm thực hiện hành vi trừ trường hợp Nghị định 330 không quy định trách nhiệm pháp lý hoặc quy định trách nhiệm pháp lý nhẹ hơn thì áp dụng Nghị định 330. [2]
Đối với hành vi vi phạm hành chính đã được lập biên bản vi phạm hành chính trước ngày Nghị định 330 có hiệu lực thi hành mà chưa ban hành quyết định xử phạt thì việc áp dụng trách nhiệm pháp lý nhẹ hơn vẫn có khả năng được áp dụng sau khi đối chiếu quy định tại Điều 80.2.
Đây là điểm cần được đưa vào quy trình rà soát sự cố và điều tra nội bộ. Đối với một vụ việc kéo dài qua thời điểm 19/8/2026, doanh nghiệp cần lập tiến trình của hành vi, thời điểm phát hiện, thời điểm lập biên bản và tình trạng quyết định xử phạt để xác định chế độ chuyển tiếp và đánh giá khả năng được áp dụng quy định về trách nhiệm pháp lý nhẹ hơn.
2. Phân hóa rủi ro tuân thủ phụ thuộc vào hoạt động kinh doanh
2.1. Nhóm 1 – Doanh nghiệp phát sinh hoạt động xử lý dữ liệu cá nhân trong hoạt động kinh doanh thông thường
Nhóm này bao gồm các doanh nghiệp không kinh doanh các dịch vụ về xử lý dữ liệu nhưng thu thập và xử lý dữ liệu của người lao động, khách hàng, nhà cung cấp hoặc đối tác để phục vụ hoạt động vận hành vì các vi phạm về nguyên tắc xử lý, sự đồng ý, quyền của chủ thể dữ liệu, DPIA, chuyển giao dữ liệu và bảo mật đều gần như có thể phát sinh trong bất kỳ hoạt động kinh doanh thông thường nào.
Các rủi ro nền tảng của nhóm này có thể gồm xử lý sai phạm vi hoặc mục đích, lưu trữ quá thời hạn, không bảo đảm tính chính xác, không phòng ngừa, phát hiện, phối hợp xử lý vi phạm kịp thời; xử lý dữ liệu mà chưa có sự đồng ý hợp lệ; thiết lập cơ chế mặc định đồng ý hoặc coi im lặng là đồng ý; và không lập, duy trì hoặc nộp Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (“DPIA”) theo quy định.
Đặc biệt, cơ chế sự đồng ý cần được rà soát trên toàn bộ website, ứng dụng, biểu mẫu điện tử, trung tâm hỗ trợ và các kênh thu thập khác. Nghị định 330 xử phạt cả việc thiết lập phương thức mặc định đồng ý, không bảo đảm khả năng kiểm chứng việc đồng ý, không tách bạch từng mục đích xử lý, không cung cấp thông tin minh bạch và việc coi sự im lặng hoặc không phản hồi là đồng ý. Đối với một số hành vi, biện pháp khắc phục là buộc hủy, xóa dữ liệu tới mức không thể khôi phục. [3]
DPIA là một cơ chế kiểm soát tuân thủ độc lập. Doanh nghiệp bắt đầu xử lý dữ liệu cá nhân nhưng không lập hoặc không duy trì DPIA, hoặc không gửi bản chính DPIA trong thời hạn 60 ngày kể từ ngày đầu tiên xử lý dữ liệu, có thể bị xử phạt; đồng thời có thể bị buộc dừng hoạt động xử lý cho đến khi hoàn thành đầy đủ nghĩa vụ và được cơ quan chuyên trách xác nhận. [4]
2.2. Nhóm 2 – Doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân
Nhóm này có mức độ rủi ro cao hơn về mặt cấu trúc vì hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân yêu cầu đáp ứng các điều kiện kinh doanh đặc thù. Những doanh nghiệp chịu ảnh hưởng điển hình có thể kể đến nhà cung cấp SaaS, nền tảng phân tích dữ liệu, dịch vụ lưu trữ hoặc các nhà cung cấp xử lý dữ liệu cho khách hàng.
Nghị định 330 đặc biệt quy định cơ chế xử phạt việc kinh doanh dịch vụ xử lý dữ liệu cá nhân khi chưa được cấp Giấy chứng nhận đủ điều kiện; việc bố trí nhân sự bảo vệ dữ liệu cá nhân không đáp ứng yêu cầu về trình độ, kinh nghiệm hoặc đào tạo; và việc không có tối thiểu 03 nhân sự đáp ứng điều kiện năng lực. Ngoài ra còn tồn tại một khung phạt riêng đối với trường hợp tiếp tục kinh doanh sau khi Giấy chứng nhận đã bị thu hồi. [5]
Ngay cả khi đã được cấp Giấy chứng nhận, doanh nghiệp vẫn phải duy trì khung quản trị rủi ro, quy định về trách nhiệm và quyền hạn, tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân và an ninh mạng; bảo đảm xử lý đúng mục đích, giới hạn thu thập, chuyển giao, lưu trữ; và thực hiện đánh giá hiện trạng tuân thủ, mức độ tín nhiệm định kỳ hằng năm. Vi phạm có thể kéo theo nghĩa vụ hủy, xóa dữ liệu và nộp lại khoản thu có được. [6]
Do đó, rủi ro của nhóm 2 trở thành rủi ro kép. Một mặt là chế tài hành chính đối với chính hành vi vi phạm, mặt khác là rủi ro gián đoạn dịch vụ và rủi ro hợp đồng với khách hàng nếu doanh nghiệp bị đình chỉ hoặc không còn đủ điều kiện cung cấp dịch vụ.
3. Các nhóm hành vi có mức phạt tiền đáng lưu ý đối với doanh nghiệp
Nghị định 330 thiết lập các khung phạt tiền ở ngưỡng rất cao đối với một số hành vi vi phạm nghiêm trọng quy định về bảo vệ dữ liệu cá nhân, qua đó thể hiện mức độ bảo vệ ngày càng nghiêm ngặt của pháp luật Việt Nam đối với quyền riêng tư nói chung và quyền kiểm soát dữ liệu cá nhân nói riêng – những quyền gắn liền với quyền nhân thân cơ bản của cá nhân. Đối với một số hành vi, mức phạt không chỉ được xác định theo một khoản tiền cố định mà còn gắn với doanh thu hoặc khoản thu có được từ hành vi vi phạm. Cách tiếp cận này được học hỏi từ xu hướng lập pháp và thực thi pháp luật về bảo vệ dữ liệu cá nhân trên thế giới, tiêu biểu như Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu (GDPR), theo đó mức phạt có thể lên tới 4% tổng doanh thu toàn cầu của năm tài chính liền trước, Luật Bảo vệ thông tin cá nhân của Trung Quốc (PIPL) với mức phạt có thể lên tới 5% doanh thu của năm trước hay Luật Bảo vệ dữ liệu cá nhân của Brazil (LGPD) với mức phạt có thể lên tới 2% doanh thu tại Brazil, tùy trường hợp.
| Hành vi vi phạm | Căn cứ pháp lý | Mức phạt tiền áp dụng đối với tổ chức |
| Chuyển dữ liệu cá nhân xuyên biên giới dẫn đến lộ, mất dữ liệu cá nhân của số lượng lớn chủ thể dữ liệu hoặc tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng chuyển | Khoản 3 đến 6 Điều 56 | Từ 1% đến 5% tổng doanh thu của năm tài chính liền trước tại thị trường Việt Nam, tùy trường hợp. Trường hợp tổ chức không có doanh thu tại thị trường Việt Nam trong năm tài chính liền trước hoặc mức phạt tính theo tỷ lệ phần trăm doanh thu thấp hơn 3 tỷ đồng, áp dụng mức phạt tiền từ 200 triệu đồng đến 3 tỷ đồng theo quy mô và tính chất hành vi. |
| Mua, bán trái phép dữ liệu cá nhân | Khoản 1 đến 5 Điều 53 | Phạt tiền từ 02 lần đến tối đa 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp không có khoản thu hoặc mức phạt tính theo khoản thu thấp hơn mức phạt theo cơ chế thay thế, áp dụng mức phạt theo quy mô và tính chất hành vi vi phạm. |
| Mua, bán trái phép dữ liệu cá nhân trong trường hợp không xác định được khoản thu – quy mô lớn | Điểm c khoản 3 và khoản 4, 5 Điều 53 | 500 triệu đồng đến 1 tỷ đồng đối với dữ liệu cá nhân cơ bản của từ 10.000 chủ thể dữ liệu trở lên hoặc dữ liệu cá nhân nhạy cảm của từ 2.000 chủ thể dữ liệu trở lên. |
| Thu thập dữ liệu cá nhân trái pháp luật bằng biện pháp công nghệ, kỹ thuật với quy mô lớn | Điểm d khoản 3, khoản 5 và 6 Điều 48 | 500 triệu đồng đến 800 triệu đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 5.000 chủ thể dữ liệu trở lên hoặc dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể dữ liệu trở lên. |
| Thu thập dữ liệu cá nhân trái pháp luật bằng biện pháp công nghệ, kỹ thuật với quy mô từ trung bình đến lớn | Điểm c khoản 3, khoản 5 và 6 Điều 48 | 300 triệu đồng đến 500 triệu đồng đối với dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể dữ liệu hoặc dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể dữ liệu. |
* Đối với hành vi chuyển dữ liệu cá nhân xuyên biên giới thuộc trường hợp có mức phạt tính theo doanh thu, mức phạt được xác định trong khoảng từ 3% đến 5% tổng doanh thu của năm tài chính liền trước tại thị trường Việt Nam. Trường hợp tổ chức không có doanh thu hoặc mức phạt tính theo doanh thu thấp hơn 3 tỷ đồng, mức phạt được chuyển sang khung tiền phạt từ 1 tỷ đồng đến 3 tỷ đồng theo quy định tương ứng của Điều 56. Đối với trường hợp vi phạm ở mức độ đặc biệt nghiêm trọng, việc áp dụng tỷ lệ phần trăm doanh thu làm cho mức xử phạt tăng theo quy mô hoạt động của doanh nghiệp, qua đó hạn chế khả năng mức phạt trở nên không đáng kể đối với các doanh nghiệp có doanh thu lớn.
** Đối với hành vi mua, bán trái phép dữ liệu cá nhân, khoản thu được từ hành vi vi phạm là một căn cứ trực tiếp để xác định mức phạt và được xác định mà không khấu trừ các khoản chi phí liên quan đến việc thực hiện giao dịch. Trong trường hợp không xác định được khoản thu, Nghị định áp dụng cơ chế phạt thay thế dựa trên quy mô dữ liệu hoặc tính chất của hành vi vi phạm. Cách tiếp cận này cho thấy nghĩa vụ xử phạt không phụ thuộc vào việc doanh nghiệp có đạt được lợi nhuận thực tế hay không; việc phát sinh chi phí để thực hiện hành vi vi phạm không làm giảm khoản thu được sử dụng làm căn cứ tính phạt.
*** Đối với hành vi thu thập dữ liệu cá nhân trái pháp luật bằng biện pháp công nghệ, kỹ thuật, mức phạt được phân hóa theo số lượng chủ thể dữ liệu và loại dữ liệu bị thu thập. Đối với trường hợp quy mô lớn, mức phạt từ 500 triệu đồng đến 800 triệu đồng được áp dụng khi hành vi liên quan đến dữ liệu cá nhân cơ bản của từ 5.000 chủ thể trở lên hoặc dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể trở lên. Việc định lượng ngưỡng vi phạm theo số lượng chủ thể dữ liệu cho thấy mức độ xử phạt được gắn trực tiếp với quy mô của hoạt động thu thập trái pháp luật.
Việc Nghị định 330 thiết lập mức phạt tối thiểu trong các trường hợp không có doanh thu, không có khoản thu hoặc doanh thu, khoản thu được xác định thấp hơn ngưỡng của khung phạt có ý nghĩa đáng kể đối với doanh nghiệp. Theo đó, việc không phát sinh hoặc chỉ phát sinh doanh thu, khoản thu ở mức thấp không đương nhiên dẫn đến mức xử phạt thấp. Khi hành vi đã thuộc trường hợp áp dụng khung phạt tương ứng, mức phạt vẫn phải được xác định trong giới hạn tối thiểu của khung đó.
Cơ chế này cho thấy mức độ chế tài được xác định không chỉ dựa trên thiệt hại hoặc lợi ích kinh tế mà doanh nghiệp thực tế thu được từ hành vi vi phạm, mà còn dựa trên tính chất và mức độ của hành vi được Nghị định định lượng theo quy mô dữ liệu, số lượng chủ thể dữ liệu hoặc các tiêu chí pháp lý khác. Theo đó, trong một số trường hợp, quy mô doanh thu hoặc khoản thu không phải là yếu tố quyết định duy nhất đến mức phạt. [7]
Cần nhắc lại một điểm quan trọng rằng khi đánh giá rủi ro xử phạt, doanh nghiệp không nên chỉ dựa trên giá trị kinh tế của giao dịch hoặc doanh thu phát sinh từ hành vi vi phạm. Ngay cả khi doanh thu hoặc khoản thu không đáng kể, doanh nghiệp vẫn có thể phải chịu một mức phạt tiền lớn nếu hành vi đã đáp ứng các điều kiện áp dụng của khung phạt tương ứng. Đây là yếu tố cần được xem xét khi đánh giá mức độ nghiêm trọng của các vi phạm liên quan đến dữ liệu cá nhân.
4. Các hình phạt bổ sung và biện pháp khắc phục hậu quả có thể ảnh hưởng trực tiếp đến hoạt động kinh doanh
Bên cạnh hình thức phạt tiền, nhiều hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả được quy định tại Nghị định 330 cũng sẽ tác động trực tiếp đến việc doanh nghiệp tiếp tục thực hiện hoạt động kinh doanh, cung cấp dịch vụ hoặc xử lý dữ liệu cá nhân.
Điểm đáng lưu ý là hệ quả kinh tế của một quyết định xử phạt không chỉ dừng lại ở số tiền phạt. Tùy tính chất hành vi, doanh nghiệp có thể bị hạn chế hoặc không thể tiếp tục thực hiện một hoạt động kinh doanh, bị buộc ngừng một luồng xử lý dữ liệu, phải xóa dữ liệu đã được tích lũy hoặc phải thực hiện các biện pháp kỹ thuật và quản trị có thể làm thay đổi đáng kể mô hình vận hành. [8]
4.1. Đình chỉ hoạt động chuyển dữ liệu cá nhân xuyên biên giới
Theo Điều 56.5, tổ chức có thể bị đình chỉ hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng trong các trường hợp được quy định tại Điều 56.3.
Chế tài này đang tác động trực tiếp vào các doanh nghiệp có hệ thống xử lý dữ liệu được phân bổ giữa Việt Nam và nước ngoài. Việc bị đình chỉ có thể buộc doanh nghiệp phải tạm thời dừng việc chuyển dữ liệu sang các hệ thống, nhà cung cấp hoặc đơn vị nhận dữ liệu ở nước ngoài trong thời gian bị đình chỉ.
Hệ quả thực tế sẽ phụ thuộc vào cấu trúc hệ thống và dòng dữ liệu của từng doanh nghiệp. Nếu hoạt động kinh doanh phụ thuộc vào việc dữ liệu khách hàng, người lao động hoặc người sử dụng được truyền sang hệ thống ở nước ngoài để lưu trữ, quản trị, phân tích hoặc cung cấp dịch vụ, doanh nghiệp có thể phải tạm dừng hoặc thay đổi phương thức cung cấp sản phẩm, dịch vụ, chuyển hệ thống sang phương án xử lý thay thế hoặc tái cấu trúc luồng dữ liệu để tiếp tục hoạt động phù hợp với quyết định xử phạt.
Do đó, rủi ro trọng yếu là doanh nghiệp không thể duy trì mô hình xử lý dữ liệu hiện tại trong toàn bộ thời gian đình chỉ. Đối với các doanh nghiệp có mức độ phụ thuộc cao vào hạ tầng hoặc hệ thống xử lý dữ liệu ở nước ngoài, việc này có thể kéo theo chi phí chuyển đổi hệ thống, thay đổi nhà cung cấp, tái cấu trúc quy trình hoặc gián đoạn cung cấp dịch vụ.
4.2. Buộc dừng hoạt động xử lý dữ liệu cá nhân do vi phạm quy định về đánh giá tác động
Đối với một số vi phạm về hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, Nghị định 330 quy định biện pháp khắc phục hậu quả buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận.[9]
Trước hết, cần phân biệt biện pháp này với hình thức xử phạt bổ sung là “đình chỉ hoạt động”. Biện pháp khắc phục hậu quả nhằm loại bỏ tình trạng vi phạm và sẽ cho phép tiếp tục hoạt động khi điều kiện khắc phục đã được đáp ứng. [10]
Đối với doanh nghiệp mà xử lý dữ liệu là một phần không thể tách rời của hoạt động kinh doanh, việc buộc dừng xử lý có thể dẫn đến hậu quả rộng hơn phạm vi của chính hoạt động xử lý dữ liệu. Chẳng hạn, nếu doanh nghiệp cần dữ liệu để thực hiện dịch vụ, duy trì tài khoản khách hàng, quản lý quan hệ khách hàng hoặc thực hiện một quy trình nghiệp vụ nhất định, việc không được tiếp tục xử lý dữ liệu có thể làm doanh nghiệp không thể thực hiện đầy đủ hoặc đúng thời hạn các nghĩa vụ dịch vụ tương ứng.
Do đó, tác động của biện pháp này phụ thuộc rất lớn vào mức độ phụ thuộc của mô hình kinh doanh vào hoạt động xử lý dữ liệu, tuy nhiên về cơ bản sẽ bao gồm đình trệ hoặc gián đoạn hoạt động có sử dụng DLCN, phải tạm dừng tiếp nhận hoặc xử lý một số nghiệp vụ, phát sinh chi phí khắc phục và hoàn thiện hồ sơ, nguy cơ phát sinh tranh chấp nếu doanh nghiệp không thể thực hiện nghĩa vụ với khách hàng hoặc đối tác trong thời gian bị dừng xử lý.
4.3. Buộc hủy, xóa dữ liệu đến mức không thể khôi phục
Nghị định 330 quy định trong nhiều trường hợp biện pháp khắc phục hậu quả buộc hủy, xóa dữ liệu đến mức không thể khôi phục đối với dữ liệu được thu thập, xử lý, mua bán hoặc chuyển giao trái quy định.
Đây là một trong những biện pháp có khả năng gây ảnh hưởng sâu rộng nhất đối với doanh nghiệp, bởi đối tượng bị tác động không chỉ là một hoạt động xử lý trong tương lai mà có thể là toàn bộ tập dữ liệu đã được tích lũy và đang được sử dụng cho hoạt động kinh doanh.
Đối với dữ liệu đã được thu thập và tích lũy trong thời gian dài, việc buộc xóa đến mức không thể khôi phục có thể làm doanh nghiệp mất khả năng tiếp tục sử dụng dữ liệu đó cho các mục đích hợp pháp khác, đồng thời phải xác định và xử lý dữ liệu trên tất cả hệ thống lưu trữ và các bản sao đã được cung cấp hoặc chuyển giao theo phạm vi của quyết định và quy định áp dụng.
Hệ quả này đặc biệt đáng lưu ý đối với các mô hình mà dữ liệu có giá trị thương mại hoặc giá trị vận hành cao. Sau khi dữ liệu phải được xóa, doanh nghiệp không thể giả định rằng việc sao lưu dữ liệu nội bộ sẽ cho phép tiếp tục sử dụng dữ liệu đó; ngược lại, doanh nghiệp phải có khả năng chứng minh rằng dữ liệu thuộc phạm vi phải xóa đã được xử lý phù hợp.
Do đó, hệ quả nghiêm trọng có thể phát sinh bao gồm mất nguồn dữ liệu phục vụ hoạt động kinh doanh; chi phí tái xây dựng cơ sở dữ liệu; mất khả năng khai thác dữ liệu đã tích lũy; phát sinh nghĩa vụ thực hiện xóa hoặc yêu cầu xóa đối với bên thứ ba đã nhận dữ liệu; và chi phí chứng minh việc đã hoàn thành biện pháp khắc phục.
4.4. Tịch thu và đình chỉ hoạt động đối với hoạt động cung cấp dịch vụ bảo vệ hoặc xử lý dữ liệu
Đối với hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân, Nghị định 330 quy định trong các trường hợp tương ứng có thể áp dụng tịch thu tang vật, phương tiện vi phạm hành chính và đình chỉ có thời hạn hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân.
Đối với hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân, Nghị định còn đặt ra các điều kiện về Giấy chứng nhận đủ điều kiện kinh doanh, nhân sự và hệ thống quản trị; việc kinh doanh khi chưa đủ điều kiện hoặc tiếp tục kinh doanh trong trường hợp Giấy chứng nhận không còn hiệu lực có thể dẫn đến các chế tài tương ứng, bao gồm đình chỉ hoạt động và các biện pháp khắc phục về dữ liệu và khoản thu.[11]
Về bản chất, đây không còn đơn thuần là một nghĩa vụ tuân thủ nội bộ. Khi giấy phép hoặc điều kiện kinh doanh bị ảnh hưởng, quyền tiếp tục cung cấp dịch vụ của doanh nghiệp có thể bị hạn chế trực tiếp.
Đối với doanh nghiệp cung cấp dịch vụ cho nhiều khách hàng, hệ quả còn có thể lan sang các quan hệ hợp đồng đang tồn tại: doanh nghiệp có thể không còn đủ khả năng thực hiện một số dịch vụ đã cam kết trong thời gian bị đình chỉ hoặc trong thời gian phải khắc phục điều kiện kinh doanh. Tuy nhiên, việc phát sinh trách nhiệm bồi thường hoặc vi phạm hợp đồng phải được đánh giá theo từng hợp đồng và pháp luật áp dụng, không phải là hệ quả tự động của quyết định xử phạt.
5. Xử phạt tổ chức không có hiện diện vật lý tại Việt Nam
Như đã trình bày tại Mục 1 của bài viết này, việc tổ chức nước ngoài không có trụ sở hoặc cơ sở hoạt động tại Việt Nam không đồng nghĩa với việc cơ quan có thẩm quyền không thể xác định hành vi vi phạm và ban hành quyết định xử phạt, nếu tổ chức đó thuộc đối tượng áp dụng của Điều 2 và hành vi thực tế cấu thành vi phạm hành chính theo Chương II Nghị định 330.
5.2. Quyết định xử phạt vẫn có thể được gửi cho tổ chức ở nước ngoài
Theo Luật Xử lý vi phạm hành chính hiện hành, trong thời hạn 03 ngày làm việc kể từ ngày ra quyết định xử phạt, người đã ra quyết định phải gửi quyết định cho cá nhân, tổ chức bị xử phạt và các cơ quan liên quan để thi hành. Việc gửi có thể được thực hiện bằng giao trực tiếp, gửi qua dịch vụ bưu chính bằng hình thức bảo đảm hoặc gửi bằng phương thức điện tử; trong trường hợp không thể thực hiện các phương thức này, pháp luật còn quy định cơ chế niêm yết công khai.
Điểm này có ý nghĩa đối với trường hợp tổ chức nước ngoài không có văn phòng hoặc người đại diện thường trú tại Việt Nam: sự vắng mặt về mặt địa lý không tự thân làm cho thủ tục gửi quyết định xử phạt không thể tiến hành. Tuy nhiên, cách thức gửi và điều kiện để quyết định được coi là đã giao vẫn phải tuân thủ quy định của Luật Xử lý vi phạm hành chính và quy định hướng dẫn thi hành.
Sau khi quyết định được giao hợp lệ, tổ chức bị xử phạt có nghĩa vụ chấp hành trong thời hạn được ghi trong quyết định; quyết định xử phạt đồng thời phải xác định thời hạn, địa điểm thi hành, nơi nộp tiền phạt và trách nhiệm thi hành cũng như việc cưỡng chế trong trường hợp không tự nguyện chấp hành.
5.3. Cơ chế cưỡng chế áp dụng theo Luật Xử lý vi phạm hành chính
Điều 6 Nghị định 330 quy định rõ rằng khi hết thời hạn thi hành mà cá nhân, tổ chức vi phạm không tự nguyện chấp hành thì bị cưỡng chế thi hành theo quy định của Luật Xử lý vi phạm hành chính.
Theo Luật Xử lý vi phạm hành chính, các biện pháp cưỡng chế thi hành quyết định xử phạt có thể bao gồm, tùy từng trường hợp, khấu trừ tiền từ tài khoản; kê biên tài sản có giá trị tương ứng với số tiền phạt để bán đấu giá; thu tiền, tài sản của đối tượng bị cưỡng chế do tổ chức, cá nhân khác đang giữ; buộc thực hiện biện pháp khắc phục hậu quả và các biện pháp cưỡng chế khác theo luật định.
Đáng chú ý, đối với tài khoản của tổ chức bị cưỡng chế tại tổ chức tín dụng, Kho bạc Nhà nước hoặc chi nhánh ngân hàng nước ngoài, pháp luật quy định trách nhiệm cung cấp thông tin về điều kiện thi hành quyết định, phong tỏa số tiền tương ứng và thực hiện trích chuyển số tiền phải nộp theo yêu cầu của người có thẩm quyền cưỡng chế, trong các điều kiện luật định.
Do đó, nếu tổ chức nước ngoài không có hiện diện tại Việt Nam nhưng có tài khoản, tài sản hoặc lợi ích tài sản thuộc phạm vi mà pháp luật Việt Nam cho phép áp dụng biện pháp cưỡng chế, về nguyên tắc cơ quan có thẩm quyền vẫn có thể sử dụng cơ chế cưỡng chế tương ứng theo Luật Xử lý vi phạm hành chính.
6. Khuyến nghị hành động
Bước 1: Nhận diện và xác định mô hình xử lý dữ liệu
Doanh nghiệp nên thực hiện rà soát tổng thể hoạt động xử lý dữ liệu cá nhân để xác định phạm vi dữ liệu, mục đích xử lý, căn cứ xử lý, vai trò của các bên và các luồng dữ liệu có liên quan. Việc rà soát cần bao quát loại và tính chất dữ liệu, số lượng chủ thể dữ liệu, mục đích và thời hạn xử lý, địa điểm lưu trữ, bên được cung cấp hoặc tiếp cận dữ liệu, việc chuyển dữ liệu xuyên biên giới và vai trò của từng chủ thể trong hoạt động xử lý.
Bên cạnh đó, doanh nghiệp cần xác định liệu hoạt động thực tế có thuộc trường hợp kinh doanh dịch vụ xử lý dữ liệu cá nhân hoặc hoạt động có điều kiện theo Nghị định 330 hay không, đồng thời xác định các nghĩa vụ pháp lý tương ứng với từng mô hình xử lý.
Bước 2: Hoàn thiện hồ sơ pháp lý và cơ chế quản trị tuân thủ
Sau khi xác định được mô hình xử lý, doanh nghiệp cần rà soát và hoàn thiện hệ thống hồ sơ, tài liệu và quy trình nhằm chứng minh việc đáp ứng các yêu cầu pháp luật áp dụng. Tùy trường hợp, hệ thống này có thể bao gồm hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới, tài liệu chứng minh sự đồng ý, danh mục và hồ sơ quản lý dữ liệu, quy trình thực hiện quyền của chủ thể dữ liệu, quy trình và hồ sơ ứng phó sự cố, thỏa thuận xử lý dữ liệu với nhà cung cấp, cùng hồ sơ về nhân sự hoặc bộ phận phụ trách bảo vệ dữ liệu cá nhân.
Việc xây dựng hồ sơ cần được thực hiện đồng bộ với cơ chế phân công trách nhiệm, phê duyệt, cập nhật và lưu trữ để bảo đảm doanh nghiệp có thể chứng minh tình trạng tuân thủ tại thời điểm kiểm tra hoặc khi phát sinh yêu cầu của cơ quan có thẩm quyền.
Bước 3: Chuyển hóa yêu cầu pháp lý thành biện pháp kiểm soát thực tế
Các yêu cầu về bảo vệ dữ liệu cá nhân cần được chuyển hóa thành các biện pháp quản lý, tổ chức và kỹ thuật có khả năng áp dụng và kiểm tra trong thực tế. Tùy theo tính chất hoạt động, doanh nghiệp cần xem xét các biện pháp phù hợp như mã hóa, kiểm soát truy cập, xác thực đa yếu tố, ghi nhật ký, cơ chế ghi nhận và quản lý sự đồng ý, quy trình xóa dữ liệu, phân tách cơ chế sao lưu và xóa dữ liệu, kiểm soát nhà cung cấp và kiểm soát việc chuyển dữ liệu xuyên biên giới.
Các biện pháp này không chỉ nhằm phòng ngừa và hạn chế hành vi vi phạm mà còn phải bảo đảm doanh nghiệp có khả năng phát hiện, xử lý, khắc phục và chứng minh việc thực hiện các nghĩa vụ pháp lý trong thời hạn áp dụng khi phát sinh sự cố hoặc yêu cầu từ cơ quan có thẩm quyền.
7. Kết luận
Nghị định 330 làm thay đổi đáng kể cách doanh nghiệp nên nhìn nhận rủi ro tuân thủ trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Mức độ rủi ro không còn giới hạn ở một khoản phạt tiền cố định. Đối với một số hành vi, mức phạt được tính theo doanh thu hoặc khoản thu; đồng thời cơ quan có thẩm quyền có thể áp dụng các biện pháp có tác động trực tiếp đến dữ liệu, hệ thống và khả năng tiếp tục kinh doanh.
Ba nhóm rủi ro cần được ưu tiên ở cấp quản trị doanh nghiệp là: (i) mức độ rủi ro tài chính, đặc biệt đối với chuyển dữ liệu xuyên biên giới và mua bán dữ liệu; (ii) mất mát tài sản số do nghĩa vụ hủy/xóa dữ liệu tới mức không thể khôi phục; và (iii) gián đoạn hoạt động kinh doanh do buộc dừng xử lý/chuyển dữ liệu, đình chỉ hoạt động hoặc mất điều kiện cung cấp dịch vụ.
Đối với doanh nghiệp thông thường, ưu tiên trước mắt là hợp pháp hóa căn cứ xử lý và sự đồng ý, hoàn thiện DPIA, kiểm soát chuyển dữ liệu và thiết lập quy trình thực hiện quyền chủ thể và ứng phó sự cố. Đối với nhà cung cấp dịch vụ xử lý dữ liệu, cần bổ sung một nhóm công việc riêng về điều kiện kinh doanh, Giấy chứng nhận, nhân sự và khung quản trị rủi ro.
Về phương diện quản trị, doanh nghiệp nên coi Nghị định 330 là một yêu cầu trong hoạt động kinh doanh. Một chương trình tuân thủ hiệu quả không chỉ phải trả lời câu hỏi “doanh nghiệp có vi phạm hay không”, mà còn phải chứng minh được “doanh nghiệp có thể phát hiện, ngăn chặn, khắc phục và tiếp tục hoạt động một cách có kiểm soát nếu có sự cố hoặc quyết định xử lý của cơ quan có thẩm quyền hay không”.
Khuyến nghị cuối cùng là thực hiện một đánh giá khoảng cách tuân thủ có tài liệu hóa trong 90 ngày đầu kể từ thời điểm Nghị định 330 có hiệu lực, ưu tiên các luồng dữ liệu xuyên biên giới, các hoạt động thu thập tự động, hoạt động mua/bán/chuyển giao dữ liệu có thu phí, các mô hình SaaS/điện toán đám mây và các hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân.
CNC có thể hỗ trợ gì?
- Đầu tư trong và ngoài nước: Thành lập công ty, Đăng ký đầu tư và Tuân thủ sau đăng ký chẳng hạn như thuế, kế toán, lao động, bảo hiểm, tiền lương và Phòng pháp chế thuê ngoài;
- Giấy phép hoạt động: Chúng tôi hỗ trợ xin giấy phép hoạt động cho các hoạt động kinh doanh cụ thể như sản xuất, thương mại, dịch vụ, thương mại điện tử, y tế, giáo dục hoặc thực phẩm & đồ uống (nhà hàng) v.v.;
- Dịch vụ M&A: Thực hiện Báo Cáo Thẩm Định Pháp Lý; Xây dựng cấu trúc giao dịch; Soạn thảo và Đàm phán tài liệu giao dịch; Tư vấn tuân thủ luật cạnh tranh, bao gồm hồ sơ kiểm soát tập trung kinh tế và phê duyệt liên quan; Xin các phê duyệt và giấy phép cần thiết; và hỗ trợ Hậu giao dịch:
- Bảo vệ dữ liệu cá nhân: hỗ trợ tuân thủ các quy định về bảo vệ dữ liệu, bao gồm soạn thảo và rà soát Đánh giá Tác động Bảo vệ Dữ liệu (DPIAs), Thỏa thuận Xử lý/Chuyển giao Dữ liệu, Chính sách Quyền Riêng tư và các tài liệu cần thiết theo Luật Bảo vệ Dữ liệu Cá nhân (PDPL).
- Giải quyết tranh chấp: Tố tụng Tòa án và Trọng tài thương mại (VIAC SIAC ICC); và
- Dịch vụ tư vấn pháp lý thường xuyên theo yêu cầu của khách hàng.
Xin vui lòng liên hệ Ông Chris Luong – Luật sư Thành viên qua email chris.luong@cnccounsel.com để được hỗ trợ nhanh nhất.
Phụ trách
 |
Lương Văn Chương I Luật sư thành viên
Điện thoại: (84) 938 04 7969 Email: chris.luong@cnccounsel.com |
 |
Trần Anh Thy | Cộng sự
Điện thoại: (84) 28 6276-9900 Email: thy.tran@cnccounsel.com |
Liên hệ
Mọi thông tin vui lòng liên hệ:
CÔNG TY LUẬT TNHH CNC VIỆT NAM
Địa chỉ: 2A1 Nguyễn Thị Minh Khai, Phường Sài Gòn, TP. Hồ Chí Minh
Điện thoại: (84) 28-6276 9900 – 081 235 3839
Hotline: 0916 545 618
Email: contact@cnccounsel.com
Website: cnccounsel
Sẽ rất vui khi bạn ghé thăm văn phòng của CNC bởi ở đó bạn sẽ được trao đổi với Luật sư phù hợp nhất với hoàn cảnh của bạn. Tất nhiên, nếu bạn không thể thu xếp để gặp trực tiếp, chỉ cần gửi email cho chúng tôi tại địa chỉ contact@cnccounsel.com hoặc gọi số máy (+84-28) 6276 9900.
Bản quyền © CNC Counsel. Bảo lưu mọi quyền. Quyền sở hữu: Tài liệu này và nội dung thể hiện trong đó (Tài Liệu) là tài nguyên độc quyền thuộc sở hữu độc quyền của CNC Counsel. Việc sử dụng Tài Liệu này tự nó không tạo ra bất kỳ mối quan hệ hợp đồng hoặc bất kỳ mối quan hệ luật sư/khách hàng nào giữa CNC Counsel và bất kỳ bên nào. Miễn trừ trách nhiệm: Tất cả Tài Liệu chỉ nhằm mục đích cung cấp thông tin và có thể không phản ánh những quy định pháp lý mới nhất. Tất cả các tóm tắt về luật, quy định và thông lệ đều có thể thay đổi. Tài Liệu này không được cung cấp dưới dạng tư vấn pháp lý hoặc chuyên môn cho bất kỳ vấn đề cụ thể nào. Tài Liệu không nhằm mục đích thay thế cho việc tham khảo (và tuân thủ) các điều khoản chi tiết của luật, quy tắc, quy định hoặc biểu mẫu hiện hành nào. Khách hàng được khuyến cáo phải tư vấn pháp lý trước khi quyết định thực hiện hoặc không thực hiện bất kỳ hành động nào dựa theo thông tin nêu trong Tài Liệu. CNC Counsel và các biên tập viên cùng các tác giả không đảm bảo tính chính xác của Tài Liệu và từ chối chịu bất kỳ trách nhiệm đối với bất kỳ bên nào liên quan đến hành động của họ dựa trên toàn bộ hoặc bất kỳ phần nào của Tài Liệu. Tài Liệu có thể chứa các liên kết đến các trang website bên ngoài và các trang website bên ngoài có thể dẫn liên kết đến Tài Liệu. CNC Counsel không chịu trách nhiệm về nội dung hoặc hoạt động của bất kỳ trang website bên ngoài nào như vậy và từ chối mọi trách nhiệm liên quan đến nội dung hoặc hoạt động của bất kỳ trang website bên ngoài nào. Lưu ý: kết quả đã đạt được trong quá khứ không đảm bảo cho một kết quả tương tự trong tương lai, mỗi vụ việc đều có tính chất khác nhau.
——————————
[1] Điều 80 Nghị định số 330/2026/NĐ-CP.
[2] Điều 81.1 Nghị định số 330/2026/NĐ-CP.
[3] Điều 43 Nghị định số 330/2026/NĐ-CP.
[4] Điều 55 Nghị định số 330/2026/NĐ-CP.
[5] Điều 59 Nghị định số 330/2026/NĐ-CP.
[6] Điều 59 Nghị định số 330/2026/NĐ-CP.
[7] Điều 48, Điều 53 và Điều 56 Nghị định số 330/2026/NĐ-CP.
[8] Điều 4 và Điều 5 Nghị định số 330/2026/NĐ-CP.
[9] Điều 56.5 và Điều 56.6 Nghị định số 330/2026/NĐ-CP.
[10] Điều 4 và Điều 55 Nghị định số 330/2026/NĐ-CP.
[11] Điều 7, Điều 48, Điều 53, Điều 55, Điều 56 và Điều 59 Nghị định số 330/2026/NĐ-CP.
