Vi phạm quy định về xử lý dữ liệu cá nhân đang trở thành rủi ro pháp lý phổ biến đối với doanh nghiệp Việt Nam, khi hoạt động thu thập, lưu trữ, chia sẻ dữ liệu cá nhân diễn ra ở quy mô lớn trong thương mại điện tử và dịch vụ số. Luật Bảo vệ dữ liệu cá nhân 2025 cùng Nghị định 356/2025/NĐ-CP đã xác lập khung xử phạt hành chính và hình sự đối với hành vi xâm phạm dữ liệu.
Bài viết dưới đây, Luật LCP phân tích cụ thể các mức phạt và trách nhiệm pháp lý mà doanh nghiệp phải đối mặt.
1. Các hành vi vi phạm quy định về xử lý dữ liệu cá nhân trong doanh nghiệp
Doanh nghiệp thu thập, lưu trữ, phân tích hoặc chuyển giao dữ liệu cá nhân của khách hàng, nhân viên, đối tác đều là bên kiểm soát hoặc bên xử lý dữ liệu cá nhân theo Luật Bảo vệ dữ liệu cá nhân 2025.
Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025 liệt kê các hành vi bị nghiêm cấm mà doanh nghiệp thường vô tình hoặc cố ý vi phạm trong quá trình vận hành. Cụ thể, nhóm hành vi bị nghiêm cấm bao gồm:
- Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội;
- Cản trở hoạt động bảo vệ dữ liệu cá nhân;
- Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật;
- Xử lý dữ liệu cá nhân trái quy định của pháp luật;
- Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật
- Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác;
- Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.
Căn cứ Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, tùy tính chất, mức độ, hậu quả của hành vi vi phạm, tổ chức, cá nhân có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự, đồng thời phải bồi thường thiệt hại nếu gây thiệt hại thực tế cho chủ thể dữ liệu.
2. Mức phạt đối với hành vi mua, bán dữ liệu cá nhân
Mua, bán dữ liệu cá nhân là hành vi bị xử lý nghiêm khắc nhất trong hệ thống chế tài về bảo vệ dữ liệu cá nhân hiện hành. Thực tiễn cho thấy dữ liệu cá nhân bị mua bán trái phép trên không gian mạng đã tiếp tay cho hàng loạt hình thức lừa đảo, từ mạo danh cơ quan công quyền đến chiếm đoạt tài sản.
Vì vậy, nhà làm luật thiết kế mức phạt gắn trực tiếp với khoản lợi bất chính mà doanh nghiệp thu được từ hành vi vi phạm quy định về xử lý dữ liệu cá nhân này.
Theo khoản 3 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, mức phạt tiền tối đa đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm. Trường hợp doanh nghiệp không có khoản thu từ hành vi vi phạm, hoặc mức phạt tính theo khoản thu thấp hơn mức phạt tiền tối đa áp dụng cho các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân , thì cơ quan có thẩm quyền áp dụng mức phạt tiền tối đa 3 tỷ đồng.
Mức phạt nêu trên áp dụng đối với tổ chức. Nếu cá nhân thực hiện cùng hành vi vi phạm, mức phạt tiền tối đa bằng một phần hai mức phạt áp dụng đối với tổ chức.
3. Mức phạt đối với vi phạm chuyển dữ liệu ra nước ngoài
3.1. Nghĩa vụ pháp lý
Chuyển dữ liệu cá nhân xuyên biên giới là hoạt động phổ biến của doanh nghiệp có hạ tầng máy chủ, đối tác xử lý dữ liệu hoặc mô hình kinh doanh đặt tại nước ngoài.
Theo Điều 20 Luật Bảo vệ dữ liệu cá nhân 2025 quy định doanh nghiệp thực hiện chuyển dữ liệu cá nhân xuyên biên giới phải lập hồ sơ đánh giá tác động chuyển dữ liệu và tuân thủ các điều kiện pháp lý tương ứng trước khi thực hiện.
Việc bỏ qua thủ tục này cấu thành vi phạm quy định về xử lý dữ liệu cá nhân trong hoạt động chuyển giao dữ liệu.
3.2. Mức phạt vi phạm
Theo khoản 4 Điều 8 Luật Bảo vệ dữ liệu cá nhân 2025, mức phạt tiền tối đa đối với tổ chức có hành vi vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm liền trước của tổ chức đó tại Việt Nam.
Trường hợp tổ chức không có doanh thu của năm liền trước, hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa, thì áp dụng mức phạt tiền tối đa 3 tỷ đồng.
Cơ chế tính phạt theo tỷ lệ doanh thu cho thấy quan điểm lập pháp hướng đến các tập đoàn công nghệ, nền tảng số có quy mô hoạt động lớn, doanh thu cao.
Nghị định 356/2025/NĐ-CP, có hiệu lực từ 1/1/2026 và thay thế Nghị định 13/2023/NĐ-CP, hướng dẫn chi tiết hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới, thời hạn nộp hồ sơ, thời hạn cơ quan chuyên trách thẩm định và cơ chế cập nhật hồ sơ định kỳ.
Doanh nghiệp có yếu tố nước ngoài trong chuỗi xử lý dữ liệu cần chủ động rà soát hợp đồng chuyển giao dữ liệu với đối tác nước ngoài để tránh vi phạm.
4. Xử lý hình sự
4.1. Tội xâm phạm bí mật hoặc an toàn thư tín, điện thoại, điện tín hoặc hình thức trao đổi thông tin riêng tư khác của người khác
Điều 159 Bộ luật Hình sự quy định trách nhiệm hình sự đối với hành vi chiếm đoạt, công khai hóa, tiêu hủy hoặc thu thập trái phép thư tín, điện thoại, điện tín, dữ liệu riêng tư của người khác mà không được sự đồng ý.
Đối với doanh nghiệp xử lý dữ liệu cá nhân nhạy cảm như thông tin liên lạc, tin nhắn, cuộc gọi của khách hàng hoặc nhân viên. Trong hoạt động của doanh nghiệp, nếu cá nhân là người quản lý, người lao động hoặc người có quyền truy cập dữ liệu lợi dụng vị trí công tác để vi phạm pháp luật. Người phạm tội có thể bị áp dụng hình phạt tiền hoặc phạt tù tùy theo tình tiết định khung.
4.2. Tội xâm phạm quyền tự do ngôn luận, tự do báo chí, tiếp cận thông tin, quyền biểu tình của công dân
Điều 167 Bộ luật Hình sự xử lý hành vi dùng vũ lực, đe dọa dùng vũ lực hoặc thủ đoạn khác cản trở công dân thực hiện quyền tự do ngôn luận, tự do báo chí, quyền tiếp cận thông tin. Trong bối cảnh xử lý dữ liệu cá nhân, hành vi lạm dụng quyền kiểm soát dữ liệu để cản trở quyền tiếp cận thông tin hợp pháp của chủ thể dữ liệu có thể bị xem xét theo tội danh này.
Ngoài ra, các hành vi xâm nhập trái phép hệ thống dữ liệu, sử dụng trái phép thông tin mạng máy tính còn có thể bị xử lý theo Điều 288 và Điều 289 Bộ luật Hình sự.
>>> Xem thêm: Lựa chọn trọng tài viên để giải quyết tranh chấp
5. Dịch vụ Luật sư tư vấn pháp luật về bảo vệ dữ liệu cá nhân cho doanh nghiệp
Trước hệ thống chế tài xử phạt vi phạm quy định về xử lý dữ liệu cá nhân ngày càng nghiêm khắc, doanh nghiệp cần được tư vấn pháp lý bài bản để phòng ngừa rủi ro thay vì xử lý hậu quả sau vi phạm.
Luật LCP cung cấp dịch vụ tư vấn toàn diện, đồng hành cùng doanh nghiệp trong toàn bộ vòng đời xử lý dữ liệu cá nhân, cụ thể:
- Rà soát, đánh giá hiện trạng thu thập, lưu trữ, xử lý dữ liệu cá nhân của doanh nghiệp, đối chiếu với Luật Bảo vệ dữ liệu cá nhân 2025 và Nghị định 356/2025/NĐ-CP.
- Xây dựng chính sách bảo vệ dữ liệu cá nhân, quy trình xin sự đồng ý, quy trình xử lý yêu cầu của chủ thể dữ liệu.
- Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.
- Đại diện, hỗ trợ doanh nghiệp làm việc với cơ quan chuyên trách bảo vệ dữ liệu cá nhân khi bị kiểm tra hoặc xử lý vi phạm.
- Tư vấn, bào chữa trong trường hợp doanh nghiệp hoặc cá nhân bị điều tra, truy cứu trách nhiệm hình sự liên quan đến dữ liệu cá nhân.
Kết luận
Vi phạm quy định về xử lý dữ liệu cá nhân có thể khiến doanh nghiệp chịu mức phạt hành chính lên đến hàng tỷ đồng, thậm chí đối mặt trách nhiệm hình sự. Chủ động rà soát pháp lý ngay từ bây giờ giúp doanh nghiệp giảm thiểu rủi ro và bảo vệ uy tín thương hiệu.
Luật LCP sẵn sàng tư vấn, hỗ trợ Quý khách hàng xây dựng hệ thống tuân thủ bảo vệ dữ liệu cá nhân đầy đủ, đúng quy định. Liên hệ Hotline: 0962275827 để được luật sư tư vấn trực tiếp.
