Bảo vệ dữ liệu cá nhân là một trong những nội dung trọng tâm của Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ. Nghị định quy định cụ thể nhiều hành vi vi phạm liên quan đến thu thập, xử lý, sử dụng, cung cấp, công khai, chuyển giao và bảo vệ dữ liệu cá nhân, qua đó tăng cường trách nhiệm của các cơ quan, tổ chức, doanh nghiệp và cá nhân trong bảo vệ quyền, lợi ích hợp pháp của chủ thể dữ liệu.
Nghị định số 330/2026/NĐ-CP dành riêng Chương II, Mục 6 để quy định các hành vi vi phạm về bảo vệ dữ liệu cá nhân. Các quy định bao quát nhiều hoạt động trong quá trình xử lý dữ liệu, từ thu thập, sử dụng, cung cấp, công khai, xóa, hủy, chuyển giao đến mua, bán trái phép dữ liệu cá nhân.
Theo Nghị định, hành vi xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích xử lý đã xác định; không bảo đảm tính chính xác của dữ liệu; lưu trữ dữ liệu vượt quá thời gian cần thiết; không chủ động phòng ngừa, phát hiện và phối hợp xử lý các hành vi vi phạm có thể bị xử phạt.
Đáng chú ý, Nghị định quy định mức phạt đối với hành vi thu thập, sử dụng, tiết lộ, cung cấp hoặc xử lý dữ liệu cá nhân trái quy định, trong đó mức phạt được xác định theo tính chất, mức độ và hậu quả của hành vi. Trường hợp sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái quy định pháp luật cũng thuộc nhóm hành vi bị xử phạt.
Nghị định cũng quy định trách nhiệm đối với việc bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân. Các hành vi xử lý dữ liệu khi chưa có sự đồng ý trong những trường hợp pháp luật yêu cầu; không kiểm tra điều kiện để bảo đảm sự đồng ý; thiết lập phương thức hoặc cách thức thể hiện sự đồng ý không rõ ràng, gây hiểu lầm; không cung cấp đầy đủ thông tin để chủ thể dữ liệu hiểu rõ quyền và nghĩa vụ của mình đều có thể bị xử phạt.
Đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân và Bên xử lý dữ liệu cá nhân, Nghị định đặt ra trách nhiệm cụ thể trong việc thiết lập quy trình, phân định trách nhiệm, cung cấp thông tin, tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu. Việc không thực hiện hoặc thực hiện không đầy đủ các nghĩa vụ này có thể bị xử phạt theo quy định.
Một nội dung đáng chú ý khác là quy định về thu thập dữ liệu cá nhân. Nghị định xử phạt hành vi thu thập dữ liệu cá nhân khi không có sự đồng ý hoặc không thuộc trường hợp pháp luật cho phép; thu thập, lưu trữ và sử dụng dữ liệu cho mục đích khác với mục đích đã được xác định; đồng thời quy định mức phạt cao hơn trong trường hợp việc thu thập dữ liệu được thực hiện bằng công nghệ, kỹ thuật đặc biệt hoặc với số lượng lớn chủ thể dữ liệu.
Đối với cung cấp dữ liệu cá nhân, Nghị định quy định xử phạt hành vi cung cấp dữ liệu không đúng đối tượng, không đúng phạm vi hoặc không đáp ứng yêu cầu hợp lệ; đồng thời áp dụng biện pháp khắc phục hậu quả như buộc thu hồi, hủy bỏ hoặc nộp lại khoản thu có được từ hành vi vi phạm trong những trường hợp cụ thể.
Nghị định cũng quy định xử phạt đối với hành vi công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai hoặc công khai không phản ánh đúng dữ liệu từ nguồn dữ liệu gốc. Trường hợp công khai dữ liệu cá nhân gây xâm phạm quyền, lợi ích hợp pháp của chủ thể dữ liệu hoặc khi chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật cho phép, cũng thuộc hành vi bị xử lý.
Đối với việc xóa, hủy, khử nhận dạng dữ liệu cá nhân, Nghị định yêu cầu thực hiện đúng quy định và bảo đảm các biện pháp an toàn. Hành vi không thông báo cho chủ thể dữ liệu trong trường hợp phải thông báo, xóa hoặc hủy dữ liệu không đúng quy định, không có biện pháp ngăn chặn truy cập trái phép hoặc khôi phục trái phép dữ liệu đều có thể bị xử phạt.
Một trong những hành vi có mức xử lý đáng chú ý là mua, bán trái phép dữ liệu cá nhân. Nghị định quy định mức phạt được xác định theo số lượng chủ thể dữ liệu bị ảnh hưởng và tính chất của dữ liệu. Đối với hành vi mua, bán trái phép dữ liệu cá nhân nhạy cảm hoặc dữ liệu của số lượng lớn chủ thể, mức phạt được quy định cao hơn; đồng thời có thể áp dụng các biện pháp khắc phục hậu quả theo quy định.
Nghị định cũng dành các quy định riêng đối với bảo vệ dữ liệu cá nhân của trẻ em, người bị mất năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi và người chưa thành niên; dữ liệu cá nhân trong lĩnh vực tuyển dụng, quản lý, sử dụng lao động; dữ liệu trong lĩnh vực tài chính, ngân hàng, bảo hiểm; dữ liệu trong hoạt động quảng cáo, hệ thống thông tin, trí tuệ nhân tạo, điện toán đám mây và dữ liệu vị trí.
Đối với dữ liệu cá nhân của trẻ em, Nghị định quy định các mức xử phạt đối với hành vi xử lý dữ liệu không đúng quy định, không xác minh tuổi của trẻ em trước khi xử lý dữ liệu trong trường hợp phải xác minh, hoặc xử lý dữ liệu của trẻ em nhằm mục đích không phù hợp. Quy định này nhằm tăng cường bảo vệ nhóm chủ thể dễ bị tổn thương trong môi trường số.
Đặc biệt, Nghị định quy định xử phạt đối với các hành vi vi phạm trong hoạt động xử lý dữ liệu cá nhân bằng trí tuệ nhân tạo, chuỗi khối và điện toán đám mây, trong đó yêu cầu các tổ chức, doanh nghiệp phải chú trọng các biện pháp bảo vệ dữ liệu, kiểm soát quyền truy cập, bảo đảm an toàn trong quá trình lưu trữ, xử lý và vận hành hệ thống.
Các quy định trên cho thấy yêu cầu bảo vệ dữ liệu cá nhân không chỉ đặt ra đối với các doanh nghiệp chuyên cung cấp dịch vụ dữ liệu mà còn liên quan trực tiếp đến mọi cơ quan, tổ chức, cá nhân có hoạt động thu thập, quản lý, xử lý hoặc sử dụng dữ liệu cá nhân.
Nghị định số 330/2026/NĐ-CP có hiệu lực từ ngày 19/8/2026, là cơ sở để xử lý các hành vi vi phạm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, đồng thời góp phần nâng cao trách nhiệm của các chủ thể trong quản lý, sử dụng và bảo vệ dữ liệu trong môi trường số.