Nghị định 363/2026/NĐ-CP quy định về hành vi vi phạm hành chính, hình thức xử phạt, mức xử phạt, việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính, đối tượng bị xử phạt, thẩm quyền lập biên bản, thẩm quyền xử phạt, áp dụng biện pháp khắc phục hậu quả, mức phạt tiền cụ thể theo từng chức danh đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu.

Nghị định này không điều chỉnh các hành vi vi phạm hành chính thuộc phạm vi điều chỉnh của Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Ảnh minh họa: Chinhphu.vn

Hình thức xử phạt

Hình thức xử phạt chính trong lĩnh vực dữ liệu bao gồm: Cảnh cáo; phạt tiền. Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn bị áp dụng các hình thức xử phạt như: Tước quyền sử dụng giấy phép, chứng chỉ hành nghề; tịch thu tang vật, phương tiện vi phạm; đình chỉ hoạt động cung cấp, xử lý, kết nối dữ liệu có thời hạn; đình chỉ hoạt động quản trị, vận hành cơ sở/sàn dữ liệu có thời hạn, hoạt động tham gia chương trình, dự án do Quỹ phát triển dữ liệu hỗ trợ có thời hạn; trục xuất đối với người nước ngoài có hành vi vi phạm hành chính…

Mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu đối với cá nhân là 100 triệu đồng.

Điều 7 của Nghị định quy định xử lý đối với các hành vi bị nghiêm cấm trong lĩnh vực dữ liệu như sau:

Phạt tiền từ 40-60 triệu đồng đối với một trong những hành vi sau đây:

Giả mạo, cố ý làm sai lệch, làm mất, làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự;

Cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền; trừ trường hợp quy định tại Điều 16 Nghị định này.

Phạt tiền từ 60-80 triệu đồng đối với một trong những hành vi sau đây:

Cản trở hoặc ngăn chặn trái pháp luật quá trình xử lý dữ liệu, quản trị dữ liệu của cơ quan, tổ chức, người có thẩm quyền theo quy định của pháp luật;

Tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị, bảo vệ dữ liệu nhưng chưa đến mức truy cứu trách nhiệm hình sự.

Hình thức xử phạt bổ sung:

Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này.

Biện pháp khắc phục hậu quả

Buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm b khoản 2 Điều này;

Buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu theo quy định của pháp luật đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này;

Buộc thông báo về sự cố dữ liệu, hậu quả xảy ra và kết quả khắc phục đến chủ thể dữ liệu và tổ chức, cá nhân khác có liên quan đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này;

d) Buộc gỡ bỏ ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 2 Điều này.

Đối với các hành vi vi phạm quy định về thu thập, tạo lập dữ liệu, Điều 8 Nghị định quy định mức xử phạt như sau:

Phạt tiền từ 20-40 triệu đồng đối với một trong những hành vi sau đây:

Thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật;

Không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu;

Không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập dữ liệu.

Phạt tiền từ 40-60 triệu đồng đối với một trong những hành vi sau đây:

Cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc;

Cố ý thu thập, tạo lập dữ liệu giả mạo;

Thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo;

Hành vi vi phạm tại khoản 1 Điều này mà dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia;

Hành vi vi phạm tại khoản 1 Điều này làm rò rỉ thông tin nhạy cảm, làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

Hình thức xử phạt bổ sung

Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm a, điểm b, điểm c khoản 2 Điều này;

Đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 06 tháng đến 09 tháng đối với hành vi vi phạm quy định tại điểm d, điểm đ khoản 2 Điều này.

Biện pháp khắc phục hậu quả

Buộc ban hành quy trình thu thập, tạo lập dữ liệu đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

Buộc xóa, tiêu hủy dữ liệu đã được thu thập, tạo lập trái quy định đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm a, điểm b, điểm c khoản 2 Điều này;

Buộc đính chính, hiệu chỉnh, cập nhật dữ liệu được tạo lập sai lệch, giả mạo đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 2 Điều này;

Buộc áp dụng biện pháp bảo vệ dữ liệu, an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a khoản 1 và điểm a, điểm b, điểm c khoản 2 Điều này.

Nghị định này có hiệu lực thi hành kể từ ngày 11/11/2026.