Ngày 19 tháng 9 năm 2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu.
Nghị định này quy định về hành vi vi phạm hành chính, hình thức xử phạt, mức xử phạt, việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính, đối tượng bị xử phạt, thẩm quyền lập biên bản, thẩm quyền xử phạt, áp dụng biện pháp khắc phục hậu quả, mức phạt tiền cụ thể theo từng chức danh đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu.
Nghị định này không điều chỉnh các hành vi vi phạm hành chính thuộc phạm vi điều chỉnh của Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Đối tượng áp dụng của Nghị định gồm:
(1) Cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam có hành vi vi phạm hành chính quy định tại Nghị định này.
(2) Tổ chức bị xử phạt vi phạm hành chính theo quy định tại Nghị định này bao gồm:
- Cơ quan nhà nước có hành vi vi phạm mà hành vi đó không thuộc nhiệm vụ quản lý nhà nước được giao;
- Tổ chức được thành lập theo quy định của Luật Doanh nghiệp, Luật Hợp tác xã;
- Tổ chức được thành lập theo quy định của Luật Các tổ chức tín dụng, Luật Đầu tư;
- Đơn vị sự nghiệp công lập;
- Các tổ chức khác được thành lập theo quy định của pháp luật.
(3) Hộ kinh doanh, hộ gia đình, cộng đồng dân cư vi phạm hành chính bị áp dụng mức phạt tiền đối với cá nhân vi phạm hành chính. Người đại diện của hộ kinh doanh, chủ hộ của hộ gia đình, người đứng đầu của cộng đồng dân cư chịu trách nhiệm thực hiện các quyết định xử phạt vi phạm hành chính theo quy định của pháp luật.
(4) Cơ quan, người có thẩm quyền lập biên bản vi phạm hành chính, người có thẩm quyền xử phạt vi phạm hành chính và áp dụng biện pháp khắc phục hậu quả trong lĩnh vực dữ liệu theo quy định tại Nghị định này.
(5) Cán bộ, công chức, viên chức, người thuộc lực lượng Quân đội nhân dân, Công an nhân dân và người làm công tác cơ yếu thực hiện hành vi vi phạm khi đang thi hành công vụ, nhiệm vụ và hành vi vi phạm đó thuộc công vụ, nhiệm vụ thì không bị xử phạt theo quy định của pháp luật về xử lý vi phạm hành chính mà bị xử lý theo quy định của pháp luật có liên quan.
Cơ quan nhà nước thực hiện hành vi vi phạm thuộc nhiệm vụ quản lý nhà nước thì không bị xử phạt theo quy định của pháp luật về xử lý vi phạm hành chính mà bị xử lý theo quy định của pháp luật có liên quan.
Tại Nghị định quy định hình thức xử phạt chính trong lĩnh vực dữ liệu bao gồm:
- Cảnh cáo;
- Phạt tiền.
Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn bị áp dụng các hình thức xử phạt bổ sung sau đây:
- Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn, bao gồm Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu, Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu, Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát;
- Tịch thu tang vật, phương tiện, công cụ, phần mềm, dữ liệu được sử dụng trực tiếp để thực hiện hành vi vi phạm hành chính (sau đây gọi chung là tang vật, phương tiện vi phạm hành chính);
- Đình chỉ hoạt động cung cấp, tiếp nhận, công khai, chuyển, xử lý, kết nối, chia sẻ, khai thác, sử dụng, phân tích, tổng hợp, xác nhận, xác thực dữ liệu có thời hạn;
- Đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu, sàn dữ liệu, hoạt động thử nghiệm có kiểm soát có thời hạn;
- Đình chỉ hoạt động tham gia chương trình, dự án do Quỹ phát triển dữ liệu hỗ trợ có thời hạn;
- Trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.
Đồng thời, tại Nghị định quy định việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả như sau:
1. Việc tịch thu phần mềm, dữ liệu vi phạm hành chính chỉ áp dụng đối với phần mềm, dữ liệu là tang vật, phương tiện được sử dụng trực tiếp để thực hiện hành vi vi phạm hành chính hoặc là sản phẩm, kết quả trực tiếp của hành vi vi phạm hành chính, được quy định cụ thể tại từng điều, khoản của Nghị định này.
2. Trường hợp phần mềm, dữ liệu vi phạm được lưu trữ trên thiết bị, hệ thống thông tin, tài khoản, kho dữ liệu, dịch vụ lưu trữ hoặc môi trường điện tử của cá nhân, tổ chức vi phạm, người có thẩm quyền xử phạt quyết định tịch thu phần mềm, dữ liệu vi phạm theo quy định của pháp luật về xử lý vi phạm hành chính; đồng thời áp dụng biện pháp buộc xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng đối với phần mềm, dữ liệu vi phạm còn lưu trữ trên thiết bị, hệ thống thông tin, tài khoản, kho dữ liệu, dịch vụ lưu trữ hoặc môi trường điện tử đó.
3. Việc xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng phần mềm, dữ liệu vi phạm phải được thực hiện trong phạm vi cần thiết, tương ứng với tính chất, mức độ vi phạm; không làm mất, hư hỏng, thay đổi hoặc cản trở việc khai thác, sử dụng dữ liệu, phần mềm, hệ thống thông tin hợp pháp của cá nhân, tổ chức, trừ trường hợp dữ liệu, phần mềm, hệ thống đó không thể tách rời khỏi phần vi phạm hoặc pháp luật có quy định khác.
4. Trước khi xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng phần mềm, dữ liệu vi phạm, người có thẩm quyền phải lập biên bản, ghi nhận rõ tên, loại, dung lượng, định dạng, vị trí lưu trữ, mã định danh, mã băm hoặc thông tin kỹ thuật cần thiết khác để xác định phần mềm, dữ liệu vi phạm; trường hợp cần thiết thì sao lưu, niêm phong hoặc trích xuất bản sao phục vụ xác minh, xử lý vi phạm, giải quyết khiếu nại, tố cáo, tranh chấp hoặc yêu cầu của cơ quan có thẩm quyền.
5. Trường hợp phần mềm, dữ liệu vi phạm được lưu trữ, sao chép, phân tán trên nhiều thiết bị, hệ thống thông tin, tài khoản, kho dữ liệu, dịch vụ lưu trữ hoặc môi trường điện tử khác nhau, cá nhân, tổ chức vi phạm có trách nhiệm cung cấp thông tin, quyền truy cập cần thiết và phối hợp với cơ quan có thẩm quyền để thực hiện việc xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng đối với toàn bộ phần mềm, dữ liệu vi phạm.
6. Việc tịch thu, xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng phần mềm, dữ liệu vi phạm phải bảo đảm an ninh dữ liệu, bảo vệ bí mật nhà nước, bí mật kinh doanh, dữ liệu cá nhân và quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân có liên quan.
7. Việc phát hiện, lập biên bản vi phạm hành chính, xác minh tình tiết của vụ việc, ban hành, gửi, nhận, tổ chức thi hành quyết định xử phạt vi phạm hành chính và thực hiện các thủ tục khác trong xử phạt vi phạm hành chính trong lĩnh vực dữ liệu trên môi trường điện tử được thực hiện theo quy định tại Luật Xử lý vi phạm hành chính và các văn bản quy định chi tiết hướng dẫn thi hành và các quy định của pháp luật có liên quan.
Ngoài ra, tại Nghị định cũng quy định về mức phạt tiền vi phạm hành chính trong lĩnh vực dữ liệu như sau:
1. Mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu đối với cá nhân là 100.000.000 đồng.
2. Mức phạt tiền quy định tại Chương II Nghị định này là mức phạt được áp dụng đối với hành vi vi phạm hành chính của cá nhân, trừ trường hợp quy định tại điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16 của Nghị định này là mức phạt đối với tổ chức. Mức phạt tiền đối với tổ chức bằng 02 lần mức phạt tiền đối với cá nhân.
3. Việc xác định mức phạt cụ thể căn cứ vào mức phạt tiền đã được quy định đối với từng hành vi tại Nghị định này và các tình tiết tăng nặng, giảm nhẹ theo quy định tại Luật Xử lý vi phạm hành chính và các văn bản quy định chi tiết hướng dẫn thi hành.
Nghị định này có hiệu lực thi hành từ ngày 11 tháng 11 năm 2026./.
Tác giả: Thuý Vi
.jpg)
