Siết chặt an toàn thông tin và trách nhiệm người dùng từ Nghị định 330/2026/NĐ-CP

Chính phủ vừa ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định này quy định tương đối toàn diện các hành vi vi phạm, hướng tới mục tiêu không chỉ xử lý vi phạm mà quan trọng hơn là tạo cơ chế phòng ngừa, buộc các cơ quan, tổ chức, doanh nghiệp phải bảo vệ dữ liệu và bảo đảm an toàn trên không gian mạng.

Trong lĩnh vực bảo vệ dữ liệu cá nhân, người dân và doanh nghiệp cần lưu ý các hành vi vi phạm thường gặp như thu thập, xử lý dữ liệu khi chưa có căn cứ hợp pháp, sử dụng dữ liệu không đúng mục đích, không bảo đảm quyền của chủ thể dữ liệu, không ghi nhận hoặc không lưu trữ được bằng chứng về sự đồng ý, xử lý dữ liệu nhạy cảm nhưng không thông báo cho chủ thể dữ liệu, tiếp tục xử lý khi người dân đã yêu cầu ngừng hoặc hạn chế xử lý, hoặc coi việc người dân im lặng, không phản hồi là đồng ý.

Đối với các hành vi vi phạm quy định về sự đồng ý như xử lý dữ liệu khi chưa có sự đồng ý, thiết lập mặc định đồng ý, thiết kế chỉ dẫn gây hiểu nhầm, không minh bạch về mục đích, loại dữ liệu và quyền của chủ thể dữ liệu, không ghi nhận hay lưu trữ nhật ký về sự đồng ý, hoặc không thông báo khi xử lý dữ liệu cá nhân nhạy cảm, Nghị định quy định mức phạt tiền từ 30 đến 50 triệu đồng. Trong trường hợp cố ý tiếp tục xử lý sau khi chủ thể dữ liệu đã yêu cầu ngừng, hạn chế xử lý hoặc tự coi sự im lặng là đồng ý, mức phạt tiền sẽ tăng lên từ 50 đến 70 triệu đồng.

Đối với lĩnh vực an ninh mạng, Nghị định quy định chi tiết các nhóm hành vi vi phạm liên quan đến việc bảo đảm an ninh, an toàn hệ thống thông tin, hoạt động mạng xã hội, thông tin trên không gian mạng, tài khoản số và các hoạt động sử dụng không gian mạng trái pháp luật.

Bên cạnh hình thức cảnh cáo và phạt tiền, tùy theo tính chất và mức độ vi phạm, chủ thể vi phạm còn có thể bị áp dụng các hình thức xử phạt bổ sung như tước quyền sử dụng giấy phép có thời hạn từ 1 đến 24 tháng, đình chỉ hoạt động từ 1 đến 24 tháng, tịch thu tang vật, phương tiện vi phạm, hoặc bị trục xuất đối với người nước ngoài.

Đáng chú ý, Nghị định còn quy định cụ thể các biện pháp khắc phục hậu quả bao gồm buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục trong một số trường hợp xử lý dữ liệu trái quy định, hoặc buộc nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Về mặt chế tài đối với trí tuệ nhân tạo (AI), việc sử dụng AI để giả mạo hình ảnh, giọng nói, danh tính của người khác nhằm lừa đảo, tạo hoặc phát tán thông tin sai sự thật, xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân, hoặc thu thập, phân tích, sử dụng dữ liệu cá nhân trái quy định sẽ bị xử phạt theo các quy định tương ứng.

Đặc biệt, doanh nghiệp không thể lấy lý do hệ thống AI tự động xử lý để miễn trừ trách nhiệm, bởi chủ thể quyết định việc thu thập, đưa dữ liệu vào hệ thống và khai thác kết quả xử lý vẫn phải bảo đảm tuân thủ pháp luật về dữ liệu cá nhân.

Đối với dữ liệu trẻ em, các doanh nghiệp cung cấp nền tảng, ứng dụng, dịch vụ giáo dục, giải trí, thương mại điện tử khi thu thập và xử lý dữ liệu của trẻ em cần lưu ý các căn cứ xử lý, mục đích xử lý, sự đồng ý hợp lệ, phạm vi dữ liệu được thu thập và các biện pháp bảo vệ dữ liệu. Đối với dữ liệu cá nhân nhạy cảm, hành vi không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý sẽ bị phạt từ 30 đến 50 triệu đồng.

Trong việc xử lý tin nhắn rác, cuộc gọi rác và quảng cáo không được người dùng đồng ý, Nghị định áp dụng mức phạt từ 50 đến 70 triệu đồng đối với hành vi tự ý coi sự im lặng hoặc không phản hồi của chủ thể dữ liệu là sự đồng ý, hoặc hành vi cố ý tiếp tục xử lý khi người dân đã yêu cầu ngừng, hạn chế xử lý.

Các hành vi thiết lập mặc định đồng ý, tạo giao diện hoặc chỉ dẫn gây nhầm lẫn giữa đồng ý và không đồng ý, không cho người dùng lựa chọn riêng từng mục đích xử lý, hoặc không lưu được bằng chứng về sự đồng ý bị phạt từ 30 đến 50 triệu đồng.

Đánh giá về tính thiết thực của Nghị định, luật sư Nguyễn Huy Hoàng (Đoàn luật sư thành phố Hà Nội) nhận định: "Nghị định số 330/2026/NĐ-CP đã đặt ra khung pháp lý rõ ràng, chấm dứt tình trạng doanh nghiệp tùy tiện khai thác dữ liệu cá nhân hoặc lấy lý do công nghệ tự động để né tránh trách nhiệm. Mạng xã hội hay không gian số tuy là nơi chia sẻ thông tin nhưng không phải là vùng trống pháp luật. Mỗi cá nhân và tổ chức khi tham gia giao tiếp, kinh doanh hay vận hành hệ thống đều phải tuân thủ nghiêm ngặt các nghĩa vụ pháp lý".

Nhấn mạnh về trách nhiệm của người dùng trên không gian mạng, Công an Hà Nội đã liên tục thực hiện các biện pháp rà soát và xử lý các hành vi vi phạm. Công an các đơn vị chủ động xây dựng kế hoạch, biện pháp đấu tranh phù hợp với từng loại đối tượng; khai thác hiệu quả thông tin trên môi trường số phục vụ nắm tình hình, quản lý địa bàn, nhận diện nguy cơ và phát hiện dấu hiệu vi phạm.

Điển hình, ngày 7-9-2026, qua công tác nắm tình hình trên không gian mạng, Công an phường Hoàng Mai đã tiến hành xác minh, làm rõ trường hợp ông N.Q.P., hiện cư trú trên địa bàn phường. Trước đó, ông P. đã truy cập một số trang Facebook có đăng tải các nội dung xuyên tạc, chống phá Đảng, Nhà nước và để lại bình luận thiếu tích cực dưới một bài viết.

Tại cơ quan Công an, ông P. trình bày việc bình luận xuất phát từ cảm xúc nhất thời, nhận thức còn hạn chế, không nhằm mục đích chống phá. Qua tuyên truyền, phân tích, ông P. đã nhận thức rõ hơn về tính chất, hậu quả có thể phát sinh từ việc tương tác, bình luận thiếu kiểm chứng trên mạng xã hội và cam kết không tái phạm.

Từ đầu năm 2026 đến nay, Công an phường Hoàng Mai đã kịp thời phát hiện, xác minh, đấu tranh, bóc gỡ 18 tài khoản mạng xã hội có hoạt động tham gia các hội, nhóm, đăng tải, bình luận nội dung xuyên tạc chủ trương, đường lối của Đảng, chính sách, pháp luật của Nhà nước.

Ngay khi phát hiện các tài khoản có dấu hiệu vi phạm, Công an phường Hoàng Mai đã xác minh thông tin tài khoản, người sử dụng; đồng thời triển khai các biện pháp tuyên truyền, đấu tranh, ngăn chặn, hạn chế việc tiếp tục phát tán những nội dung xấu độc.

Trong quá trình làm việc, lực lượng Công an tập trung phân tích, làm rõ phương thức, thủ đoạn lợi dụng không gian mạng để đăng tải, chia sẻ thông tin sai sự thật; đồng thời tuyên truyền các quy định của pháp luật, giúp người dân nhận thức đầy đủ hơn về trách nhiệm khi tương tác trên môi trường mạng.

Bên cạnh các chế tài xử phạt, Nghị định số 330/2026/NĐ-CP nhấn mạnh quyền của người dân trong việc kiểm soát dữ liệu cá nhân, không chỉ có quyền biết dữ liệu được sử dụng ra sao mà trong các trường hợp luật định còn có quyền yêu cầu ngừng, hạn chế xử lý. Người dân cần cảnh giác với việc mua bán dữ liệu cá nhân, bởi đây là nguồn nguyên liệu để các đối tượng thực hiện cuộc gọi rác, tin nhắn rác, quảng cáo không mong muốn, giả mạo và lừa đảo trực tuyến.

Cơ quan công an khuyến cáo người dân cần nâng cao cảnh giác khi tiếp cận thông tin trên mạng xã hội; kiểm chứng nguồn tin trước khi chia sẻ, bình luận hoặc tương tác; không đăng tải, phát tán các nội dung sai sự thật, xuyên tạc; đồng thời, thay đổi thói quen bằng cách không cung cấp thông tin cá nhân tùy tiện, không bấm vào các đường link không rõ nguồn gốc, không cung cấp OTP, mật khẩu hay thông tin tài khoản, kiểm chứng thông tin trước khi chuyển tiền hoặc thực hiện các giao dịch quan trọng.