Ngày 19/8/2026, Chính phủ ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“Nghị Định 330”), có hiệu lực ngay từ ngày ban hành. Nghị Định 330 được ban hành trong bối cảnh các hành vi vi phạm trên không gian mạng ngày càng phức tạp, từ tấn công mạng, phát tán thông tin sai sự thật và lừa đảo trực tuyến đến việc thu thập, sử dụng, trao đổi và mua bán trái phép dữ liệu cá nhân.
Đáng chú ý, trước Nghị Định 330, các quy định xử phạt liên quan còn phân tán trong nhiều văn bản, một số hành vi đã được quy định trong pháp luật về an ninh mạng và bảo vệ dữ liệu cá nhân nhưng chưa có chế tài tương ứng, trong khi một số mức phạt chưa đủ sức răn đe. Việc ban hành Nghị Định 330 vì vậy siết chặt cơ chế thực thi bằng việc quy định cụ thể hơn các hành vi vi phạm, mức phạt và biện pháp khắc phục hậu quả, qua đó đưa các nghĩa vụ theo Luật An Ninh Mạng 2025 và Luật Bảo Vệ Dữ Liệu Cá Nhân vào một khuôn khổ thực thi cụ thể hơn.
Các Nội Dung Chính
- Vi Phạm về Bảo Đảm An Ninh, Trật Tự trên Không Gian Mạng và Phòng, Chống Tấn Công Mạng: Trách nhiệm có thể phát sinh không chỉ từ việc trực tiếp tạo nội dung vi phạm hoặc thực hiện tấn công mạng mà còn từ việc chia sẻ, phát tán các nội dung đó và không phối hợp phòng, chống tấn công mạng với cơ quan chức năng có thẩm quyền.
- Vi Phạm trong Triển Khai Hoạt Động Bảo Vệ An Ninh Mạng: Nhấn mạnh việc triển khai các biện pháp bảo vệ trên thực tế, từ bảo vệ hệ thống và trẻ em trên không gian mạng đến lưu trữ dữ liệu và hiện diện tại Việt Nam. Vi phạm có thể dẫn đến ngừng cung cấp dịch vụ, ngoài các khoản phạt tiền.
- Vi Phạm về Quản Lý Sản Phẩm, Dịch Vụ An Ninh Mạng: Siết chặt yêu cầu về xác thực, định danh, lưu vết và bảo mật tài khoản số; việc sử dụng AI hoặc deepfake để giả mạo dữ liệu sinh trắc học cũng thuộc nhóm hành vi bị xử phạt.
- Vi Phạm về Chống Tin Nhắn Rác, Thư Điện Tử Rác và Cuộc Gọi Rác: Tăng cường kiểm soát sự đồng ý, quyền từ chối nhận quảng cáo và trách nhiệm của nhà cung cấp dịch vụ.
- Vi Phạm về Bảo Vệ Dữ Liệu Cá Nhân: Quy định chế tài cụ thể đối với các nghĩa vụ về mục đích xử lý, lưu trữ, sự đồng ý, chuyển giao và mua, bán trái phép dữ liệu, đánh giá tác động và nhân sự bảo vệ dữ liệu cá nhân.
- Quy Định Chuyển Tiếp: Làm rõ việc áp dụng quy định có lợi hơn đối với hành vi vi phạm xảy ra trước ngày Nghị Định 330 có hiệu lực.
Trong bài viết này, chúng tôi sẽ phân tích một số nội dung nổi bật của Nghị Định 330, đồng thời đưa ra một số góc nhìn thực tiễn về tác động của các quy định xử phạt đối với hoạt động tuân thủ về an ninh mạng và bảo vệ dữ liệu cá nhân của doanh nghiệp.
Vi Phạm về Bảo Đảm An Ninh, Trật Tự trên Không Gian Mạng và Phòng, Chống Tấn Công Mạng
Nghị Định 330 thiết lập cơ chế xử phạt đối với nhiều hành vi ảnh hưởng đến an ninh, trật tự trên không gian mạng, bao gồm việc cung cấp, chia sẻ hoặc phát tán thông tin có nội dung vi phạm pháp luật, sai sự thật hoặc chưa được kiểm chứng. Tùy từng trường hợp, mức phạt có thể lên đến 30 triệu đồng đối với cá nhân và 60 triệu đồng đối với tổ chức; đồng thời, chủ thể vi phạm có thể bị buộc gỡ bỏ, xóa hoặc cải chính thông tin.
Theo đó, phạm vi trách nhiệm không chỉ giới hạn ở người trực tiếp tạo ra nội dung mà còn bao gồm hành vi cung cấp, chia sẻ hoặc phát tán nội dung vi phạm. Trong thực tế, một bài đăng sai sự thật hoặc chưa được kiểm chứng có thể nhanh chóng được lan truyền qua tài khoản mạng xã hội của doanh nghiệp, nhóm cộng đồng, tài khoản do nhân viên quản trị hoặc chức năng chia sẻ tự động của nền tảng, từ đó gây hoang mang trong dư luận. Trách nhiệm cũng có thể phát sinh đối với tổ chức quản lý, vận hành nền tảng hoặc hệ thống nếu không thực hiện các biện pháp cần thiết để phát hiện, ngăn chặn, gỡ bỏ nội dung vi phạm hoặc phối hợp với cơ quan có thẩm quyền. Do đó, doanh nghiệp vận hành website, nền tảng số, mạng xã hội hoặc các kênh có nội dung do người dùng tạo cần chú trọng cơ chế quản lý và xử lý nội dung, cũng như khả năng phản hồi kịp thời các yêu cầu của cơ quan có thẩm quyền.
Bên cạnh các rủi ro về nội dung, Nghị Định 330 cũng quy định chế tài cụ thể đối với các hành vi liên quan đến tấn công mạng trong bối cảnh các cuộc tấn công ngày càng tự động hóa và tinh vi, đặc biệt với sự hỗ trợ của công nghệ trí tuệ nhân tạo (AI). Theo đó, Nghị Định 330 xử phạt các hành vi như truy cập hoặc can thiệp trái phép vào dữ liệu, khai thác hoặc sử dụng điểm yếu, lỗ hổng kỹ thuật không đúng quy định, cũng như không cung cấp đầy đủ, kịp thời thông tin, tài liệu liên quan theo yêu cầu của cơ quan có thẩm quyền.
Đáng chú ý, trách nhiệm không chỉ phát sinh từ việc trực tiếp thực hiện hành vi tấn công. Nghị Định 330 còn xử phạt việc không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng để ngăn chặn, loại trừ hành vi tấn công mạng, với mức phạt lên đến 50 triệu đồng đối với cá nhân và 100 triệu đồng đối với tổ chức. Điều này cho thấy doanh nghiệp cần chú trọng cả phòng ngừa, phát hiện, ứng phó và phối hợp, đồng thời duy trì cơ chế nội bộ phù hợp để kịp thời xử lý sự cố và đáp ứng yêu cầu của cơ quan có thẩm quyền.
Vi Phạm trong Triển Khai Hoạt Động Bảo Vệ An Ninh Mạng
Các quy định tại phần này của Nghị Định 330 cho thấy trách nhiệm an ninh mạng không chỉ phát sinh từ hành vi trực tiếp xâm nhập hoặc gây mất an toàn thông tin mà còn từ việc không triển khai các biện pháp bảo vệ cần thiết đối với hệ thống thuộc phạm vi quản lý của tổ chức, cá nhân. Theo đó, Nghị Định 330 đặt trọng tâm vào việc thực hiện các nghĩa vụ an ninh mạng trên thực tế, thay vì chỉ dừng lại ở việc xây dựng chính sách hoặc quy trình nội bộ.
Các nội dung nổi bật thuộc nhóm quy định này bao gồm phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại; giám sát an toàn và bảo vệ hệ thống thông tin; bảo vệ trẻ em trên không gian mạng; và lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam. Đối với doanh nghiệp, các quy định này đòi hỏi việc triển khai các biện pháp kỹ thuật và tổ chức trên thực tế, cũng như duy trì khả năng chứng minh việc tuân thủ khi có yêu cầu.
Trong số đó, một số vi phạm liên quan đến bảo vệ trẻ em trên không gian mạng có mức phạt lên đến 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức, bao gồm không phối hợp với cơ quan có thẩm quyền trong việc bảo đảm quyền của trẻ em trên không gian mạng hoặc kích động, lôi kéo, dụ dỗ, ép buộc trẻ em theo dõi, chia sẻ hoặc phát tán thông tin có nội dung gây nguy hại hoặc xâm phạm trẻ em và quyền trẻ em. Đối với các vi phạm về lưu trữ dữ liệu, lưu trữ nhật ký hệ thống và thực hiện yêu cầu đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam, mức phạt có thể lên đến 50 triệu đồng đối với cá nhân và 100 triệu đồng đối với tổ chức.
Cần lưu ý rằng, rủi ro theo Nghị Định 330 không chỉ giới hạn ở mức phạt tiền. Tùy từng hành vi, các hình thức xử phạt bổ sung và biện pháp khắc phục có thể bao gồm buộc khôi phục hệ thống, thực hiện các biện pháp bảo đảm an ninh mạng, tước quyền sử dụng giấy phép, buộc lưu trữ dữ liệu hoặc thiết lập hiện diện tại Việt Nam và, trong một số trường hợp, buộc ngừng cung cấp hoặc kết nối dịch vụ. Đối với nền tảng số, doanh nghiệp viễn thông hoặc doanh nghiệp phụ thuộc nhiều vào hệ thống trực tuyến, việc gián đoạn dịch vụ có thể gây ra tác động thương mại đáng kể, thậm chí lớn hơn mức phạt tiền. Do đó, khi đánh giá rủi ro theo Nghị Định 330, doanh nghiệp cần xem xét cả khả năng gián đoạn hoạt động và chi phí khắc phục, thay vì chỉ tập trung vào mức phạt tối đa.
Vi Phạm về Quản Lý Sản Phẩm, Dịch Vụ An Ninh Mạng
Trong nhóm quy định về quản lý sản phẩm, dịch vụ an ninh mạng, Nghị Định 330 dành sự chú ý đáng kể đến tài khoản số, bao gồm tài khoản ngân hàng, thẻ ngân hàng, ví điện tử, tài khoản tiền di động, chứng khoán, giao dịch, bảo hiểm, thuế và các tài khoản số khác có chức năng giao dịch tài chính.
Đối với nhóm tài khoản này, Nghị Định 330 đặt ra các yêu cầu về xác thực, định danh và bảo mật tài khoản. Các hành vi có thể bị xử phạt bao gồm không thực hiện xác thực, định danh theo quy định hoặc không lưu trữ thông tin thiết bị, địa chỉ IP và thời gian đăng nhập trong thời hạn tối thiểu. Đáng chú ý, việc sử dụng trí tuệ nhân tạo, deepfake hoặc công nghệ cao để giả mạo dữ liệu sinh trắc học nhằm xác thực tài khoản trái phép có thể bị phạt lên đến 50 triệu đồng đối với cá nhân và 100 triệu đồng đối với tổ chức.
Các quy định này cho thấy việc quản lý tài khoản số không chỉ dừng lại ở xác minh danh tính tại thời điểm đăng ký mà còn kéo dài trong suốt quá trình sử dụng tài khoản. Do đó, doanh nghiệp vận hành nền tảng hoặc dịch vụ có tài khoản số, đặc biệt là tài khoản phục vụ giao dịch tài chính, cần tích hợp việc lưu vết xác thực, nhật ký truy cập và phát hiện hoạt động bất thường vào cơ chế quản trị và bảo mật tài khoản.
Vi Phạm về Chống Tin Nhắn Rác, Thư Điện Tử Rác và Cuộc Gọi Rác
Nghị Định 330 quy định cụ thể các vi phạm liên quan đến thư điện tử, tin nhắn và cuộc gọi quảng cáo, bao gồm gửi quảng cáo khi chưa có sự đồng ý, tiếp tục liên hệ sau khi người dùng từ chối, không tuân thủ các yêu cầu về nhãn quảng cáo, tên định danh, tần suất và khung giờ quảng cáo, cũng như không lưu trữ thông tin đăng ký hoặc từ chối nhận quảng cáo. Đối với nhà cung cấp dịch vụ, Nghị Định 330 còn đặt ra các yêu cầu về triển khai công cụ và biện pháp kỹ thuật nhằm ngăn chặn, lọc và kiểm soát nguồn phát tán thư điện tử rác.
Về mức phạt, hành vi gửi thư điện tử hoặc tin nhắn quảng cáo khi chưa được người nhận đồng ý, hoặc thực hiện cuộc gọi quảng cáo khi chưa có sự đồng ý rõ ràng, có thể bị phạt lên đến 20 triệu đồng đối với cá nhân và 40 triệu đồng đối với tổ chức. Các hành vi vi phạm khác liên quan đến nhãn quảng cáo, tên định danh, lưu trữ thông tin đăng ký hoặc từ chối, tần suất và khung giờ quảng cáo chịu các mức phạt khác nhau.
Một điểm cần phân biệt là sự đồng ý nhận quảng cáo và sự đồng ý xử lý dữ liệu cá nhân có liên quan nhưng không hoàn toàn đồng nhất. Việc khách hàng cung cấp số điện thoại để nhận mã xác thực, thông báo giao hàng hoặc hỗ trợ sau bán hàng không đồng nghĩa với việc doanh nghiệp được sử dụng số điện thoại đó để thực hiện cuộc gọi quảng cáo. Tương tự, việc có được địa chỉ email từ một giao dịch trước đó không mặc nhiên cho phép doanh nghiệp sử dụng địa chỉ này để gửi nội dung tiếp thị. Do đó, doanh nghiệp nên quản lý sự đồng ý theo từng mục đích và từng kênh liên lạc, thay vì sử dụng một trạng thái đồng ý chung cho mọi hoạt động.
Đối với nhà cung cấp dịch vụ, mức phạt có thể cao hơn đáng kể. Chẳng hạn, hành vi không ngăn chặn hoặc thu hồi số thuê bao được sử dụng để phát tán tin nhắn rác hoặc cuộc gọi rác có thể bị phạt lên đến 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức. Quy định này cho thấy trách nhiệm phòng, chống tin nhắn rác và cuộc gọi rác không chỉ đặt ra đối với bên trực tiếp thực hiện hoạt động quảng cáo mà còn mở rộng đến nhà cung cấp dịch vụ trong việc phát hiện và xử lý các nguồn phát tán, qua đó góp phần nâng cao trách nhiệm của các chủ thể này trước tình trạng cuộc gọi và tin nhắn quảng cáo không mong muốn vẫn diễn ra phổ biến trên thực tế.
Vi Phạm về Bảo Vệ Dữ Liệu Cá Nhân
Bảo vệ dữ liệu cá nhân là một trong những nhóm quy định có tác động trực tiếp và rộng nhất đến hoạt động của doanh nghiệp. Nghị Định 330 quy định chế tài đối với nhiều nghĩa vụ, từ mục đích xử lý, thời hạn lưu trữ và sự đồng ý đến chuyển giao dữ liệu, đánh giá tác động và nhân sự bảo vệ dữ liệu. Các hành vi có thể bị xử phạt không chỉ phát sinh từ những hoạt động xử lý dữ liệu phức tạp mà còn xuất hiện trong các quy trình thường ngày như tuyển dụng, quản lý nhân viên, chăm sóc khách hàng, tiếp thị, lắp đặt camera và sử dụng nhà cung cấp dịch vụ.
Mục Đích Xử Lý, Thời Hạn Lưu Trữ và Sự Đồng Ý
Điều 39 xử phạt việc xử lý dữ liệu vượt quá phạm vi hoặc mục đích đã xác định và lưu trữ dữ liệu quá thời gian cần thiết, với mức phạt lên đến 20 triệu đồng đối với cá nhân và 40 triệu đồng đối với tổ chức. Quy định này có ý nghĩa thực tiễn đáng kể khi dữ liệu của nhân viên, khách hàng hoặc ứng viên thường được lưu trữ trên nhiều hệ thống khác nhau mà không có thời hạn xóa thống nhất. Doanh nghiệp vì vậy cần xác định rõ thời hạn lưu trữ cho từng nhóm dữ liệu và bảo đảm cơ chế xóa dữ liệu được thực hiện trên thực tế, thay vì chỉ được quy định trong chính sách nội bộ.
Điều 43 tiếp tục đặt trọng tâm vào cơ chế xin và quản lý sự đồng ý. Các vi phạm bao gồm xử lý dữ liệu khi chưa có sự đồng ý hợp lệ; gắn mục đích xử lý không liên quan như điều kiện để cung cấp dịch vụ; thiết lập mặc định đồng ý; đưa ra chỉ dẫn không rõ ràng hoặc gây hiểu lầm; không cho phép đồng ý riêng theo từng mục đích; hoặc không ghi nhận và lưu trữ thông tin về sự đồng ý. Đặc biệt, việc thu thập hoặc xử lý dữ liệu cá nhân khi chủ thể dữ liệu giữ im lặng hoặc không phản hồi yêu cầu xin sự đồng ý, và tự ý coi sự im lặng hoặc không phản hồi đó là sự đồng ý, có thể bị phạt lên đến 35 triệu đồng đối với cá nhân và 70 triệu đồng đối với tổ chức.
Chuyển Giao, Mua, Bán Trái Phép Dữ Liệu Cá Nhân
Điều 52 quy định các yêu cầu đối với hoạt động chuyển giao dữ liệu cá nhân, bao gồm việc xác định rõ trách nhiệm bảo vệ dữ liệu giữa các bên, bảo đảm quyền của chủ thể dữ liệu và cơ chế phối hợp khi xảy ra vi phạm. Đáng lưu ý, hành vi chuyển giao dữ liệu cá nhân nhạy cảm mà không áp dụng các biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân hoặc các biện pháp bảo mật khác trong quá trình chuyển giao có thể bị phạt lên đến 40 triệu đồng đối với cá nhân và 80 triệu đồng đối với tổ chức.
Trong khi đó, Điều 53 quy định một trong những cơ chế xử phạt đáng kể của Nghị Định 330 đối với hành vi mua, bán trái phép dữ liệu cá nhân. Đối với một số hành vi vi phạm, mức phạt có thể được tính từ hai lần đến mười lần khoản thu có được từ hành vi vi phạm. Khác với mức phạt hành chính có trần cố định, cơ chế này khiến mức độ rủi ro có thể tăng tương ứng với lợi ích thu được từ hành vi vi phạm.
Đánh Giá Tác Động Xử Lý và Chuyển Dữ Liệu Xuyên Biên Giới
Điều 55 quy định xử phạt việc không lập, duy trì, nộp hoặc cập nhật Hồ Sơ Đánh Giá Tác Động Xử Lý Dữ Liệu Cá Nhân (“Hồ Sơ ĐGTĐXLDL”), cũng như hành vi làm giả số liệu hoặc cung cấp thông tin sai lệch. Điều 56 áp dụng cơ chế tương tự đối với Hồ Sơ Đánh Giá Tác Động Chuyển Dữ Liệu Cá Nhân Xuyên Biên Giới (“Hồ Sơ ĐGCDLXBG”), đồng thời quy định chế tài đối với các vi phạm liên quan đến việc bên nhận tiếp tục chuyển dữ liệu cho bên thứ ba.
Việc xử phạt cả hành vi nộp chậm, không cập nhật hoặc không duy trì hồ sơ cho thấy Hồ Sơ ĐGTĐXLDL và Hồ Sơ ĐGCDLXBG không nên được xem là thủ tục thực hiện một lần. Luồng dữ liệu của doanh nghiệp có thể thay đổi khi chuyển sang nhà cung cấp hệ thống mới, thay đổi địa điểm lưu trữ dữ liệu, bổ sung bên nhận dữ liệu hoặc mở rộng mục đích xử lý. Những thay đổi tưởng như chỉ thuộc phạm vi mua sắm, công nghệ thông tin hoặc vận hành vì vậy cũng có thể làm phát sinh nhu cầu rà soát và cập nhật hồ sơ đánh giá tác động.
Đối với đánh giá tác động xử lý dữ liệu cá nhân, hành vi cố tình làm giả số liệu, cung cấp thông tin sai lệch trong Hồ Sơ ĐGTĐXLDL hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ theo yêu cầu của cơ quan có thẩm quyền có thể bị phạt lên đến 50 triệu đồng đối với cá nhân và 100 triệu đồng đối với tổ chức. Đối với chuyển dữ liệu cá nhân xuyên biên giới, mức phạt có thể lên tới 5% tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức không lập Hồ Sơ ĐGCDLXBG, che giấu hoặc khai báo sai về dòng dữ liệu và dẫn đến lộ, mất dữ liệu cá nhân của từ 1 triệu công dân Việt Nam trở lên.
Ngoài tiền phạt, doanh nghiệp còn có thể bị buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành nghĩa vụ về Hồ Sơ ĐGTĐXLDL, hoặc buộc ngừng chuyển dữ liệu cá nhân xuyên biên giới cho đến khi hoàn thành nghĩa vụ về Hồ Sơ ĐGCDLXBG. Đồng thời, trong một số trường hợp, bên nhận có thể bị yêu cầu hủy, xóa dữ liệu đã được chuyển trái quy định. Do đó, doanh nghiệp cần thường xuyên rà soát và cập nhật Hồ Sơ ĐGTĐXLDL và Hồ Sơ ĐGCDLXBG theo hoạt động xử lý và luồng dữ liệu thực tế, đặc biệt khi việc dừng xử lý hoặc ngừng chuyển dữ liệu có thể ảnh hưởng trực tiếp đến hoạt động kinh doanh.
Nhân Sự/Bộ Phận Bảo Vệ Dữ Liệu Cá Nhân
Điều 57 quy định chế tài đối với nhiều vi phạm liên quan đến nhân sự và bộ phận bảo vệ dữ liệu cá nhân, từ trách nhiệm bảo mật, đào tạo, nội dung văn bản chỉ định đến tiêu chuẩn về trình độ và kinh nghiệm của nhân sự được chỉ định. Đặc biệt, việc không chính thức chỉ định nhân sự hoặc thành lập bộ phận bảo vệ dữ liệu cá nhân, hoặc chỉ định nhân sự không đáp ứng yêu cầu về trình độ, kinh nghiệm hoặc đào tạo chuyên môn, có thể bị phạt lên đến 30 triệu đồng đối với tổ chức.
Bảo Vệ Dữ Liệu trong Một Số Hoạt Động Cụ Thể
Nghị Định 330 cũng quy định riêng các vi phạm phát sinh trong một số hoạt động xử lý dữ liệu phổ biến. Điều 60 đặt ra các yêu cầu về xác minh độ tuổi và cơ chế đồng ý khi xử lý dữ liệu cá nhân của trẻ em. Điều 61 điều chỉnh hoạt động tuyển dụng và quản lý người lao động, bao gồm thu thập dữ liệu không cần thiết cho tuyển dụng, sử dụng dữ liệu sai mục đích, lưu trữ quá thời hạn hoặc sử dụng phần mềm theo dõi và camera mà không bảo đảm yêu cầu về minh bạch. Điều 71 quy định các yêu cầu đối với ghi âm, ghi hình tại nơi công cộng hoặc khu vực cung cấp dịch vụ, đồng thời áp dụng chế tài đối với việc sử dụng dữ liệu ghi hình cho các mục đích khác theo quy định.
Các quy định này cho thấy rủi ro bảo vệ dữ liệu cá nhân có thể phát sinh ngay trong các hoạt động vận hành thường ngày của doanh nghiệp. Bộ phận nhân sự có thể gặp rủi ro khi yêu cầu ứng viên cung cấp quá nhiều thông tin hoặc lưu hồ sơ ứng viên không trúng tuyển quá lâu; bộ phận quản trị có thể phát sinh vấn đề khi lắp đặt camera nhưng không thông báo phù hợp; và việc sử dụng dữ liệu camera cho các mục đích phân tích hoặc nhận diện có thể làm thay đổi đáng kể tính chất và rủi ro của hoạt động xử lý. Vì vậy, trách nhiệm bảo vệ dữ liệu không nên chỉ tập trung tại bộ phận pháp chế hoặc công nghệ thông tin mà cần được phân bổ đến các bộ phận trực tiếp quyết định cách thức dữ liệu được thu thập, sử dụng và lưu trữ.
Quy Định Chuyển Tiếp
Nghị Định 330 cũng quy định việc áp dụng chuyển tiếp phù hợp với nguyên tắc về hiệu lực trở về trước theo Luật Ban hành văn bản quy phạm pháp luật. Theo đó, đối với hành vi vi phạm xảy ra trước ngày 19/8/2026 nhưng được phát hiện hoặc xử phạt sau thời điểm này, về nguyên tắc, quy định có hiệu lực tại thời điểm xảy ra vi phạm sẽ được áp dụng. Tuy nhiên, Nghị Định 330 sẽ được áp dụng nếu không quy định trách nhiệm pháp lý hoặc quy định trách nhiệm pháp lý nhẹ hơn đối với hành vi đó.
Kết Luận
Nghị Định 330 đánh dấu bước chuyển đáng kể trong khuôn khổ pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân tại Việt Nam, từ việc thiết lập các nghĩa vụ sang một cơ chế thực thi và xử phạt tương đối toàn diện. Việc tập trung các quy định xử phạt trong một văn bản không chỉ giúp xác định rõ hơn các hành vi vi phạm, mức phạt và biện pháp khắc phục hậu quả, mà còn tạo cơ sở pháp lý rõ ràng hơn cho việc kiểm tra và xử lý vi phạm trên thực tế, qua đó góp phần xây dựng môi trường số an toàn và minh bạch hơn.
Đối với doanh nghiệp, Nghị Định 330 cho thấy tuân thủ không nên dừng lại ở việc xây dựng chính sách hoặc quy trình nội bộ, mà cần được triển khai và có khả năng chứng minh trong thực tế. Doanh nghiệp nên rà soát các hoạt động có rủi ro cao, đặc biệt về an ninh hệ thống, sự đồng ý, lưu trữ và chuyển giao dữ liệu, đánh giá tác động, tiếp thị và các hoạt động xử lý dữ liệu đặc thù; đồng thời bảo đảm trách nhiệm tuân thủ được phân bổ phù hợp giữa các bộ phận liên quan.
