Hành vi sử dụng dữ liệu cá nhân trái phép là gì?
Theo Khoản 1 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025, dữ liệu cá nhân là dữ liệu số hoặc thông tin dưới dạng khác xác định hoặc giúp xác định một con người cụ thể, bao gồm: dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm.
Căn cứ Điều 7 Luật Bảo vệ dữ liệu cá nhân 2025 quy định các hành vi bị nghiêm cấm bao gồm:
1. Xử lý dữ liệu cá nhân nhằm chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam, gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.
2. Cản trở hoạt động bảo vệ dữ liệu cá nhân.
3. Lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật.
4. Xử lý dữ liệu cá nhân trái quy định của pháp luật.
5. Sử dụng dữ liệu cá nhân của người khác, cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật.
6. Mua, bán dữ liệu cá nhân, trừ trường hợp luật có quy định khác.
7. Chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân.
Như vậy, sử dụng dữ liệu cá nhân trái phép là việc cơ quan, tổ chức hoặc cá nhân tiến hành các hoạt động xử lý dữ liệu như thu thập, ghi, phân tích, lưu trữ, sửa đổi, tiết lộ, chia sẻ hoặc phát tán thông tin của người khác mà không được sự đồng ý của chủ thể dữ liệu hoặc không có căn cứ pháp lý cho phép.
Việc sử dụng dữ liệu cá nhân trái phép để gửi tin nhắn quảng cáo, tiếp thị sản phẩm, telesales hoặc bán cho bên thứ ba đều cấu thành hành vi vi phạm pháp luật. Chủ thể dữ liệu có quyền bảo vệ thông tin riêng tư của mình và yêu cầu cơ quan nhà nước xử lý các đối tượng cố tình sử dụng dữ liệu cá nhân trái phép.
Hình thức phạt vi phạm hành chính hành vi sử dụng dữ liệu cá nhân trái phép áp dụng cho cá nhân và tổ chức
Căn cứ Khoản 1 Điều 4 Nghị định 330/2026/NĐ-CP quy định hình thức xử phạt chính đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân bao gồm: Cảnh cáo và Phạt tiền.
Theo Điều 7 Nghị định 330/2026/NĐ-CP quy định mức phạt tiền, thẩm quyền xử phạt được phân chia theo thẩm quyền, quy mô vi phạm và đối tượng thực hiện hành vi.
Mức phạt hành chính tối đa trong lĩnh vực an ninh mạng là 200 triệu đồng đối với tổ chức và 100 triệu đồng đối với cá nhân. Riêng trong lĩnh vực bảo vệ dữ liệu cá nhân, tổ chức có thể bị phạt tối đa 3 tỷ đồng cho các vi phạm chung, phạt gấp 10 lần khoản thu bất hợp pháp nếu mua bán dữ liệu, hoặc phạt đến 5% doanh thu năm trước liền kề đối với vi phạm chuyển dữ liệu xuyên biên giới.
Khi sử dụng dữ liệu cá nhân trái phép, mức phạt tiền áp dụng đối với tổ chức sẽ bằng 02 lần mức phạt tiền áp dụng đối với cá nhân cho cùng một hành vi.
Hình thức phạt bổ sung và chế tài khi sử dụng dữ liệu cá nhân trái phép
Ngoài việc bị áp dụng mức phạt tiền khổng lồ, các chủ thể có hành vi sử dụng dữ liệu cá nhân trái phép còn phải đối mặt với hàng loạt hình thức phạt bổ sung nghiêm khắc. Các chế tài này được thiết kế nhằm tước bỏ công cụ, phương tiện vi phạm và ngăn chặn nguy cơ tiếp tục phát tán thông tin.
Căn cứ Khoản 2 Điều 4 Nghị định 330/2026/NĐ-CP quy định tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn có thể bị áp dụng một hoặc nhiều hình thức xử phạt bổ sung sau đây:
-Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 tháng đến 24 tháng, bao gồm: Giấy phép cung cấp dịch vụ mạng xã hội; Giấy phép thiết lập trang thông tin điện tử tổng hợp; Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng; Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân; giấy phép kinh doanh, chứng chỉ hành nghề đối với ngành, nghề có vi phạm quy định về xử lý dữ liệu cá nhân;
- Đình chỉ hoạt động có thời hạn từ 01 tháng đến 24 tháng;
- Tịch thu tang vật vi phạm hành chính, phương tiện được sử dụng để vi phạm hành chính (sau đây gọi chung là tang vật, phương tiện vi phạm hành chính);
- Trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.
Theo Khoản 4 cùng điều, trong quá trình xem xét, xử lý vụ việc vi phạm, nếu xét thấy hành vi vi phạm có dấu hiệu tội phạm thì việc chuyển hồ sơ vụ vi phạm để truy cứu trách nhiệm hình sự.
Đi kèm với phạt tiền và phạt bổ sung, cơ quan nhà nước có thẩm quyền sẽ buộc bên sử dụng dữ liệu cá nhân trái phép thực hiện các biện pháp khắc phục hậu quả nghiêm ngặt.
Các biện pháp khắc phục hậu quả bắt buộc khi sử dụng dữ liệu cá nhân trái phép thực hiện theo Điều 5 Nghị định 330/2026/NĐ-CP. Một vài biện pháp thường được áp dụng như:
- Thu hồi, hoàn trả thông tin, dữ liệu, chương trình, phần mềm, mã độc, tài khoản số, chứng thư số, sản phẩm, thiết bị, dịch vụ, tài nguyên Internet, tên miền, địa chỉ IP, ASN, số thuê bao, kho số viễn thông, công cụ, phương tiện hoặc yếu tố vi phạm pháp luật về an ninh mạng và bảo vệ dữ liệu cá nhân.
- Buộc thực hiện các biện pháp khắc phục tình trạng mất an ninh mạng, lộ lọt dữ liệu, xung đột thông tin trên mạng hoặc nguy cơ gây thiệt hại cho cơ quan, tổ chức, cá nhân; buộc thu hồi tên miền do thực hiện hành vi vi phạm.
- Buộc cải chính thông tin sai sự thật hoặc gây nhầm lẫn; cải chính kết quả thẩm định, đánh giá, kiểm tra, chứng nhận; thông báo, xin lỗi công khai hoặc cung cấp thông tin đầy đủ, minh bạch cho tổ chức, cá nhân bị ảnh hưởng bởi hành vi vi phạm.
- Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân; chỉnh sửa, cập nhật, bổ sung hoặc xóa dữ liệu cá nhân không chính xác, được thu thập, xử lý, sử dụng, công khai hoặc chuyển giao trái pháp luật.
- Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm hành chính về lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật.
Hành vi sử dụng dữ liệu cá nhân trái phép có thể bị phạt tiền lên đến vài tỷ đồng hoặc bị truy cứu trách nhiệm hình sự tùy theo tính chất và mức độ vi phạm. Hành vi sử dụng dữ liệu cá nhân trái phép không chỉ dừng lại ở việc bị phạt tiền mà còn ảnh hưởng trực tiếp đến uy tín, thương hiệu và khả năng vận hành của doanh nghiệp. Nắm vững các quy định xử phạt, mức phạt cũng như các quy định tại Nghị định 330/2026/NĐ-CP là bước đi thiết yếu để doanh nghiệp phát triển bền vững. Đơn vị kinh doanh cần nghiêm túc loại bỏ thói quen sử dụng dữ liệu cá nhân trái phép, chủ động cập nhật chế tài và hoàn thiện hạ tầng bảo mật thông tin theo đúng chuẩn mực pháp lý hiện hành.
Xem thêm: Thủ tục đăng ký doanh nghiệp qua mạng mới nhất năm 2026
