Nội dung
Cùng với việc hệ thống pháp luật về bảo vệ dữ liệu cá nhân ngày càng được hoàn thiện, các quy định về xử phạt vi phạm hành chính cũng được ban hành nhằm tăng cường hiệu quả thực thi trên thực tế. Nếu trước đây doanh nghiệp chủ yếu quan tâm đến các nghĩa vụ cần thực hiện, thì nay các hành vi vi phạm và mức xử phạt tương ứng đã được quy định rõ ràng hơn, tạo cơ sở để cơ quan quản lý áp dụng chế tài cũng như giúp doanh nghiệp chủ động rà soát, đánh giá mức độ tuân thủ.
Trong bối cảnh đó, Nghị định 174/2026/NĐ-CP, có hiệu lực từ ngày 01/7/2026, quy định cụ thể mức xử phạt đối với nhiều hành vi vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân, an ninh mạng và an toàn thông tin mạng trên cơ sở các nghĩa vụ đã được quy định tại Luật Bảo vệ dữ liệu cá nhân năm 2025 (Luật BVDLCN 2025, Luật An ninh mạng và các văn bản hướng dẫn liên quan. Mức xử phạt được xây dựng theo hướng phân hóa theo tính chất, mức độ và hậu quả của hành vi vi phạm; đồng thời, đối với một số trường hợp, tổ chức hoặc cá nhân vi phạm còn có thể bị áp dụng các hình thức xử phạt bổ sung theo quy định của pháp luật. Việc nắm rõ các quy định của Nghị định 174/2026/NĐ-CP sẽ giúp doanh nghiệp chủ động rà soát mức độ tuân thủ và hạn chế các rủi ro pháp lý trong quá trình hoạt động.
Phạm vi điều chỉnh và đối tượng áp dụng của Nghị định 174
Nghị định 174/2026/NĐ-CP quy định về xử phạt vi phạm hành chính trong các lĩnh vực bưu chính, viễn thông, tần số vô tuyến điện, giao dịch điện tử, công nghệ thông tin, an toàn thông tin mạng và một số hoạt động có liên quan. Đối với doanh nghiệp, các quy định về xử phạt đối với hành vi vi phạm trong bảo vệ dữ liệu cá nhân, an toàn thông tin mạng, an ninh mạng và dịch vụ tin cậy là những nội dung có tác động trực tiếp đến hoạt động vận hành hệ thống thông tin và quản lý dữ liệu.
Nghị định áp dụng đối với tổ chức, cá nhân có hành vi vi phạm hành chính thuộc các lĩnh vực được điều chỉnh theo quy định. Trên thực tế, điều này đồng nghĩa với việc mọi doanh nghiệp có hoạt động thu thập, lưu trữ, sử dụng hoặc xử lý dữ liệu cá nhân, vận hành hệ thống thông tin hoặc cung cấp dịch vụ trên môi trường số đều cần rà soát mức độ tuân thủ các quy định hiện hành. Không chỉ doanh nghiệp công nghệ hay viễn thông, các tổ chức hoạt động trong lĩnh vực tài chính, ngân hàng, y tế, giáo dục, thương mại điện tử, logistics, sản xuất hay dịch vụ cũng có thể phát sinh nghĩa vụ và đối mặt với các chế tài xử phạt nếu có hành vi vi phạm.
Nhóm 1 — Mức xử phạt vi phạm bảo vệ dữ liệu cá nhân theo Nghị định 174/2026/NĐ-CP
Đây là nhóm hành vi bị xử phạt nặng nhất và cũng là nhóm liên quan trực tiếp nhất đến nghĩa vụ tuân thủ Luật BVDLCN 2025 và Nghị định 356. Các mức phạt được phân tầng rõ ràng theo mức độ vi phạm.
Ở mức phạt thấp nhất, từ 2 đến 5 triệu đồng, là hành vi lưu trữ thông tin cá nhân thu thập được trên môi trường mạng vượt quá thời hạn pháp luật quy định hoặc vượt quá thời hạn đã thỏa thuận với chủ thể dữ liệu. Đây là lỗi phổ biến nhất hiện nay vì nhiều doanh nghiệp không có chính sách xóa dữ liệu định kỳ.
Theo Nghị định 174/2026/NĐ-CP, hành vi này có thể bị xử phạt từ 5 đến 10 triệu đồng áp dụng khi doanh nghiệp không thực hiện kiểm tra lại, đính chính hoặc hủy bỏ thông tin cá nhân khi chủ thể dữ liệu có yêu cầu; hoặc tiếp tục cung cấp và sử dụng thông tin cá nhân dù đã nhận được yêu cầu hủy bỏ hoặc khi thông tin chưa được đính chính. Đây là các quyền cơ bản của chủ thể dữ liệu theo Luật BVDLCN 2025, việc không đáp ứng là vi phạm trực tiếp.
Mức phạt từ 10 đến 20 triệu đồng, áp dụng cho ba loại hành vi.
– Thứ nhất là thu thập, xử lý, sử dụng thông tin cá nhân của tổ chức hoặc cá nhân khác mà không có sự đồng ý hoặc sử dụng sai mục đích đã được đồng ý.
– Thứ hai là không triển khai đầy đủ các biện pháp quản lý và kỹ thuật để đảm bảo thông tin cá nhân không bị mất, đánh cắp, tiết lộ hoặc phá hủy, đây là yêu cầu trực tiếp liên quan đến nghĩa vụ bảo mật kỹ thuật trong hồ sơ DPIA.
– Thứ ba là hành vi tiết lộ bí mật đời tư, bí mật cá nhân hoặc gia đình ở mức chưa đến ngưỡng truy cứu hình sự.
Đáng kể hơn, phạt từ 30 đến 50 triệu đồng nếu sử dụng thông tin cá nhân của người khác trên nền tảng mạng xã hội mà chưa có sự đồng ý hoặc sử dụng sai mục đích.
Nhóm 2 — Mức xử phạt vi phạm an ninh mạng và an toàn thông tin
Nhóm này tập trung vào trách nhiệm của các doanh nghiệp viễn thông, nhà cung cấp dịch vụ internet và các đơn vị vận hành hạ tầng, nhưng cũng mở rộng sang mọi tổ chức có hệ thống thông tin kết nối mạng.
Về bảo đảm an toàn hạ tầng viễn thông, mức phạt từ 30 đến 50 triệu đồng áp dụng khi doanh nghiệp không triển khai các giải pháp ngăn chặn hành vi thu trộm, nghe trộm, xem trộm thông tin, hoặc không bảo vệ tài nguyên viễn thông, mật khẩu và khóa mật mã. Đây là yêu cầu kỹ thuật tối thiểu mà bất kỳ tổ chức nào vận hành hạ tầng mạng đều phải đáp ứng.
Mức phạt leo thang lên 50 đến 70 triệu đồng đối với hành vi xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc mạng chuyên dùng. Cùng với đó, hành vi truy nhập, sử dụng, tiết lộ, làm gián đoạn, sửa đổi hoặc phá hoại trái phép thông tin và hệ thống thông tin cũng bị xử phạt nặng theo Điều 96.
Một điểm quan trọng thường bị bỏ qua: Nghị định 174 cũng xử phạt việc không áp dụng biện pháp quản lý và kỹ thuật để ngăn chặn mất an ninh mạng xuất phát từ tần số, kho số, tên miền và địa chỉ IP của chính doanh nghiệp. Tức là nếu hệ thống của bạn bị lợi dụng để tấn công bên thứ ba do thiếu kiểm soát, doanh nghiệp vẫn có thể bị xử phạt dù không có chủ ý.
Nhóm 3 — Mức xử phạt đối với dịch vụ tin cậy và hệ thống thông tin cấp độ
Nhóm này đặc biệt quan trọng với các đơn vị cung cấp dịch vụ chữ ký số, chứng thực điện tử và các dịch vụ tin cậy khác.
Theo Điều 81, mức phạt từ 20 đến 30 triệu đồng áp dụng khi hệ thống thông tin phục vụ dịch vụ tin cậy không đảm bảo an toàn thông tin mạng tối thiểu Cấp độ 3 theo quy định, không bảo vệ dữ liệu cá nhân theo pháp luật về an ninh mạng, hoặc không có cơ chế cảnh báo và ngăn chặn truy nhập bất hợp pháp.
Mức phạt nặng hơn, từ 40 đến 60 triệu đồng, áp dụng khi chủ quản hệ thống thông tin phục vụ dịch vụ tin cậy không thực hiện đầy đủ trách nhiệm bảo đảm an toàn thông tin mạng tối thiểu Cấp độ 3 theo Luật An ninh mạng. Đây là mức phạt cao nhất trong nhóm này và phản ánh mức độ quan trọng của hạ tầng dịch vụ tin cậy đối với toàn bộ hệ sinh thái giao dịch điện tử quốc gia.
Có thể thấy, mức xử phạt được thiết kế theo hướng tăng dần dựa trên tính chất và hậu quả của hành vi vi phạm. Những hành vi liên quan trực tiếp đến dữ liệu cá nhân, an toàn hệ thống thông tin hoặc xâm phạm hạ tầng mạng đều có mức xử phạt cao hơn so với các vi phạm mang tính thủ tục. Điều này cho thấy cơ quan quản lý đang chuyển trọng tâm từ việc khuyến khích tuân thủ sang tăng cường trách nhiệm của tổ chức trong quá trình quản trị dữ liệu và hệ thống thông tin.
Có thể thấy Nghị định 174/2026/NĐ-CP đang hướng doanh nghiệp tới việc chủ động xây dựng hệ thống quản trị dữ liệu thay vì chỉ xử lý khi xảy ra sự cố.
Hậu quả thực tế vượt ra ngoài mức phạt tiền
Mức phạt tiền chỉ là một phần của bức tranh. Điều doanh nghiệp cần lưu ý hơn là các hình thức xử phạt bổ sung và hậu quả gián tiếp đi kèm.
Về hình thức xử phạt bổ sung, một số hành vi vi phạm có thể bị tước quyền sử dụng giấy phép kinh doanh trong ngành nghề có vi phạm xử lý dữ liệu cá nhân từ 1 đến 3 tháng. Với doanh nghiệp hoạt động trong lĩnh vực fintech, y tế số, thương mại điện tử hay bất kỳ ngành nào phụ thuộc vào giấy phép, đây là hình thức phạt có thể gây thiệt hại lớn hơn nhiều so với mức phạt tiền.
Về hậu quả gián tiếp, một sự cố vi phạm dữ liệu bị xử phạt công khai có thể gây tổn hại nghiêm trọng đến uy tín thương hiệu, niềm tin của khách hàng và đối tác. Trong bối cảnh người tiêu dùng ngày càng quan tâm đến quyền riêng tư, đây là thiệt hại khó định lượng nhưng có thể kéo dài nhiều năm.
Quan trọng hơn, vi phạm Nghị định 174 có thể kéo theo kiểm tra toàn diện từ cơ quan chuyên trách, và nếu phát hiện thêm vi phạm về hồ sơ DPIA, DTIA hay nghĩa vụ DPO, doanh nghiệp có thể đối mặt với nhiều chế tài cộng hưởng cùng lúc.
Những doanh nghiệp nào cần đặc biệt lưu ý Nghị định 174?
Mặc dù Nghị định 174 áp dụng đối với nhiều tổ chức và cá nhân, trên thực tế một số nhóm doanh nghiệp sẽ có nguy cơ phát sinh vi phạm cao hơn do thường xuyên thu thập và xử lý dữ liệu cá nhân hoặc vận hành hệ thống thông tin quy mô lớn. Có thể kể đến như doanh nghiệp thương mại điện tử, ngân hàng, bảo hiểm, y tế, giáo dục, logistics, viễn thông, đơn vị cung cấp nền tảng số hoặc các doanh nghiệp sử dụng hệ thống CRM, ERP, HRM để quản lý khách hàng và nhân sự. Đây cũng là những nhóm doanh nghiệp nên chủ động rà soát việc tuân thủ các quy định về bảo vệ dữ liệu cá nhân và an toàn thông tin ngay từ sớm.
Doanh nghiệp cần làm gì để tuân thủ Nghị định 174/2026/NĐ-CP?
Nghị định 174/2026/NĐ-CP không đặt ra các nghĩa vụ hoàn toàn mới mà chủ yếu quy định rõ chế tài xử phạt đối với những hành vi vi phạm các quy định về bảo vệ dữ liệu cá nhân, an ninh mạng và an toàn thông tin đã được ban hành trước đó. Điều này đồng nghĩa với việc những doanh nghiệp chưa triển khai hoặc mới chỉ triển khai một phần các yêu cầu tuân thủ sẽ đối mặt với nhiều rủi ro hơn khi các quy định được thực thi trên thực tế. Thay vì chờ đến khi phát sinh yêu cầu thanh tra, kiểm tra hoặc xảy ra sự cố, doanh nghiệp nên chủ động rà soát và hoàn thiện hệ thống quản trị dữ liệu ngay từ sớm.
Công việc đầu tiên doanh nghiệp cần thực hiện là đánh giá lại toàn bộ hoạt động xử lý dữ liệu cá nhân đang diễn ra trong tổ chức. Điều này bao gồm việc xác định doanh nghiệp đang thu thập những loại dữ liệu nào, dữ liệu được lưu trữ ở đâu, ai là người có quyền truy cập, dữ liệu được chia sẻ cho những đơn vị nào và mục đích xử lý có phù hợp với quy định pháp luật hay không. Quá trình rà soát cũng giúp doanh nghiệp phát hiện những điểm còn thiếu trong việc quản lý dữ liệu, từ đó xây dựng kế hoạch khắc phục phù hợp.
Song song với đó, doanh nghiệp cần kiểm tra mức độ hoàn thiện của các hồ sơ và tài liệu phục vụ công tác tuân thủ. Chẳng hạn, doanh nghiệp đã lập Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) theo quy định hay chưa; đã chỉ định nhân sự hoặc bộ phận phụ trách bảo vệ dữ liệu cá nhân; các chính sách nội bộ, quy trình xử lý dữ liệu và hợp đồng với đối tác có quy định đầy đủ về trách nhiệm bảo vệ dữ liệu cá nhân hay chưa. Đây đều là những nội dung quan trọng thể hiện quá trình tuân thủ và có thể được yêu cầu cung cấp trong quá trình kiểm tra hoặc giải trình.
Đồng thời, doanh nghiệp cũng nên rà soát các biện pháp bảo vệ kỹ thuật đang áp dụng đối với hệ thống thông tin như phân quyền truy cập, quản lý tài khoản đặc quyền, mã hóa dữ liệu, giám sát nhật ký hệ thống, sao lưu dữ liệu, quản lý thiết bị đầu cuối và cơ chế ứng phó sự cố. Việc kết hợp giữa tuân thủ pháp lý và kiểm soát kỹ thuật sẽ giúp doanh nghiệp giảm thiểu đáng kể nguy cơ vi phạm cũng như nâng cao khả năng bảo vệ dữ liệu trong thực tế.
Quan trọng hơn, doanh nghiệp không nên xem việc tuân thủ nghị định 174 là một nhiệm vụ thực hiện một lần. Khi hoạt động kinh doanh thay đổi, xuất hiện thêm sản phẩm, dịch vụ hoặc quy trình xử lý dữ liệu mới, các hồ sơ, chính sách và biện pháp bảo vệ cũng cần được cập nhật tương ứng. Việc xây dựng một cơ chế quản trị dữ liệu cá nhân thường xuyên, có sự phối hợp giữa các bộ phận pháp chế, công nghệ thông tin, an toàn thông tin và nghiệp vụ sẽ giúp doanh nghiệp chủ động kiểm soát rủi ro, đáp ứng tốt hơn các yêu cầu của pháp luật và nâng cao niềm tin từ khách hàng, đối tác trong quá trình hoạt động.
Dịch vụ Hỗ trợ triển khai bảo vệ dữ liệu cá nhân cho doanh nghiệp
Việc đáp ứng các yêu cầu của Luật Bảo vệ dữ liệu cá nhân, Nghị định 356/2025/NĐ-CP và các quy định về xử phạt theo Nghị định 174/2026/NĐ-CP không chỉ dừng lại ở việc chuẩn bị hồ sơ mà còn đòi hỏi doanh nghiệp rà soát toàn diện quy trình xử lý dữ liệu, đánh giá hiện trạng hệ thống và triển khai các biện pháp quản trị phù hợp với mô hình hoạt động. Với nhiều doanh nghiệp, đây là quá trình cần sự phối hợp giữa bộ phận pháp chế, công nghệ thông tin, an toàn thông tin và các phòng ban nghiệp vụ.
405CYSE mang đến dịch vụ tư vấn tuân thủ bảo vệ dữ liệu cá nhân, hỗ trợ doanh nghiệp đánh giá mức độ tuân thủ hiện tại, rà soát luồng xử lý dữ liệu, xây dựng Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA), hoàn thiện hệ thống tài liệu nội bộ và đề xuất lộ trình triển khai phù hợp với quy mô tổ chức. Bên cạnh đó, đội ngũ chuyên gia cũng hỗ trợ doanh nghiệp rà soát các biện pháp kỹ thuật, từ đó giúp việc tuân thủ gắn liền với thực tế vận hành thay vì chỉ dừng ở việc hoàn thiện hồ sơ.
Sự ra đời của Nghị định 174/2026/NĐ-CP cho thấy công tác bảo vệ dữ liệu cá nhân và an toàn thông tin đang ngày càng được quản lý chặt chẽ hơn thông qua các quy định về xử phạt vi phạm hành chính. Đối với doanh nghiệp, việc hiểu rõ các hành vi vi phạm, mức xử phạt tương ứng và các nghĩa vụ pháp lý liên quan sẽ là cơ sở quan trọng để xây dựng kế hoạch tuân thủ phù hợp với mô hình hoạt động của mình. Thay vì chỉ tập trung xử lý khi phát sinh yêu cầu từ cơ quan quản lý hoặc xảy ra sự cố, doanh nghiệp nên chủ động rà soát hoạt động xử lý dữ liệu, hoàn thiện hồ sơ tuân thủ và tăng cường các biện pháp quản trị, kỹ thuật nhằm giảm thiểu rủi ro trong quá trình vận hành. Việc chuẩn bị từ sớm không chỉ giúp đáp ứng các yêu cầu của pháp luật mà còn góp phần nâng cao năng lực quản trị dữ liệu, củng cố niềm tin của khách hàng và đối tác, đồng thời tạo nền tảng cho sự phát triển bền vững trong môi trường số.
