330/2026/NĐ-CP

CÔNG BÁO/Số 498/Ngày 04-09-2026 2

CHÍNH PHỦ

_________

Số: 330/2026/NĐ-CP

CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM

Độc lập - Tự do - Hạnh phúc

_______________________________

Hà Nội, ngày 19 tháng 8 năm 2026

NGHỊ ĐỊNH

Quy định xử phạt vi phạm hành chính

trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân

Căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15;

Căn cứ Luật Tổ chức chính quyền địa phương số 72/2025/QH15;

Căn cứ Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15

được sửa đổi, bổ sung bởi Luật số 87/2025/QH15;

Căn cứ Luật An ninh mạng số 116/2025/QH15;

Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;

Căn cứ Luật Xử lý vi phạm hành chính số 15/2012/QH13 được sửa đổi,

bổ sung bởi Luật số 54/2014/QH13, Luật số 18/2017/QH14, Luật số

67/2020/QH14, Luật số 09/2022/QH15, Luật số 11/2022/QH15, Luật số

56/2024/QH15, Luật số 88/2025/QH15; Luật số 116/2025/QH15 và Luật số

120/2025/QH15;

Căn cứ Luật Chuyển đổi số số 148/2025/QH15;

Căn cứ Luật Giao dịch điện tử số 20/2023/QH15;

Căn cứ Luật Thương mại điện tử số 122/2025/QH15;

Căn cứ Luật Công nghiệp công nghệ số số 71/2025/QH15;

Theo đề nghị của Bộ trưởng Bộ Công an;

Chính phủ ban hành Nghị định quy định xử phạt vi phạm hành chính trong

lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Nghị định này quy định về hành vi vi phạm hành chính; hành vi vi phạm

hành chính đã kết thúc và hành vi vi phạm hành chính đang thực hiện; hình

thức xử phạt, mức xử phạt, biện pháp khắc phục hậu quả đối với từng hành vi

vi phạm hành chính; đối tượng bị xử phạt; thẩm quyền xử phạt, mức phạt tiền

CÔNG BÁO/Số 498/Ngày 04-09-2026 3

cụ thể theo từng chức danh và thẩm quyền lập biên bản đối với vi phạm hành

chính; việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp

khắc phục hậu quả trong từng lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

2. Các hành vi vi phạm hành chính khác có liên quan đến lĩnh vực an

ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân nhưng không được quy định

tại Nghị định này thì áp dụng theo quy định tại các Nghị định đó của Chính

phủ về xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước có liên

quan để xử phạt.

3. Trường hợp một hành vi đồng thời vi phạm quy định của Nghị định này

và nghị định quy định xử phạt vi phạm hành chính trong các lĩnh vực quản lý

nhà nước khác, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi và

căn cứ pháp lý để áp dụng để xử phạt. Trường hợp hành vi đồng thời được quy

định tại Nghị định này và nghị định xử phạt vi phạm hành chính trong lĩnh vực

quản lý nhà nước khác thì áp dụng Nghị định này nếu hành vi vi phạm trên lĩnh

vực an ninh mạng và bảo vệ dữ liệu cá nhân; trường hợp dấu hiệu cấu thành

hành vi vi phạm nghĩa vụ, trách nhiệm, điều cấm khác thuộc phạm vi quản lý

nhà nước chuyên ngành khác thì áp dụng nghị định của lĩnh vực đó.

Điều 2. Đối tượng, nguyên tắc áp dụng

1. Cá nhân, tổ chức Việt Nam; cá nhân, tổ chức nước ngoài có hành vi vi

phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân trong

phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc

quyền kinh tế và thềm lục địa của nước Cộng hòa xã hội chủ nghĩa Việt Nam;

trên tàu bay mang quốc tịch Việt Nam, tàu biển mang cờ quốc tịch Việt Nam

(sau đây gọi là cá nhân, tổ chức), trừ trường hợp điều ước quốc tế mà nước

Cộng hoà xã hội chủ nghĩa Việt Nam là thành viên có quy định khác.

2. Tổ chức quy định tại khoản 1 Điều này bao gồm:

a) Doanh nghiệp tư nhân, Công ty cổ phần, Công ty trách nhiệm hữu hạn,

Công ty hợp danh, các đơn vị phụ thuộc doanh nghiệp;

b) Tổ chức được thành lập theo quy định của Luật Hợp tác xã;

c) Tổ chức được thành lập theo quy định của Luật Đầu tư;

d) Tổ chức chính trị - xã hội, tổ chức xã hội - nghề nghiệp, các tổ chức xã

hội khác;

đ) Doanh nghiệp nước ngoài hoặc chi nhánh, văn phòng đại diện, địa điểm

kinh doanh của doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet,

dịch vụ cung cấp nội dung trên không gian mạng, công nghệ thông tin, an ninh

mạng, cung cấp dịch vụ xuyên biên giới; cơ quan, tổ chức nước ngoài trực tiếp

tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân

CÔNG BÁO/Số 498/Ngày 04-09-2026 4

Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống

tại Việt Nam đã được cấp giấy chứng nhận căn cước;

e) Điểm cung cấp dịch vụ viễn thông, trò chơi điện tử công cộng, truy

nhập Internet công cộng;

g) Doanh nghiệp cung cấp dịch vụ nội dung thông tin trên mạng viễn thông

di động và không gian mạng;

h) Đơn vị sự nghiệp, tổ chức xã hội, tổ chức xã hội nghề nghiệp, tổ chức

phi chính phủ nước ngoài sử dụng tần số vô tuyến điện;

i) Nhà đăng ký tên miền; tổ chức, doanh nghiệp đăng ký tên miền;

k) Chủ quản hệ thống thông tin và đơn vị vận hành hệ thống thông tin;

l) Tổ chức khác theo quy định của pháp luật.

3. Hộ kinh doanh, hộ gia đình, cộng đồng dân cư thực hiện hành vi vi

phạm hành chính quy định tại Nghị định này bị áp dụng mức phạt tiền như đối

với cá nhân vi phạm hành chính.

4. Bộ Quốc phòng quản lý về an ninh mạng đối với nhiệm vụ quân sự,

quốc phòng; Bộ Công an quản lý về an ninh mạng đối với các đơn vị Quân đội

có hoạt động dân sự, kinh tế theo thẩm quyền; đối với các nội dung giao thoa

(nếu có), Bộ Công an và Bộ Quốc phòng thống nhất quy chế phối hợp.

Điều 3. Thời hiệu xử phạt vi phạm hành chính

1. Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và

bảo vệ dữ liệu cá nhân là 01 năm.

2. Thời điểm chấm dứt hành vi vi phạm để tính thời hiệu xử phạt là ngày

cá nhân, tổ chức thực hiện xong nghĩa vụ theo quy định hoặc ngày hành vi vi

phạm đó thực tế kết thúc được cơ quan có thẩm quyền xác nhận.

3. Ngoài quy định tại khoản 2 Điều này, cơ quan, người có thẩm quyền xử

phạt vi phạm hành chính căn cứ vào các văn bản quy phạm pháp luật có liên

quan, hồ sơ, tài liệu và tình tiết của từng vụ việc cụ thể để xác định hành vi vi

phạm đã kết thúc hay hành vi vi phạm đang thực hiện theo quy định tại Nghị

định của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật

Xử lý vi phạm hành chính hiện hành.

Điều 4. Hình thức xử phạt

1. Hình thức xử phạt chính đối với hành vi vi phạm hành chính trong lĩnh

CÔNG BÁO/Số 498/Ngày 04-09-2026 5

vực an ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân bao gồm:

a) Cảnh cáo;

b) Phạt tiền.

2. Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi

phạm hành chính còn có thể bị áp dụng một hoặc nhiều hình thức xử phạt bổ

sung sau đây:

a) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01

tháng đến 24 tháng, bao gồm: Giấy phép cung cấp dịch vụ mạng xã hội; Giấy

phép thiết lập trang thông tin điện tử tổng hợp; Giấy phép kinh doanh sản phẩm,

dịch vụ an ninh mạng; Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý

dữ liệu cá nhân; giấy phép kinh doanh, chứng chỉ hành nghề đối với ngành,

nghề có vi phạm quy định về xử lý dữ liệu cá nhân;

b) Đình chỉ hoạt động có thời hạn từ 01 tháng đến 24 tháng;

c) Tịch thu tang vật vi phạm hành chính, phương tiện được sử dụng để

vi phạm hành chính (sau đây gọi chung là tang vật, phương tiện vi phạm

hành chính);

d) Trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.

3. Hình thức xử phạt bổ sung quy định tại khoản 2 Điều này được áp dụng

kèm theo hình thức xử phạt chính đối với hành vi vi phạm cụ thể quy định tại

Chương II Nghị định này.

4. Trong quá trình xem xét, xử lý vụ việc vi phạm, nếu xét thấy hành vi vi

phạm có dấu hiệu tội phạm thì việc chuyển hồ sơ vụ vi phạm để truy cứu trách

nhiệm hình sự và việc chuyển hồ sơ vụ vi phạm để xử phạt vi phạm hành chính

trong trường hợp không truy cứu trách nhiệm hình sự được thực hiện theo quy

định tại Điều 62 và Điều 63 của Luật Xử lý vi phạm hành chính.

Điều 5. Biện pháp khắc phục hậu quả

Cá nhân, tổ chức có hành vi vi phạm hành chính quy định tại Nghị định

này bị áp dụng một hoặc nhiều biện pháp khắc phục hậu quả sau đây:

1. Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin.

2. Thu hồi, hoàn trả thông tin, dữ liệu, chương trình, phần mềm, mã độc,

tài khoản số, chứng thư số, sản phẩm, thiết bị, dịch vụ, tài nguyên Internet, tên

miền, địa chỉ IP, ASN, số thuê bao, kho số viễn thông, công cụ, phương tiện

hoặc yếu tố vi phạm pháp luật về an ninh mạng và bảo vệ dữ liệu cá nhân.

CÔNG BÁO/Số 498/Ngày 04-09-2026 6

3. Buộc thực hiện các biện pháp khắc phục tình trạng mất an ninh mạng,

lộ lọt dữ liệu, xung đột thông tin trên mạng hoặc nguy cơ gây thiệt hại cho cơ

quan, tổ chức, cá nhân; buộc thu hồi tên miền do thực hiện hành vi vi phạm.

4. Buộc loại bỏ các yếu tố vi phạm trong hoạt động thiết kế, xây dựng,

quản lý, vận hành hệ thống thông tin; hoạt động xử lý dữ liệu cá nhân; quy trình

kỹ thuật; cơ chế quản lý; hợp đồng cung cấp dịch vụ; hoạt động kết nối, lưu trữ,

truyền đưa và chia sẻ dữ liệu.

5. Buộc cải chính thông tin sai sự thật hoặc gây nhầm lẫn; cải chính kết

quả thẩm định, đánh giá, kiểm tra, chứng nhận; thông báo, xin lỗi công khai

hoặc cung cấp thông tin đầy đủ, minh bạch cho tổ chức, cá nhân bị ảnh hưởng

bởi hành vi vi phạm.

6. Buộc áp dụng biện pháp kỹ thuật, quản lý cần thiết để ngăn chặn, khắc

phục nguy cơ mất an toàn, an ninh mạng do hành vi vi phạm gây ra; buộc thực

hiện các biện pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng

về an ninh quốc gia.

7. Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân; chỉnh sửa,

cập nhật, bổ sung hoặc xóa dữ liệu cá nhân không chính xác, được thu thập, xử

lý, sử dụng, công khai hoặc chuyển giao trái pháp luật.

8. Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành

vi vi phạm hành chính về lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

9. Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật.

10. Buộc kiểm tra an ninh mạng lại đối với các sản phẩm, thiết bị, dịch vụ,

phần mềm phục vụ bảo vệ bí mật nhà nước.

Điều 6. Việc thi hành các hình thức xử phạt vi phạm hành chính, các

biện pháp khắc phục hậu quả trong từng lĩnh vực quản lý nhà nước

1. Khoản thu có được từ việc thực hiện hành vi vi phạm hành chính về bảo

vệ dữ liệu cá nhân theo quy định tại Nghị định này là toàn bộ giá trị bằng vật,

tiền, giấy tờ có giá, tài sản hoặc lợi ích vật chất khác mà tổ chức, cá nhân thu

được trực tiếp hoặc gián tiếp từ việc thực hiện hành vi vi phạm pháp luật về

bảo vệ dữ liệu cá nhân. Trường hợp tổ chức, cá nhân thực hiện nhiều hành vi

vi phạm hành chính hoặc thực hiện hành vi vi phạm hành chính nhiều lần thì

khoản thu có được từ hành vi vi phạm được xác định theo từng hành vi vi phạm

hành chính, từng lần vi phạm.

2. Khoản thu có được từ việc thực hiện hành vi vi phạm hành chính về bảo

vệ dữ liệu cá nhân được xác định như sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 7

a) Đối với hành vi mua, bán trái phép dữ liệu cá nhân, khoản thu được xác

định là tổng giá trị giao dịch ghi trên hợp đồng, hóa đơn, chứng từ thanh toán,

lịch sử tin nhắn, giao dịch điện tử, dữ liệu sao kê tài khoản ngân hàng, ví điện

tử hoặc cách thức tương tự khác liên quan trực tiếp đến giao dịch đó, không

khấu trừ bất kỳ khoản chi phí nào phát sinh trong quá trình vi phạm;

b) Đối với hành vi thu thập, xử lý, sử dụng, chuyển giao trái phép dữ liệu

cá nhân mà không thông qua hành vi mua bán trái phép dữ liệu cá nhân, khoản

thu được xác định là toàn bộ doanh thu thực tế mà tổ chức, cá nhân vi phạm thu

được từ hoạt động kinh doanh có sử dụng dữ liệu cá nhân được thu thập, xử lý,

sử dụng, chuyển giao trái phép, không khấu trừ bất kỳ khoản chi phí nào phát

sinh trong quá trình vi phạm.

3. Tổ chức thi hành quyết định xử phạt vi phạm hành chính, quyết định áp

dụng biện pháp khắc phục hậu quả:

a) Cá nhân, tổ chức vi phạm có trách nhiệm nghiêm chỉnh chấp hành đầy

đủ nội dung quyết định xử phạt vi phạm hành chính, quyết định áp dụng biện

pháp khắc phục hậu quả trong thời hạn được ghi trong quyết định;

b) Người có thẩm quyền đã ban hành quyết định xử phạt hoặc cơ quan của

người có thẩm quyền xử phạt có trách nhiệm tổ chức thi hành quyết định; hướng

dẫn, đôn đốc cá nhân, tổ chức vi phạm thực hiện các nghĩa vụ theo quy định;

c) Việc thi hành hình thức xử phạt và biện pháp khắc phục hậu quả được

thực hiện theo quy định của Luật Xử lý vi phạm hành chính và pháp luật có liên

quan; bảo đảm đúng trình tự, thủ tục, công khai, khách quan và đúng thời hạn.

4. Đôn đốc, kiểm tra việc chấp hành:

a) Cơ quan, người có thẩm quyền xử phạt có trách nhiệm theo dõi, kiểm

tra việc thực hiện quyết định xử phạt, quyết định áp dụng biện pháp khắc phục

hậu quả đối với cá nhân, tổ chức vi phạm;

b) Trường hợp cần thiết, cơ quan có thẩm quyền có thể yêu cầu cá nhân,

tổ chức vi phạm báo cáo bằng văn bản, cung cấp tài liệu chứng minh việc đã

chấp hành xong quyết định xử phạt hoặc biện pháp khắc phục hậu quả;

c) Việc kiểm tra được lập thành biên bản hoặc tài liệu xác nhận kết quả thi

hành để lưu hồ sơ xử phạt vi phạm hành chính.

5. Báo cáo kết quả thực hiện:

a) Cá nhân, tổ chức vi phạm có trách nhiệm báo cáo kết quả thực hiện

quyết định xử phạt, quyết định áp dụng biện pháp khắc phục hậu quả theo yêu

cầu của cơ quan có thẩm quyền;

CÔNG BÁO/Số 498/Ngày 04-09-2026 8

b) Cơ quan, người có thẩm quyền xử phạt thực hiện chế độ thống kê, tổng

hợp, báo cáo kết quả thi hành quyết định xử phạt vi phạm hành chính theo quy

định của pháp luật.

6. Xử lý trường hợp không chấp hành:

a) Hết thời hạn thi hành ghi trong quyết định mà cá nhân, tổ chức vi phạm

không tự nguyện chấp hành thì bị cưỡng chế thi hành theo quy định của Luật

Xử lý vi phạm hành chính;

b) Cá nhân, tổ chức cố tình trì hoãn, trốn tránh, cản trở việc thi hành quyết

định xử phạt hoặc quyết định áp dụng biện pháp khắc phục hậu quả thì tùy tính

chất, mức độ vi phạm sẽ bị xử lý theo quy định của pháp luật;

c) Chi phí tổ chức thi hành, cưỡng chế thi hành do cá nhân, tổ chức vi

phạm chi trả theo quy định của pháp luật.

Điều 7. Quy định về mức phạt tiền, thẩm quyền xử phạt

1. Từ Mục 1 đến Mục 5 Chương II Nghị định này quy định về mức phạt

tiền được áp dụng đối với hành vi vi phạm hành chính trong lĩnh vực an ninh

mạng do cá nhân thực hiện. Trường hợp tổ chức có cùng hành vi vi phạm, mức

phạt tiền được áp dụng với tổ chức bằng hai lần mức phạt tiền áp dụng đối với

cá nhân.

Mục 6 Chương II Nghị định này quy định về mức phạt tiền được áp dụng

đối với hành vi vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân do tổ

chức thực hiện. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền

được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với

tổ chức.

2. Thẩm quyền xử phạt của các chức danh quy định tại Chương III Nghị

định này là thẩm quyền áp dụng đối với một hành vi vi phạm hành chính của

tổ chức. Trong trường hợp phạt tiền, thẩm quyền xử phạt đối với cá nhân bằng

một phần hai lần thẩm quyền xử phạt đối với tổ chức.

3. Mức phạt tiền tối đa đối với tổ chức trong lĩnh vực an ninh mạng là

200.000.000 đồng đối với tổ chức, 100.000.000 đồng đối với cá nhân.

4. Mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân:

a) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi

CÔNG BÁO/Số 498/Ngày 04-09-2026 9

mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm;

trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo

khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại

điểm c khoản này thì áp dụng mức phạt tiền theo quy định tại điểm c khoản này;

b) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức

có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5%

doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh

thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt

tiền tối đa theo quy định tại điểm c khoản này thì áp dụng mức phạt tiền theo

quy định tại điểm c khoản này;

c) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành

vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng;

d) Mức phạt tiền tối đa quy định tại các điểm a, b và c khoản này được áp

dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền

tối đa bằng một phần hai mức phạt tiền đối với tổ chức.

Điều 8. Xử phạt vi phạm hành chính trên môi trường điện tử

1. Chứng cứ chứng minh hành vi vi phạm trên môi trường điện tử:

a) Chứng cứ chứng minh hành vi vi phạm hành chính trên môi trường điện

tử bao gồm các hình thức thể hiện của thông điệp dữ liệu, thông tin, hình ảnh,

âm thanh, tài liệu số và các dạng dữ liệu khác được thu thập trực tiếp hoặc trực

tuyến trên thiết bị điện tử, hệ thống thông tin của tổ chức, cá nhân vi phạm hoặc

thu thập trên thiết bị điện tử, hệ thống thông tin của tổ chức, cá nhân khác;

b) Người có thẩm quyền xử phạt vi phạm hành chính có trách nhiệm kiểm

tra, đánh giá độ tin cậy, tính toàn vẹn của chứng cứ điện tử; có quyền yêu cầu

tổ chức, cá nhân có liên quan cung cấp dữ liệu, thông tin, hình ảnh, âm thanh,

tài liệu số và các dạng dữ liệu khác để chứng minh hành vi vi phạm theo quy

định của pháp luật;

c) Chứng cứ điện tử được thu thập theo quy định tại điểm a khoản 1 Điều

này có giá trị pháp lý, là căn cứ để xử lý vi phạm hành chính đối với các hành

vi vi phạm hành chính quy định tại Nghị định này.

2. Lập biên bản vi phạm hành chính trên môi trường điện tử:

CÔNG BÁO/Số 498/Ngày 04-09-2026 10

a) Biên bản vi phạm hành chính trên môi trường điện tử là biên bản được

lập, ký số, gửi, nhận, lưu trữ và quản lý bằng phương thức điện tử;

b) Việc lập biên bản vi phạm hành chính trên môi trường điện tử phải bảo

đảm xác thực được danh tính của người lập biên bản, xác thực được danh tính

người vi phạm, đại diện tổ chức vi phạm, người chứng kiến (nếu có), người

phiên dịch (nếu có). Thông tin, dữ liệu trong biên bản không bị thay đổi sau khi

ký số bởi chữ ký số có hiệu lực pháp luật của người lập biên bản vi phạm hành

chính, người vi phạm, đại diện tổ chức vi phạm, người chứng kiến (nếu có),

người phiên dịch (nếu có). Đảm bảo tính toàn vẹn, an toàn, bảo mật dữ liệu

theo quy định của pháp luật về giao dịch điện tử và an ninh mạng;

c) Biên bản vi phạm hành chính được ký số bởi người có thẩm quyền lập

biên bản và người vi phạm hoặc người đại diện hợp pháp của tổ chức vi phạm;

trường hợp người vi phạm, đại diện tổ chức vi phạm không sử dụng được chữ

ký số trong thủ tục xử phạt điện tử, thì sử dụng phương tiện xác thực yếu tố về

sinh trắc học bằng ảnh khuôn mặt hoặc vân tay để xác định danh tính theo quy

định của pháp luật và thay thế cho chữ ký số của người vi phạm, đại diện tổ

chức vi phạm;

d) Biên bản vi phạm hành chính lập trên môi trường điện tử có giá trị pháp

lý như biên bản được lập bằng văn bản giấy, là căn cứ để ra quyết định xử phạt

vi phạm hành chính.

3. Ban hành quyết định xử phạt vi phạm hành chính trên môi trường điện tử:

a) Quyết định xử phạt vi phạm hành chính trên môi trường điện tử là quyết

định được lập, ký số, gửi, lưu trữ và quản lý bằng phương thức điện tử;

b) Việc ban hành quyết định xử phạt vi phạm hành chính trên môi trường

điện tử phải bảo đảm được ký số bởi chữ ký đang có giá trị pháp lý bởi người

có thẩm quyền xử phạt; toàn bộ nội dung, dữ liệu của quyết định được lưu trữ

an toàn, bảo mật, không bị chỉnh sửa, thay đổi sau khi ban hành; trường hợp

người vi phạm, tổ chức vi phạm không có điều kiện tiếp cận hệ thống điện tử,

cơ quan có thẩm quyền xử phạt phải bảo đảm việc thông báo quyết định xử

phạt bằng tin nhắn, thư điện tử, đồng thời lưu trữ bản điện tử của quyết định

trong hệ thống thông tin phát hành quyết định xử phạt;

c) Quyết định xử phạt vi phạm hành chính được ban hành trên môi trường

điện tử có giá trị pháp lý như quyết định được ban hành bằng văn bản giấy, là

CÔNG BÁO/Số 498/Ngày 04-09-2026 11

căn cứ để tổ chức thi hành quyết định xử phạt, thực hiện thu, nộp tiền phạt và

các biện pháp khắc phục hậu quả theo quy định.

4. Điều kiện thực hiện xử lý vi phạm hành chính trên môi trường điện tử

được thực hiện theo quy định tại Nghị định số 118/2021/NĐ-CP ngày 23 tháng

12 năm 2021 của Chính phủ quy định chi tiết một số điều và biện pháp thi

hành Luật Xử lý vi phạm hành chính được sửa đổi, bổ sung theo Nghị định

số 68/2025/NĐ-CP và Nghị định số 190/2025/NĐ-CP.

Chương II

HÀNH VI VI PHẠM HÀNH CHÍNH, HÌNH THỨC XỬ PHẠT

VÀ BIỆN PHÁP KHẮC PHỤC HẬU QUẢ

Mục 1

VI PHẠM QUY ĐỊNH

VỀ BẢO VỆ AN NINH QUỐC GIA, BẢO ĐẢM TRẬT TỰ,

AN TOÀN XÃ HỘI TRÊN KHÔNG GIAN MẠNG

Điều 9. Cung cấp, chia sẻ thông tin trên không gian mạng có nội dung

vi phạm pháp luật, gây ảnh hưởng đến an ninh, trật tự

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với các hành vi

sau đây:

a) Cung cấp, chia sẻ thông tin nhằm cổ súy, vận động hoặc dụ dỗ người

khác thực hiện hành vi xâm hại an ninh, trật tự xã hội;

b) Cung cấp, chia sẻ thông tin mang tính đe dọa, kích động mâu thuẫn,

chia rẽ hoặc gây tác động tiêu cực đến tình hình an ninh, trật tự;

c) Cung cấp, chia sẻ thông tin có nội dung kích động, lôi kéo tụ tập

đông người, gây ảnh hưởng đến trật tự, an toàn xã hội và hoạt động của cơ

quan, tổ chức;

d) Cung cấp, chia sẻ thông tin chưa kiểm chứng liên quan đến lịch sử,

truyền thống cách mạng.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi

sau đây mà chưa đến mức truy cứu trách nhiệm hình sự:

CÔNG BÁO/Số 498/Ngày 04-09-2026 12

a) Cung cấp, chia sẻ thông tin có nội dung sai sự thật về chủ quyền quốc

gia, an ninh, quốc phòng, gây ảnh hưởng đến an ninh, trật tự;

b) Cung cấp, chia sẻ thông tin có nội dung không phù hợp, gây ảnh hưởng

đến sự tôn nghiêm của dân tộc, quốc kỳ, quốc huy, quốc ca, vĩ nhân, lãnh tụ,

danh nhân, anh hùng dân tộc;

c) Cung cấp, chia sẻ thông tin không phù hợp liên quan đến dân tộc, tín

ngưỡng, tôn giáo, giới hoặc chủng tộc, gây tác động tiêu cực trong xã hội;

d) Tạo ra, đăng tải, chia sẻ thông tin giả mạo trên không gian mạng, gây

ảnh hưởng đến an ninh, trật tự;

đ) Cung cấp, chia sẻ thông tin có nội dung sai sự thật, xuyên tạc, gây ảnh

hưởng đến hoạt động bình thường hoặc uy tín của cơ quan, tổ chức, chính quyền

Nhân dân.

3. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin vi phạm đối với hành vi quy định tại khoản 1, 2

Điều này;

b) Buộc cải chính thông tin sai sự thật đối với hành vi quy định tại khoản

1, 2 Điều này.

Điều 10. Làm ra và phát tán thông tin trên không gian mạng có nội

dung xâm phạm trật tự quản lý kinh tế

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các

hành vi sau đây:

a) Cung cấp, chia sẻ thông tin về sản phẩm, hàng hóa, giấy tờ có giá không

bảo đảm tính chính xác theo quy định của pháp luật, ảnh hưởng đến quyền, lợi

ích hợp pháp của tổ chức, cá nhân hoặc trật tự thị trường;

b) Cung cấp, chia sẻ nội dung quảng bá sản phẩm, dịch vụ, thiết bị, hàng

hóa chưa được cơ quan có thẩm quyền xác nhận hoặc cho phép sử dụng trong

hoạt động khám bệnh, chữa bệnh theo quy định của pháp luật.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau đây:

a) Đăng tải, phát tán thông tin mua, bán, trao đổi, cho tặng, thu thập, cho

thuê, cho mượn, sử dụng trái pháp luật tài khoản số mà chưa đến mức truy cứu

trách nhiệm hình sự;

b) Đăng tải, phát tán thông tin mua, bán hàng hóa, dịch vụ bị cấm theo quy

CÔNG BÁO/Số 498/Ngày 04-09-2026 13

định pháp luật mà chưa đến mức truy cứu trách nhiệm hình sự;

c) Đăng tải, phát tán thông tin quảng cáo, mua, bán, trao đổi, cho tặng tiền

giả, giấy tờ có giá giả, phương tiện thanh toán giả mà chưa đến mức truy cứu

trách nhiệm hình sự.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi thiết

lập các trang thông tin điện tử, mạng xã hội hoặc tài khoản, chuyên trang, hội,

nhóm trên mạng xã hội, diễn đàn điện tử để đăng tải, phát tán, hướng dẫn thực

hiện các hành vi quy định tại khoản 1, 2 Điều này.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động từ 01 tháng đến 03 tháng

đối với tổ chức thực hiện hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung xâm phạm

trật tự quản lý kinh tế đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều

này;

b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm

quy định tại khoản 3 Điều này;

c) Buộc cải chính thông tin trên không gian mạng có nội dung xâm phạm

trật tự quản lý kinh tế đối với hành vi quy định tại khoản 1, 2, 3 Điều này;

d) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành

vi quy định tại khoản 1, 2, 3 Điều này.

Điều 11. Làm ra và phát tán thông tin trên không gian mạng có nội

dung sai sự thật, chưa được kiểm chứng gây hoang mang trong Nhân dân,

ảnh hưởng tới trật tự xã hội

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các

hành vi sau đây:

a) Cung cấp, chia sẻ thông tin có nội dung không phù hợp với thuần phong,

mỹ tục, đạo đức xã hội hoặc có khả năng gây ảnh hưởng không tích cực đến

cộng đồng;

b) Cung cấp, chia sẻ thông tin có nội dung khuyến khích hoặc hướng dẫn

thực hiện hành vi trái quy định của pháp luật nhưng chưa đến mức truy cứu

trách nhiệm hình sự;

c) Cung cấp, chia sẻ thông tin về phương pháp, liệu pháp, bài thuốc, kỹ

thuật khám bệnh, chữa bệnh chưa được cơ quan có thẩm quyền cho phép hoặc

chưa được xác nhận theo quy định chuyên ngành;

CÔNG BÁO/Số 498/Ngày 04-09-2026 14

d) Cung cấp, chia sẻ thông tin khuyến nghị thay đổi, trì hoãn hoặc không

áp dụng phương pháp, phác đồ khám bệnh, chữa bệnh đã được cơ quan có thẩm

quyền công nhận mà không có khuyến cáo chuyên môn phù hợp.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi

sau đây:

a) Làm ra, phát tán thông tin sai sự thật, chưa được kiểm chứng làm ảnh

hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân và môi trường thông

tin trên không gian mạng;

b) Làm ra, phát tán thông tin có nội dung không phù hợp với thuần phong,

mỹ tục, đạo đức xã hội hoặc có khả năng gây ảnh hưởng không tích cực đến

cộng đồng;

c) Làm ra, phát tán thông tin có nội dung khuyến khích hoặc hướng dẫn

thực hiện hành vi trái với quy định của pháp luật nhưng chưa đến mức truy cứu

trách nhiệm hình sự;

d) Làm ra, phát tán thông tin về phương pháp, liệu pháp, bài thuốc, kỹ

thuật khám bệnh, chữa bệnh chưa được cơ quan có thẩm quyền cho phép hoặc

chưa được xác nhận theo quy định chuyên ngành;

đ) Làm ra, phát tán thông tin khuyến nghị thay đổi, trì hoãn hoặc không

áp dụng phương pháp, phác đồ khám bệnh, chữa bệnh đã được cơ quan có thẩm

quyền công nhận mà không có khuyến cáo chuyên môn phù hợp.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi thiết

lập, quản trị các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm,

chuyên trang trên mạng xã hội, diễn đàn điện tử để đăng tải, hướng dẫn thực

hiện các hành vi tại khoản 1, 2 Điều này.

4. Các nội dung xử phạt quy định tại điểm d, đ khoản 1 và khoản 2 Điều

này không áp dụng đối với trường hợp cá nhân chia sẻ kinh nghiệm, trải nghiệm

cá nhân về quá trình khám bệnh, chữa bệnh không vì mục đích quảng cáo, tư

vấn chuyên môn, hướng dẫn thay thế điều trị hoặc thu lợi từ việc cung cấp sản

phẩm, dịch vụ, phương pháp khám bệnh, chữa bệnh.

5. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện đối với hành vi vi phạm quy định tại

khoản 1, 2, 3 Điều này;

b) Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với doanh nghiệp thực

hiện hành vi vi phạm quy định tại khoản 3 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 15

6. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung bịa đặt, sai

sự thật, gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội đối với

hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này;

b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm

quy định tại khoản 3 Điều này;

c) Buộc cải chính thông tin trên không gian mạng có nội dung bịa đặt, sai

sự thật nhằm gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội đối

với hành vi quy định tại khoản 1, 2, 3 Điều này;

d) Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện

hành vi vi phạm quy định tại khoản 1, 2 và 3 Điều này.

Điều 12. Vi phạm quy định về trách nhiệm ngăn chặn, xử lý thông tin

trên không gian mạng có nội dung vi phạm pháp luật

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi:

a) Quản lý, điều hành hoặc có khả năng chi phối các trang thông tin điện

tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội

nhưng không triển khai biện pháp nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ,

xóa bỏ các thông tin có nội dung vi phạm pháp luật;

b) Không triển khai biện pháp quản lý, kỹ thuật nhằm phòng ngừa, phát

hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi:

a) Quản lý, điều hành hoặc có khả năng chi phối các trang thông tin điện

tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội

nhưng không triển khai biện pháp nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ,

xóa bỏ các thông tin có nội dung vi phạm pháp luật khi được yêu cầu của cơ

quan chức năng có thẩm quyền;

b) Không cung cấp thông tin, tài liệu về hành vi vi phạm pháp luật được

đăng tải, chia sẻ trên hệ thống thông tin, sản phẩm, dịch vụ do tổ chức, cá nhân

theo yêu cầu của cơ quan chức năng có thẩm quyền.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 16

a) Không bố trí cổng kết nối hoặc các điều kiện kỹ thuật cần thiết cho

nhiệm vụ bảo đảm an ninh thông tin, an ninh mạng theo yêu cầu của Bộ Công an;

b) Không thực hiện ngăn chặn, ngừng cung cấp dịch vụ viễn thông,

Internet đối với trường hợp bạo động, bạo loạn, sử dụng dịch vụ viễn thông

xâm phạm an ninh quốc gia, chống lại Nhà nước Cộng hòa xã hội chủ nghĩa

Việt Nam;

c) Không triển khai hoặc không duy trì các biện pháp kỹ thuật theo yêu

cầu của cơ quan nhà nước có thẩm quyền để ngăn chặn việc truy cập vào các

trang thông tin điện tử, ứng dụng, nền tảng, tên miền vi phạm pháp luật, để

người sử dụng tại Việt Nam tiếp tục truy cập, sử dụng các dịch vụ, nền tảng,

tên miền thuộc diện phải ngăn chặn;

d) Không đầu tư, cập nhật và nâng cấp hệ thống kỹ thuật, công nghệ mạng

đáp ứng yêu cầu quản lý nhà nước về an ninh mạng, an ninh dữ liệu; không chủ

động rà soát, cập nhật giải pháp công nghệ và phương án kỹ thuật nhằm bảo

đảm hiệu quả ngăn chặn, hạn chế tối đa khả năng truy cập đối với các trang

thông tin điện tử, ứng dụng, nền tảng, tên miền vi phạm pháp luật theo yêu cầu

của cơ quan nhà nước có thẩm quyền;

đ) Không chấp hành quyết định huy động một phần hoặc toàn bộ cơ sở hạ

tầng Internet trong trường hợp xử lý tình huống nguy hiểm về an ninh mạng;

e) Không cung cấp thông tin phục vụ bảo vệ an ninh quốc gia theo yêu

cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động từ 01 tháng đến 03

tháng đối với doanh nghiệp thực hiện hành vi vi phạm quy định tại khoản 2,

3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung vi phạm pháp

luật đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này;

b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm

quy định tại điểm b khoản 2 Điều này.

Điều 13. Vi phạm quy định về bảo vệ thông tin thuộc bí mật cá nhân,

bí mật công tác, bí mật kinh doanh, bí mật gia đình và đời sống riêng tư

trên không gian mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 17

a) Đưa lên không gian mạng thông tin thuộc bí mật công tác, bí mật kinh

doanh, bí mật cá nhân, bí mật gia đình và đời sống riêng tư gây ảnh hưởng đến

danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá

nhân nhưng không bị truy cứu trách nhiệm hình sự;

b) Không thực hiện yêu cầu của lực lượng chuyên trách bảo vệ an ninh

mạng về phòng, chống gián điệp mạng, bảo vệ thông tin thuộc bí mật nhà nước

theo quy định của pháp luật;

c) Thay đổi, hủy bỏ hoặc vô hiệu hóa trái phép các biện pháp kỹ thuật

được xây dựng, sử dụng để bảo vệ thông tin thuộc bí mật nhà nước.

2. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi

vi phạm quy định tại điểm a, c khoản 1 Điều này;

b) Đình chỉ hoạt động có thời hạn từ 01 tháng đến 03 tháng đối với hành

vi vi phạm quy định tại điểm b, c khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc xây dựng, áp dụng biện pháp bảo vệ bí mật nhà nước phòng,

chống lộ, mất bí mật nhà nước qua các kênh kỹ thuật đối với các hành vi vi

phạm quy định tại khoản 1 Điều này;

b) Buộc tiêu hủy sản phẩm, thiết bị, dịch vụ, phần mềm gây lộ, mất bí mật

nhà nước, không bảo đảm an ninh mạng đối với các hành vi vi phạm quy định

tại điểm a, c khoản 1 Điều này, trường hợp có liên quan tới tài liệu, vật chứa bí

mật nhà nước thì áp dụng theo quy định của Luật Bảo vệ bí mật nhà nước;

c) Buộc kiểm tra an ninh mạng lại đối với các sản phẩm, thiết bị, dịch vụ,

phần mềm phục vụ bảo vệ bí mật nhà nước đối với các hành vi vi phạm quy

định tại điểm a khoản 1 Điều này;

d) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành

vi quy định tại điểm a khoản 1 Điều này.

Điều 14. Vi phạm quy định về phòng, chống hành vi sử dụng không

gian mạng, công nghệ thông tin, phương tiện điện tử để xâm phạm trật tự

quản lý kinh tế nhưng chưa đến mức truy cứu trách nhiệm hình sự

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với hành vi: bán,

CÔNG BÁO/Số 498/Ngày 04-09-2026 18

cho thuê, cho mượn, tặng cho thông tin tài khoản số của mình, gồm: tài khoản

ngân hàng, thẻ ngân hàng, tài khoản ví điện tử, tài khoản tiền di động, tài khoản

chứng khoán, tài khoản giao dịch, tài khoản bảo hiểm, tài khoản thuế và tài

khoản số khác có chức năng giao dịch tài chính.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi vi phạm sau đây:

a) Sử dụng danh tính giả, giấy tờ, hồ sơ giả hoặc sử dụng trái phép thông

tin của người khác để thành lập doanh nghiệp, thiết lập, đăng ký tài khoản ngân

hàng, thẻ ngân hàng, tài khoản ví điện tử, tài khoản tiền di động, tài khoản

chứng khoán, tài khoản giao dịch, tài khoản bảo hiểm, tài khoản thuế và tài

khoản số khác có chức năng giao dịch tài chính nhưng chưa đến mức truy cứu

trách nhiệm hình sự;

b) Sử dụng tài khoản số có chức năng giao dịch tài chính làm công cụ

trung gian để giao dịch, nhận, chuyển tiền và thanh toán cho người thụ hưởng

khác, trừ trường hợp được cơ quan có thẩm quyền cấp phép;

c) Thuê, cho thuê, cung cấp, sử dụng dịch vụ nhận tin nhắn, cuộc gọi hoặc

hình thức khác để xác thực thông tin, định danh tài khoản số có chức năng giao

dịch tài chính, trừ trường hợp được cơ quan có thẩm quyền cấp phép;

d) Sử dụng tài khoản số để mua bán, giao dịch, quy đổi trái phép ngoại tệ.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi vi phạm sau đây:

a) Thiết lập, sử dụng trang thông tin điện tử, tài khoản số hoặc giao diện

điện tử gây nhầm lẫn về chủ thể cung cấp thông tin của cơ quan, tổ chức, cá

nhân;

b) Cung cấp, chia sẻ, sử dụng nội dung số không bảo đảm quy định về

quyền tác giả, quyền liên quan và sở hữu trí tuệ trên không gian mạng nhưng

chưa đến mức truy cứu trách nhiệm hình sự;

c) Sử dụng thông tin xác thực, thông tin đăng nhập hoặc quyền truy cập

tài khoản số không đúng quy định của pháp luật;

d) Thiết lập, vận hành, cung cấp dịch vụ hoặc hỗ trợ hoạt động đối với sàn

giao dịch, ứng dụng, nền tảng số không bảo đảm điều kiện cung cấp dịch vụ

theo quy định của pháp luật;

đ) Cung cấp thông tin, quảng cáo hoặc thực hiện hoạt động kinh doanh

đối với hàng hóa không phù hợp với quy định của pháp luật về thương mại,

chất lượng, nguồn gốc, xuất xứ và điều kiện lưu thông hàng hóa nhưng chưa

đến mức truy cứu trách nhiệm hình sự.

CÔNG BÁO/Số 498/Ngày 04-09-2026 19

4. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi vi phạm sau đây:

a) Cung cấp, thiết lập, vận hành hệ thống thông tin, trang thông tin điện

tử, ứng dụng, sàn giao dịch cho vay ngang hàng, tiền ảo, tài sản ảo và các dạng

tương tự khi chưa được cấp phép, chấp thuận của cơ quan có thẩm quyền;

b) Cung cấp, thiết lập, vận hành hệ thống thông tin, trang thông tin điện

tử, ứng dụng, sàn giao dịch ngoại tệ, kim loại, dầu, đá quý và các dạng tương

tự khi chưa được cơ quan có thẩm quyền cấp phép, chấp thuận;

c) Cung cấp, gửi, phát tán tin nhắn, cuộc gọi, thư điện tử sử dụng tên,

thông tin nhận diện của cơ quan, tổ chức không đúng quy định của pháp luật.

5. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau đây:

a) Sử dụng không gian mạng can thiệp, thay đổi hoặc làm sai lệch thông

tin giao dịch, thông tin tài khoản nhận tiền không đúng quy định của pháp luật;

b) Sử dụng không gian mạng để huy động vốn, tiếp nhận hoặc phân phối

nguồn tiền theo phương thức không bảo đảm tính minh bạch, không phù hợp

với quy định của pháp luật;

c) Tổ chức, thực hiện hoạt động kinh doanh theo phương thức đa cấp

trên không gian mạng không đáp ứng điều kiện hoạt động theo quy định của

pháp luật;

d) Cung cấp, chia sẻ hoặc thực hiện hoạt động giao dịch chứng khoán trên

không gian mạng không đúng quy định của pháp luật;

đ) Sử dụng không gian mạng để vận động, tiếp nhận, quản lý hoặc phân

phối nguồn đóng góp, hỗ trợ cộng đồng không bảo đảm công khai, minh bạch

theo quy định của pháp luật;

e) Sử dụng thông tin tài khoản số, tài khoản mạng xã hội hoặc tài khoản

điện tử của tổ chức, cá nhân không đúng thẩm quyền hoặc không được sự đồng

ý của chủ tài khoản.

6. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi vi phạm sau đây:

a) Mở tài khoản số không đúng trình tự, thủ tục theo quy định pháp luật

hoặc duy trì tài khoản số có chức năng giao dịch tài chính bằng thông tin định

danh giả mạo, không có thông tin trong cơ sở dữ liệu quốc gia về dân cư, cơ sở

CÔNG BÁO/Số 498/Ngày 04-09-2026 20

dữ liệu về tổ chức, doanh nghiệp, gồm: tài khoản ngân hàng, thẻ ngân hàng, tài

khoản ví điện tử, tài khoản tiền di động, tài khoản chứng khoán, tài khoản giao

dịch và các loại tài khoản số khác có chức năng giao dịch tài chính;

b) Mở tài khoản số cho người trong danh sách bị cấm mở và sử dụng tài

khoản số.

7. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện, tiền, trong tài

khoản số đối với một trong các hành vi vi phạm quy định tại khoản 1 Điều này.

8. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin đối với các hành vi vi phạm quy định tại điểm

b, đ khoản 3 Điều này;

b) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật tại khoản 1, 2,

3, 4, 5, 6 Điều này.

Điều 15. Vi phạm quy định phòng, chống hành vi sử dụng không gian

mạng, công nghệ thông tin, phương tiện điện tử xâm phạm trật tự xã hội

nhưng chưa đến mức truy cứu trách nhiệm hình sự

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau đây:

a) Đăng tải, chia sẻ thông tin quảng bá trò chơi đổi thưởng trên không gian

mạng trái với quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm

hình sự;

b) Sử dụng thông tin, hình thức nhận diện của cơ quan, tổ chức trong hoạt

động liên hệ, trao đổi thông tin trên không gian mạng không bảo đảm tính xác

thực theo quy định của pháp luật;

c) Đăng tải, chia sẻ thông tin liên quan đến hoạt động tín ngưỡng, tâm linh

không phù hợp với quy định của pháp luật trên nền tảng mạng xã hội, ứng dụng

nhắn tin;

d) Đăng tải, chia sẻ thông tin cổ vũ hoặc khuyến khích thực hiện hành vi

đua xe trái phép trên không gian mạng nhưng chưa đến mức truy cứu trách

nhiệm hình sự;

đ) Đăng tải, quảng bá thông tin về động vật hoang dã không phù hợp với

quy định của pháp luật về bảo vệ động vật hoang dã trên không gian mạng;

CÔNG BÁO/Số 498/Ngày 04-09-2026 21

e) Đăng tải, chia sẻ hình ảnh, video, âm thanh hoặc bài viết có nội dung

khiêu dâm, đồi trụy lên các nền tảng mạng xã hội, ứng dụng nhắn tin, trang

thông tin điện tử nhưng chưa đến mức truy cứu trách nhiệm hình sự;

g) Phát trực tiếp (livestream) nội dung, hình ảnh hoặc hành vi không phù

hợp với chuẩn mực văn hóa, đạo đức xã hội trên không gian mạng;

h) Thiết lập trang thông tin điện tử, nền tảng số để đăng tải thông tin cung

cấp dịch vụ không phù hợp với quy định của pháp luật;

i) Đăng tải, chia sẻ tác phẩm điện ảnh, chương trình truyền hình, video,

âm nhạc hoặc nội dung số khác khi chưa đáp ứng quy định về quyền tác giả,

quyền liên quan;

k) Phát trực tiếp hoặc chia sẻ nội dung các sự kiện thể thao, biểu diễn nghệ

thuật, tác phẩm điện ảnh từ nguồn chưa được phép phổ biến theo quy định;

l) Sao chép, cung cấp hoặc phân phối phần mềm, ứng dụng di động không

bảo đảm điều kiện sử dụng theo quy định về quyền sở hữu trí tuệ;

m) Sử dụng công nghệ trí tuệ nhân tạo (AI) để tạo sản phẩm số có nội

dung tương tự hoặc khai thác tác phẩm gốc mà chưa bảo đảm yêu cầu về quyền

sở hữu trí tuệ theo quy định của pháp luật;

n) Sản xuất, cung cấp hoặc chia sẻ phần mềm, công cụ hỗ trợ can thiệp,

thay đổi cơ chế quản lý bản quyền phần mềm, hệ điều hành không đúng quy

định của pháp luật;

o) Cung cấp thiết bị, phần mềm hỗ trợ tiếp nhận, giải mã tín hiệu truyền

hình không đáp ứng điều kiện theo quy định của pháp luật;

p) Hướng dẫn, chia sẻ phương thức truy cập vào các trang mạng, ứng dụng

hoặc nền tảng số đã bị giới hạn phạm vi truy cập theo quy định của pháp luật.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau đây:

a) Thiết lập, vận hành trang thông tin điện tử, mạng xã hội, hệ thống thông

tin hoặc ứng dụng cung cấp trò chơi, chương trình đổi thưởng trên không gian

mạng không đáp ứng điều kiện theo quy định của pháp luật;

b) Cung cấp dịch vụ công nghệ thông tin, phần cứng, phần mềm, tên miền,

ứng dụng hoặc nền tảng số có nội dung không bảo đảm quy định về quyền tác

giả, quyền liên quan và sở hữu công nghiệp nhưng chưa đến mức truy cứu trách

nhiệm hình sự;

CÔNG BÁO/Số 498/Ngày 04-09-2026 22

c) Thiết lập các trang thông tin điện tử, mạng xã hội, chuyên trang trên

mạng xã hội, hệ thống thông tin, ứng dụng có nội dung quảng cáo mại dâm,

khiêu dâm, đồi trụy nhưng chưa đến mức truy cứu trách nhiệm hình sự;

d) Tổ chức quay phim, phát hình ảnh trực tuyến có nội dung khiêu dâm,

đồi trụy trên hệ thống thông tin, trang thông tin điện tử, mạng xã hội nhưng

chưa đến mức truy cứu trách nhiệm hình sự;

đ) Cung cấp dịch vụ công nghệ thông tin, phần cứng, phần mềm, dịch vụ

khác hỗ trợ, phục vụ hoạt động quay phim, phát hình ảnh trực tuyến nội dung

khiêu dâm, đồi trụy nhưng chưa đến mức truy cứu trách nhiệm hình sự;

e) Không kiểm duyệt, ngăn chặn, loại bỏ nội dung khiêu dâm, đồi trụy,

tệ nạn xã hội và các hành vi vi phạm pháp luật khác trên hệ thống thông tin,

trang thông tin điện tử, mạng xã hội nhưng chưa đến mức truy cứu trách nhiệm

hình sự;

g) Đăng tải, chia sẻ thông tin về hàng hóa, chất hoặc sản phẩm thuộc danh

mục cấm kinh doanh, cấm lưu hành theo quy định của pháp luật trên không

gian mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

h) Đăng tải, chia sẻ thông tin mua bán mô, bộ phận cơ thể người không

phù hợp với quy định của pháp luật trên không gian mạng nhưng chưa đến mức

truy cứu trách nhiệm hình sự;

i) Đăng tải, chia sẻ thông tin hướng dẫn hoặc khuyến khích thực hiện hành

vi không phù hợp với quy định của pháp luật;

k) Đăng tải thông tin quảng bá dịch vụ cho vay không phù hợp với quy

định của pháp luật về lãi suất và hoạt động cho vay trên không gian mạng;

l) Đăng tải thông tin mua, bán vũ khí, vật liệu nổ, công cụ hỗ trợ, trang

phục, cấp hiệu, phù hiệu, số hiệu Công an Nhân dân, Quân đội Nhân dân Việt

Nam trên không gian mạng;

m) Cung cấp dịch vụ thanh toán trực tuyến cho các ứng dụng, trang web

có hoạt động nội dung khiêu dâm, đồi trụy hoặc mại dâm nhưng chưa đến mức

truy cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện đối với hành

vi vi phạm quy định tại khoản 1, 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin đối với các hành vi vi phạm quy định tại khoản

1 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 23

b) Buộc thu hồi hoặc tiêu hủy sản phẩm, thiết bị, ngừng cung cấp dịch vụ

gây hại về an ninh mạng hoặc không đáp ứng điều kiện, tiêu chuẩn, quy chuẩn

kỹ thuật theo quy định của pháp luật hoặc không có giấy phép hoặc thực hiện

không đúng với giấy phép đối với hành vi vi phạm quy định tại khoản 2 Điều

này;

c) Buộc loại bỏ tính năng, thành phần gây hại về an ninh chương trình, sản

phẩm, thiết bị, dịch vụ, phần mềm đối với hành vi vi phạm quy định tại khoản

2 Điều này;

d) Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực

hiện hành vi vi phạm quy định tại khoản 1, 2 Điều này;

đ) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành

vi quy định tại khoản 1, 2 Điều này.

Mục 2

VI PHẠM QUY ĐỊNH

VỀ PHÒNG, CHỐNG TẤN CÔNG MẠNG

Điều 16. Vi phạm quy định về phòng, chống tấn công mạng

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau đây:

a) Cung cấp, chia sẻ hoặc sử dụng chương trình tin học gây ảnh hưởng

đến an toàn, ổn định hoạt động của hệ thống thông tin, mạng máy tính và

phương tiện điện tử;

b) Đưa chương trình, mã lệnh hoặc ứng dụng vào hệ thống thông tin làm

ảnh hưởng đến việc quản lý, lưu trữ, khai thác dữ liệu của tổ chức, cá nhân;

c) Can thiệp, tác động làm ảnh hưởng đến hoạt động ổn định hoặc khả

năng truyền tải dữ liệu của mạng viễn thông, Internet, mạng máy tính, phương

tiện điện tử không đúng quy định của pháp luật;

d) Truy cập, tác động hoặc can thiệp vào dữ liệu được lưu trữ, truyền đưa

qua mạng viễn thông, Internet, mạng máy tính, phương tiện điện tử không đúng

thẩm quyền hoặc không đúng quy định của pháp luật nhưng chưa đến mức truy

cứu trách nhiệm hình sự;

đ) Khai thác, sử dụng, cung cấp hoặc chia sẻ thông tin, dữ liệu; phát hiện,

thử nghiệm hoặc sử dụng điểm yếu, lỗ hổng kỹ thuật của hệ thống thông tin

không đúng quy định về an toàn, an ninh mạng;

CÔNG BÁO/Số 498/Ngày 04-09-2026 24

e) Thực hiện hành vi gây ảnh hưởng đến hoạt động bình thường của mạng

viễn thông, Internet, mạng máy tính, phương tiện điện tử;

g) Không cung cấp đầy đủ, kịp thời thông tin, tài liệu liên quan đến

tấn công mạng theo yêu cầu của cơ quan có thẩm quyền theo quy định của

pháp luật.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi

sau đây:

a) Sản xuất, mua bán, trao đổi, tặng cho chương trình tin học, phần mềm

công nghệ thông tin gây hại cho mạng máy tính, mạng viễn thông, phương tiện

điện tử nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng áp

dụng các biện pháp để ngăn chặn, loại trừ hành vi tấn công mạng;

c) Cung cấp dịch vụ tấn công mạng trái pháp luật nhưng chưa đến mức

truy cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện với các hành vi vi phạm quy định tại

khoản 1, 2 Điều này;

b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối

với người nước ngoài có hành vi vi phạm tại khoản 1, khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thu hồi sản phẩm, thiết bị, ngừng cung cấp dịch vụ gây hại về an

ninh mạng đối với hành vi vi phạm quy định tại khoản 1, khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu bị chiếm đoạt, mua

bán, trao đổi trái phép đối với hành vi vi phạm quy định tại điểm a, b khoản 1,

điểm a khoản 2 Điều này;

c) Buộc hoàn trả địa chỉ IP, ASN, tên miền, các tài khoản số đối với hành

vi vi phạm quy định tại điểm a, b, c, d, đ, e, khoản 1, điểm a, c khoản 2 Điều

này;

d) Buộc thu hồi số lợi bất hợp pháp có được đối với hành vi vi phạm quy

định tại điểm đ khoản 1, điểm a khoản 2 Điều này;

đ) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành

vi quy định tại khoản 1, 2 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 25

Điều 17. Vi phạm quy định về phòng, chống khủng bố mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau đây:

a) Chia sẻ, bình luận hoặc lan truyền thông tin có nội dung ủng hộ, quảng

bá hoạt động vi phạm pháp luật về khủng bố trên không gian mạng nhưng chưa

đến mức truy cứu trách nhiệm hình sự;

b) Cung cấp, chia sẻ thông tin có nội dung kêu gọi, vận động hoặc hướng

dẫn thực hiện hành vi vi phạm quy định của pháp luật về an ninh, an toàn mạng

nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Đăng tải, chia sẻ thông tin có nội dung cổ vũ hành vi bạo lực, cực đoan

hoặc gây ảnh hưởng tiêu cực đến an ninh, trật tự và an toàn xã hội nhưng chưa

đến mức truy cứu trách nhiệm hình sự.

2. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với các hành vi

sau đây:

a) Hỗ trợ, tạo điều kiện cho việc sử dụng không gian mạng nhằm cung

cấp, tiếp nhận hoặc vận động nguồn hỗ trợ tài chính trái quy định của pháp luật

về phòng, chống khủng bố nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Hỗ trợ tổ chức, cá nhân sử dụng không gian mạng nhằm hạn chế, né

tránh hoặc làm giảm hiệu quả các biện pháp bảo đảm an ninh, an toàn mạng

của cơ quan có thẩm quyền nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Kêu gọi, vận động huy động nguồn tài chính không đúng quy định của

pháp luật về phòng, chống khủng bố trên không gian mạng, nhưng chưa đến

mức truy cứu trách nhiệm hình sự;

d) Cung cấp, chia sẻ thông tin không chính xác liên quan đến hoạt động

khủng bố, tài trợ khủng bố hoặc thực hiện hành vi gây ảnh hưởng đến hoạt động

phòng, chống khủng bố của cơ quan có thẩm quyền nhưng chưa đến mức truy

cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện đối với các hành vi vi phạm quy định tại

khoản 1, 2 Điều này;

b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối

với người nước ngoài có hành vi vi phạm tại khoản 1, 2 Điều này.

4. Biện pháp khắc phục hậu quả:

CÔNG BÁO/Số 498/Ngày 04-09-2026 26

a) Buộc gỡ, xóa bỏ chương trình, phần mềm, thu hồi hoặc tiêu hủy sản

phẩm, thiết bị, ngừng cung cấp dịch vụ gây hại về an ninh mạng đối với các

hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Buộc đưa ra khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam

hoặc tái xuất hàng hóa, vật phẩm, phương tiện đối với các hành vi vi phạm quy

định tại khoản 1, 2 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu bị chiếm đoạt,

mua bán, trao đổi trái phép đối với các hành vi vi phạm quy định tại khoản 1,

2 Điều này;

d) Buộc xóa bỏ và cải chính thông tin sai sự thật hoặc gây nhầm lẫn đối

với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

đ) Buộc thu hồi sản phẩm, thiết bị, dịch vụ, phần mềm không bảo đảm

chất lượng đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

e) Buộc thu hồi số thuê bao, đầu số, kho số viễn thông; tài nguyên Internet,

tên miền, địa chỉ Internet (IP), số hiệu mạng (ASN); mã số quản lý, số cung cấp

dịch vụ đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

g) Buộc hoàn trả địa chỉ IP, ASN, tên miền, các tài khoản số đối với các

hành vi vi phạm quy định tại khoản 1, 2 Điều này;

h) Buộc thu hồi số lợi bất hợp pháp có được đối với hành vi vi phạm quy

định tại khoản 1, 2 Điều này.

Điều 18. Vi phạm quy định về phòng ngừa, xử lý tình huống nguy

hiểm về an ninh mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không phối hợp ngăn chặn, gỡ, xóa bỏ thông tin có nội dung kích động

trên không gian mạng có nguy cơ xảy ra bạo loạn, phá rối an ninh, khủng bố,

chậm nhất là 24 giờ kể từ thời điểm có yêu cầu của lực lượng chuyên trách bảo

vệ an ninh mạng thuộc Bộ Công an;

b) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của

lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phối hợp

triển khai các giải pháp kỹ thuật, nghiệp vụ để phòng ngừa, phát hiện, xử lý

tình huống nguy hiểm về an ninh mạng;

c) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của

lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phối hợp

với lực lượng chuyên trách bảo vệ an ninh mạng trong phòng ngừa, phát hiện,

CÔNG BÁO/Số 498/Ngày 04-09-2026 27

xử lý tình huống nguy hiểm về an ninh mạng;

d) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của

lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong triển khai

phương án phòng ngừa, ứng phó khẩn cấp về an ninh mạng, ngăn chặn, loại trừ

hoặc giảm nhẹ thiệt hại do tình huống nguy hiểm về an ninh mạng gây ra;

đ) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của

lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phối hợp

thu thập thông tin liên quan; theo dõi, giám sát liên tục đối với tình huống nguy

hiểm về an ninh mạng;

e) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của

lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong thực hiện

ngừng cung cấp thông tin mạng tại khu vực cụ thể hoặc ngắt cổng kết nối mạng

quốc tế đối với tình huống nguy hiểm về an ninh mạng;

g) Không bố trí lực lượng, phương tiện ngăn chặn, loại bỏ tình huống nguy

hiểm về an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc áp dụng biện pháp kỹ thuật, quản

lý cần thiết để ngăn chặn, khắc phục nguy cơ mất an toàn, an ninh mạng do

hành vi vi phạm gây ra tại khoản 1 Điều này.

Mục 3

VI PHẠM QUY ĐỊNH VỀ TRIỂN KHAI HOẠT ĐỘNG

BẢO VỆ AN NINH MẠNG

Điều 19. Vi phạm quy định về cung cấp, sử dụng trái phép thông tin

trên mạng

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Truy cập trái phép vào mạng hoặc thiết bị số của người khác để chiếm

quyền điều khiển thiết bị số hoặc thay đổi, xóa bỏ thông tin lưu trữ trên thiết bị

số hoặc thay đổi tham số cài đặt thiết bị số hoặc thu thập thông tin của người

khác nhưng không bị truy cứu trách nhiệm hình sự;

b) Xâm nhập, sửa đổi, xóa bỏ nội dung thông tin của tổ chức, cá nhân khác

trên môi trường mạng;

c) Cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin;

d) Ngăn chặn việc truy nhập đến thông tin của tổ chức, cá nhân khác trên

môi trường mạng, trừ trường hợp pháp luật cho phép;

CÔNG BÁO/Số 498/Ngày 04-09-2026 28

đ) Làm mất an toàn, bí mật thông tin của tổ chức, cá nhân khác được trao

đổi, truyền đưa, lưu trữ trên môi trường mạng.

2. Hình thức xử phạt bổ sung: Trục xuất khỏi lãnh thổ nước Cộng hòa xã

hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm quy định

tại các khoản 1 Điều này.

Điều 20. Vi phạm quy định về quản lý gửi thông tin trên mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Gửi thông tin mang tính thương mại vào địa chỉ điện tử của người tiếp

nhận khi chưa được người tiếp nhận đồng ý hoặc khi người tiếp nhận đã từ

chối;

b) Không có phương thức để người tiếp nhận thông tin từ chối việc tiếp

nhận thông tin.

2. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Giả mạo nguồn gốc gửi thông tin trên mạng;

b) Không cung cấp điều kiện kỹ thuật và nghiệp vụ cần thiết khi có yêu

cầu của cơ quan nhà nước có thẩm quyền.

3. Phạt tiền từ 50.000.000 đồng đến 75.000.000 đồng đối với hành vi

không áp dụng biện pháp ngăn chặn hoặc không xử lý khi nhận được thông báo

của tổ chức, cá nhân về việc gửi thông tin vi phạm quy định của pháp luật.

4. Biện pháp khắc phục hậu quả: Buộc loại bỏ thông tin vi phạm pháp luật

được gửi, phát tán trên mạng đối với hành vi vi phạm quy định tại điểm a khoản

1 Điều này;

Điều 21. Vi phạm các quy định về ứng cứu sự cố an ninh mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau:

a) Không công bố thông tin về địa chỉ tiếp nhận sự cố trên Trang thông tin

điện tử hoặc Cổng thông tin điện tử;

b) Không khai báo hồ sơ, cung cấp, cập nhật thông tin về đầu mối ứng cứu

sự cố, nhân lực kỹ thuật an ninh mạng, ứng cứu sự cố thuộc phạm vi quản lý

tới lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

CÔNG BÁO/Số 498/Ngày 04-09-2026 29

c) Cập nhật thông tin về đầu mối ứng cứu sự cố không đúng thời gian quy

định khi có thay đổi;

d) Vi phạm quy chế hoạt động của mạng lưới ứng cứu sự cố an ninh mạng

quốc gia hoặc không tuân thủ các yêu cầu điều phối của cơ quan điều phối.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Không báo cáo với lực lượng chuyên trách bảo vệ an ninh mạng thuộc

Bộ Công an khi tiếp nhận thông tin, phát hiện sự cố đối với hệ thống thông tin

trong phạm vi quản lý;

b) Không triển khai các hoạt động ứng cứu sự cố và báo cáo theo quy định

sau khi phát hiện sự cố hoặc nhận được yêu cầu của lực lượng chuyên trách bảo

vệ an ninh mạng.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không tổng hợp, báo cáo lực lượng chuyên trách bảo vệ an ninh mạng

thuộc Bộ Công an về diễn biến sự cố khi được yêu cầu;

b) Không thành lập hoặc không chỉ định đơn vị chuyên trách ứng cứu sự

cố an ninh mạng hoặc không thành lập Đội ứng cứu sự cố;

c) Không ghi nhận hoặc không tiếp nhận thông báo hoặc không báo cáo

sự cố an ninh mạng theo đúng quy trình;

d) Không xây dựng Kế hoạch ứng phó sự cố bảo đảm an ninh mạng;

đ) Thực hiện không đầy đủ các yêu cầu điều phối ứng cứu sự cố của Bộ

Công an.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Không cử đầu mối thực hiện các hoạt động phối hợp ứng cứu sự cố

hoặc không tham gia mạng lưới ứng cứu sự cố an ninh mạng quốc gia;

b) Không thực hiện các yêu cầu điều phối ứng cứu sự cố của lực lượng

chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

c) Không bố trí mặt bằng, cổng kết nối và các điều kiện kỹ thuật cần thiết

theo yêu cầu của Bộ Công an;

d) Không tổ chức hoạt động ứng cứu sự cố trong lĩnh vực, địa bàn, phạm

vi mình quản lý;

CÔNG BÁO/Số 498/Ngày 04-09-2026 30

đ) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc

Bộ Công an, các nhà cung cấp dịch vụ và các cơ quan chức năng khôi phục một

số hoạt động, dữ liệu hoặc kết nối cần thiết nhất để giảm thiểu thiệt hại đối với

hệ thống thông tin hoặc gây ảnh hưởng xấu tới xã hội;

e) Không phối hợp trong thời gian chưa khắc phục triệt để sự cố;

g) Không xử lý các hậu quả do sự cố hệ thống thông tin của mình gây ra

ảnh hưởng đến người dân, cơ quan, tổ chức khác;

h) Không lưu trữ hoặc không cung cấp thông tin liên quan đến các địa chỉ

IP thuê bao, máy chủ, thiết bị IoT, các log file, nhật ký dịch vụ phân giải tên

miền DNS trong phạm vi quản lý;

i) Không thiết lập môi trường để lắp đặt thiết bị quan trắc, lấy mẫu và cung

cấp luồng dữ liệu mạng;

k) Không thiết lập đầu mối thường trực 24/7 hoặc không bố trí nhân lực,

vật lực sẵn sàng phối hợp, triển khai các giải pháp nhằm ứng cứu, khắc phục

hậu quả sự cố trong trường hợp nguồn tấn công được xác định xuất phát từ thuê

bao thuộc doanh nghiệp mình hoặc khi được yêu cầu của Bộ Công an.

5. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với

hành vi vi phạm quy định tại khoản 1, 2, 3, 4 Điều này;

b) Buộc thu hồi, loại bỏ dữ liệu, thông tin hoặc kết nối mạng gây mất an

ninh mạng trong trường hợp hành vi vi phạm quy định tại khoản 1, 2, 3, 4

Điều này.

Điều 22. Vi phạm quy định về phòng ngừa, phát hiện, ngăn chặn và

xử lý phần mềm độc hại

1. Phạt tiền từ 15.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Không có biện pháp quản lý hoặc phòng ngừa hoặc phát hiện hoặc ngăn

chặn phát tán phần mềm độc hại;

b) Không báo cáo cơ quan nhà nước có thẩm quyền về hệ thống lọc phần

mềm độc hại trong quá trình gửi, nhận, lưu trữ thông tin trên hệ thống của mình

theo quy định của pháp luật.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 31

a) Không có hệ thống lọc phần mềm độc hại trong quá trình gửi hoặc nhận

hoặc lưu trữ thông tin trên hệ thống của doanh nghiệp cung cấp dịch vụ thư

điện tử, truyền đưa, lưu trữ thông tin;

b) Không thực hiện phòng ngừa hoặc không ngăn chặn hoặc không xử lý

việc phát tán phần mềm độc hại theo hướng dẫn, yêu cầu của cơ quan nhà nước

có thẩm quyền;

c) Không triển khai hệ thống kỹ thuật nghiệp vụ nhằm phòng ngừa, phát

hiện, ngăn chặn và xử lý kịp thời phần mềm độc hại.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép cung cấp

dịch vụ mạng xã hội có thời hạn từ 01 tháng đến 03 tháng đối với hành vi tại

khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin bị ảnh

hưởng bởi phần mềm độc hại đối với hành vi vi phạm quy định tại khoản 1, 2

Điều này;

b) Buộc thực hiện biện pháp khắc phục tình trạng mất an ninh mạng đối

với hành vi vi phạm quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ, tiêu hủy phần mềm độc hại, mã độc hoặc dữ liệu độc hại

được phát tán trái pháp luật đối với hành vi vi phạm quy định tại khoản 1, 2

Điều này.

Điều 23. Vi phạm quy định về biện pháp giám sát an toàn, bảo vệ hệ

thống thông tin

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi sau:

a) Không ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây

dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin;

b) Không xây dựng hồ sơ đề xuất cấp độ hệ thống thông tin đối với cấp độ

3 đến cấp độ 5;

c) Đưa hệ thống thông tin vào vận hành khi chưa được phê duyệt cấp độ

an ninh mạng đối với cấp độ 3 đến cấp độ 5;

d) Không triển khai đầy đủ các biện pháp bảo đảm an ninh mạng như hồ

sơ an ninh mạng đã được phê duyệt cấp độ từ cấp độ 3 đến cấp độ 5.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 32

a) Không kiểm tra, giám sát việc tuân thủ quy định về bảo đảm an ninh

mạng, lưu trữ nhật ký hệ thống theo quy định hoặc không đánh giá hiệu quả

của các biện pháp quản lý và kỹ thuật được áp dụng;

b) Không phối hợp với chủ quản hệ thống thông tin trong việc giám sát an

toàn hệ thống thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền;

c) Không tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm

an ninh mạng;

d) Cản trở hoặc không thực hiện việc trao đổi thông tin, dữ liệu giám sát

của hệ thống giữa đơn vị được chủ quản hệ thống thông tin thuê với lực lượng

chuyên trách bảo đảm an ninh mạng.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép Thiết lập

trang thông tin điện tử tổng hợp có thời hạn từ 01 tháng đến 06 tháng đối với

hành vi quy định tại khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với

hành vi quy định tại khoản 1, 2 Điều này;

b) Buộc thực hiện biện pháp khắc phục tình trạng mất an ninh mạng, nguy

cơ mất an ninh mạng đối với hành vi quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ các yếu tố vi phạm về an ninh mạng trong quá trình thiết

kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp hoặc hủy bỏ hệ thống thông

tin đối với hành vi quy định tại khoản 1, 2 Điều này.

Điều 24. Vi phạm quy định về bảo đảm an ninh hệ thống thông tin

theo cấp độ

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi

không lập hồ sơ đề xuất cấp độ hoặc không tổ chức thẩm định, phê duyệt hồ sơ

đề xuất cấp độ theo quy định.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi

không thực hiện mở rộng hoặc nâng cấp hệ thống thông tin quan trọng quốc gia

trước khi đưa vào vận hành, khai thác.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép Thiết lập

trang thông tin điện tử tổng hợp có thời hạn từ 01 tháng đến 03 tháng đối với

hành vi quy định tại khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

CÔNG BÁO/Số 498/Ngày 04-09-2026 33

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với

các hành vi quy định tại khoản 1, 2 Điều này;

b) Buộc thực hiện biện pháp khắc phục nguy cơ gây mất an ninh mạng,

mất an ninh mạng đối với hành vi quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ các yếu tố vi phạm về an ninh mạng đối với hành vi quy

định tại khoản 1, 2 Điều này.

Điều 25. Vi phạm quy định về ngăn chặn xung đột thông tin trên mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau:

a) Không thông báo và cung cấp không đầy đủ thông tin khi phát hiện có

dấu hiệu, hành vi gây xung đột thông tin trên mạng hoặc khi phát hiện thấy

thông tin, hệ thống thông tin bị tổn hại;

b) Không tiếp nhận hoặc không xử lý thông tin về xung đột thông tin trên

mạng để ứng cứu sự cố và ngăn chặn xung đột thông tin trên mạng;

c) Không phối hợp với các cơ quan nghiệp vụ trong việc xác định chính

xác nguồn gốc gây xung đột thông tin trên mạng;

d) Không phối hợp với các cơ quan nghiệp vụ để loại trừ xung đột thông

tin trên mạng.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Không thực hiện chặn lọc thông tin theo yêu cầu của các cơ quan nghiệp

vụ hoặc yêu cầu hợp lý của bên bị xung đột thông tin trên mạng;

b) Không ngăn chặn thông tin phá hoại xuất phát từ hệ thống thông tin của

mình hoặc không hợp tác xác định nguồn, đẩy lùi, khắc phục hậu quả tấn công

mạng từ hệ thống thông tin của tổ chức, cá nhân trong nước và nước ngoài;

c) Không xây dựng phương án khắc phục xung đột thông tin trên mạng

thuộc phạm vi quản lý;

d) Không tổng hợp, báo cáo kết quả khắc phục xung đột thông tin trên

mạng cho cơ quan nghiệp vụ;

đ) Không phối hợp khắc phục xung đột thông tin trên mạng.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi

không khắc phục xung đột thông tin trên mạng thuộc phạm vi quản lý.

CÔNG BÁO/Số 498/Ngày 04-09-2026 34

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi

không hợp tác xác định nguồn gốc hoặc không khắc phục hậu quả xung đột

thông tin trên mạng.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp ngăn chặn, chặn lọc, loại trừ và khắc phục

xung đột thông tin trên mạng đối với hành vi vi phạm quy định tại khoản 2, 3,

4 Điều này;

b) Buộc khôi phục hoạt động bình thường của hệ thống thông tin đối với

hành vi quy định tại khoản 1, 2, 3, 4 Điều này.

Điều 26. Vi phạm quy định về bảo vệ an ninh mạng đối với hệ thống

thông tin quan trọng về an ninh quốc gia

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi vi phạm quy định về xác lập hệ thống thông tin quan trọng về an

ninh quốc gia sau:

a) Không thực hiện hoặc thực hiện không đầy đủ theo quy định việc rà

soát xác lập hệ thống thông tin quan trọng về an ninh quốc gia đối với hệ thống

thông tin thuộc phạm vi quản lý;

b) Không rà soát xác lập hệ thống thông tin quan trọng về an ninh quốc

gia đối với hệ thống thông tin thuộc phạm vi quản lý sau khi đã có thông báo

của lực lượng chuyên trách bảo vệ an ninh mạng;

c) Không gửi Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ theo

phân cấp quản lý hồ sơ hệ thống thông tin quan trọng quốc gia đã được Thủ

tướng Chính phủ phê duyệt để xác lập Danh mục hệ thống thông tin quan trọng

về an ninh quốc gia;

d) Không chuyển cho Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính

phủ theo phân cấp quản lý hồ sơ thẩm định về cấp độ an ninh mạng mà xét thấy

có đủ căn cứ để đưa vào Danh mục hệ thống thông tin quan trọng về an ninh

quốc gia để thẩm định hồ sơ đề nghị đưa hệ thống thông tin vào Danh mục hệ

thống thông tin quan trọng về an ninh quốc gia.

2. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong

các hành vi vi phạm quy định về thẩm định an ninh mạng sau:

a) Không tiến hành thẩm định an ninh mạng làm cơ sở cho việc quyết định

xây dựng hệ thống thông tin có đủ tiêu chí là hệ thống thông tin quan trọng về

an ninh quốc gia;

CÔNG BÁO/Số 498/Ngày 04-09-2026 35

b) Không tiến hành thẩm định an ninh mạng làm cơ sở cho việc nâng cấp

hệ thống thông tin có đủ tiêu chí là hệ thống thông tin quan trọng về an ninh

quốc gia.

3. Phạt tiền từ 40.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi vi phạm về kiểm tra an ninh mạng, giám sát an ninh mạng sau:

a) Không tiến hành đánh giá điều kiện an ninh mạng đối với hệ thống

thông tin trước khi đưa vào vận hành, sử dụng;

b) Không xây dựng quy định, quy trình và phương án bảo đảm an ninh

mạng; không bố trí nhân sự vận hành, quản trị hệ thống;

c) Không xây dựng phương án ứng phó, khắc phục sự cố an ninh mạng

đối với hệ thống thông tin theo quy định pháp luật;

d) Không xây dựng biện pháp kỹ thuật để giám sát, bảo vệ an ninh mạng,

biện pháp bảo vệ hệ thống;

đ) Không xây dựng các biện pháp bảo vệ bí mật nhà nước, phòng, chống

lộ, mất bí mật nhà nước qua các kênh kỹ thuật;

e) Không có biện pháp bảo đảm an ninh vật lý theo quy định pháp luật;

g) Chủ quản hệ thống thông tin quan trọng về an ninh quốc gia không tiến

hành kiểm tra an ninh mạng, giám sát an ninh mạng đối với hệ thống thông tin

thuộc phạm vi quản lý theo quy định pháp luật;

h) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng khi

tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng theo quy định pháp luật;

i) Không triển khai, không tham gia hoạt động ứng phó, khắc phục sự cố khi

sự cố an ninh mạng xảy ra hoặc khi có yêu cầu của lực lượng chủ trì điều phối;

k) Không báo cáo kịp thời cho lực lượng chuyên trách bảo vệ an ninh

mạng về sự cố an ninh mạng nghiêm trọng đối với hệ thống thông tin thuộc

phạm vi quản lý;

l) Không thực hiện các biện pháp theo hướng dẫn của lực lượng chuyên

trách bảo vệ an ninh mạng và các biện pháp phù hợp khác để ngăn chặn, xử lý,

khắc phục hậu quả trong thời hạn 24 giờ kể từ thời điểm nhận được thông báo.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Không tiến hành kiểm tra an ninh mạng định kỳ hằng năm;

CÔNG BÁO/Số 498/Ngày 04-09-2026 36

b) Không tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng khi có

yêu cầu quản lý nhà nước về an ninh mạng;

c) Không thông báo kết quả kiểm tra an ninh mạng bằng văn bản cho lực

lượng chuyên trách bảo vệ an ninh mạng theo quy định;

d) Quá thời hạn mà không khắc phục điểm yếu, lỗ hổng bảo mật theo

khuyến cáo của lực lượng chuyên trách bảo vệ an ninh mạng theo quy định;

đ) Vi phạm quy định, quy trình, phương án bảo đảm an ninh mạng đối với

hệ thống thông tin quan trọng về an ninh quốc gia;

e) Vi phạm quy định về nhân sự vận hành, quản trị hệ thống, bảo vệ an

ninh mạng;

g) Vi phạm quy định về điều kiện bảo đảm an ninh mạng đối với thiết bị,

phần cứng, phần mềm là thành phần hệ thống;

h) Vi phạm quy định về biện pháp kỹ thuật, an ninh vật lý để giám sát, bảo

vệ an ninh mạng.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh mạng đối với hệ thống

thông tin quan trọng về an ninh quốc gia đối với các hành vi vi phạm tại khoản

1, 2, 3, 4 Điều này;

b) Buộc cải chính kết quả thẩm định, đánh giá, kiểm tra, chứng nhận về

an ninh mạng đối với các hành vi quy định tại khoản 2, 3, 4 Điều này.

Điều 27. Vi phạm quy định về bảo vệ an ninh mạng đối với hệ thống

thông tin không thuộc Danh mục hệ thống thông tin quan trọng về an ninh

quốc gia

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thực

hiện biện pháp bảo vệ an ninh mạng khi phát hiện hệ thống thông tin thuộc

phạm vi quản lý có liên quan tới hành vi vi phạm quy định của pháp luật về an

ninh mạng;

b) Không thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng khi

phát hiện hành vi vi phạm pháp luật về an ninh mạng đối với hệ thống thông

tin của cơ quan nhà nước, tổ chức chính trị ở trung ương và địa phương;

CÔNG BÁO/Số 498/Ngày 04-09-2026 37

c) Không thực hiện hoặc thực hiện không đầy đủ yêu cầu của lực lượng

chuyên trách bảo vệ an ninh mạng về khắc phục điểm yếu, lỗ hổng bảo mật và

hành vi vi phạm pháp luật về an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc thực hiện các biện pháp bảo đảm

an ninh mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1

Điều này.

Điều 28. Vi phạm quy định về bảo vệ an ninh mạng đối với cơ sở hạ

tầng không gian mạng quốc gia, cổng kết nối mạng quốc tế

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong

giám sát an ninh mạng đối với cơ sở hạ tầng không gian mạng quốc gia, cổng

kết nối mạng quốc tế;

b) Không phối hợp, cung cấp thông tin, dữ liệu phục vụ điều tra, xử lý

hành vi vi phạm pháp luật khi đã có yêu cầu bằng văn bản;

c) Không bố trí mặt bằng, cổng kết nối, điều kiện và biện pháp kỹ thuật,

nghiệp vụ cần thiết để lực lượng chuyên trách bảo vệ an ninh mạng thực hiện

nhiệm vụ bảo vệ an ninh mạng theo quy định của pháp luật;

d) Không triển khai biện pháp bảo vệ an ninh mạng; không thực hiện các

yêu cầu về bảo vệ an ninh mạng của lực lượng chuyên trách bảo vệ an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc thực hiện các biện pháp bảo đảm

an ninh mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1

Điều này.

Điều 29. Vi phạm quy định về bảo đảm an ninh thông tin mạng

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối một trong các

hành vi sau:

a) Không xác thực thông tin khi người dùng đăng ký tài khoản số;

b) Không bảo mật thông tin, tài khoản của người dùng.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Không ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin, gỡ bỏ dịch

vụ, ứng dụng có nội dung vi phạm quy định của Luật An ninh mạng chậm nhất

là 24 giờ kể từ thời điểm có yêu cầu của lực lượng chuyên trách bảo vệ an ninh

CÔNG BÁO/Số 498/Ngày 04-09-2026 38

mạng thuộc Bộ Công an và lưu nhật ký hệ thống để phục vụ xác minh, điều tra,

xử lý hành vi vi phạm pháp luật về an ninh mạng trong thời gian theo quy định

của pháp luật; trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia, yêu cầu

ngăn chặn, xóa bỏ thông tin chậm nhất là 06 giờ;

b) Cung cấp dịch vụ trên mạng viễn thông, Internet, các dịch vụ gia tăng

cho tổ chức, cá nhân đăng tải trên không gian mạng thông tin có nội dung

quy định tại các khoản 1, 2 và 3 Điều 13, khoản 1 và khoản 2 Điều 14 của

Luật An ninh mạng; không dừng cung cấp các dịch vụ nêu trên khi có yêu

cầu của lực lượng chuyên trách bảo vệ an ninh mạng hoặc cơ quan chức năng

có thẩm quyền;

c) Không áp dụng các biện pháp bảo vệ dữ liệu theo quy định của pháp

luật và lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính

phủ khi tiến hành thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá

nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử

dụng dịch vụ tại Việt Nam tạo ra;

d) Doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông,

mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam không

đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

3. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh thông tin mạng theo quy

định đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Buộc ngừng cung cấp dịch vụ viễn thông, Internet hoặc ngừng kết nối

viễn thông, Internet tại Việt Nam đối với các hành vi vi phạm quy định tại điểm

a khoản 2 Điều này;

c) Buộc xóa khỏi kho ứng dụng số dành cho thị trường Việt Nam đối với

các hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

Điều 30. Vi phạm quy định về phối hợp với lực lượng chuyên trách

bảo vệ an ninh mạng trong điều tra, xử lý hành vi vi phạm pháp luật

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không cung cấp hoặc kéo dài thời gian cung cấp vượt quá 24 giờ về

thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc

Bộ Công an khi có yêu cầu bằng văn bản để phục vụ điều tra, xử lý hành vi vi

phạm pháp luật về an ninh mạng mà không có lý do chính đáng;

CÔNG BÁO/Số 498/Ngày 04-09-2026 39

b) Không thực hiện các yêu cầu của lực lượng chuyên trách bảo vệ an ninh

mạng thuộc Bộ Công an trong việc quản lý, cung cấp dịch vụ trên mạng Internet

cho tổ chức, cá nhân có hành vi vi phạm quy định tại các khoản 1, 2, 3 Điều 13

Luật An ninh mạng;

c) Không triển khai biện pháp quản lý nhằm phòng ngừa, phát hiện, ngăn

chặn, gỡ, xóa bỏ thông tin có nội dung quy định tại các khoản 1, 2, 3 Điều 13

Luật An ninh mạng trên hệ thống thông tin thuộc phạm vi quản lý khi có yêu

cầu của lực lượng chuyên trách bảo vệ an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc thực hiện các biện pháp bảo đảm

an ninh thông tin mạng theo quy định đối với các hành vi vi phạm quy định tại

khoản 1 Điều này.

Điều 31. Vi phạm quy định về bảo vệ trẻ em trên không gian mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không triển khai các biện pháp kiểm soát nội dung thông tin trên hệ

thống hoặc trên dịch vụ do doanh nghiệp cung cấp gây nguy hại cho trẻ em,

xâm phạm đến trẻ em, quyền trẻ em;

b) Không ngăn chặn việc chia sẻ và xóa bỏ thông tin có nội dung gây nguy

hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em;

c) Không có dấu hiệu cảnh báo đối với sản phẩm, dịch vụ công nghệ thông

tin mang nội dung không có lợi cho trẻ em;

d) Không triển khai các biện pháp phù hợp theo quy định pháp luật của

Việt Nam nhằm đảm bảo phát hiện, xác định, ngăn chặn việc trẻ em trực tiếp

tạo lập, sử dụng tài khoản dịch vụ bằng thông tin của mình;

đ) Không xây dựng các tính năng theo hướng dẫn của quy định pháp luật

nhằm hỗ trợ cha, mẹ, người giám hộ hợp pháp của trẻ em tạo lập tài khoản cho

trẻ em dưới thông tin của cha, mẹ, người giám hộ hợp pháp theo pháp luật dân

sự và quản lý, giám sát được hoạt động của trẻ em;

e) Không vô hiệu hóa, hủy tài khoản dịch vụ do trẻ em trực tiếp tạo lập,

sử dụng đã được cơ quan chức năng xác định, yêu cầu bằng văn bản hoặc hình

thức trao đổi phù hợp khác đã được thống nhất.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Đăng tải, phát tán, chia sẻ, lưu trữ, trao đổi, sử dụng thông tin, hình ảnh,

âm thanh có nội dung khiêu dâm, đồi trụy, bạo lực liên quan đến trẻ em;

CÔNG BÁO/Số 498/Ngày 04-09-2026 40

b) Đăng tải, chia sẻ, phát tán thông tin xúc phạm danh dự, uy tín, nhân

phẩm, ảnh hưởng về sức khỏe, sự phát triển bình thường về tâm sinh lý của trẻ

em nhưng không bị truy cứu trách nhiệm hình sự.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau:

a) Không phối hợp với cơ quan có thẩm quyền trong bảo đảm quyền của

trẻ em trên không gian mạng;

b) Kích động, lôi kéo, dụ dỗ, ép buộc trẻ em theo dõi, chia sẻ, phát tán

thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền

trẻ em hoặc tham gia vào các hoạt động vi phạm pháp luật khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi

vi phạm quy định tại khoản 2 Điều này;

b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối

với người nước ngoài có hành vi vi phạm quy định tại khoản 2 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo vệ trẻ em trên không gian mạng theo

quy định đối với các hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc xóa bỏ, cải chính thông tin đối với các hành vi vi phạm quy định

tại khoản 2 Điều này;

c) Buộc thu hồi số thuê bao, đầu số, kho số viễn thông; tài nguyên Internet,

tên miền, địa chỉ Internet (IP), số hiệu mạng (ASN); mã số quản lý, số cung cấp

dịch vụ; buộc hoàn trả địa chỉ IP, ASN, tên miền, tài khoản số đối với các hành

vi vi phạm quy định tại khoản 2 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện vi phạm hành

chính hoặc buộc nộp lại số tiền bằng giá trị tang vật, phương tiện vi phạm hành

chính đã bị tiêu thụ, tẩu tán, tiêu hủy đối với các hành vi vi phạm quy định tại

khoản 2 Điều này.

Điều 32. Vi phạm quy định về thực hiện các biện pháp bảo vệ an

ninh mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 41

a) Các doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, dịch vụ trên

mạng Internet, dịch vụ gia tăng trên không gian mạng, chủ quản hệ thống thông

tin không xóa bỏ thông tin trái pháp luật hoặc thông tin sai sự thật trên không

gian mạng xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích

hợp pháp của cơ quan, tổ chức, cá nhân theo quy định sau khi có đề nghị của

lực lượng chuyên trách bảo vệ an ninh mạng;

b) Không đình chỉ hoặc yêu cầu ngừng hoạt động của hệ thống thông

tin, thu hồi tên miền sau khi có đề nghị của lực lượng chuyên trách bảo vệ

an ninh mạng.

2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính đối với hành vi vi phạm quy định tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh mạng đối với các hành

vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc thu hồi tên miền do thực hiện hành vi vi phạm quy định tại khoản

1 Điều này.

Điều 33. Vi phạm quy định về lưu trữ dữ liệu, đặt chi nhánh hoặc văn

phòng đại diện tại Việt Nam

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không lưu trữ dữ liệu hoặc lưu trữ dữ liệu nhạy cảm về an ninh quốc

gia không đầy đủ theo quy định tại Nghị định quy định chi tiết một số điều của

Luật An ninh mạng 2025;

b) Không thực hiện quyết định yêu cầu lưu trữ dữ liệu nhạy cảm về an

ninh quốc gia, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam;

c) Không bảo đảm thời gian lưu trữ nhật ký hệ thống để phục vụ điều tra,

xử lý hành vi vi phạm pháp luật về an ninh mạng được quy định tại điểm b

khoản 2 Điều 25 của Luật An ninh mạng 2025.

2. Hình thức xử phạt bổ sung: Trục xuất khỏi lãnh thổ nước Cộng hòa xã

hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm quy định

tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

CÔNG BÁO/Số 498/Ngày 04-09-2026 42

a) Buộc lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt

Nam;

b) Buộc ngừng cung cấp dịch vụ viễn thông, Internet hoặc ngừng kết nối

viễn thông, Internet tại Việt Nam đối với các hành vi vi phạm quy định tại

khoản 1 Điều này.

Mục 4

VI PHẠM QUY ĐỊNH VỀ QUẢN LÝ SẢN PHẨM,

DỊCH VỤ AN NINH MẠNG

Điều 34. Vi phạm quy định về xác thực, định danh, bảo mật tài khoản số

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không xác thực, định danh bằng giấy tờ tùy thân hợp pháp hoặc xác

thực, định danh bằng giấy tờ không hợp pháp đối với tài khoản số bắt buộc phải

xác thực, định danh theo quy định của pháp luật;

b) Không có biện pháp cảnh báo chủ sở hữu khi tài khoản số phát sinh

giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng

trên không gian mạng bằng phương thức điện tử hoặc phương thức khác theo

quy định nội bộ đã công bố;

c) Không lưu trữ thông tin thiết bị, địa chỉ IP, thời gian đăng nhập của tài

khoản số tối thiểu 90 ngày;

d) Không tạm dừng giao dịch hoặc phong tỏa tài khoản số phục vụ các

hoạt động giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể

chuyển nhượng trên không gian mạng khi phát hiện có sai sót, nhầm lẫn, bị lộ

lọt thông tin hoặc khi có thông báo, yêu cầu của lực lượng chuyên trách bảo vệ

an ninh mạng;

đ) Định danh bằng phương thức điện tử không chính xác thông tin chủ tài

khoản số phục vụ các hoạt động giao dịch tiền tệ, tài chính, chứng khoán hoặc

tài sản khác có thể chuyển nhượng trên không gian mạng;

e) Không lưu vết xác thực tài khoản, không lưu nhật ký truy cập, không có

cơ chế phát hiện bất thường đối với tài khoản số có chức năng giao dịch tài chính.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

a) Sử dụng giấy tờ tùy thân của người khác để xác thực tài khoản số;

b) Sử dụng giấy tờ tùy thân giả, tạo lập, chỉnh sửa, cắt ghép hình ảnh giấy

CÔNG BÁO/Số 498/Ngày 04-09-2026 43

tờ tùy thân hoặc các thủ đoạn gian dối khác để xác thực tài khoản số;

c) Sử dụng công nghệ trí tuệ nhân tạo (AI), Deepfake hoặc các biện pháp

kỹ thuật công nghệ cao để giả mạo dữ liệu sinh trắc học (khuôn mặt, giọng nói)

nhằm xác thực tài khoản trái phép.

3. Biện pháp khắc phục hậu quả: Buộc khôi phục lại tình trạng ban đầu

đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này.

Điều 35. Vi phạm quy định về kinh doanh trong lĩnh vực an ninh mạng

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Không quản lý hồ sơ, tài liệu về giải pháp kỹ thuật, công nghệ của sản

phẩm an ninh mạng;

b) Không lập, lưu trữ và bảo mật thông tin của khách hàng sử dụng sản

phẩm, dịch vụ an ninh mạng;

c) Không báo cáo cho Bộ Công an về tình hình kinh doanh, xuất khẩu,

nhập khẩu sản phẩm, dịch vụ an ninh mạng theo quy định.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không làm thủ tục cấp đổi Giấy phép kinh doanh sản phẩm, dịch vụ an

ninh mạng trong trường hợp doanh nghiệp thay đổi tên hoặc thay đổi người đại

diện theo pháp luật hoặc thay đổi, bổ sung sản phẩm, dịch vụ an ninh mạng do

doanh nghiệp cung cấp;

b) Không làm thủ tục cấp lại giấy phép trong trường hợp Giấy phép kinh

doanh sản phẩm, dịch vụ an ninh mạng bị mất hoặc bị hư hỏng;

c) Không từ chối cung cấp sản phẩm, dịch vụ an ninh mạng khi phát hiện

tổ chức, cá nhân vi phạm pháp luật, vi phạm cam kết đã thỏa thuận về sử dụng

sản phẩm, dịch vụ an ninh mạng;

d) Không tạm ngừng hoặc ngừng cung cấp sản phẩm, dịch vụ an ninh

mạng theo yêu cầu của cơ quan nhà nước có thẩm quyền;

đ) Không thực hiện việc chứng nhận hợp quy hoặc công bố hợp quy và sử

dụng dấu hợp quy theo quy định trước khi đưa sản phẩm an ninh mạng vào lưu

thông trên thị trường;

e) Cung cấp dịch vụ an ninh mạng không đúng với nội dung ghi trên Giấy

phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

CÔNG BÁO/Số 498/Ngày 04-09-2026 44

3. Phạt tiền từ 50.000.000 đồng đến 75.000.000 đồng đối với một trong

các hành vi sau:

a) Không duy trì một trong các điều kiện để được cấp Giấy phép kinh

doanh sản phẩm, dịch vụ an ninh mạng;

b) Không phối hợp, tạo điều kiện thực hiện các biện pháp nghiệp vụ khi

có yêu cầu của cơ quan nhà nước có thẩm quyền.

4. Phạt tiền từ 75.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau:

a) Kinh doanh sản phẩm, dịch vụ an ninh mạng nhưng không có giấy phép;

b) Kinh doanh sản phẩm, dịch vụ an ninh mạng gây phương hại đến quốc

phòng, an ninh, trật tự nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Cung cấp thông tin không chính xác hoặc giả mạo thông tin để được

cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

5. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép kinh doanh

sản phẩm, dịch vụ an ninh mạng có thời hạn từ 03 tháng đến 06 tháng đối với

hành vi tại điểm a, e khoản 2, điểm b khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả: Buộc nộp lại số lợi bất hợp pháp có được

do thực hiện hành vi vi phạm quy định tại các điểm c, d, đ và e khoản 2 và

khoản 4 Điều này.

Điều 36. Vi phạm quy định về nhập khẩu sản phẩm an ninh mạng

1. Phạt tiền từ 75.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau:

a) Nhập khẩu sản phẩm an ninh mạng thuộc Danh mục nhập khẩu theo

giấy phép mà không có giấy phép;

b) Cung cấp thông tin không chính xác hoặc giả mạo thông tin để được

cấp Giấy phép nhập khẩu sản phẩm an ninh mạng.

2. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép kinh doanh

sản phẩm, dịch vụ an ninh mạng có thời hạn từ 01 tháng đến 03 tháng đối với

hành vi tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm

quy định tại khoản 1 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 45

b) Buộc thu hồi sản phẩm an ninh mạng đối với hành vi vi phạm quy định

tại khoản 1 Điều này.

Mục 5

VI PHẠM QUY ĐỊNH VỀ CHỐNG TIN NHẮN RÁC,

THƯ ĐIỆN TỬ RÁC, CUỘC GỌI RÁC

Điều 37. Vi phạm quy định liên quan tới thư điện tử, tin nhắn cung

cấp thông tin về sản phẩm, dịch vụ

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi:

a) Gửi thư điện tử quảng cáo, tin nhắn quảng cáo đến người nhận nhưng

chưa được sự đồng ý của người nhận;

b) Gắn nhãn thư điện tử quảng cáo, tin nhắn quảng cáo không đúng hoặc

không đầy đủ theo quy định;

c) Gọi điện thoại quảng cáo đến người sử dụng khi chưa được người sử

dụng đồng ý một cách rõ ràng;

d) Gọi điện thoại quảng cáo đến người sử dụng không đồng ý nhận cuộc

gọi quảng cáo trong hồ sơ thu thập sự đồng ý của khách hàng;

đ) Gửi tin nhắn đăng ký quảng cáo khi người sử dụng đã từ chối hoặc

không trả lời nhận tin nhắn đăng ký quảng cáo;

e) Gửi tin nhắn quảng cáo đến người sử dụng đã từ chối nhận tin nhắn

quảng cáo.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Không gắn nhãn thư điện tử quảng cáo, tin nhắn quảng cáo theo quy

định;

b) Không lưu lại thông tin đăng ký nhận quảng cáo, thông tin yêu cầu từ

chối và thông tin xác nhận yêu cầu từ chối thư điện tử quảng cáo, tin nhắn

quảng cáo, cuộc gọi quảng cáo tối thiểu 01 năm;

c) Gửi tin nhắn quảng cáo, gọi điện quảng cáo khi chưa được cấp tên định

danh hoặc sử dụng số điện thoại để gửi tin nhắn quảng cáo hoặc gọi điện thoại

quảng cáo.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 46

a) Không cung cấp miễn phí cho người sử dụng cơ chế tiếp nhận và xử lý

các thông báo về thư rác;

b) Không có biện pháp để tránh mất mát và ngăn chặn thư điện tử của

người sử dụng dịch vụ;

c) Không phối hợp với các nhà cung cấp dịch vụ Internet trong nước và

quốc tế, nhà cung cấp dịch vụ tin nhắn trong và ngoài nước để hạn chế, ngăn

chặn thư rác;

d) Không thực hiện việc xác nhận đã nhận được yêu cầu từ chối thư điện

tử, tin nhắn theo thời hạn, hình thức hoặc nội dung theo quy định của pháp luật;

đ) Không có biện pháp giới hạn số lượng, tốc độ và tần suất nhắn tin;

e) Không giới hạn tần suất nhắn tin từ mỗi nguồn gửi hoặc không ngăn

chặn các tin nhắn có nguy cơ gây mất an toàn, an ninh thông tin theo quy định;

g) Che giấu tên, địa chỉ điện tử của mình khi gửi thư điện tử, tin nhắn;

h) Không phối hợp với các doanh nghiệp viễn thông được cấp phép thiết

lập mạng viễn thông di động trong và ngoài nước ngăn chặn tin nhắn rác;

i) Không thực hiện biện pháp ngăn chặn tin nhắn rác theo yêu cầu của cơ

quan nhà nước có thẩm quyền;

k) Không ngăn chặn tin nhắn rác giả mạo nguồn gửi trước khi gửi tới

người sử dụng dịch vụ;

l) Không ngừng cung cấp dịch vụ nội dung qua tin nhắn khi khách hàng

yêu cầu;

m) Thực hiện không đầy đủ các yêu cầu điều phối, ngăn chặn, xử lý tin

nhắn rác;

n) Thực hiện quá 03 tin nhắn quảng cáo tới 01 số điện thoại hoặc 03 thư điện

tử quảng cáo tới 01 địa chỉ thư điện tử hoặc 01 cuộc gọi quảng cáo tới 01 số điện

thoại trong vòng 24 giờ mà không có thỏa thuận khác với người sử dụng;

o) Gửi tin nhắn quảng cáo ngoài khoảng thời gian từ 07 giờ đến 22 giờ

mỗi ngày hoặc gọi điện thoại quảng cáo từ 08 giờ đến 17 giờ mỗi ngày mà

không có thỏa thuận với người sử dụng;

p) Không có biện pháp kiểm tra việc đã đồng ý trước một cách rõ ràng của

người sử dụng khi gửi tin nhắn quảng cáo, thư điện tử quảng cáo, gọi điện thoại

quảng cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 47

q) Không cung cấp cho người sử dụng công cụ tra cứu hoặc lưu trữ các

thỏa thuận về việc đăng ký, từ chối cuộc gọi quảng cáo, tin nhắn đăng ký quảng

cáo để phục vụ việc thanh, kiểm tra và giải quyết khiếu nại, tố cáo;

r) Không hướng dẫn người sử dụng dịch vụ về cách thức chống tin nhắn

rác, cuộc gọi rác, thư điện tử rác;

s) Không thực hiện chế độ báo cáo hoặc thực hiện chế độ báo cáo không

đúng quy định hoặc báo cáo không trung thực về hoạt động sử dụng tên định

danh và/hoặc phòng chống, ngăn chặn tin nhắn rác, cuộc gọi rác theo quy định.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Không tuân thủ các yêu cầu điều phối, ngăn chặn, xử lý tin nhắn rác;

b) Không thực hiện yêu cầu xử lý các thông báo, phản ánh tin nhắn rác

của Bộ Công an;

c) Không thực hiện các biện pháp nhằm hạn chế thư điện tử rác theo yêu

cầu của cơ quan nhà nước có thẩm quyền;

d) Không cung cấp thông tin và ngăn chặn các nguồn phát tán thư điện tử

rác hoặc phần mềm độc hại theo yêu cầu của cơ quan nhà nước có thẩm quyền;

đ) Không thực hiện các biện pháp đánh giá tình trạng tin nhắn rác trên

mạng viễn thông di động của nhà cung cấp dịch vụ tin nhắn theo hướng dẫn

của Bộ Công an;

e) Cuộc gọi điện thoại quảng cáo không có đầy đủ thông tin về họ tên,

chức vụ của người thực hiện cuộc gọi; thông tin tên, địa chỉ đơn vị thực hiện

quảng cáo trước khi cung cấp nội dung quảng cáo hoặc không có thông tin về

giá cước đối với trường hợp quảng cáo cho các dịch vụ có thu cước.

5. Phạt tiền từ 70.000.000 đồng đến 80.000.000 đồng đối với một trong

các hành vi sau:

a) Không có đây đủ các hình thức từ chối nhận thư điện tử quảng cáo hoặc

từ chối nhận tin nhắn quảng cáo;

b) Gửi hoặc phát tán thư điện tử rác, tin nhắn rác, phần mềm độc hại gây

hậu quả ít nghiêm trọng; thực hiện cuộc gọi rác;

c) Tạo hàng loạt cuộc gọi nhỡ nhằm dụ dỗ người sử dụng gọi điện thoại,

nhắn tin đến các số cung cấp dịch vụ nội dung để trục lợi hoặc để cung cấp

thông tin, quảng cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 48

d) Khai thác, sử dụng các số dịch vụ, số thuê bao viễn thông không đúng

mục đích;

đ) Số dịch vụ gọi tự do, số dịch vụ gọi giá cao được mở chiều gọi đi hoặc

để gửi tin nhắn hoặc nhận tin nhắn;

e) Gửi tin nhắn đăng ký quảng cáo không đúng quy định của Bộ Công an;

g) Gửi bất kỳ tin nhắn đăng ký quảng cáo nào đến các số điện thoại nằm

trong Danh sách không quảng cáo;

h) Không lưu trữ hoặc lưu trữ không đầy đủ thông tin nhật ký cuộc gọi

quảng cáo (bao gồm cả bản ghi âm nội dung cuộc gọi quảng cáo) theo quy định

để phục vụ thanh tra, kiểm tra, giám sát và giải quyết khiếu nại, tố cáo.

6. Phạt tiền từ 80.000.000 đồng đến 90.000.000 đồng đối với một trong

các hành vi sau:

a) Quảng cáo bằng thư điện tử hoặc quảng cáo bằng tin nhắn hoặc quảng

cáo bằng cuộc gọi hoặc cung cấp dịch vụ nhắn tin, gọi điện thoại qua mạng

Internet nhưng không có hệ thống tiếp nhận, xử lý yêu cầu từ chối của người

nhận;

b) Gửi tin nhắn quảng cáo, gọi điện thoại quảng cáo đến các số điện thoại

nằm trong Danh sách không quảng cáo.

7. Phạt tiền từ 90.000.000 đồng đến 100.000.000 đồng đối với hành vi

không ngăn chặn, thu hồi số thuê bao được dùng để phát tán tin nhắn rác, cuộc

gọi rác.

8. Hình thức xử phạt bổ sung:

a) Đình chỉ việc cung cấp dịch vụ đối với khách hàng mới từ 01 tháng đến

03 tháng đối với hành vi vi phạm quy định tại các điểm c, d, e và h khoản 3,

các khoản 5 và 6 Điều này;

b) Đình chỉ quyền sử dụng tên định danh từ 01 tháng đến 03 tháng đối với

hành vi vi phạm quy định tại các điểm a và b khoản 2, các điểm d, g, h, i và o

khoản 3, các điểm a và b khoản 5 Điều này.

9. Biện pháp khắc phục hậu quả:

a) Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực

hiện hành vi vi phạm quy định tại các điểm d và đ khoản 5 Điều này;

b) Buộc thu hồi đầu số, kho số viễn thông do thực hiện hành vi vi phạm

tại các điểm b và c khoản 4 và khoản 5 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 49

c) Buộc thu hồi số điện thoại do thực hiện hành vi vi phạm quy định tại

khoản 1 Điều này.

Điều 38. Vi phạm quy định về cung cấp dịch vụ thư điện tử, tin nhắn

quảng cáo, cuộc gọi quảng cáo, dịch vụ nội dung qua tin nhắn

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các

hành vi sau:

a) Không có trang thông tin điện tử sử dụng tên miền quốc gia Việt Nam

khi cung cấp dịch vụ gửi thư điện tử quảng cáo hoặc dịch vụ nhắn tin qua mạng

Internet hoặc dịch vụ nội dung qua tin nhắn;

b) Cung cấp không đầy đủ hoặc không rõ ràng thông tin về các dịch vụ

trên trang thông tin điện tử trước khi cung cấp dịch vụ gồm có: tên dịch vụ, mã

lệnh tương ứng, mô tả dịch vụ, cách thức sử dụng, giá cước dịch vụ tương ứng,

hướng dẫn hủy dịch vụ, số điện thoại hỗ trợ khách hàng, cam kết đồng ý sử

dụng dịch vụ;

c) Không cung cấp công cụ, ứng dụng cho phép người sử dụng tự chủ

động ngăn chặn thư điện tử rác và phản ánh về thư điện tử rác;

d) Không có biện pháp chặn, lọc, cập nhật danh sách các nguồn phát tán

thư điện tử rác hoặc không có giải pháp để tránh mất mát và ngăn chặn nhầm

thư điện tử của người sử dụng;

đ) Không giám sát, kiểm soát, rà quét hệ thống máy chủ thư điện tử của

mình để đảm bảo không trở thành nguồn phát tán thư điện tử rác;

e) Không báo cáo, thống kê định kỳ theo quy định của cơ quan nhà nước

có thẩm quyền.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau:

a) Không cung cấp thông tin về giá cước trước khi tính cước khi người sử

dụng gọi điện tới tổng đài dịch vụ gọi giá cao, dịch vụ giải đáp thông tin;

b) Không hướng dẫn thuê bao gửi thông báo tin nhắn rác và phản hồi các

thông báo về tin nhắn rác tiếp nhận được;

c) Lưu trữ dữ liệu cung cấp dịch vụ nội dung qua tin nhắn không đầy đủ

theo quy định;

d) Không xây dựng, cập nhật, cung cấp và chia sẻ danh sách đến địa chỉ

IP/tên miền phát tán thư điện tử rác dùng chung cho Bộ Công an (Cục An ninh

CÔNG BÁO/Số 498/Ngày 04-09-2026 50

mạng và phòng, chống tội phạm sử dụng công nghệ cao) và các doanh nghiệp

viễn thông, Internet khác.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Cung cấp thông tin về sản phẩm, dịch vụ bằng thư điện tử mà máy chủ

gửi thư điện tử không đặt tại Việt Nam;

b) Cung cấp dịch vụ nhắn tin qua mạng Internet có máy chủ dịch vụ gửi

tin nhắn không đặt tại Việt Nam;

c) Cung cấp thông tin về sản phẩm, dịch vụ bằng tin nhắn không sử dụng

số gửi tin nhắn được cấp theo quy định;

d) Cung cấp dịch vụ quảng cáo bằng thư điện tử, quảng cáo bằng tin nhắn

không có hệ thống tiếp nhận, xử lý yêu cầu từ chối nhận thư điện tử quảng cáo,

tin nhắn quảng cáo;

đ) Không cung cấp miễn phí chức năng tiếp nhận thông báo về tin nhắn

rác hoặc thư điện tử rác từ người sử dụng;

e) Không triển khai hệ thống ngăn chặn tin nhắn rác có khả năng ngăn

chặn tin nhắn rác theo nguồn gửi hoặc từ khóa trong nội dung tin nhắn gửi;

g) Không cho phép doanh nghiệp đã được cấp mã số quản lý kết nối kỹ

thuật với hệ thống của mình, để cung cấp dịch vụ;

h) Không lưu trữ dữ liệu cung cấp dịch vụ nội dung qua tin nhắn theo

quy định;

i) Không cung cấp cho người sử dụng các công cụ, ứng dụng để phản ánh

tin nhắn rác, cuộc gọi rác và cho phép người sử dụng chủ động ngăn chặn tin

nhắn rác, cuộc gọi rác;

k) Không cung cấp, cập nhật và chia sẻ các mẫu tin nhắn rác dùng chung

cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công

nghệ cao) và các doanh nghiệp viễn thông khác;

l) Không chặn lọc các địa chỉ IP/tên miền phát tán hoặc bị lạm dụng phát

tán thư điện tử rác thuộc quyền quản lý của mình;

m) Không thực hiện các biện pháp đánh giá tình trạng tin nhắn rác, cuộc

gọi rác trên mạng viễn thông của minh;

n) Sử dụng các tên định danh không phải do Bộ Công an (Cục An ninh

mạng và phòng, chống tội phạm sử dụng công nghệ cao) cấp hoặc đã được Bộ

CÔNG BÁO/Số 498/Ngày 04-09-2026 51

Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao)

cấp cho tổ chức, cá nhân khác hoặc sử dụng tên định danh sau khi bị thu hồi;

o) Sử dụng tên định danh để gửi tin nhắn rác hoặc gọi cuộc gọi rác hoặc

cung cấp các dịch vụ vi phạm các quy định của pháp luật theo kết luận của cơ

quan nhà nước.

4. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Thu cước dịch vụ đối với các tin nhắn lỗi hoặc tin nhắn không được cung

cấp dịch vụ hoặc tin nhắn đã được cung cấp dịch vụ nhưng có nội dung khác với

mã lệnh mà doanh nghiệp công bố hoặc tin nhắn do người dùng bị lừa đảo;

b) Không thực hiện các biện pháp ngăn chặn tin nhắn quảng cáo, cuộc gọi

quảng cáo đến Danh sách không quảng cáo;

c) Không ngăn chặn, thu hồi địa chỉ điện tử được dùng để phát tán tin nhắn

rác, thư điện tử rác, cuộc gọi rác theo yêu cầu của cơ quan nhà nước có thẩm

quyền;

d) Không xây dựng, vận hành hệ thống kỹ thuật để phòng chống, ngăn

chặn tin nhắn rác, thư điện tử rác, cuộc gọi rác;

đ) Không xây dựng, kết nối hệ thống kỹ thuật quản lý tên định danh của

mình tới Hệ thống quản lý tên định danh quốc gia;

e) Không thực hiện các nhiệm vụ điều phối ngăn chặn, xử lý thư điện tử

rác, cuộc gọi rác và các biện pháp nghiệp vụ khác theo yêu cầu của Bộ Công

an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao).

5. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với doanh nghiệp

viễn thông cung cấp dịch vụ thoại qua mạng Internet (VolP), SIP Trunk khi

thực hiện một trong các hành vi sau đây:

a) Không triển khai hoặc không duy trì cơ chế kỹ thuật tự động chặn toàn

bộ lưu lượng SIP Trunk, VolP phát sinh cuộc gọi ra mạng viễn thông công cộng

nhưng không gắn tên định danh (Voice Brandname) hợp lệ theo quy định;

b) Không giám sát, phân tích, phát hiện lưu lượng cuộc gọi bất thường theo

tiêu chí kỹ thuật do cơ quan nhà nước có thẩm quyền ban hành hoặc hướng dẫn;

c) Không thực hiện hoặc thực hiện không đầy đủ biện pháp cảnh báo, hạn

chế, tạm dừng hoặc chấm dứt cung cấp dịch vụ đối với khách hàng có dấu hiệu

phát sinh cuộc gọi rác, cuộc gọi lừa đảo, mạo danh theo yêu cầu của cơ quan

có thầm quyền hoặc theo kết quả giám sát nội bộ;

CÔNG BÁO/Số 498/Ngày 04-09-2026 52

d) Không lưu trữ, không cung cấp kịp thời nhật ký, dữ liệu kỹ thuật, thông

tin định danh liên quan đến lưu lượng SIP Trunk, VoIP phục vụ công tác thanh

tra, kiểm tra, điều tra, xác minh theo quy định của pháp luật.

6. Hình thức xử phạt bổ sung:

a) Đình chỉ hoạt động cung cấp dịch vụ với khách hàng mới từ 01 tháng

đến 03 tháng đối với hành vi vi phạm quy định tại khoản 4 Điều này;

b) Đình chỉ cung cấp dịch vụ SIP Trunk, VoIP từ 01 tháng đến 03 tháng

đối với doanh nghiệp viễn thông vi phạm quy định tại khoản 5 Điều này.

7. Biện pháp khắc phục hậu quả: Buộc thu hồi tên định danh do thực hiện

hành vi vi phạm quy định tại khoản 4 Điều này.

Mục 6

VI PHẠM QUY ĐỊNH VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Điều 39. Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân và

các hành vi bị nghiêm cấm

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với các hành vi sau:

a) Xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với

mục đích xử lý dữ liệu cá nhân đã được xác định, xin sự đồng ý, thỏa thuận

hoặc vượt quá mức cần thiết để thực hiện mục đích đó;

b) Không bảo đảm tính chính xác của dữ liệu cá nhân hoặc không thực hiện

chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót hoặc khi cần thiết;

c) Lưu trữ dữ liệu cá nhân vượt quá khoảng thời gian cần thiết phù hợp

với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật quy định khác;

d) Không chủ động phòng ngừa, phát hiện, phối hợp kịp thời với các cơ

quan có thẩm quyền trong xử lý mọi hành vi vi phạm pháp luật về bảo vệ dữ

liệu cá nhân.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với các hành vi sau:

a) Có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ

quan, tổ chức, cá nhân;

b) Sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái

quy định của pháp luật.

CÔNG BÁO/Số 498/Ngày 04-09-2026 53

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính đối với hành vi quy định tại điểm a, c khoản 1, điểm b khoản 2 Điều này;

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý

không đúng phạm vi, không đúng mục đích hoặc lưu trữ vượt thời hạn đối với

hành vi vi phạm tại điểm a, c khoản 1 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi

phạm tại điểm a, c khoản 1, điểm b khoản 2 Điều này;

c) Buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông

tin đại chúng đối với hành vi vi phạm tại điểm b khoản 2 Điều này;

d) Buộc chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân cho chính xác theo

yêu cầu của chủ thể dữ liệu cá nhân hoặc khi phát hiện sai sót đối với hành vi

vi phạm tại điểm b khoản 1 Điều này.

Điều 40. Vi phạm quy định về lợi dụng hoạt động bảo vệ dữ liệu cá

nhân để thực hiện hành vi vi phạm pháp luật

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi

lợi dụng hoạt động bảo vệ dữ liệu cá nhân sau:

a) Sử dụng danh nghĩa hoạt động bảo vệ dữ liệu cá nhân để che giấu, hợp

thức hóa hoặc tạo điều kiện cho hành vi vi phạm pháp luật;

b) Lợi dụng việc sử dụng lực lượng, phương tiện, biện pháp để phòng

chống hoạt động xâm phạm dữ liệu cá nhân nhằm chiếm đoạt, làm sai lệch hoặc

xử lý dữ liệu cá nhân trái quy định;

c) Sử dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi lừa đảo,

xâm phạm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1 Điều

này.

3. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã chiếm

đoạt, xử lý trái phép đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi

phạm tại khoản 1 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 54

c) Buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông

tin đại chúng đối với hành vi vi phạm tại điểm b, c khoản 1 Điều này.

Điều 41. Vi phạm quy định về xử lý dữ liệu cá nhân gây ảnh hưởng

đến an ninh trật tự

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi

xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh trật tự sau:

a) Xử lý dữ liệu cá nhân để tạo lập, củng cố hoặc lan truyền thông tin bịa

đặt, sai sự thật, xuyên tạc, kích động, gây hoang mang hoặc gây ảnh hưởng đến

an ninh trật tự;

b) Cung cấp, chuyển giao, phát tán hoặc công khai dữ liệu cá nhân biết rõ

sẽ được sử dụng vào mục đích xâm phạm an ninh trật tự;

c) Chỉnh sửa, làm sai lệch, xóa, hủy, chiếm đoạt hoặc làm gián đoạn xử lý

dữ liệu cá nhân nhằm gây ảnh hưởng hoạt động bình thường của cơ quan, tổ chức;

d) Thực hiện các hành vi khác gây ảnh hưởng hoặc có nguy cơ gây ảnh

hưởng đến an ninh trật tự.

2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã bị xử lý

nhằm gây ảnh hưởng an ninh trật tự đối với hành vi vi phạm tại khoản 1 Điều

này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi

phạm tại khoản 1 Điều này;

c) Buộc gỡ bỏ, thu hồi thông tin và dữ liệu cá nhân đã cung cấp, chuyển

giao, công khai trái phép đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 42. Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân của chủ thể dữ liệu

cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau:

a) Cố ý làm lộ, làm mất dữ liệu cá nhân của bản thân gây ảnh hưởng đến

trật tự, an toàn xã hội hoặc gây thiệt hại cho cơ quan, tổ chức, cá nhân có liên

quan;

CÔNG BÁO/Số 498/Ngày 04-09-2026 55

b) Cố ý cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện

hành vi trái quy định của pháp luật;

c) Cố ý cung cấp dữ liệu cá nhân giả mạo, sai sự thật nhằm mục đích lừa

đảo, gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;

d) Cố ý tạo lập tình huống giả mạo về việc lộ, mất dữ liệu cá nhân của bản

thân nhằm trốn tránh trách nhiệm, yêu cầu đền bù hoặc trục lợi gây ảnh hưởng

đến uy tín, tài sản của tổ chức, cá nhân khác;

đ) Cố ý không cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo

quy định bắt buộc của pháp luật hoặc theo hợp đồng đã ký kết, gây rủi ro về

nhận diện pháp lý hoặc thiệt hại tài chính cho bên kiểm soát và xử lý dữ liệu.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cá nhân có

một trong các hành vi sau:

a) Thu thập, sử dụng, tiết lộ, sửa đổi, làm sai lệch, hủy hoại hoặc truy cập

trái phép dữ liệu cá nhân của người khác gây thiệt hại đến quyền, lợi ích hợp

pháp của người đó;

b) Cố ý cung cấp dữ liệu cá nhân của người khác nhằm mục đích lừa đảo,

gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;

c) Lợi dụng việc thực hiện quyền chủ thể dữ liệu cá nhân vượt quá phạm

vi cần thiết hoặc không phù hợp với mục đích thực hiện quyền, gây khó khăn

hoặc cản trở hoạt động kinh doanh hợp pháp của cơ quan, tổ chức;

d) Từ chối tham gia phối hợp phòng, chống hoạt động xâm phạm dữ liệu

cá nhân khi có yêu cầu chính thức của cơ quan nhà nước có thẩm quyền.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính đối với hành vi quy định tại khoản 2, khoản 3 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập

trái phép của người khác đối với hành vi vi phạm tại điểm a khoản 2 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi

phạm tại điểm b, c khoản 2 Điều này;

c) Buộc cung cấp lại thông tin dữ liệu cá nhân chính xác, đầy đủ theo quy

định pháp luật hoặc theo hợp đồng đối với hành vi vi phạm tại điểm đ khoản 1

Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 56

d) Buộc chấm dứt hành vi cản trở việc thực hiện quyền và nghĩa vụ xử lý

dữ liệu cá nhân hợp pháp đối với hành vi vi phạm tại điểm c khoản 2 Điều này.

Điều 43. Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của

chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác;

b) Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ

liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không

liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó;

c) Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ

ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân;

d) Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ

thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá

nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý;

đ) Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về

loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa

vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ

liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ;

e) Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được

đồng ý với từng mục đích xử lý dữ liệu cá nhân;

g) Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu

cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể

dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm

quyền;

h) Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy

cảm của họ đang được xử lý.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá

nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm

quyền yêu cầu bằng văn bản;

CÔNG BÁO/Số 498/Ngày 04-09-2026 57

b) Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân

giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im

lặng là đồng ý.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính đối với hành vi quy định tại điểm a, c khoản 1, khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân thu thập,

xử lý khi không có sự đồng ý hợp lệ đối với hành vi vi phạm tại điểm a, c khoản

1 và khoản 2 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi

phạm tại khoản 2 Điều này.

Điều 44. Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ

liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với Bên kiểm

soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các

hành vi sau:

a) Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các

quyền của chủ thể dữ liệu cá nhân;

b) Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ

chức để thực hiện quyền của chủ thể dữ liệu cá nhân;

c) Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân

được biết về thủ tục thực hiện các quyền quy định tại Luật Bảo vệ dữ liệu cá

nhân;

d) Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy

đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa,

rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện

pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi

nhận được yêu cầu hợp lệ;

đ) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng

trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem,

chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá

nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ

liệu cá nhân.

CÔNG BÁO/Số 498/Ngày 04-09-2026 58

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với Bên xử lý

dữ liệu cá nhân, Bên thứ ba đã nhận được yêu cầu hợp lệ từ Bên kiểm soát dữ

liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân nhưng không thực hiện

đúng thời hạn một trong các yêu cầu sau:

a) Không ngừng xử lý dữ liệu cá nhân khi nhận được yêu cầu rút lại sự

đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn do

Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;

b) Không thực hiện chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời

hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân

xác định;

c) Không thực hiện xóa, hủy dữ liệu cá nhân hoặc không hạn chế xử lý dữ

liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và

xử lý dữ liệu cá nhân xác định.

3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với Bên kiểm

soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các

hành vi không thực hiện đúng thời hạn yêu cầu của chủ thể dữ liệu cá nhân sau:

a) Không thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối

xử lý dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp cần yêu cầu Bên xử lý

dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 20 ngày;

trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày;

b) Không thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân

trong thời hạn 10 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên

thứ ba thực hiện thì không bảo đảm trong thời hạn 15 ngày; trường hợp đã gia

hạn thì không bảo đảm trong thời hạn gia hạn tối đa 10 ngày;

c) Không thực hiện yêu cầu xóa dữ liệu cá nhân trong thời hạn 20 ngày;

trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì

không bảo đảm trong thời hạn 30 ngày; trường hợp đã gia hạn thì không bảo

đảm trong thời hạn gia hạn tối đa 20 ngày;

d) Không thực hiện yêu cầu áp dụng các biện pháp, giải pháp bảo vệ dữ

liệu cá nhân trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm

trong thời hạn gia hạn tối đa 15 ngày.

4. Bên xử lý dữ liệu cá nhân, bên thứ ba không bị xử phạt theo quy định

tại khoản 2 Điều này trong trường hợp pháp luật có quy định khác.

5. Biện pháp khắc phục hậu quả: Buộc thực hiện đầy đủ quyền của chủ thể

dữ liệu cá nhân theo yêu cầu hợp pháp và cung cấp minh chứng thực hiện cho

cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 59

Điều 45. Vi phạm quy định về quyền rút lại sự đồng ý và quyền hạn

chế xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Sử dụng các cách thức, biện pháp nhằm che giấu, ngăn chặn hoặc cố

tình gây cản trở cho việc thực hiện quyền rút lại sự đồng ý, yêu cầu hạn chế của

chủ thể dữ liệu cá nhân;

b) Không thực hiện ngừng xử lý dữ liệu cá nhân kể từ khi chủ thể dữ liệu

cá nhân rút lại sự đồng ý, yêu cầu hạn chế theo đúng thủ tục, trừ trường hợp

pháp luật có quy định tiếp tục xử lý không cần sự đồng ý theo Điều 19 Luật

Bảo vệ dữ liệu cá nhân;

c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân

không gửi yêu cầu cho Bên xử lý dữ liệu cá nhân, Bên thứ ba để ngừng xử lý

dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý, yêu cầu hạn chế xử lý dữ liệu

cá nhân.

2. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân tiếp tục xử

lý sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản

1 Điều này;

b) Buộc nộp lại khoản thu có được do tiếp tục khai thác dữ liệu cá nhân

sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1

Điều này;

c) Buộc thiết lập và cung cấp cho chủ thể dữ liệu cá nhân cơ chế kỹ thuật

rõ ràng, dễ tiếp cận để thực hiện quyền rút lại sự đồng ý; cung cấp minh chứng

thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm a khoản

1 Điều này;

d) Buộc thực hiện việc gửi yêu cầu đến Bên xử lý dữ liệu cá nhân, Bên

thứ ba để dừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý; cung cấp

minh chứng thực hiện đối với hành vi vi phạm tại điểm c khoản 1 Điều này.

Điều 46. Vi phạm quy định về quyền xem, chỉnh sửa hoặc yêu cầu

chỉnh sửa dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 60

a) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân

từ chối, không cho phép chủ thể dữ liệu cá nhân truy cập để xem, chỉnh sửa

hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình sau khi đã thu thập, trừ trường

hợp luật có quy định khác;

b) Bên xử lý dữ liệu cá nhân, Bên thứ ba tự ý chỉnh sửa dữ liệu cá nhân

của chủ thể dữ liệu cá nhân khi chưa được Bên kiểm soát dữ liệu cá nhân đồng

ý bằng văn bản.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi cố ý

trì hoãn, không thực hiện chỉnh sửa dữ liệu cá nhân sau khi đã xác nhận thông

tin là sai sự thật, giả mạo gây ảnh hưởng về danh dự, nhân phẩm, uy tín, quyền

và lợi ích hợp pháp cho chủ thể dữ liệu cá nhân.

3. Không xử phạt theo quy định tại Điều này đối với hành vi từ chối hoặc

chưa thực hiện chỉnh sửa dữ liệu cá nhân nếu Bên kiểm soát dữ liệu cá nhân,

Bên kiểm soát và xử lý dữ liệu cá nhân có căn cứ hợp lý chứng minh thuộc một

trong các trường hợp sau:

a) Yêu cầu chỉnh sửa nhằm mục đích gian lận, làm sai lệch thông tin để

trốn tránh nghĩa vụ pháp lý hoặc thực hiện hành vi vi phạm pháp luật;

b) Việc chỉnh sửa dữ liệu cá nhân theo yêu cầu có thể xâm phạm quyền,

lợi ích hợp pháp của tổ chức, cá nhân khác hoặc ảnh hưởng đến thuần phong

mỹ tục, đạo đức, lợi ích công cộng;

c) Các trường hợp khác theo quy định của pháp luật có liên quan.

4. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện chỉnh sửa dữ liệu cá nhân theo yêu cầu hợp pháp của

chủ thể dữ liệu cá nhân đối với hành vi vi phạm tại khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã tự ý

chỉnh sửa trái phép đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 47. Vi phạm quy định về xử lý dữ liệu cá nhân trong trường hợp

không cần sự đồng ý của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau:

a) Không thiết lập quy trình, quy định xử lý dữ liệu cá nhân và xác định

trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình xử lý dữ liệu cá nhân;

b) Không thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của

pháp luật, quy trình, quy định xử lý dữ liệu cá nhân;

CÔNG BÁO/Số 498/Ngày 04-09-2026 61

c) Không có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ

chức, cá nhân có liên quan.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Không triển khai các biện pháp bảo vệ dữ liệu cá nhân phù hợp làm lộ,

mất dữ liệu cá nhân được thu thập;

b) Không thực hiện đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ

liệu cá nhân.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi sau:

a) Lợi dụng các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý

quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân để thu thập, xử lý dữ

liệu cá nhân vượt quá mục đích, phạm vi cần thiết so với căn cứ theo quy định

pháp luật;

b) Không chứng minh được trường hợp theo quy định pháp luật của việc

xử lý dữ liệu cá nhân không cần sự đồng ý khi có yêu cầu kiểm tra của cơ quan

nhà nước có thẩm quyền.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai quy trình, quy định xử lý dữ liệu

cá nhân; biện pháp bảo vệ dữ liệu cá nhân; cơ chế tiếp nhận phản ánh, kiến nghị

theo đúng quy định, cung cấp minh chứng đã thực hiện cho cơ quan có thẩm

quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân được thực hiện dựa trên căn

cứ miễn đồng ý không đúng quy định hoặc vượt quá mục đích, phạm vi căn cứ

đó cho phép đối với hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã

thu thập, xử lý vượt quá mục đích, phạm vi quy định hoặc không có căn cứ hợp

pháp đối với hành vi vi phạm quy định tại điểm a khoản 3 Điều này;

d) Buộc lập, lưu trữ và cung cấp tài liệu chứng minh căn cứ hợp pháp của

việc xử lý dữ liệu cá nhân không cần sự đồng ý khi có yêu cầu của cơ quan có

thẩm quyền đối với hành vi vi phạm tại điểm b khoản 3 Điều này;

đ) Buộc triển khai biện pháp bảo vệ dữ liệu cá nhân phù hợp và thực hiện

đánh giá rủi ro trong quá trình xử lý dữ liệu cá nhân; cung cấp minh chứng thực

hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 62

Điều 48. Vi phạm quy định về thu thập dữ liệu cá nhân

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi thu

thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không

có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của

pháp luật.

2. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với thu thập, lưu

trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân

để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu

cá nhân đồng ý.

3. Trường hợp áp dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu

cá nhân trái quy định của pháp luật thì mức phạt tiền được xác định như sau:

a) Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi

thu thập dữ liệu cá nhân cơ bản của dưới 500 chủ thể dữ liệu hoặc thu thập dữ

liệu cá nhân nhạy cảm của dưới 100 chủ thể dữ liệu;

b) Phạt tiền từ 200.000.000 đồng đến 300.000.000 đồng đối với hành vi

thu thập dữ liệu cá nhân cơ bản của từ 500 đến dưới 1.000 chủ thể dữ liệu hoặc

thu thập dữ liệu cá nhân nhạy cảm của từ 100 đến dưới 200 chủ thể dữ liệu;

c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi

thu thập dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể dữ liệu

hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể dữ liệu;

d) Phạt tiền từ 500.000.000 đồng đến 800.000.000 đồng đối với hành vi

thu thập dữ liệu cá nhân cơ bản của từ 5.000 chủ thể dữ liệu trở lên hoặc thu

thập dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể dữ liệu trở lên.

4. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi quy

định tại khoản 1 Điều này nếu đối tượng của hành vi vi phạm là dữ liệu cá nhân

nhạy cảm.

5. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1, 2, 3

Điều này.

6. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã

thu thập, xử lý trái quy định đối với hành vi vi phạm tại Điều này;

b) Buộc nộp lại khoản thu có được từ hoạt động kinh doanh có sử dụng dữ

liệu cá nhân thu thập trái phép đối với hành vi vi phạm tại khoản 2 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 63

Điều 49. Vi phạm quy định về cung cấp dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với hành vi từ

chối cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân khi có yêu cầu

hợp lệ.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi cung

cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể

dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác.

3. Phạt tiền bằng 02 lần mức phạt tiền quy định tại khoản 2 và khoản 3

Điều này đối với hành vi cung cấp dữ liệu cá nhân nhạy cảm.

4. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá

nhân theo yêu cầu hợp lệ đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc thu hồi dữ liệu cá nhân đã cung cấp sai quy định đối với hành vi

vi phạm tại khoản 2 và khoản 3 Điều này;

c) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm tại khoản

2 Điều này.

Điều 50. Vi phạm quy định về công khai dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau đây:

a) Công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc

trường hợp được phép công khai theo quy định pháp luật;

b) Công khai vượt quá phạm vi, loại dữ liệu cá nhân cần thiết cho mục

đích công khai;

c) Công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn

dữ liệu gốc;

d) Không kiểm soát, giám sát chặt chẽ việc công khai dữ liệu cá nhân để

bảo đảm tuân thủ đúng mục đích, phạm vi và quy định của pháp luật;

đ) Không có biện pháp ngăn chặn việc truy cập, sử dụng, tiết lộ, sao chép,

sửa đổi, xóa, hủy hoặc các hành vi xử lý trái phép khác đối với dữ liệu đã công

khai.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 64

a) Công khai dữ liệu cá nhân gây xâm phạm đến quyền, lợi ích hợp pháp

của chủ thể dữ liệu cá nhân;

b) Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu cá

nhân, trừ trường hợp pháp luật cho phép.

3. Biện pháp khắc phục hậu quả:

a) Buộc cải chính thông tin đối với hành vi vi phạm tại điểm c khoản 1

Điều này;

b) Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai đối với hành vi vi

phạm tại khoản 2 Điều này;

c) Buộc áp dụng biện pháp kiểm soát, giám sát và bảo mật đối với dữ liệu

cá nhân đang công khai; cung cấp minh chứng thực hiện cho cơ quan có thẩm

quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này;

d) Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai không có mục đích

cụ thể hoặc vượt quá phạm vi cần thiết đối với hành vi vi phạm tại điểm a, b

khoản 1 Điều này.

Điều 51. Vi phạm quy định về xóa, hủy, khử nhận dạng dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do trong trường

hợp không thể thực hiện việc xóa, hủy dữ liệu cá nhân sau khi nhận được yêu

cầu;

b) Việc xóa, hủy dữ liệu cá nhân không được thực hiện bằng các biện pháp

an toàn;

c) Không có biện pháp ngăn chặn hoạt động xâm nhập và khôi phục trái

phép dữ liệu đã xóa, hủy;

d) Khử nhận dạng dữ liệu cá nhân nhưng không kiểm soát, giám sát chặt

chẽ;

đ) Không có biện pháp ngăn chặn việc truy cập trái phép, sao chép, chiếm

đoạt, làm lộ, làm mất dữ liệu trong quá trình khử nhận dạng.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 65

a) Không thực hiện xóa, hủy dữ liệu cá nhân tại các trường hợp theo quy

định pháp luật;

b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân

không yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba xóa, hủy dữ liệu cá nhân

của chủ thể dữ liệu cá nhân theo quy định của pháp luật;

c) Bên xử lý dữ liệu cá nhân không thực hiện xóa hoặc trả lại toàn bộ dữ

liệu cá nhân cho Bên kiểm soát dữ liệu cá nhân sau khi kết thúc hợp đồng hoặc

thỏa thuận xử lý dữ liệu cá nhân;

d) Để xảy ra việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất

dữ liệu cá nhân trong quá trình khử nhận dạng.

3. Phạt tiền từ 50.000.000 đồng đến 60.000.000 đồng đối với một trong

các hành vi sau đây:

a) Cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy;

b) Tái nhận dạng dữ liệu cá nhân sau khi dữ liệu đó đã được khử nhận

dạng, trừ trường hợp pháp luật có quy định khác.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với

hành vi vi phạm tại điểm a, b khoản 2 Điều này;

b) Buộc thông báo cho chủ thể dữ liệu cá nhân về việc không thể thực hiện

xóa, hủy trong trường hợp quy định tại điểm a khoản 1 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục kết quả tái nhận dạng và

dữ liệu cá nhân đã được khôi phục trái phép đối với hành vi vi phạm tại khoản

3 Điều này;

d) Buộc áp dụng biện pháp kiểm soát, giám sát và ngăn chặn truy cập trái

phép trong quá trình khử nhận dạng; cung cấp minh chứng thực hiện cho cơ

quan có thẩm quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này.

Điều 52. Vi phạm quy định về chuyển giao dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau:

a) Thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định trách

nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá

nhân; trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân; trách nhiệm

CÔNG BÁO/Số 498/Ngày 04-09-2026 66

phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định

bảo vệ dữ liệu cá nhân;

b) Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một

cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác

lập, cơ quan, tổ chức không xây dựng quy trình kiểm soát việc chia sẻ, sử dụng

dữ liệu cá nhân đúng quy định; không có biện pháp phòng, chống việc nhân sự

nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi chuyển giao dữ liệu cá nhân theo điểm a, điểm d khoản 1 Điều 17

của Luật Bảo vệ dữ liệu cá nhân có thu phí để cung cấp dịch vụ cho chủ thể dữ

liệu cá nhân hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu cá nhân

nhưng vi phạm các nghĩa vụ sau:

a) Không xác định rõ vai trò bên kiểm soát dữ liệu cá nhân, bên xử lý dữ

liệu cá nhân, bên thứ ba trong hoạt động chuyển giao dữ liệu cá nhân;

b) Không xác định, giới hạn loại dữ liệu cá nhân chuyển giao trong phạm

vi mục đích chuyển giao;

c) Không xác định thời hạn lưu trữ dữ liệu cá nhân phù hợp với mục đích

chuyển giao; không xóa, hủy dữ liệu cá nhân khi hoàn thành mục đích theo quy

định pháp luật.

3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi

chuyển giao dữ liệu cá nhân nhạy cảm không có biện pháp bảo mật vật lý đối

với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và

các biện pháp bảo mật khác trong quá trình chuyển giao.

4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính đối với hành vi vi phạm quy định tại khoản 2 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc bổ sung, hoàn thiện thỏa thuận chuyển giao dữ liệu cá nhân theo

đúng quy định và cung cấp minh chứng cho cơ quan có thẩm quyền đối với

hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật theo quy định đối với dữ liệu cá nhân

nhạy cảm đang được lưu trữ và truyền tải đối với hành vi vi phạm tại khoản 3

Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân nhạy cảm

đã chuyển giao trong trường hợp không thể bảo đảm bảo mật theo quy định đối

với hành vi vi phạm tại khoản 2, 3 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 67

Điều 53. Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân

1. Phạt tiền từ 02 lần đến tối đa bằng 10 lần khoản thu đối với một trong

các hành vi mua, bán trái phép dữ liệu cá nhân sau:

a) Cung cấp, chia sẻ, trao đổi nhằm thu tài sản hoặc lợi ích khác không

thuộc các trường hợp quy định tại khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân;

b) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác không

có thỏa thuận về việc chuyển giao dữ liệu cá nhân;

c) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà

thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định mục đích chuyển

giao dữ liệu cá nhân hoặc không thực hiện theo đúng mục đích trong thỏa thuận

chuyển giao dữ liệu cá nhân;

d) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà

không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân

đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính

xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân;

đ) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà

xử lý dữ liệu cá nhân không đúng cho mục đích chuyển giao được chủ thể dữ

liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;

e) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà

không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.

2. Trường hợp các hành vi vi phạm quy định tại khoản 1 Điều này không

có khoản thu và mức phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi

vi phạm thấp hơn 3.000.000.000 đồng thì mức phạt tiền được xác định đến mức

tối đa của khung tiền phạt là 3.000.000.000 đồng.

3. Trường hợp không có khoản thu từ hành vi vi phạm quy định tại khoản

1 Điều này thì mức phạt tiền được xác định như sau:

a) Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi

mua, bán dữ liệu cá nhân cơ bản của dưới 1.000 chủ thể dữ liệu hoặc mua bán

dữ liệu cá nhân nhạy cảm của dưới 200 chủ thể dữ liệu;

b) Phạt tiền từ 100.000.000 đồng đến 300.000.000 đồng đối với hành vi

mua, bán dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 2.000 chủ thể dữ liệu

hoặc mua bán dữ liệu cá nhân nhạy cảm của từ 200 đến dưới 400 chủ thể dữ

liệu;

CÔNG BÁO/Số 498/Ngày 04-09-2026 68

c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi

mua, bán dữ liệu cá nhân cơ bản của từ 2.000 đến dưới 10.000 chủ thể dữ liệu

hoặc dữ liệu cá nhân nhạy cảm của từ 400 đến 2.000 chủ thể dữ liệu;

d) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi

mua, bán dữ liệu cá nhân cơ bản của từ 10.000 chủ thể dữ liệu trở lên, dữ liệu

cá nhân nhạy cảm của từ 2.000 chủ thể dữ liệu trở lên;

đ) Mức phạt tiền từ 1.000.000.000 đồng đến tối đa 3.000.000.000 đồng

đối với các hành vi mua, bán dữ liệu cá nhân trái phép xâm phạm tới quốc

phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự,

nhân phẩm, tài sản của chủ thể dữ liệu cá nhân, quyền và lợi ích hợp pháp của

tổ chức, cá nhân.

4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính được sử dụng để thực hiện hành vi vi phạm quy định tại Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã

mua, bán trái phép trên tất cả hệ thống lưu trữ đối với hành vi vi phạm quy định

tại Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

1 và khoản 2 Điều này;

c) Buộc thông báo đến toàn bộ chủ thể dữ liệu cá nhân bị ảnh hưởng về

hành vi vi phạm và biện pháp khắc phục đối với hành vi vi phạm quy định tại

Điều này.

Điều 54. Vi phạm quy định về thông báo vi phạm quy định về bảo vệ

dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau đây:

a) Bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm nhưng không thông

báo kịp thời cho bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu;

b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân

không lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo

vệ dữ liệu cá nhân;

c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân,

Bên xử lý dữ liệu cá nhân thực hiện báo cáo vi phạm sự cố rò rỉ dữ liệu cho cơ

quan chuyên trách bảo vệ dữ liệu cá nhân nhưng cố ý che giấu, cung cấp thông

tin sai lệch về tính chất sự cố, quy mô, các loại dữ liệu cá nhân và số lượng chủ

thể dữ liệu bị ảnh hưởng.

CÔNG BÁO/Số 498/Ngày 04-09-2026 69

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với hành vi

không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các

trường hợp sau đây:

a) Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;

b) Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận;

c) Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể

dữ liệu cá nhân.

3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với Bên kiểm

soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có hành

vi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm hơn 72 giờ

kể từ khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân gây tổn hại hoặc

có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc

xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể

dữ liệu cá nhân.

4. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không thực hiện các biện pháp ngăn chặn hành vi vi phạm, không khắc

phục hậu quả xảy ra;

b) Không phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong

việc xử lý hành vi vi phạm.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện đầy đủ nghĩa vụ thông báo vi phạm theo đúng nội dung,

hình thức và thời hạn quy định, cung cấp minh chứng thực hiện cho cơ quan có

thẩm quyền đối với hành vi vi phạm tại khoản 1, khoản 2, khoản 3 Điều này;

b) Buộc thực hiện các biện pháp ngăn chặn và khắc phục hậu quả do hành

vi vi phạm gây ra theo yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân

đối với hành vi vi phạm tại điểm a khoản 4 Điều này.

Điều 55. Vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi

sau:

a) Bắt đầu các hoạt động xử lý dữ liệu cá nhân nhưng không lập, không

duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại trụ sở doanh nghiệp

theo quy định tại Điều 21 Luật Bảo vệ dữ liệu cá nhân;

CÔNG BÁO/Số 498/Ngày 04-09-2026 70

b) Không gửi 01 bản chính Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

(theo mẫu quy định tại Phụ lục Nghị định 356/2025/NĐ-CP) cho Cục An ninh

mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong

thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân;

c) Cố ý không hoàn thiện hồ sơ đánh giá tác động theo yêu cầu của cơ

quan chuyên trách trong trường hợp hồ sơ chưa đầy đủ, đúng quy định;

d) Không cập nhật định kỳ 06 tháng đối với hồ sơ đánh giá tác động xử lý

dữ liệu cá nhân khi có sự thay đổi theo quy định pháp luật;

đ) Không cập nhật hồ sơ trong thời hạn 10 ngày khi thuộc một trong các

trường hợp phải cập nhật theo quy định của pháp luật.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi cố

tình làm giả số liệu, cung cấp sai lệch thông tin trong Hồ sơ đánh giá tác động

xử lý dữ liệu cá nhân, hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ khi có văn bản

yêu cầu khắc phục từ Cục An ninh mạng và phòng, chống tội phạm sử dụng

công nghệ cao (Bộ Công an).

3. Biện pháp khắc phục hậu quả:

a) Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá

nhân theo đúng quy định, cung cấp minh chứng thực hiện cho cơ quan có thẩm

quyền đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy

đủ nghĩa vụ nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và được cơ quan

chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm tại điểm

a khoản 1 Điều này.

Điều 56. Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên

giới trước hoặc trong thời gian tiến hành chuyển dữ liệu;

b) Không nộp 01 bản chính hồ sơ đánh giá tác động chuyển dữ liệu cá

nhân xuyên biên giới cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong

thời hạn 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu;

c) Không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên

biên giới trong thời hạn 30 ngày kể từ khi nhận được yêu cầu của cơ quan

chuyên trách bảo vệ dữ liệu cá nhân;

CÔNG BÁO/Số 498/Ngày 04-09-2026 71

d) Không cập nhật định kỳ hoặc không cập nhật hồ sơ đánh giá tác động

chuyển dữ liệu cá nhân xuyên biên giới khi có thay đổi theo quy định pháp luật;

đ) Không duy trì hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên

biên giới ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra của cơ quan chuyên

trách bảo vệ dữ liệu cá nhân;

e) Không thông báo thông tin và chi tiết liên lạc của tổ chức, cá nhân phụ

trách bảo vệ dữ liệu cá nhân phía bên nhận dữ liệu sau khi hoàn tất việc chuyển

dữ liệu cá nhân xuyên biên giới;

g) Không có cơ chế kiểm soát hoặc không yêu cầu bên nhận dữ liệu xuyên

biên giới tuân thủ quy trình khi chuyển tiếp dữ liệu cá nhân cho bên thứ ba

khác, dẫn đến việc dữ liệu cá nhân của công dân Việt Nam được xử lý ngoài

phạm vi đã khai báo trong hồ sơ đánh giá tác động.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau:

a) Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách

nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận dữ liệu xuyên biên

giới, không xác định rõ trách nhiệm thực hiện quyền của chủ thể dữ liệu cá

nhân sau khi dữ liệu được chuyển;

b) Không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích

chuyển dữ liệu xuyên biên giới hoặc không thông báo cho chủ thể dữ liệu cá

nhân về việc dữ liệu của họ được chuyển ra nước ngoài, tổ chức nhận dữ liệu

và mục đích xử lý;

c) Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển dữ

liệu cá nhân xuyên biên giới hoặc không có phương án bảo đảm an toàn dữ liệu

cá nhân sau khi chuyển;

d) Không phối hợp hoặc cản trở hoạt động kiểm tra hoạt động chuyển dữ

liệu xuyên biên giới của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;

đ) Tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định

yêu cầu ngừng chuyển dữ liệu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;

e) Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và

không yêu cầu bên nhận dữ liệu xuyên biên giới dừng xử lý, ngăn chặn thiệt

hại khi phát hiện bên nhận xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân hoặc

sự cố lộ, mất dữ liệu cá nhân.

CÔNG BÁO/Số 498/Ngày 04-09-2026 72

3. Phạt tiền theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước

tại thị trường Việt Nam đối với tổ chức thực hiện chuyển dữ liệu cá nhân xuyên

biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai báo sai về

dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân, hoặc tiếp tục chuyển dữ liệu sau

khi có quyết định yêu cầu ngừng của cơ quan chuyên trách bảo vệ dữ liệu cá

nhân, cụ thể như sau:

a) Phạt tiền từ 1% đến 2% doanh thu đối với hành vi dẫn đến lộ, mất dữ

liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công

dân Việt Nam;

b) Phạt tiền từ 2% đến 3% doanh thu đối với hành vi dẫn đến lộ, mất dữ

liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công

dân Việt Nam;

c) Phạt tiền từ 3% đến 5% doanh thu đối với hành vi dẫn đến lộ, mất dữ

liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở

lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định

yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây

tổn hại đến quốc phòng, an ninh quốc gia.

4. Trường hợp tổ chức vi phạm quy định tại khoản 3 Điều này không có

doanh thu phát sinh tại thị trường Việt Nam trong năm tài chính liền trước hoặc

mức phạt tính theo tỷ lệ phần trăm doanh thu tại từng điểm thấp hơn

3.000.000.000 đồng thì áp dụng mức phạt tiền như sau:

a) Phạt tiền từ 200.000.000 đồng đến 500.000.000 đồng đối với hành vi

dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu

cá nhân là công dân Việt Nam;

b) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi

dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ

liệu cá nhân là công dân Việt Nam;

c) Phạt tiền từ 1.000.000.000 đồng đến 3.000.000.000 đồng đối với hành

vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là

công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên

giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo

vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

5. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi

phạm quy định tại khoản 2 và khoản 3 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 73

b) Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ

06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

6. Biện pháp khắc phục hậu quả:

a) Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá

nhân xuyên biên giới đúng quy định đối với hành vi vi phạm quy định tại khoản

1 Điều này;

b) Buộc ngừng việc chuyển dữ liệu cá nhân xuyên biên giới cho đến khi

hoàn thành đầy đủ nghĩa vụ hồ sơ và được cơ quan chuyên trách bảo vệ dữ liệu

cá nhân xác nhận đối với hành vi vi phạm quy định tại điểm a, b khoản 1 và

điểm a, b khoản 2 Điều này;

c) Buộc yêu cầu bên nhận dữ liệu xuyên biên giới hủy, xóa tới mức không

thể khôi phục toàn bộ dữ liệu cá nhân đã chuyển trái quy định; cung cấp bằng

chứng bên nhận đã thực hiện việc hủy, xóa cho cơ quan có thẩm quyền đối với

hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

3 Điều này.

Điều 57. Vi phạm quy định về chỉ định nhân sự, bộ phận bảo vệ dữ

liệu cá nhân

1. Phạt cảnh cáo hoặc phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng

đối với cơ quan, tổ chức có một trong các hành vi sau:

a) Không ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu

cá nhân;

b) Không tổ chức đào tạo, bồi dưỡng kiến thức và kỹ năng về bảo vệ dữ

liệu cá nhân cho nhân sự bảo vệ dữ liệu cá nhân;

c) Văn bản chính thức chỉ định nhân sự bảo vệ dữ liệu cá nhân, quyết định

thành lập bộ phận bảo vệ dữ liệu cá nhân không nêu rõ chức năng, nhiệm vụ,

quyền hạn và các yêu cầu về công tác bảo vệ dữ liệu cá nhân theo quy định

pháp luật.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cơ quan, tổ

chức có một trong các hành vi sau:

a) Chỉ định nhân sự bảo vệ dữ liệu cá nhân không đáp ứng điều kiện về

trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 02 năm kinh nghiệm

công tác liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin,

an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân

sự;

CÔNG BÁO/Số 498/Ngày 04-09-2026 74

b) Chỉ định nhân sự bảo vệ dữ liệu cá nhân chưa được đào tạo, bồi dưỡng

kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân;

c) Không ban hành văn bản chính thức chỉ định nhân sự bảo vệ dữ liệu cá

nhân hoặc không ban hành quyết định thành lập bộ phận bảo vệ dữ liệu cá nhân.

3. Biện pháp khắc phục hậu quả:

a) Buộc thay thế bằng nhân sự đáp ứng đủ điều kiện theo quy định pháp

luật và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành

vi vi phạm tại khoản 2 Điều này;

b) Buộc ban hành văn bản chỉ định, xây dựng đầy đủ chức năng nhiệm vụ

theo quy định và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền

đối với hành vi vi phạm tại khoản 1 Điều này.

Điều 58. Vi phạm quy định về cung cấp dịch vụ bảo vệ dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với cá nhân cung

cấp dịch vụ bảo vệ dữ liệu cá nhân có một trong các hành vi sau:

a) Không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc

không có ít nhất 03 năm kinh nghiệm công tác liên quan đến một trong các lĩnh

vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi

ro, kiểm soát tuân thủ hoặc chưa được đào tạo, bồi dưỡng chuyên sâu về bảo

vệ dữ liệu cá nhân nhưng vẫn thực hiện cung cấp dịch vụ;

b) Thực hiện dịch vụ vượt quá phạm vi và nhiệm vụ đã thỏa thuận trong

hợp đồng;

c) Không thực hiện xóa, hủy dữ liệu cá nhân đã xử lý trong quá trình cung

cấp dịch vụ sau khi hoàn thành hợp đồng.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức cung

cấp dịch vụ bảo vệ dữ liệu cá nhân có một trong các hành vi sau:

a) Không xây dựng hoặc cung cấp hồ sơ năng lực không đầy đủ các nội

dung theo quy định;

b) Không có tối thiểu 03 nhân sự đáp ứng đủ điều kiện năng lực theo

quy định;

c) Không giao kết hợp đồng sử dụng dịch vụ và thỏa thuận xử lý dữ liệu

cá nhân với cơ quan, tổ chức sử dụng dịch vụ trước khi thực hiện cung cấp dịch

vụ;

CÔNG BÁO/Số 498/Ngày 04-09-2026 75

d) Không công khai thông tin về tổ chức cung cấp dịch vụ cho chủ thể dữ

liệu cá nhân và các bên liên quan được biết.

3. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi lợi

dụng việc cung cấp dịch vụ để truy cập, thu thập, sử dụng, tiết lộ hoặc xử lý dữ

liệu cá nhân ngoài phạm vi hợp đồng hoặc thực hiện các hành vi vi phạm pháp

luật khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi

phạm quy định tại khoản 3 Điều này;

b) Đình chỉ có thời hạn hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân

từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm a, b khoản

2 và khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã

thu thập, xử lý trái phép trong quá trình cung cấp dịch vụ đối với hành vi vi

phạm quy định tại điểm c khoản 1 và khoản 3 Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

3 Điều này;

c) Buộc thông báo cho cơ quan, tổ chức đang sử dụng dịch vụ về việc tổ

chức, cá nhân cung cấp dịch vụ không còn đáp ứng điều kiện theo quy định, để

cơ quan, tổ chức đó kịp thời thực hiện biện pháp thay thế bảo đảm hoạt động

bảo vệ dữ liệu cá nhân liên tục đối với hành vi vi phạm quy định tại điểm a, b

khoản 2 Điều này.

Điều 59. Vi phạm quy định về kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với tổ chức kinh

doanh dịch vụ xử lý dữ liệu cá nhân đã được cấp Giấy chứng nhận có một trong

các hành vi sau:

a) Không xây dựng khung quản trị rủi ro về bảo vệ dữ liệu cá nhân phù

hợp với dịch vụ cung cấp;

b) Không xây dựng quy định về trách nhiệm và quyền hạn của tổ chức

trong xử lý dữ liệu cá nhân;

c) Không áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu,

bảo vệ dữ liệu cá nhân, an ninh mạng;

CÔNG BÁO/Số 498/Ngày 04-09-2026 76

d) Không thực hiện xác thực danh tính tổ chức theo quy định pháp luật về

định danh và xác thực điện tử.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức kinh

doanh dịch vụ xử lý dữ liệu cá nhân đã được cấp Giấy chứng nhận có một trong

các hành vi sau:

a) Trường hợp là bên xử lý dữ liệu cá nhân, tổ chức không yêu cầu bên

kiểm soát dữ liệu cá nhân xin sự đồng ý của chủ thể dữ liệu cá nhân trước khi

cung cấp dịch vụ, không bảo đảm chủ thể dữ liệu cá nhân được biết về loại dữ

liệu được xử lý, mục đích xử lý và tổ chức cung cấp dịch vụ;

b) Không bảo đảm xử lý dữ liệu cá nhân đúng mục đích, không giới hạn

việc thu thập, chuyển giao, lưu trữ phù hợp theo quy định, hoặc không có biện

pháp ngăn chặn truy cập, thu thập, sử dụng, tiết lộ trái phép dữ liệu cá nhân

trong hoạt động cung cấp dịch vụ;

c) Không thực hiện đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về

bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với tổ chức kinh

doanh dịch vụ xử lý dữ liệu cá nhân có một trong các hành vi sau:

a) Thực hiện hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân khi

chưa được cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu

cá nhân;

b) Bố trí nhân sự bảo vệ dữ liệu cá nhân không đáp ứng điều kiện về trình

độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công

tác liên quan đến một trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an

ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc chưa được

đào tạo, bồi dưỡng chuyên sâu về bảo vệ dữ liệu cá nhân;

c) Không có tối thiểu 03 nhân sự đáp ứng điều kiện năng lực theo quy

định.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với hành vi tiếp

tục kinh doanh dịch vụ xử lý dữ liệu cá nhân sau khi Giấy chứng nhận đủ điều

kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân đã bị thu hồi.

5. Biện pháp khắc phục hậu quả:

a) Buộc xây dựng, ban hành và thực hiện khung quản trị rủi ro, quy định

trách nhiệm, tiêu chuẩn kỹ thuật, cơ chế xác thực danh tính theo quy định; cung

cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm

tại khoản 1 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 77

b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân thu

thập, xử lý trái phép trong quá trình cung cấp dịch vụ đối với hành vi vi phạm

quy định tại khoản 2 và khoản 3 Điều này;

c) Buộc nộp lại khoản thu có được từ hành vi vi phạm tại khoản 3 Điều này.

Điều 60. Vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em, người

bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong

nhận thức, làm chủ hành vi

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ

liệu cá nhân của trẻ em;

b) Xử lý dữ liệu cá nhân của trẻ em dưới 07 tuổi, người bị mất hoặc hạn

chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành

vi mà không có sự đồng ý của người đại diện theo pháp luật, trừ trường hợp

quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân;

c) Xử lý dữ liệu cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng

thời sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp quy

định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau:

a) Xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời

sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng

thời sự đồng ý của trẻ em và người đại diện theo pháp luật;

b) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn

chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành

vi khi người đại diện theo pháp luật rút lại sự đồng ý, trừ trường hợp pháp luật

có quy định khác;

c) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn

chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành

vi khi cơ quan có thẩm quyền có đủ căn cứ chứng minh việc xử lý dữ liệu có

thể xâm phạm đến quyền, lợi ích hợp pháp của đối tượng được bảo vệ và yêu

cầu ngừng xử lý, trừ trường hợp pháp luật có quy định khác.

3. Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi

không thực hiện xóa, hủy tới mức không thể khôi phục dữ liệu cá nhân của trẻ

em trong các trường hợp: xử lý dữ liệu không đúng mục đích hoặc đã hoàn

CÔNG BÁO/Số 498/Ngày 04-09-2026 78

thành mục đích xử lý; cha mẹ hoặc người giám hộ rút lại sự đồng ý; theo yêu

cầu của cơ quan có thẩm quyền.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân

liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành

vi vi phạm quy định tại khoản 2 Điều này; từ 03 tháng đến 06 tháng đối với

hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc ngừng hoạt động xử lý dữ liệu cá nhân và thông báo bằng văn bản

cho người đại diện theo pháp luật về việc dừng xử lý đối với hành vi vi phạm

quy định tại điểm b, c khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã

xử lý trái quy định đối với hành vi vi phạm quy định tại khoản 1, khoản 2 và

khoản 3 Điều này;

c) Buộc gỡ bỏ thông tin về đời sống riêng tư, bí mật cá nhân đã công bố

trái quy định và thông báo cho người đại diện theo pháp luật về việc gỡ bỏ đối

với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

Điều 61. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển

dụng, quản lý, sử dụng lao động

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Yêu cầu người dự tuyển cung cấp dữ liệu cá nhân không phục vụ cho

mục đích tuyển dụng hoặc không phù hợp với quy định của pháp luật;

b) Sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài

mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển;

c) Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc

xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý;

d) Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong

trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự

tuyển.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định

của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;

CÔNG BÁO/Số 498/Ngày 04-09-2026 79

b) Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm

dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy

định khác;

c) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của

người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao

gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị

thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người

lao động;

d) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của

người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm

quyền, lợi ích hợp pháp của người lao động.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi xử

lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ,

kỹ thuật trái quy định của pháp luật.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập,

xử lý trái quy định đối với hành vi vi phạm quy định tại điểm c, d khoản 1, điểm

c, d khoản 2 và khoản 3 Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

3 Điều này.

Điều 62. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với thông tin

sức khỏe và trong hoạt động kinh doanh bảo hiểm

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau đây:

a) Trong quá trình kinh doanh bảo hiểm, tái bảo hiểm, nhượng tái bảo

hiểm, tiến hành chuyển giao dữ liệu cá nhân của khách hàng cho đối tác nhưng

không quy định rõ ràng, minh bạch trong hợp đồng đã giao kết với khách hàng;

b) Trong quá trình phát triển, vận hành các ứng dụng y tế, nền tảng chăm

sóc sức khỏe trực tuyến, tiến hành thu thập dữ liệu cá nhân nhạy cảm nhưng

không thiết lập quy định phân quyền giới hạn truy cập và các biện pháp bảo

mật theo quy định.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi

cung cấp, chia sẻ dữ liệu cá nhân của bệnh nhân cho bên thứ ba là tổ chức cung

cấp dịch vụ chăm sóc sức khỏe khác hoặc doanh nghiệp kinh doanh bảo hiểm

sức khỏe, bảo hiểm nhân thọ khi chưa nhận được yêu cầu bằng văn bản của chủ

thể dữ liệu cá nhân.

CÔNG BÁO/Số 498/Ngày 04-09-2026 80

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân

liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành

vi vi phạm quy định tại khoản 1 Điều này; từ 03 tháng đến 06 tháng đối với

hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập và áp dụng biện pháp bảo mật, phân quyền truy cập theo

đúng quy định kỹ thuật đối với hệ thống thu thập dữ liệu sức khỏe, sinh trắc

học; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành

vi vi phạm tại điểm b khoản 1 Điều này;

b) Buộc yêu cầu bên thứ ba hủy, xóa tới mức không thể khôi phục toàn bộ

dữ liệu cá nhân đã tiếp nhận trái phép và cung cấp bằng chứng đã thực hiện cho

cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này;

c) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi

phạm tại khoản 2 Điều này.

Điều 63. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh

dịch vụ quảng cáo

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Thu thập và sử dụng dữ liệu cá nhân cơ bản để phân phối quảng cáo mà

không có sự đồng ý của chủ thể dữ liệu cá nhân;

b) Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không cung cấp cơ chế,

phương thức kỹ thuật minh bạch, dễ tiếp cận để chủ thể dữ liệu cá nhân thực

hiện quyền từ chối nhận quảng cáo hoặc rút lại sự đồng ý chia sẻ dữ liệu cá

nhân cho mục đích quảng cáo;

c) Thiết lập phương thức mặc định đồng ý cung cấp dữ liệu cá nhân của

chủ thể dữ liệu cá nhân cho mạng lưới quảng cáo liên kết;

d) Cố ý chia sẻ hồ sơ người dùng cho bên thứ ba với mục đích kinh doanh

dịch vụ quảng cáo khi người dùng đã thực hiện thao tác từ chối.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau:

a) Thu thập và sử dụng dữ liệu cá nhân nhạy cảm để phân phối quảng cáo

mà không có sự đồng ý của chủ thể dữ liệu cá nhân;

b) Kinh doanh dịch vụ quảng cáo dựa trên dữ liệu cá nhân của trẻ em dưới

16 tuổi khi chưa được sự đồng ý của người đại diện hợp pháp;

CÔNG BÁO/Số 498/Ngày 04-09-2026 81

c) Thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện

tử, cổng thông tin điện tử, ứng dụng để quảng cáo theo hành vi hoặc có mục

tiêu cụ thể hoặc cá nhân hóa quảng cáo khi không có sự đồng ý của chủ thể dữ

liệu cá nhân;

d) Không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối

chia sẻ dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc

cá nhân hóa quảng cáo;

đ) Cố ý lưu trữ, không xóa hoặc không hủy dữ liệu cá nhân khi dữ liệu đó

không còn cần thiết cho mục đích xử lý theo quy định của pháp luật.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ quảng

cáo liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với

hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi

vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập,

sử dụng trái phép để phân phối quảng cáo đối với hành vi vi phạm tại khoản 1

và khoản 2 Điều này;

b) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm quy định

tại khoản 1 và khoản 2 Điều này;

c) Buộc thiết lập và cung cấp cho người dùng cơ chế từ chối nhận quảng

cáo, rút lại sự đồng ý chia sẻ dữ liệu theo đúng quy định và cung cấp minh

chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm

b khoản 1 Điều này.

Điều 64. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hoạt động

tài chính, ngân hàng, hoạt động thông tin tín dụng

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi sau:

a) Không thông báo hoặc thông báo chậm quá thời hạn 72 giờ cho cơ quan

chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân kể từ thời điểm

phát hiện sự cố lộ, mất dữ liệu cá nhân nhạy cảm;

b) Nội dung thông báo sự cố vi phạm bảo vệ dữ liệu cá nhân không bảo

đảm đầy đủ các nội dung tối thiểu theo quy định của pháp luật;

c) Không tiến hành ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân

hoặc không thực hiện đánh giá tuân thủ định kỳ hàng năm theo quy định;

CÔNG BÁO/Số 498/Ngày 04-09-2026 82

d) Không thiết lập giải pháp khôi phục dữ liệu cá nhân khi xảy ra sự cố

mất dữ liệu cá nhân;

đ) Không áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân;

quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân

theo quy định;

e) Nội dung xin sự đồng ý của chủ thể dữ liệu cá nhân không bảo đảm nêu

rõ các thông tin theo quy định tại khoản 2, Điều 9 Luật Bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau:

a) Sử dụng dữ liệu cá nhân của chủ thể dữ liệu cá nhân để tiến hành các

hoạt động chấm điểm, xếp hạng tín dụng, đánh giá mức độ tín nhiệm về tín

dụng khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân trừ trường hợp xử lý

dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân;

b) Tổ chức thực hiện hoạt động thông tin tín dụng nhưng không triển khai

các biện pháp quản lý, kỹ thuật để phòng, chống truy cập, sử dụng, tiết lộ, chỉnh

sửa trái phép dữ liệu cá nhân của khách hàng;

c) Thu thập dữ liệu cá nhân không đúng phạm vi cần thiết phục vụ hoạt

động thông tin tín dụng hoặc thu thập từ nguồn không được pháp luật cho phép.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp các dịch vụ

thông tin tín dụng, chấm điểm, xếp hạng tín dụng, đánh giá mức độ tín nhiệm về

tín dụng từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1;

từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục kết quả chấm điểm, xếp

hạng tín dụng được tạo ra trái phép đối với hành vi vi phạm tại điểm a khoản 2

Điều này;

b) Buộc yêu cầu đối tác, bên liên kết hủy, xóa tới mức không thể khôi phục

dữ liệu cá nhân nhạy cảm đã được chia sẻ, chuyển giao trái phép đối với hành

vi vi phạm tại điểm b khoản 2 Điều này;

Điều 65. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền

tảng mạng xã hội, dịch vụ truyền thông trực tuyến

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với tổ chức cung

cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến, nền tảng nội dung số

có một trong các hành vi sau:

CÔNG BÁO/Số 498/Ngày 04-09-2026 83

a) Không thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể

dữ liệu cá nhân cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến;

b) Không cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia

sẻ tệp dữ liệu (gọi là cookies);

c) Không cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt

động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý

của người sử dụng;

d) Không công khai chính sách bảo mật một cách minh bạch hoặc không

giải thích rõ ràng, dễ hiểu về cách thức thu thập, sử dụng, lưu trữ và chia sẻ dữ

liệu cá nhân;

đ) Không cung cấp cho người dùng cơ chế để truy cập, chỉnh sửa, xóa dữ

liệu cá nhân; tự thiết lập các quyền riêng tư đối với tài khoản cá nhân của mình

và báo cáo vi phạm về bảo mật và quyền riêng tư;

e) Không thông báo rõ ràng về các nội dung dữ liệu cá nhân sẽ bị thu thập

khi chủ thể dữ liệu tiến hành cài đặt và sử dụng ứng dụng.

2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong

các hành vi sau:

a) Bắt buộc người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ

hoặc một phần giấy tờ tùy thân làm điều kiện bắt buộc để xác thực tài khoản sử

dụng thông thường trong các trường hợp pháp luật chuyên ngành không có yêu

cầu định danh;

b) Các ứng dụng OTT, mạng xã hội sử dụng các tính năng công nghệ

không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự

động trích xuất danh bạ, tệp tin phương tiện thiết bị khi không có sự đồng ý của

chủ thể dữ liệu cá nhân hoặc trường hợp pháp luật không có quy định khác;

c) Thu thập trái phép dữ liệu cá nhân vượt ra ngoài phạm vi đã thỏa thuận

với người dùng khi cài đặt dịch vụ.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ của

ứng dụng, nền tảng số tại Việt Nam từ 01 tháng đến 03 tháng đối với hành vi

vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm

quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập và cung cấp cho người dùng tính năng từ chối theo dõi

và từ chối chia sẻ cookies; cung cấp minh chứng thực hiện cho cơ quan có thẩm

quyền đối với hành vi vi phạm tại điểm b, c khoản 1 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 84

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân, giấy tờ tùy

thân, danh bạ, tệp tin đã bị thu thập, trích xuất trái phép đối với hành vi vi phạm

tại khoản 2 Điều này.

Điều 66. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong xử lý dữ

liệu lớn

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong

các hành vi sau đây:

a) Xử lý dữ liệu lớn có chứa dữ liệu cá nhân nhưng không xây dựng chính

sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp, đúng quy định của pháp luật;

b) Không có thỏa thuận bằng văn bản với bên thứ ba, đối tác và nhà

cung cấp dịch vụ nhằm bảo đảm tuân thủ đầy đủ các quy định về bảo vệ dữ

liệu cá nhân;

c) Không tổ chức đào tạo, phổ biến và nâng cao nhận thức định kỳ về bảo

mật dữ liệu cá nhân cho nhân sự, đặc biệt là nhân sự trực tiếp xử lý dữ liệu.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không có cơ chế thông báo hoặc không giải thích phù hợp cho chủ thể dữ

liệu cá nhân về việc dữ liệu của họ được đưa vào hệ thống phân tích dữ liệu lớn;

b) Không sử dụng phương thức xác thực mạnh (tối thiểu xác thực đa yếu

tố) hoặc không phân quyền truy cập để bảo đảm chỉ những người có quyền mới

được truy cập dữ liệu;

c) Không thực hiện giám sát liên tục hoặc không sử dụng các công cụ giám

sát để theo dõi hoạt động truy cập và phát hiện các hành vi bất thường;

d) Không thực hiện kiểm tra, đánh giá định kỳ về an ninh mạng và bảo

mật dữ liệu để phát hiện, ngăn chặn và khắc phục lỗ hổng bảo mật;

đ) Không thực hiện mã hóa, ẩn danh dữ liệu cá nhân trong quá trình chuyển

giao, cung cấp dữ liệu, trừ trường hợp pháp luật chuyên ngành có quy định khác.

3. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau đây:

a) Vận hành hệ thống dữ liệu lớn đưa ra các quyết định tự động gây ảnh

hưởng đến an ninh trật tự, quyền, lợi ích hợp pháp của tổ chức, cá nhân nhưng

không thiết lập cơ chế giám sát hoặc không cho phép yêu cầu sự đánh giá lại từ

con người;

CÔNG BÁO/Số 498/Ngày 04-09-2026 85

b) Sử dụng, phát triển các hệ thống dữ liệu lớn có xử lý dữ liệu cá nhân

nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự,

nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực

tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng phân tích dữ

liệu lớn có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với

hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai chính sách lưu trữ, xóa, hủy dữ

liệu cá nhân và biện pháp bảo vệ dữ liệu cá nhân trong tổ chức theo đúng quy

định pháp luật; buộc bổ sung, điều chỉnh thỏa thuận với bên thứ ba, đối tác và

nhà cung cấp dịch vụ bảo đảm tuân thủ quy định về bảo vệ dữ liệu cá nhân;

cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi

phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm

xác thực đa yếu tố, phân quyền truy cập, mã hóa và ẩn danh dữ liệu cá nhân

trong quá trình chuyển giao, cung cấp dữ liệu; buộc cung cấp đầy đủ thông tin

minh bạch cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được đưa vào hệ

thống phân tích dữ liệu lớn; cung cấp minh chứng thực hiện cho cơ quan có

thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi

phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa

tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép; buộc thực hiện

đầy đủ quyền của chủ thể dữ liệu cá nhân bao gồm quyền yêu cầu đánh giá lại

quyết định tự động;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

3 Điều này.

Điều 67. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hệ thống

trí tuệ nhân tạo, vũ trụ ảo

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với hành vi xử

lý dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo nhưng không thực

hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 86

a) Không thông báo hoặc không giải thích nguyên tắc hoạt động của thuật

toán tự động và ảnh hưởng của nó đối với quyền, lợi ích hợp pháp của chủ thể

dữ liệu cá nhân;

b) Không cung cấp công cụ, cơ chế để chủ thể dữ liệu cá nhân có quyền

từ chối tham gia quá trình xử lý dữ liệu tự động;

c) Không bảo đảm cho chủ thể dữ liệu cá nhân quyền chỉnh sửa, ẩn danh

hoặc xóa hồ sơ nhận dạng;

d) Không phân loại hệ thống trí tuệ nhân tạo theo các mức độ rủi ro để

thiết lập các biện pháp bảo vệ dữ liệu cá nhân phù hợp;

đ) Không áp dụng các biện pháp bảo vệ dữ liệu cá nhân khi sử dụng kết

quả suy luận của trí tuệ nhân tạo để xác định hoặc giúp xác định một con người

cụ thể;

e) Phát triển, triển khai hệ thống trí tuệ nhân tạo, vũ trụ ảo nhưng không

xây dựng hệ thống đáp ứng tiêu chuẩn an ninh mạng và bảo vệ dữ liệu toàn

diện, hoặc không thiết lập hệ thống giám sát và cảnh báo sớm nguy cơ an ninh

mạng;

g) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không

phân quyền truy cập để xử lý dữ liệu cá nhân trong hệ thống.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không thiết lập cơ chế kiểm soát, ngăn chặn việc lợi dụng trí tuệ nhân tạo,

vũ trụ ảo vào các hoạt động xâm phạm an ninh quốc gia, trật tự an toàn xã hội;

b) Phát triển, vận hành hệ thống trí tuệ nhân tạo, vũ trụ ảo đưa ra các quyết

định tự động gây ảnh hưởng đến an ninh trật tự, quyền, lợi ích hợp pháp của tổ

chức, cá nhân nhưng không thiết lập cơ chế giám sát hoặc không cho phép yêu

cầu sự đánh giá lại từ con người;

c) Sử dụng, phát triển hệ thống trí tuệ nhân tạo, vũ trụ ảo nhằm mục đích

gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản

của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính bao gồm được sử

dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3

Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng trí tuệ nhân

tạo, vũ trụ ảo có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng

đối với hành vi vi phạm quy định tại khoản 3 Điều này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 87

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và thực hiện đầy đủ cơ chế thông báo, giải

thích nguyên tắc hoạt động của thuật toán cho chủ thể dữ liệu cá nhân; buộc

cung cấp công cụ, cơ chế để chủ thể dữ liệu cá nhân thực hiện quyền từ chối xử

lý tự động, quyền chỉnh sửa, ẩn danh và xóa hồ sơ nhận dạng; buộc áp dụng

biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm phân loại rủi ro, xác

thực định danh, phân quyền truy cập và bảo vệ kết quả suy luận nhận dạng cá

nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành

vi vi phạm quy định tại khoản 2 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi

phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa

tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép; buộc thực hiện

đầy đủ quyền của chủ thể dữ liệu cá nhân bao gồm quyền yêu cầu đánh giá lại

quyết định tự động;

c) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

3 Điều này.

Điều 68. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong công nghệ

chuỗi khối

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với hành vi xử

lý dữ liệu cá nhân trong công nghệ chuỗi khối nhưng không thực hiện đánh giá

tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau đây:

a) Không áp dụng các thuật toán mã hóa, thuật toán băm, thuật toán ký số

bảo đảm an toàn khi xử lý dữ liệu cá nhân trên chuỗi khối;

b) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không

phân quyền truy cập để xử lý dữ liệu cá nhân.

3. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với hành vi sử

dụng công nghệ chuỗi khối để lưu trữ trực tiếp dữ liệu cá nhân (bản rõ) trên

mạng lưới chuỗi khối mà không thực hiện các quy trình khử nhận dạng hoặc

không sử dụng thuật toán băm dữ liệu.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực

tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

CÔNG BÁO/Số 498/Ngày 04-09-2026 88

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng chuỗi khối

có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành

vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm

áp dụng thuật toán mã hóa, băm, ký số bảo đảm an toàn; thiết lập phương thức

xác thực định danh và phân quyền truy cập theo đúng quy định; cung cấp minh

chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định

tại khoản 2 Điều này;

b) Buộc dừng hoạt động lưu trữ dữ liệu cá nhân dạng bản rõ trên mạng

lưới chuỗi khối cho đến khi vi phạm được khắc phục và được cơ quan có thẩm

quyền xác nhận;

c) Buộc áp dụng biện pháp kỹ thuật để loại bỏ dữ liệu cá nhân đã lưu trữ

nguyên bản trái phép trên chuỗi khối đến mức không thể nhận dạng cá nhân;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản

3 Điều này.

Điều 69. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong điện toán

đám mây

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau đây:

a) Cung cấp dịch vụ điện toán đám mây nhưng không cung cấp thông tin

về bộ phận, nhân sự bảo vệ dữ liệu cá nhân cho đối tác và các bên liên quan;

b) Tổ chức sử dụng dịch vụ điện toán đám mây không xác định rõ luồng

xử lý dữ liệu cá nhân, vai trò và trách nhiệm của các bên trong hợp đồng với

nhà cung cấp dịch vụ hoặc không có yêu cầu về biện pháp bảo mật kỹ thuật, tổ

chức trong hợp đồng;

c) Nhà cung cấp dịch vụ điện toán đám mây không đề nghị, ràng buộc nhà

thầu phụ thực hiện các quy định và nghĩa vụ bảo vệ dữ liệu cá nhân;

d) Không xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp;

đ) Tổ chức cung cấp dịch vụ điện toán đám mây không thực hiện đánh giá

tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 89

a) Cung cấp hoặc sử dụng dịch vụ điện toán đám mây nhưng không áp

dụng các biện pháp kỹ thuật và tổ chức để ngăn chặn dữ liệu cá nhân bị truy

cập trái phép;

b) Cung cấp hoặc sử dụng dịch vụ điện toán đám mây nhưng không thực

hiện mã hóa dữ liệu cá nhân của khách hàng ở trạng thái nghỉ (lưu trữ) và trong

quá trình truyền tải;

c) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không

phân quyền truy cập nghiêm ngặt để xử lý dữ liệu cá nhân trên điện toán đám mây;

d) Tổ chức sử dụng dịch vụ điện toán đám mây không thông báo cho các

bên liên quan khi có thay đổi hệ thống, hạ tầng có thể ảnh hưởng đến an toàn

dữ liệu cá nhân.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi sử

dụng, phát triển hệ thống điện toán đám mây nhằm mục đích gây tổn hại đến an

ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực

tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng điện toán

đám mây có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối

với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai chính sách lưu trữ, xóa, hủy dữ

liệu cá nhân theo đúng quy định pháp luật; buộc bổ sung, điều chỉnh hợp đồng

với nhà cung cấp dịch vụ điện toán đám mây và yêu cầu nhà thầu phụ thực hiện

đầy đủ các quy định, nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định pháp luật;

cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi

phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm

mã hóa dữ liệu cá nhân ở trạng thái nghỉ và trong quá trình truyền tải, xác thực

định danh, phân quyền truy cập nghiêm ngặt và các biện pháp ngăn chặn truy

cập trái phép; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối

với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi

phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa

tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép;

CÔNG BÁO/Số 498/Ngày 04-09-2026 90

d) Buộc nộp khoản thu có được từ hành vi vi phạm quy định tại khoản 3

Điều này.

Điều 70. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu

vị trí cá nhân, dữ liệu sinh trắc học

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong

các hành vi sau đây:

a) Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng

không thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân;

b) Không có biện pháp kỹ thuật ngăn chặn việc thu thập dữ liệu vị trí cá

nhân của các bên thứ ba không liên quan hoặc không cung cấp cho người sử

dụng các tùy chọn theo dõi vị trí cá nhân;

c) Thu thập, xử lý dữ liệu sinh trắc học nhưng không thiết lập các biện

pháp bảo mật vật lý đối với hệ thống, thiết bị lưu trữ và truyền tải dữ liệu sinh

trắc học;

d) Không thực hiện hạn chế quyền truy cập hoặc không có hệ thống theo

dõi phòng ngừa hành vi xâm phạm đối với dữ liệu vị trí cá nhân, dữ liệu sinh

trắc học;

đ) Không thực hiện thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá

nhân và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát

hiện ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu

sinh trắc học;

e) Thông báo cho chủ thể dữ liệu bị ảnh hưởng không bao gồm các nội

dung tối thiểu theo quy định pháp luật;

g) Không ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác

thanh tra, kiểm tra và xử lý; không bảo đảm lưu hồ sơ vi phạm trong thời gian

tối thiểu 05 năm kể từ ngày khắc phục xong sự cố;

h) Không thông báo công khai bằng phương tiện điện tử chính thức của tổ

chức qua Trang thông tin điện tử, ứng dụng; không gửi thông báo cho chủ thể

dữ liệu cá nhân liên quan khi điều kiện kỹ thuật cho phép trong trường hợp

không thể thông báo cho tất cả chủ thể dữ liệu cá nhân bị ảnh hưởng trong thời

hạn quy định vì lý do kỹ thuật hoặc khẩn cấp.

2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong

các hành vi sau đây:

CÔNG BÁO/Số 498/Ngày 04-09-2026 91

a) Lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần

số vô tuyến và các công nghệ khác mà không có sự đồng ý của chủ thể dữ liệu

cá nhân hoặc không có yêu cầu của cơ quan có thẩm quyền theo quy định của

pháp luật hoặc pháp luật không có quy định khác;

b) Khai thác, sử dụng dữ liệu sinh trắc học của chủ thể dữ liệu cá nhân

vượt quá mục đích ban đầu mà chưa có được sự đồng ý.

3. Hình thức xử phạt bổ sung:

a) Tịch thu các thiết bị phát sóng, thẻ RFID, thiết bị thu thập và máy chủ

lưu trữ sinh trắc học được sử dụng để thực hiện hành vi vi phạm quy định tại

khoản 2 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị

trí có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành

vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu vị trí cá nhân và dữ

liệu sinh trắc học đã bị thu thập, theo dõi trái phép đối với hành vi vi phạm tại

khoản 2 Điều này;

b) Buộc cung cấp cho người dùng tùy chọn bật/tắt thu thập dữ liệu vị trí

cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với

hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 71. Vi phạm quy định về bảo vệ dữ liệu cá nhân thu được từ hoạt

động ghi âm, ghi hình tại nơi công cộng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong

các hành vi sau:

a) Lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng,

khu vực cung cấp dịch vụ cho khách hàng mà không áp dụng các hình thức

thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ

nhận biết để chủ thể dữ liệu cá nhân hiểu được mình đang bị ghi âm, ghi hình;

CÔNG BÁO/Số 498/Ngày 04-09-2026 92

b) Không cung cấp thông tin liên hệ của Bên kiểm soát dữ liệu cá nhân,

Bên kiểm soát và xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân có yêu cầu

truy xuất hình ảnh của mình, trừ trường hợp pháp luật có quy định khác.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong

các hành vi sau:

a) Sử dụng dữ liệu cá nhân, hình ảnh, giọng nói thu được từ hệ thống

camera giám sát công cộng vào các mục đích thương mại, phân tích hành vi,

hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân mà không có sự đồng

ý hợp pháp của chủ thể dữ liệu cá nhân;

b) Trích xuất, chia sẻ, công khai trái phép dữ liệu ghi âm, ghi hình, trừ

trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành

chính đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu âm thanh, hình ảnh

thu thập trái quy định đối với hành vi vi phạm tại khoản 1 và khoản 2 Điều này;

b) Buộc thiết lập và công khai thông tin liên hệ của Bên kiểm soát dữ liệu

cá nhân để chủ thể dữ liệu cá nhân có thể yêu cầu truy xuất hình ảnh; cung cấp

minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại

điểm b khoản 1 Điều này.

Chương III

THẨM QUYỀN LẬP BIÊN BẢN VI PHẠM HÀNH CHÍNH

VÀ XỬ PHẠT VI PHẠM HÀNH CHÍNH

Điều 72. Thẩm quyền xử phạt vi phạm hành chính của Công an nhân dân

1. Chiến sĩ Công an nhân dân đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

CÔNG BÁO/Số 498/Ngày 04-09-2026 93

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Trưởng Công an cấp xã có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

3. Trưởng phòng nghiệp vụ thuộc Cục An ninh đối ngoại, Cục An ninh

nội địa, Cục An ninh chính trị nội bộ, Cục An ninh kinh tế, Cục An ninh mạng

và phòng, chống tội phạm sử dụng công nghệ cao, Cục Quản lý xuất nhập cảnh,

Văn phòng Cơ quan cảnh sát điều tra, Cục Cảnh sát điều tra tội phạm về trật tự

xã hội, Cục Cảnh sát Quản lý hành chính về trật tự an toàn xã hội, Cục Cảnh

sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu, Trung tâm dữ liệu quốc

gia; Trưởng phòng Công an cấp tỉnh gồm: Trưởng phòng An ninh đối ngoại,

Trưởng phòng An ninh nội địa, Trưởng phòng An ninh chính trị nội bộ, Trưởng

phòng An ninh kinh tế, Trưởng phòng An ninh mạng và phòng, chống tội phạm

sử dụng công nghệ cao, Chánh Văn phòng cơ quan cảnh sát điều tra, Trưởng

phòng Cảnh sát điều tra tội phạm về trật tự xã hội, Trưởng phòng Cảnh sát điều

tra tội phạm về tham nhũng, kinh tế, buôn lậu, Trưởng phòng Cảnh sát Quản lý

hành chính về trật tự an toàn xã hội, Trưởng phòng Cảnh sát Hình sự có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh vực

bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 94

4. Trưởng phòng Quản lý xuất nhập cảnh thuộc Công an cấp tỉnh có thẩm

quyền xử phạt theo quy định tại khoản 3 Điều này và có quyền quyết định áp

dụng hình thức xử phạt trục xuất.

5. Giám đốc Công an cấp tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu

cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng hình thức xử phạt trục xuất;

e) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

6. Cục trưởng Cục An ninh đối ngoại; Cục trưởng Cục An ninh nội địa;

Cục trưởng Cục An ninh chính trị nội bộ; Cục trưởng Cục An ninh kinh tế; Cục

trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao;

Chánh Văn phòng Cơ quan cảnh sát điều tra; Cục trưởng Cục Cảnh sát điều tra

tội phạm về trật tự xã hội; Cục trưởng Cục Cảnh sát điều tra tội phạm về tham

nhũng, kinh tế, buôn lậu; Cục trưởng Cục Cảnh sát Quản lý hành chính về trật

tự an toàn xã hội; Cục trưởng Cục Cảnh sát Hình sự; Giám đốc Trung tâm dữ

liệu quốc gia có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu

cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả tại Điều 5 Nghị định này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 95

7. Cục trưởng Cục Quản lý xuất nhập cảnh có thẩm quyền xử phạt theo quy

định tại khoản 6 Điều này và quyết định áp dụng hình thức xử phạt trục xuất.

Điều 73. Thẩm quyền xử phạt vi phạm hành chính của Chủ tịch Ủy

ban nhân dân các cấp

1. Chủ tịch Ủy ban nhân dân cấp xã có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị

định này.

2. Chủ tịch Ủy ban nhân dân cấp tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu

cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị

định này.

Điều 74. Thẩm quyền xử phạt hành chính của Thanh tra

1. Thanh tra viên các bộ: Bộ Quốc phòng, Bộ Công an có quyền:

a) Phạt cảnh cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 96

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Trưởng đoàn thanh tra cấp quân khu, Bộ Tư lệnh Thủ đô Hà Nội, Công

an tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

3. Chánh Thanh tra quốc phòng quân khu; Chánh Thanh tra quốc phòng

Bộ Tư lệnh Thủ đô Hà Nội, Chánh Thanh tra Công an cấp tỉnh được giao thực

hiện nhiệm vụ thanh tra, kiểm tra trong phạm vi quản lý nhà nước của bộ, cơ

quan ngang bộ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị

định này.

4. Chánh Thanh tra Bộ Quốc phòng, Bộ Công an, Ngân hàng Nhà nước

Việt Nam; Trưởng đoàn thanh tra do Chánh Thanh tra Bộ Quốc phòng, Bộ

Công an thành lập có quyền:

a) Phạt cảnh cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 97

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu

cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị

định này.

Điều 75. Thẩm quyền xử phạt hành chính của Bộ đội Biên phòng

1. Chiến sĩ Bộ đội Biên phòng đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 10.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 5% mức tiền phạt tối đa đối với lĩnh vực bảo

vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Trạm trưởng, Đội trưởng Bộ đội Biên phòng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại các điểm a và e

khoản 1 Điều 28 của Luật Xử lý vi phạm hành chính.

3. Đội trưởng Đội đặc nhiệm phòng chống ma túy và tội phạm thuộc Đoàn

đặc nhiệm phòng chống ma túy và tội phạm có quyền:

a) Phạt cảnh cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 98

b) Phạt tiền đến 30.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 15% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại các điểm a và e

khoản 1 Điều 28 của Luật Xử lý vi phạm hành chính.

4. Đồn trưởng Đồn biên phòng, Hải đội trưởng Hải đội biên phòng, Chỉ

huy trưởng Ban Chỉ huy Biên phòng Cửa khẩu cảng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 60.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 30% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

5. Đoàn trưởng Đoàn đặc nhiệm phòng chống ma túy và tội phạm thuộc Cục

Phòng chống ma túy và tội phạm thuộc Bộ Tư lệnh Bộ đội Biên phòng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định

này.

6. Chỉ huy trưởng Ban Chỉ huy Bộ đội Biên phòng; Hải đoàn trưởng Hải

đoàn biên phòng; Cục trưởng Cục Phòng chống ma túy và tội phạm thuộc Bộ

CÔNG BÁO/Số 498/Ngày 04-09-2026 99

Tư lệnh Bộ đội Biên phòng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tiền phạt tối đa đối với lĩnh vực bảo

vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 76. Thẩm quyền xử phạt hành chính của Cảnh sát biển

1. Cảnh sát viên Cảnh sát biển đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 10.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 5% mức tiền phạt tối đa đối với lĩnh vực bảo

vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Tổ trưởng Tổ nghiệp vụ Cảnh sát biển có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính

trên lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh vực bảo

vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

3. Đội trưởng Đội nghiệp vụ Cảnh sát biển, Trạm trưởng Trạm Cảnh sát

biển có quyền:

a) Phạt cảnh cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 100

b) Phạt tiền đến 40.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 20% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại các điểm a và e

khoản 1 Điều 28 của Luật Xử lý vi phạm hành chính.

4. Hải đội trưởng Hải đội Cảnh sát biển có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 60.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 30% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt

quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

5. Hải đoàn trưởng Hải đoàn Cảnh sát biển; Đoàn trưởng Đoàn trinh sát,

Đoàn trưởng Đoàn đặc nhiệm phòng chống tội phạm ma túy thuộc Cảnh sát

biển Việt Nam có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả tại Điều 5 Nghị định này.

6. Tư lệnh Vùng Cảnh sát biển, Cục trưởng Cục Nghiệp vụ và Pháp luật

thuộc Cảnh sát biển Việt Nam có quyền:

a) Phạt cảnh cáo;

CÔNG BÁO/Số 498/Ngày 04-09-2026 101

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

7. Tư lệnh Cảnh sát biển Việt Nam có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tiền phạt tối đa đối với lĩnh vực bảo

vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 77. Thẩm quyền của các cơ quan thực hiện nhiệm vụ quản lý

nhà nước theo chuyên ngành, lĩnh vực và một số chức danh khác

1. Giám đốc Sở Văn hóa, Thể thao và Du lịch; Giám đốc Sở Khoa học và

Công nghệ; Giám đốc Sở Công Thương; Trưởng đoàn kiểm tra do Cục trưởng

Cục Phát thanh, truyền hình và thông tin điện tử thành lập có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh

vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 102

2. Chánh Văn phòng Bộ Khoa học và Công nghệ; Trưởng đoàn kiểm tra

do Bộ trưởng Bộ Khoa học và Công nghệ; Chánh Văn phòng Bộ Văn hóa, Thể

thao và Du lịch; Chánh Văn phòng Bộ Công Thương; Cục trưởng Cục Viễn

thông; Cục trưởng Cục Thương mại điện tử và Kinh tế số; Cục trưởng Cục Báo

chí; Cục trưởng Cục Phát thanh, truyền hình và thông tin điện tử có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính

trong lĩnh vực an ninh mạng và đến mức tiền phạt tối đa đối với lĩnh vực bảo

vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có

thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 78. Phân định thẩm quyền xử phạt

1. Người có thẩm quyền xử phạt của Công an nhân dân có thẩm quyền xử

phạt vi phạm hành chính và áp dụng các biện pháp khắc phục hậu quả đối với

các hành vi vi phạm hành chính quy định tại Chương II Nghị định này theo

thẩm quyền quy định tại Điều 72, 74 Nghị định này và chức năng, nhiệm vụ,

quyền hạn được giao thuộc lĩnh vực, địa bàn mình quản lý.

2. Chủ tịch Ủy ban nhân dân các cấp có thẩm quyền xử phạt vi phạm hành

chính và áp dụng các biện pháp khắc phục hậu quả đối với các hành vi vi phạm

hành chính quy định tại Chương II Nghị định này theo thẩm quyền quy định tại

Điều 73 Nghị định này và chức năng, nhiệm vụ, quyền hạn được giao thuộc

lĩnh vực, địa bàn mình quản lý.

3. Thanh tra Quốc phòng, Thanh tra Ngân hàng Nhà nước Việt Nam; Bộ

Tư lệnh Bộ đội Biên phòng; Bộ Tư lệnh Cảnh sát biển có thẩm quyền xử phạt

vi phạm hành chính và áp dụng các biện pháp khắc phục hậu quả đối với các

hành vi vi phạm hành chính quy định tại Chương II Nghị định này trong phạm

vi nhiệm vụ, công vụ được giao theo thẩm quyền quy định tại Điều 74, 75, 76

Nghị định này và chức năng, nhiệm vụ, quyền hạn được giao thuộc lĩnh vực,

địa bàn mình quản lý.

4. Thủ trưởng cơ quan thực hiện nhiệm vụ quản lý nhà nước theo chuyên

CÔNG BÁO/Số 498/Ngày 04-09-2026 103

ngành, lĩnh vực có thẩm quyền xử phạt vi phạm hành chính và áp dụng các biện

pháp khắc phục hậu quả đối với các hành vi vi phạm hành chính quy định tại

Chương II Nghị định này theo thẩm quyền quy định tại Điều 77 Nghị định này và

chức năng, nhiệm vụ, quyền hạn được giao thuộc lĩnh vực, địa bàn mình quản lý.

Điều 79. Thẩm quyền lập biên bản vi phạm hành chính

1. Người có thẩm quyền xử phạt vi phạm hành chính được quy định tại

Điều 72, 73, 74, 75, 76, 77 Nghị định này.

2. Thanh tra viên khi thực hiện chức năng thanh tra về các lĩnh vực thuộc

phạm vi điều chỉnh của Nghị định này; công chức, viên chức, người thuộc lực

lượng Quân đội nhân dân, Công an nhân dân, cơ quan thực hiện nhiệm vụ quản

lý nhà nước tại Điều 77 Nghị định này đang thi hành công vụ, nhiệm vụ thuộc

lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có thẩm quyền lập biên bản vi

phạm hành chính đối với vi phạm hành chính theo chức năng, nhiệm vụ, quyền

hạn được giao.

Chương IV

ĐIỀU KHOẢN THI HÀNH

Điều 80. Hiệu lực thi hành

Nghị định này có hiệu lực thi hành kể từ ngày 19 tháng 8 năm 2026.

Điều 81. Điều khoản chuyển tiếp

1. Đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo

vệ dữ liệu cá nhân xảy ra trước ngày Nghị định này có hiệu lực thi hành mà sau

đó mới bị phát hiện hoặc đang được xem xét, giải quyết thì áp dụng quy định

của các nghị định của Chính phủ về xử phạt vi phạm hành chính có hiệu lực tại

thời điểm thực hiện hành vi vi phạm; trường hợp Nghị định này không quy định

trách nhiệm pháp lý hoặc quy định trách nhiệm pháp lý nhẹ hơn đối với hành

vi đó thì áp dụng quy định của Nghị định này.

2. Đối với hành vi vi phạm hành chính đã được lập biên bản vi phạm hành

chính trước ngày Nghị định này có hiệu lực thi hành mà chưa ban hành quyết

định xử phạt thì xử lý như sau:

a) Trường hợp còn thời hạn ra quyết định xử phạt thì việc xử phạt và áp

CÔNG BÁO/Số 498/Ngày 04-09-2026 104

dụng biện pháp khắc phục hậu quả thực hiện theo nguyên tắc quy định tại khoản

1 Điều này;

b) Trường hợp hết thời hiệu xử phạt vi phạm hành chính hoặc hết thời hạn

ra quyết định xử phạt theo quy định tại điểm c khoản 1 Điều 65 của Luật Xử lý

vi phạm hành chính, thì không ra quyết định xử phạt nhưng người có thẩm

quyền phải ra quyết định tịch thu tang vật, phương tiện vi phạm hành chính nếu

tang vật, phương tiện vi phạm hành chính thuộc loại cấm tàng trữ, cấm lưu hành

hoặc tang vật, phương tiện mà pháp luật có quy định hình thức xử phạt tịch thu

và áp dụng biện pháp khắc phục hậu quả được quy định đối với hành vi vi phạm

hành chính đó; việc áp dụng hình thức xử phạt tịch thu tang vật, phương tiện vi

phạm hành chính và áp dụng biện pháp khắc phục hậu quả thực hiện theo

nguyên tắc quy định tại khoản 1 Điều này.

3. Đối với quyết định xử phạt vi phạm hành chính đã được ban hành trước

ngày Nghị định này có hiệu lực thi hành mà chưa thi hành xong thì tiếp tục thi

hành theo quyết định đã ban hành.

4. Đối với quyết định xử phạt vi phạm hành chính đã được ban hành hoặc

đã được thi hành xong trước ngày Nghị định này có hiệu lực thi hành mà cá

nhân, tổ chức bị xử phạt còn khiếu nại thì áp dụng quy định của Luật Xử lý vi

phạm hành chính, các nghị định của Chính phủ về xử phạt vi phạm hành chính

và các văn bản quy phạm pháp luật có liên quan có hiệu lực tại thời điểm ban

hành quyết định xử phạt để giải quyết.

5. Việc xác định thẩm quyền xử phạt đối với vụ việc chuyển tiếp được

thực hiện như sau:

a) Vụ việc vi phạm hành chính đang được người có thẩm quyền thụ lý,

giải quyết trước ngày Nghị định này có hiệu lực thi hành mà người đó vẫn có

thẩm quyền xử phạt theo quy định của Nghị định này thì tiếp tục giải quyết;

trường hợp người đang thụ lý không còn thẩm quyền hoặc vụ việc vượt quá

thẩm quyền xử phạt theo quy định của Nghị định này thì chuyển hồ sơ vụ việc

đến người có thẩm quyền xử phạt theo quy định của Nghị định này để giải

quyết. Biên bản vi phạm hành chính, kết quả xác minh, tài liệu, chứng cứ đã

được lập, thu thập theo đúng quy định của pháp luật trước đó tiếp tục có giá trị

pháp lý;

b) Trường hợp cơ quan, chức danh có thẩm quyền xử phạt quy định tại

Nghị định này có sự thay đổi về tên gọi, chức năng, nhiệm vụ, quyền hạn do

sắp xếp tổ chức bộ máy thì cơ quan, chức danh tiếp nhận chức năng, nhiệm vụ,

quyền hạn tương ứng thực hiện thẩm quyền xử phạt theo quy định của Nghị

định này.

CÔNG BÁO/Số 498/Ngày 04-09-2026 105

Điều 82. Trách nhiệm thi hành

1. Bộ trưởng Bộ Công an có trách nhiệm theo dõi, hướng dẫn và tổ chức

thi hành Nghị định này.

2. Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân

dân tỉnh, thành phố trực thuộc trung ương và các tổ chức, cá nhân có liên quan

chịu trách nhiệm thi hành Nghị định này./.

TM. CHÍNH PHỦ

KT. THỦ TƯỚNG

PHÓ THỦ TƯỚNG

Phạm Gia Túc