Văn bản này nói gì?
Nghị định 363/2026/NĐ-CP ngày 19/9/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, thi hành Luật Dữ liệu, có hiệu lực từ 11/11/2026. Đối tượng gồm doanh nghiệp, hợp tác xã, hộ kinh doanh (áp mức phạt cá nhân); mức phạt tối đa với cá nhân 100 triệu đồng, tổ chức gấp 2 lần (trừ một số hành vi mà mức ghi trong Nghị định đã là mức phạt tổ chức, theo khoản 2 Điều 6). Vi phạm về bảo vệ dữ liệu cá nhân và an ninh mạng không thuộc Nghị định này.
Ai bị ảnh hưởng
doanh nghiệp, hộ kinh doanh có thu thập, lưu trữ dữ liệu (khách hàng, giao dịch), nhất là doanh nghiệp kinh doanh dịch vụ dữ liệu
Việc cần làm
trước 11/11/2026 rà soát việc thu thập dữ liệu có sự đồng ý (Điều 8); cơ quan, tổ chức thuộc khoản 2 Điều 2 còn phải có quy trình thu thập, lưu trữ dữ liệu (Điều 9, Điều 10), hộ kinh doanh không thuộc nhóm này.
Kế Toán Bảo Lộc phân tích
Doanh nghiệp nhỏ ngày nay đều nắm dữ liệu: danh sách khách hàng, lịch sử đơn hàng. Nghị định 363/2026/NĐ-CP quy định cụ thể việc xử phạt vi phạm hành chính trong lĩnh vực dữ liệu theo Luật Dữ liệu, có hiệu lực từ ngày 11/11/2026. Cần phân biệt: các vi phạm thuộc phạm vi nghị định về an ninh mạng và bảo vệ dữ liệu cá nhân không xử lý theo nghị định này (khoản 2 Điều 1).
Về đối tượng, Điều 2 nêu rõ doanh nghiệp, hợp tác xã là tổ chức bị xử phạt; hộ kinh doanh bị áp mức phạt tiền như cá nhân. Theo Điều 6, mức phạt ghi trong Chương II là mức cho cá nhân, tổ chức vi phạm cùng hành vi thì phạt gấp 2 lần. Ngoại lệ là điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16: ở các chỗ này con số ghi sẵn đã là mức cho tổ chức. Thời hiệu xử phạt là 01 năm (Điều 3).
Hai nhóm hành vi gần với doanh nghiệp nhỏ nhất nằm ở Điều 8 và Điều 10. Khoản 1 Điều 8 phạt việc thu thập, tạo lập dữ liệu không được sự đồng ý của chủ thể hoặc chủ sở hữu dữ liệu, và việc không ban hành quy trình thu thập, tạo lập dữ liệu. Khoản 1 Điều 10 phạt tổ chức không ban hành quy trình kỹ thuật về lưu trữ dữ liệu, hoặc lưu trữ không bảo đảm an toàn.
Ví dụ: một công ty bán hàng online mua lại danh sách số điện thoại từ bên ngoài để gọi chào hàng, dữ liệu lưu trên máy tính cá nhân của nhân viên, không ai quy định ai được xem, ai được chép.
Việc cần làm: liệt kê công ty đang thu dữ liệu gì, từ đâu, có sự đồng ý không; viết một quy trình thu thập và một quy trình lưu trữ đơn giản, phân quyền truy cập. Lưu ý Điều 9 và Điều 10 chỉ áp cho cơ quan, tổ chức tại khoản 2 Điều 2, không áp cho hộ kinh doanh. Nếu chưa chắc trường hợp của mình, hãy hỏi người tư vấn trước khi áp dụng.
