Quy định mới về dữ liệu cá nhân: Người dùng cần biết gì để tự bảo vệ mình?

Dữ liệu cá nhân không còn là “thông tin muốn dùng sao cũng được”

Nghị định 330/2026/NĐ-CP do Chính phủ ban hành ngày 19/8/2026 gồm 4 chương, 82 điều, quy định về các hành vi vi phạm hành chính, mức phạt, hình thức xử phạt bổ sung, biện pháp khắc phục hậu quả cũng như thẩm quyền xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Đối tượng áp dụng khá rộng, gồm cá nhân, tổ chức Việt Nam và nước ngoài có hành vi vi phạm trong phạm vi thuộc chủ quyền, quyền chủ quyền và quyền tài phán của Việt Nam.

Trong đó có doanh nghiệp, tổ chức xã hội, đơn vị cung cấp dịch vụ viễn thông, Internet, nội dung số, công nghệ thông tin, an ninh mạng, doanh nghiệp cung cấp dịch vụ xuyên biên giới, chủ quản và đơn vị vận hành hệ thống thông tin...

Đáng chú ý, hộ kinh doanh, hộ gia đình và cộng đồng dân cư nếu có hành vi vi phạm theo nghị định sẽ bị áp dụng mức phạt tiền như đối với cá nhân.

Với người tiêu dùng, điều đáng quan tâm nhất là những quy định liên quan trực tiếp đến việc thu thập và sử dụng thông tin như họ tên, số điện thoại, địa chỉ, thông tin tài khoản, dữ liệu định danh hay các dữ liệu cá nhân khác.

Thu thập thông tin phải đúng mục đích, không được “xin một đằng, dùng một nẻo”

Một trong những nguyên tắc quan trọng được Nghị định 330 quy định là dữ liệu cá nhân phải được xử lý đúng phạm vi, phù hợp với mục đích đã xác định và không vượt quá mức cần thiết.

Theo đó, hành vi xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích đã xác định, xin sự đồng ý, thỏa thuận hoặc vượt quá mức cần thiết có thể bị phạt từ 20 đến 40 triệu đồng.

Mức phạt tương tự cũng được áp dụng với hành vi không bảo đảm tính chính xác của dữ liệu hoặc không chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót; lưu trữ dữ liệu lâu hơn thời gian cần thiết, trừ trường hợp pháp luật có quy định khác.

Điều này có ý nghĩa thực tế với người dùng khi đăng ký tài khoản, mua hàng trực tuyến, sử dụng ứng dụng hay tham gia chương trình thành viên. Việc một doanh nghiệp cần số điện thoại để giao hàng chẳng hạn không đồng nghĩa với việc thông tin đó mặc nhiên có thể được sử dụng cho mọi mục đích khác.

Nếu dữ liệu bị xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ quá thời hạn, tổ chức vi phạm còn có thể bị buộc hủy, xóa dữ liệu đến mức không thể khôi phục và nộp lại khoản thu bất hợp pháp có được từ hành vi vi phạm.

Không được “mặc định” người dùng đồng ý

Một điểm người tiêu dùng đặc biệt nên lưu ý là quy định về sự đồng ý khi xử lý dữ liệu cá nhân.

Nghị định quy định mức phạt từ 30 đến 50 triệu đồng đối với nhiều hành vi như xử lý dữ liệu sau khi thu thập nhưng chưa có sự đồng ý hợp lệ; thiết lập phương thức mặc định đồng ý; tạo chỉ dẫn không rõ ràng hoặc gây hiểu lầm giữa “đồng ý” và “không đồng ý”.

Việc xin đồng ý cũng phải rõ ràng, cụ thể và có khả năng kiểm chứng về người đã đồng ý, thời điểm cũng như nội dung được đồng ý. Đặc biệt, người dùng phải được cung cấp thông tin minh bạch về loại dữ liệu được xử lý, mục đích xử lý, quyền và nghĩa vụ của mình.

Đáng chú ý, hình thức xin đồng ý phải bảo đảm người dùng có thể đồng ý với từng mục đích xử lý dữ liệu, thay vì buộc phải chấp nhận tất cả trong một lựa chọn duy nhất.

Doanh nghiệp cũng phải ghi nhận, lưu trữ nhật ký về sự đồng ý và có khả năng chứng minh việc đồng ý khi người có dữ liệu yêu cầu hoặc khi cơ quan có thẩm quyền kiểm tra.

Im lặng không có nghĩa là đồng ý

Một quy định rất đáng chú ý khác là hành vi tự coi sự im lặng hoặc không phản hồi của người dùng là đồng ý.

Theo Nghị định 330, hành vi thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý mà tổ chức, cá nhân tự ý coi đó là đồng ý có thể bị phạt từ 50 đến 70 triệu đồng.

Mức phạt tương tự áp dụng với hành vi cố ý tiếp tục xử lý dữ liệu sau khi người có dữ liệu đã yêu cầu ngừng hoặc hạn chế xử lý, hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản.

Với người tiêu dùng, đây là quy định đáng lưu tâm trong bối cảnh các biểu mẫu đăng ký trực tuyến ngày càng phổ biến. Nếu không muốn nhận quảng cáo, chia sẻ thông tin cho mục đích ngoài giao dịch ban đầu hoặc tiếp tục bị xử lý dữ liệu, người dùng có quyền thể hiện rõ lựa chọn của mình theo quy định.

Dữ liệu được thu thập, xử lý khi không có sự đồng ý hợp lệ trong các trường hợp thuộc diện phải có sự đồng ý còn có thể bị buộc hủy, xóa đến mức không thể khôi phục.

Có thể bị phạt đến 60 triệu đồng nếu sử dụng dữ liệu của người khác trái luật

Nghị định cũng quy định mức phạt từ 40 đến 60 triệu đồng đối với hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân hoặc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật.

Ngoài tiền phạt, một số trường hợp còn có thể bị tịch thu tang vật, phương tiện vi phạm. Người vi phạm cũng có thể phải công khai xin lỗi chủ thể dữ liệu trên phương tiện thông tin đại chúng hoặc chỉnh sửa, cập nhật dữ liệu cho chính xác theo yêu cầu.

Các quy định này cho thấy dữ liệu cá nhân ngày càng được xem là một tài sản thông tin cần được bảo vệ, thay vì đơn thuần là những thông tin doanh nghiệp có thể thu thập và sử dụng tùy ý.

Người tiêu dùng nên làm gì?

Nghị định mới không chỉ đặt thêm trách nhiệm lên doanh nghiệp mà cũng giúp người dùng có cơ sở rõ ràng hơn để bảo vệ thông tin của mình. Khi đăng ký một dịch vụ hoặc mua hàng trực tuyến, người tiêu dùng nên hình thành thói quen đọc nội dung liên quan đến việc xử lý dữ liệu cá nhân, đặc biệt là mục đích sử dụng và phạm vi thông tin được thu thập.

Nếu biểu mẫu có nhiều lựa chọn về mục đích xử lý dữ liệu, nên kiểm tra từng mục thay vì mặc nhiên chọn tất cả. Khi phát hiện thông tin cá nhân bị lưu trữ, sử dụng sai mục đích hoặc không chính xác, người dùng có thể thực hiện các quyền của chủ thể dữ liệu theo quy định pháp luật.

Đặc biệt, không nên cung cấp tùy tiện ảnh giấy tờ tùy thân, số tài khoản, mã xác thực, thông tin liên hệ hoặc các dữ liệu nhạy cảm cho những đơn vị không rõ nguồn gốc.

Nghị định số 330/2026/NĐ-CP có hiệu lực từ ngày 19/8/2026. Với người tiêu dùng, hiểu đúng các quy định mới không chỉ giúp nhận biết đâu là hành vi xử lý dữ liệu hợp pháp mà còn là cách chủ động hơn để bảo vệ thông tin cá nhân trong đời sống số.