Từ 2026 mua bán dữ liệu cá nhân bị phạt gấp 10 lần doanh thu. Luật Bảo vệ dữ liệu cá nhân, có hiệu lực từ 1/1/2026, xử phạt vi phạm hành chính đến 3 tỷ, riêng hành vi mua bán trái phép sẽ bị truy thu gấp 10 lần doanh thu.

Ở tọa đàm bảo vệ dữ liệu cá nhân do Hiệp hội An ninh mạng Quốc gia tổ chức ngày 31/12.Thượng tá Nguyễn Đình Đỗ Thi, Phó trưởng phòng tham mưu - Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05 - Bộ Công an) chia sẻ.

Hơn 110 triệu dữ liệu cá nhân bị đánh cắp chưa đến nửa năm

Việc xử phạt mạnh tay với mức phạt gần như không tưởng xuất phát từ thực trạng "chợ đen" dữ liệu đang tràn lan trên các nền tảng mạng xã hội, diễn đàn CNTT. Theo báo cáo của A05, chỉ nửa năm đầu 2025, lực lượng chức năng xử lý 56 vụ mua bán trái phép dữ liệu. Quy mô lên tới hơn 110 triệu bản ghi dữ liệu bị thu thập và giao dịch.

Dữ liệu người dùng bị các nhóm tội phạm dùng để giả danh các tổ chức tìa chính, ngân hàng, doanh nghiệp viễn thông, các đơn vị hành chính nhà nước để thực hiện lừa đảo. Thượng tá Thi chia sẻ thông tin chỉ năm 2024 Việt Nam có hơn 659.000 vụ tấn công mạng, trong đó chiếm 1/5 các vụ tấn công với con số 10.000 vụ nhắm trực tiếp vào hệ thống của cơ quan Nhà nước và doanh nghiệp.

Tại sự kiện, Đại tá Nguyễn Hồng Quân, Phó cục trưởng A05, cho rằng Luật Bảo vệ dữ liệu cá nhân sẽ là bước ngoặt đối với thị trường mua bán dữ liệu hiện nay. "Quyền được bảo vệ dữ liệu cá nhân, trước đây được hiểu là một phần của quyền riêng tư, nay trở thành một quyền độc lập, được pháp luật ghi nhận và bảo hộ", đây là điều kiện để Việt Nam có một bộ luật chuyên xử lý nặng tay các đối tượng trục lợi dựa trên dữ liệu cá nhân người dùng.

Từ 2026 mua bán dữ liệu cá nhân bị phạt gấp 10 lần doanh thu


Mức phạt khá gắt gao

Nổi bật của Luật là khung hình phạt với mức xử phạt cực cao. Theo Thượng tá Nguyễn Đình Đỗ Thi, trường hợp vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu, mức phạt lên đến là 3 tỷ đồng. Trường hợp có hành vi kinh doanh, mua bán dữ liệu cá nhân trái phép, mức phạt tiền tối đa lên tới 10 lần khoản thu có được từ hành vi vi phạm.

"Đây là những điểm mới và là chế tài mạnh để các chủ thể có trách nhiệm hơn trong việc đảm bảo an toàn dữ liệu cho người dùng", ông Thi chia sẻ tại buổi tọa đàm.

Đại diện A05 khuyến cáo "Khi phát hiện hành vi vi phạm hoặc hệ thống bị tấn công, doanh nghiệp phải báo ngay cho cơ quan chức năng để xử lý, đồng thời phối hợp cung cấp thông tin phục vụ điều tra".

Ông Ngô Tuấn Anh, Phó trưởng ban An ninh dữ liệu và Bảo vệ dữ liệu cá nhân - Hiệp hội An ninh mạng Quốc gia, chia sẻ để luật được thực thi đúng cách cần 3 yếu tố: nhân lực, quy trình và công nghệ. Nếu người dùng không có hiểu biết về luật thì sẽ đối mặt với rủi do pháp luật và vi phạm khi trao đổi thông tin dữ liệu cá nhân . Do đó, việc đào tạo không chỉ dành cho đội ngũ kỹ thuật mà cần mở rộng tới lãnh đạo và bộ phận pháp lý. Bên cạnh đó, các tổ chức cần rà soát lại toàn bộ vòng đời dữ liệu để xây dựng quy trình chuẩn hóa.

Ông Tuấn Anh đề xuất. "Bảo vệ dữ liệu không thể dựa vào một giải pháp đơn lẻ mà cần hệ sinh thái công nghệ nhiều lớp, từ giám sát, phòng ngừa đến quản trị rủi ro. Việc phát triển các giải pháp Make in Viet Nam phù hợp với điều kiện trong nước sẽ giúp giảm chi phí tuân thủ cho doanh nghiệp".