Siết xử lý vi phạm trên không gian mạng

Vi phạm về an ninh mạng, dữ liệu cá nhân có thể bị phạt đến 3 tỷ đồng

Theo khoản 1 Điều 4 Nghị định số 330/2026/NĐ-CP, hai hình thức xử phạt chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân là cảnh cáo và phạt tiền.

Đối với lĩnh vực an ninh mạng, mức phạt tiền quy định tại Mục 1 đến Mục 5 Chương II là mức áp dụng đối với cá nhân. Tổ chức thực hiện cùng hành vi vi phạm bị phạt gấp đôi. Gồm các hành vi vi phạm quy định: về bảo vệ an ninh quốc gia, bảo đảm trật tự, an toàn xã hội trên không gian mạng; về phòng, chống tấn công mạng; về triển khai hoạt động bảo vệ an ninh mạng; về quản lý sản phẩm, dịch vụ an ninh mạng; về chống tin nhắn rác, thư điện tử rác, cuộc gọi rác.

Khoản 3 Điều 7 quy định mức phạt tiền tối đa trong lĩnh vực an ninh mạng là 100 triệu đồng đối với cá nhân và 200 triệu đồng đối với tổ chức.

Riêng lĩnh vực bảo vệ dữ liệu cá nhân, mức phạt có thể cao hơn. Theo điểm a khoản 4 Điều 7, hành vi mua, bán dữ liệu cá nhân có thể bị phạt tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm. Nếu hành vi mua, bán dữ liệu cá nhân không phát sinh khoản thu hoặc mức phạt tính theo khoản thu thấp hơn mức phạt tối đa đối với các hành vi vi phạm khác, mức phạt được xác định theo điểm c khoản 4 Điều 7.

Đối với tổ chức vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới, điểm b khoản 4 Điều 7 quy định mức phạt tối đa bằng 5% doanh thu của năm trước liền kề. Trường hợp tổ chức không có doanh thu của năm trước hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tối đa đối với các hành vi khác, mức phạt được xác định theo điểm c khoản 4 Điều này.

Theo đó, mức phạt tiền tối đa đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng. Mức phạt này áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi bị phạt tối đa bằng một nửa, tương đương 1,5 tỷ đồng.

Ngoài phạt tiền, khoản 2 Điều 4 quy định người vi phạm có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề từ 1 tháng đến 24 tháng.

Các giấy phép, chứng nhận có thể bị tước gồm giấy phép cung cấp dịch vụ mạng xã hội; giấy phép thiết lập trang thông tin điện tử tổng hợp; giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng; giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân và giấy phép, chứng chỉ hành nghề của ngành, nghề có vi phạm về xử lý dữ liệu cá nhân.

Cá nhân, tổ chức vi phạm còn có thể bị đình chỉ hoạt động từ 1 tháng đến 24 tháng; tịch thu tang vật, phương tiện được sử dụng để thực hiện hành vi vi phạm. Đối với người nước ngoài, hình thức trục xuất cũng có thể được áp dụng.

Phát hiện dấu hiệu tội phạm phải chuyển hồ sơ xử lý hình sự

Bên cạnh các hình thức xử phạt, Điều 5 Nghị định số 330/2026/NĐ-CP quy định cá nhân, tổ chức vi phạm có thể bị áp dụng một hoặc nhiều biện pháp khắc phục hậu quả.

Theo đó, người vi phạm có thể bị buộc khôi phục tình trạng ban đầu của hệ thống thông tin; thu hồi hoặc hoàn trả thông tin, dữ liệu, chương trình, phần mềm, mã độc, tài khoản số, chứng thư số, sản phẩm, thiết bị, dịch vụ, tài nguyên internet, tên miền, địa chỉ IP, ASN, số thuê bao và các phương tiện vi phạm.

Trường hợp hành vi gây mất an ninh mạng, làm lộ lọt dữ liệu, gây xung đột thông tin hoặc tạo nguy cơ thiệt hại cho cơ quan, tổ chức, cá nhân, người vi phạm phải thực hiện các biện pháp khắc phục. Tên miền được sử dụng để thực hiện hành vi vi phạm cũng có thể bị buộc thu hồi.

Nghị định còn yêu cầu loại bỏ yếu tố vi phạm trong hoạt động thiết kế, xây dựng, quản lý và vận hành hệ thống thông tin; xử lý dữ liệu cá nhân; quy trình kỹ thuật; cơ chế quản lý; hợp đồng dịch vụ; hoạt động kết nối, lưu trữ, truyền đưa và chia sẻ dữ liệu. Đối với thông tin sai sự thật hoặc gây nhầm lẫn, người vi phạm có thể bị buộc cải chính; thông báo, xin lỗi công khai hoặc cung cấp đầy đủ, minh bạch thông tin cho tổ chức, cá nhân bị ảnh hưởng.

Trong lĩnh vực dữ liệu cá nhân, khoản 7 Điều 5 yêu cầu người vi phạm thực hiện đầy đủ quyền của chủ thể dữ liệu; chỉnh sửa, cập nhật, bổ sung hoặc xóa dữ liệu cá nhân không chính xác hay được thu thập, xử lý, sử dụng, công khai, chuyển giao trái pháp luật.

Đáng chú ý, khoản 8 Điều 5 quy định người vi phạm phải hoàn trả hoặc nộp lại toàn bộ số lợi bất hợp pháp có được từ hành vi vi phạm. Nếu tang vật, phương tiện đã bị tiêu thụ, tẩu tán hoặc tiêu hủy trái quy định, người vi phạm phải nộp lại số tiền tương đương giá trị của tang vật, phương tiện đó.

Đặc biệt, khoản 4 Điều 4 Nghị định số 330/2026/NĐ-CP quy định, trong quá trình xem xét, xử lý vụ việc, nếu phát hiện hành vi có dấu hiệu tội phạm thì cơ quan có thẩm quyền phải chuyển hồ sơ để truy cứu trách nhiệm hình sự theo Điều 62 và Điều 63 Luật Xử lý vi phạm hành chính. Quy định này là cơ sở quan trọng để kịp thời phát hiện, ngăn chặn và xử lý nghiêm các hành vi có dấu hiệu tội phạm công nghệ cao, tránh tình trạng chỉ xử phạt hành chính đối với những vi phạm nguy hiểm trên không gian mạng.

(Bài viết có sự phối hợp cung cấp dữ liệu và thông tin pháp lý từ LuatVietnam.vn trong khuôn khổ chuyên mục Phòng, chống tội phạm công nghệ cao)