Nghị định 330/2026/NĐ-CP: mức phạt vi phạm dữ liệu cá nhân

Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 nói tổ chức phải làm gì và việc gì bị cấm với dữ liệu của bạn. Nghị định 330 trả lời câu tiếp theo: làm sai thì có thể bị phạt bao nhiêu, ai phạt, bị buộc khắc phục gì.

Nghị định có hai phần lớn: an ninh mạng (Mục 1 đến 5 Chương II) và bảo vệ dữ liệu cá nhân (Mục 6). Trang này chọn các điều chạm tới sàn tài sản mã hóa và người dùng sàn: thu thập dữ liệu KYC (xác minh danh tính khách hàng), chuyển dữ liệu, lộ lọt, mua bán dữ liệu.

Thông tin văn bản

Mục	Nội dung
Số hiệu	330/2026/NĐ-CP
Cơ quan ban hành	Chính phủ, theo đề nghị của Bộ trưởng Bộ Công an
Ngày ký	19/8/2026
Hiệu lực	19/8/2026 (Điều 80)
Bố cục	4 chương, 82 điều; Chương II có 6 mục, Mục 6 là bảo vệ dữ liệu cá nhân
Căn cứ chính	Luật An ninh mạng 116/2025/QH15, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15, Luật Xử lý vi phạm hành chính
Bản đọc	Công báo số 498 ngày 04/9/2026

Cổng văn bản Chính phủ ghi cùng ngày ban hành và ngày có hiệu lực 19/8/2026. VietnamBit đối chiếu nguyên văn các điều được trích trên trang với bản Công báo; chúng tôi chưa dò văn bản sửa đổi Nghị định 330.

Cách đọc mức phạt: của tổ chức hay cá nhân

Phần bảo vệ dữ liệu in mức cho tổ chức, cá nhân có thể bị phạt một nửa; phần an ninh mạng làm ngược lại. Quy tắc nằm ở Điều 7 khoản 1, câu gốc ở khối căn cứ cuối trang.

Phần của Nghị định	Mức in là mức cho	Bên còn lại
Mục 1 đến 5, an ninh mạng (Điều 9 đến 38)	Cá nhân	Tổ chức bằng 2 lần
Mục 6, bảo vệ dữ liệu cá nhân (Điều 39 đến 71)	Tổ chức	Cá nhân bằng 1/2
Khoản ghi rõ “đối với cá nhân”, như Điều 42 khoản 2	Cá nhân	Không chia đôi

Ví dụ ở Điều 42 (khung 10–20 triệu đồng ở khoản 1, 20–30 triệu đồng ở khoản 2). Khoản 1 là mức cho tổ chức theo quy tắc chung của Mục 6 (Điều 7): cá nhân có thể bị phạt 5–10 triệu đồng.

Khoản 2 ghi riêng mức 20–30 triệu “đối với cá nhân”, nên không chia đôi. Theo cách đọc của chúng tôi, hai khoản dùng hai cách ghi khác nhau trong cùng một điều; văn bản không giải thích vì sao.

Trần phạt tiền phần bảo vệ dữ liệu có ba loại. Điều 7 khoản 4 nhắc lại trần của Luật 91:

• Mua, bán dữ liệu cá nhân: tối đa 10 lần khoản thu có được từ vi phạm.
• Tổ chức vi phạm quy định chuyển dữ liệu ra nước ngoài: tối đa 5% doanh thu năm trước liền kề.
• Vi phạm khác: tối đa 03 tỷ đồng.

Ba mức trên là trần cho tổ chức, cá nhân bằng một nửa. Với hai loại đầu, không có khoản thu, không có doanh thu hoặc mức tính ra thấp hơn 03 tỷ đồng thì áp trần 03 tỷ đồng.

Hình thức xử phạt chính là cảnh cáo hoặc phạt tiền. Kèm theo, bên vi phạm có thể bị tước quyền sử dụng giấy phép, chứng chỉ hành nghề hoặc đình chỉ hoạt động có thời hạn 01–24 tháng, tịch thu tang vật, phương tiện (Điều 4 khoản 1, 2). Hình thức bổ sung chỉ áp khi điều khoản của hành vi đó ghi, không tự động.

Thu thập dữ liệu khi mở tài khoản

Thu thập ngoài phạm vi, mục đích đã báo hoặc chưa có đồng ý có thể bị phạt từ 30 triệu đồng với tổ chức. Khung tăng khi dữ liệu là dữ liệu nhạy cảm hoặc thu bằng công cụ kỹ thuật.

Ảnh thẻ căn cước và dữ liệu sinh trắc học thuộc nhóm nhạy cảm theo Nghị định 356/2025; họ tên, số điện thoại là dữ liệu cơ bản. Bảng phân nhóm dữ liệu sàn thường thu ở trang Luật 91.

Hành vi	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Thu thập không đúng phạm vi, mục đích, hoặc không có đồng ý trước	30–50 triệu đồng	15–25 triệu đồng	Điều 48 khoản 1
Như trên, với dữ liệu nhạy cảm	50–80 triệu đồng	25–40 triệu đồng	Điều 48 khoản 4
Không báo người dùng biết dữ liệu nhạy cảm của họ đang được xử lý	30–50 triệu đồng	15–25 triệu đồng	Điều 43 khoản 1 điểm h
Coi im lặng là đồng ý để thu thập, xử lý	50–70 triệu đồng	25–35 triệu đồng	Điều 43 khoản 2 điểm b
Lưu dữ liệu quá thời gian cần cho mục đích, trừ khi pháp luật quy định khác	20–40 triệu đồng	10–20 triệu đồng	Điều 39 khoản 1 điểm c

Cột cá nhân do VietnamBit tính bằng một nửa cột tổ chức theo Điều 7 khoản 1, ví dụ 80/2 = 40, 70/2 = 35.

Thu thập trái phép bằng biện pháp công nghệ, kỹ thuật (Điều 48 khoản 3) có khung riêng cho tổ chức theo số người:

• Dữ liệu cơ bản của dưới 500 người, hoặc nhạy cảm của dưới 100 người: 100–200 triệu đồng.
• Cơ bản của 500 đến dưới 1.000 người, hoặc nhạy cảm của 100 đến dưới 200 người: 200–300 triệu đồng.
• Cơ bản của 1.000 đến dưới 5.000 người, hoặc nhạy cảm của 200 đến 1.000 người: 300–500 triệu đồng.
• Cơ bản từ 5.000 người, hoặc nhạy cảm từ 1.000 người trở lên: 500–800 triệu đồng.

Trường hợp này có thể kèm tịch thu phương tiện và buộc xóa toàn bộ dữ liệu đã thu trái phép tới mức không khôi phục được (Điều 48 khoản 5, 6).

Phần an ninh mạng còn có khung phạt cho bên quản lý tài khoản số dùng để giao dịch tài chính hoặc “tài sản khác có thể chuyển nhượng trên không gian mạng”. Không lưu thông tin thiết bị, địa chỉ IP, thời gian đăng nhập tối thiểu 90 ngày, hoặc không tạm dừng giao dịch khi phát hiện lộ lọt, cá nhân có thể bị phạt 20–30 triệu đồng, tổ chức 40–60 triệu đồng (Điều 34 khoản 1 điểm c, d).

Nghị định không gọi tên sàn tài sản mã hóa ở Điều 34; việc tài khoản sàn thuộc nhóm này là cách đọc của VietnamBit.

Khi bạn đòi xem, sửa, xóa dữ liệu

Bên giữ dữ liệu không trả lời hoặc không làm đúng hạn có thể bị phạt 10–40 triệu đồng với tổ chức, tùy hành vi. Thời hạn trả lời từng loại yêu cầu ở trang Luật 91.

Hành vi	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Không phản hồi yêu cầu quá 02 ngày làm việc	10–20 triệu đồng	5–10 triệu đồng	Điều 44 khoản 1 điểm d
Không xóa dữ liệu trong 20 ngày (30 ngày nếu phải nhờ bên khác)	30–40 triệu đồng	15–20 triệu đồng	Điều 44 khoản 3 điểm c
Từ chối cho bạn xem, sửa dữ liệu của mình, trừ khi luật quy định khác	20–30 triệu đồng	10–15 triệu đồng	Điều 46 khoản 1 điểm a
Từ chối cung cấp dữ liệu cho chính bạn khi có yêu cầu hợp lệ	10–20 triệu đồng	5–10 triệu đồng	Điều 49 khoản 1
Không xóa được nhưng không báo lý do	10–30 triệu đồng	5–15 triệu đồng	Điều 51 khoản 1 điểm a

Hai dòng của Điều 44 chỉ áp cho bên kiểm soát dữ liệu (bên quyết định mục đích, cách xử lý) và bên kiểm soát và xử lý dữ liệu, thường là doanh nghiệp như sàn.

Theo cách đọc của VietnamBit, hồ sơ mà luật chuyên ngành buộc sàn lưu thuộc trường hợp xử lý không cần đồng ý “theo quy định của pháp luật” (Luật 91 Điều 19 khoản 1 điểm đ). Vì vậy bạn yêu cầu xóa thì sàn có thể giữ lại phần hồ sơ đó tới hết thời hạn luật buộc lưu, và phải báo lý do (Điều 51 khoản 1 điểm a).

Bên giữ dữ liệu không bị phạt vì từ chối sửa nếu có căn cứ hợp lý chứng minh yêu cầu sửa nhằm gian lận, làm sai lệch thông tin để trốn nghĩa vụ pháp lý, hoặc việc sửa xâm phạm quyền của người khác (Điều 46 khoản 3).

Cung cấp, chuyển giao và mua bán dữ liệu

Đưa dữ liệu của bạn cho bên khác khi chưa có đồng ý có thể bị phạt từ 20 triệu đồng với tổ chức; bán dữ liệu bị tính theo khoản thu. Ngoại lệ là trường hợp pháp luật có quy định khác.

Hành vi	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Cung cấp dữ liệu cho bên khác khi chưa có đồng ý	20–30 triệu đồng	10–15 triệu đồng	Điều 49 khoản 2
Như trên, với dữ liệu nhạy cảm	40–60 triệu đồng, theo cách đọc của VietnamBit	20–30 triệu đồng	Điều 49 khoản 3
Chuyển giao dữ liệu nhạy cảm không mã hóa, không bảo mật	50–80 triệu đồng	25–40 triệu đồng	Điều 52 khoản 3
Mua, bán trái phép dữ liệu cá nhân	2–10 lần khoản thu	1–5 lần khoản thu, theo cách đọc của VietnamBit	Điều 53 khoản 1

Điều 49 khoản 3 viết “02 lần mức phạt tiền quy định tại khoản 2 và khoản 3 Điều này”, tức tự nhắc tới chính khoản 3. Chúng tôi đọc là gấp đôi khung 20–30 triệu đồng của khoản 2.

Dòng 1–5 lần khoản thu cũng là cách đọc của VietnamBit: Điều 7 khoản 1 cho cá nhân bằng một nửa mức tổ chức, và Điều 7 khoản 4 điểm d đặt trần cho cá nhân bằng một nửa trần 10 lần của tổ chức. Nghị định không ghi riêng cách chia đôi một khung tính theo lần.

Không có khoản thu thì khung cho tổ chức tính theo số người bị mua bán dữ liệu. Điều 53 khoản 3:

Số người bị mua bán dữ liệu	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt
Cơ bản dưới 1.000, hoặc nhạy cảm dưới 200	70–100 triệu đồng	35–50 triệu đồng
Cơ bản 1.000 đến dưới 2.000, hoặc nhạy cảm 200 đến dưới 400	100–300 triệu đồng	50–150 triệu đồng
Cơ bản 2.000 đến dưới 10.000, hoặc nhạy cảm 400 đến 2.000	300–500 triệu đồng	150–250 triệu đồng
Cơ bản từ 10.000, hoặc nhạy cảm từ 2.000 trở lên	500 triệu–1 tỷ đồng	250–500 triệu đồng
Xâm phạm quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của người có dữ liệu, quyền lợi hợp pháp của tổ chức, cá nhân	1–3 tỷ đồng	500 triệu–1,5 tỷ đồng

Nếu danh sách đó kèm ảnh thẻ căn cước (dữ liệu nhạy cảm), 1.500 người rơi vào nhóm nhạy cảm 400 đến 2.000 người. Khung tổ chức là 300–500 triệu đồng, cá nhân có thể bị phạt 150–250 triệu đồng.

Bên mua, bán còn có thể bị tịch thu tang vật, buộc xóa dữ liệu trên mọi hệ thống lưu trữ, nộp lại khoản thu và thông báo cho toàn bộ người bị ảnh hưởng (Điều 53 khoản 4, 5).

Với dữ liệu tài khoản tài sản mã hóa, Nghị định 284/2026/NĐ-CP có điều riêng: thu thập, mua bán, công khai trái phép dữ liệu, thông tin tài khoản tài sản mã hóa có thể bị phạt 150–200 triệu đồng với tổ chức, 75–100 triệu đồng với cá nhân. Khi nào áp nghị định nào, xem mục quy tắc trùng ở dưới.

Khi dữ liệu bị lộ

Để lộ dữ liệu vì thiếu biện pháp bảo vệ, rồi báo chậm hoặc báo sai, mỗi hành vi có thể bị phạt riêng. Với vi phạm có thể gây tổn hại tới an ninh, trật tự hoặc xâm phạm tính mạng, tài sản của bạn, mốc báo cơ quan chuyên trách là 72 giờ từ khi phát hiện.

Luật Xử lý vi phạm hành chính ghi người thực hiện nhiều hành vi vi phạm thì “bị xử phạt về từng hành vi vi phạm” (Điều 3 khoản 1 điểm d).

Hành vi	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Không có biện pháp bảo vệ phù hợp, làm lộ, mất dữ liệu đã thu	20–30 triệu đồng	10–15 triệu đồng	Điều 47 khoản 2 điểm a
Báo cáo sự cố nhưng cố ý che giấu, khai sai quy mô, số người bị ảnh hưởng	10–20 triệu đồng	5–10 triệu đồng	Điều 54 khoản 1 điểm c
Không báo cơ quan chuyên trách khi phát hiện vi phạm	20–40 triệu đồng	10–20 triệu đồng	Điều 54 khoản 2 điểm a
Báo chậm hơn 72 giờ về vi phạm gây hoặc có thể gây tổn hại tới quốc phòng, an ninh, trật tự, hoặc xâm phạm tính mạng, danh dự, tài sản của bạn	40–60 triệu đồng	20–30 triệu đồng	Điều 54 khoản 3
Không ngăn chặn, không khắc phục hậu quả; không phối hợp với cơ quan chuyên trách	60–80 triệu đồng	30–40 triệu đồng	Điều 54 khoản 4

Cơ quan chuyên trách bảo vệ dữ liệu cá nhân là đơn vị thuộc Bộ Công an. Điều 55 gọi tên đơn vị nhận hồ sơ đánh giá tác động là Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao.

Điều 64 có khung riêng cho “hoạt động tài chính, ngân hàng, hoạt động thông tin tín dụng”. Không báo, hoặc báo chậm quá 72 giờ, cho cơ quan chuyên trách và người có dữ liệu từ khi phát hiện lộ, mất dữ liệu nhạy cảm, tổ chức có thể bị phạt 50–70 triệu đồng, cá nhân 25–35 triệu đồng (khoản 1 điểm a).

Nghị định chỉ dùng cụm “hoạt động tài chính” ở tên Điều 64, không định nghĩa và không gọi tên sàn tài sản mã hóa. Sàn có thuộc Điều 64 hay không là câu hỏi văn bản chưa trả lời; việc áp khung nào do người có thẩm quyền xử phạt quyết định.

Theo cách đọc của VietnamBit, nếu sàn không thuộc Điều 64 thì các khung chung ở bảng trên áp.

Chuyển dữ liệu ra nước ngoài

Lưu dữ liệu của khách trên máy chủ, đám mây ở nước ngoài mà thiếu hồ sơ có thể bị phạt từ 30 triệu đồng với tổ chức. Khi việc đó dẫn tới lộ dữ liệu, tổ chức có thể bị phạt theo phần trăm doanh thu.

Hành vi	Tổ chức có thể bị phạt	Căn cứ (Nghị định 330)
Không lập hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài, hoặc không nộp trong 60 ngày từ lần chuyển đầu	30–50 triệu đồng	Điều 56 khoản 1 điểm a, b
Không có hợp đồng ràng buộc bên nhận, không xin đồng ý hoặc không báo bạn về việc chuyển, không bảo mật khi chuyển	50–100 triệu đồng	Điều 56 khoản 2 điểm a đến c
Không lập hồ sơ, khai sai dòng dữ liệu dẫn tới lộ dữ liệu của 10.000 đến dưới 100.000 công dân Việt Nam	1–2% doanh thu năm trước tại Việt Nam	Điều 56 khoản 3 điểm a
Như trên, 100.000 đến dưới 1.000.000 người	2–3% doanh thu	Điều 56 khoản 3 điểm b
Như trên, từ 1.000.000 người trở lên	3–5% doanh thu	Điều 56 khoản 3 điểm c

Cá nhân vi phạm khoản 1, 2 có thể bị phạt bằng một nửa cột tổ chức. Khoản 3 viết riêng “đối với tổ chức”, nên bảng không tính cột cá nhân cho ba dòng phần trăm.

Tổ chức không có doanh thu tại Việt Nam năm trước, hoặc mức tính theo phần trăm thấp hơn 03 tỷ đồng, thì khoản 4 áp khung tiền: 200–500 triệu đồng, 500 triệu–1 tỷ đồng, 1–3 tỷ đồng theo ba nhóm số người như trên.

Vi phạm khoản 3 còn có thể bị đình chỉ hoạt động chuyển dữ liệu ra nước ngoài 06–12 tháng (Điều 56 khoản 5 điểm b).

Dữ liệu trên chuỗi khối

Tổ chức ghi dữ liệu cá nhân dạng bản rõ lên chuỗi khối mà không khử nhận dạng hoặc không băm có thể bị phạt 70–150 triệu đồng. Đây là điều riêng cho công nghệ chuỗi khối (blockchain, sổ cái chung khó sửa).

“Bản rõ” là dữ liệu đọc được ngay, chưa mã hóa. Khử nhận dạng là xóa hoặc đổi thông tin tới mức không còn xác định được người. Hàm băm biến dữ liệu thành chuỗi ký tự cố định, không suy ngược lại được.

Hành vi	Tổ chức có thể bị phạt	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Xử lý dữ liệu cá nhân trên chuỗi khối nhưng không đánh giá tuân thủ mỗi năm một lần	20–50 triệu đồng	10–25 triệu đồng	Điều 68 khoản 1
Không dùng thuật toán mã hóa, băm, ký số an toàn; không phân quyền truy cập	50–70 triệu đồng	25–35 triệu đồng	Điều 68 khoản 2
Lưu trực tiếp dữ liệu cá nhân bản rõ lên chuỗi khối mà không khử nhận dạng hoặc không dùng thuật toán băm	70–150 triệu đồng	35–75 triệu đồng	Điều 68 khoản 3

Hành vi ở dòng cuối còn có thể bị đình chỉ vận hành hệ thống, nền tảng chuỗi khối liên quan 03–06 tháng và buộc loại bỏ dữ liệu đã ghi tới mức không nhận dạng được người (Điều 68 khoản 4, 5).

Người dùng sàn cũng có thể bị phạt

Cho mượn căn cước, khai dữ liệu giả hay dùng giấy tờ người khác để xác minh tài khoản đều có khung phạt riêng. Các khung dưới đây áp cho chính người dùng, không chỉ sàn.

Hành vi	Cá nhân có thể bị phạt	Căn cứ (Nghị định 330)
Cố ý cho người khác dùng dữ liệu cá nhân của mình để làm việc trái luật	5–10 triệu đồng	Điều 42 khoản 1 điểm b
Cố ý cung cấp dữ liệu cá nhân giả, sai sự thật nhằm lừa đảo, gây nhầm lẫn	5–10 triệu đồng	Điều 42 khoản 1 điểm c
Cố ý khai thiếu, khai sai dữ liệu của mình mà luật hoặc hợp đồng bắt buộc, gây rủi ro nhận diện pháp lý hoặc thiệt hại tài chính cho bên kiểm soát và xử lý dữ liệu	5–10 triệu đồng	Điều 42 khoản 1 điểm đ
Truy cập, thu thập, tiết lộ trái phép dữ liệu của người khác gây thiệt hại cho họ	20–30 triệu đồng	Điều 42 khoản 2 điểm a
Dùng dữ liệu cá nhân của người khác để làm việc trái luật	20–30 triệu đồng	Điều 39 khoản 2 điểm b
Dùng giấy tờ tùy thân của người khác, giấy tờ giả, ảnh cắt ghép hoặc deepfake để xác thực tài khoản số	30–50 triệu đồng	Điều 34 khoản 2
Bán, cho thuê, cho mượn, tặng cho thông tin tài khoản số có chức năng giao dịch tài chính của mình	5–10 triệu đồng	Điều 14 khoản 1

Ba dòng đầu là một nửa khung tổ chức 10–20 triệu đồng. Dòng truy cập trái phép là mức in sẵn cho cá nhân, không chia đôi. Dòng dùng dữ liệu của người khác là một nửa khung tổ chức 40–60 triệu đồng.

Hai dòng cuối thuộc phần an ninh mạng, nơi mức in đã là mức cho cá nhân. Deepfake là video, ảnh, giọng nói giả tạo bằng trí tuệ nhân tạo.

Điều 14 khoản 1 kể tên tài khoản ngân hàng, ví điện tử, tài khoản chứng khoán, “tài khoản giao dịch” và “tài khoản số khác có chức năng giao dịch tài chính”, không gọi tên tài khoản sàn tài sản mã hóa. Việc tài khoản sàn thuộc nhóm này là cách đọc của VietnamBit.

Với hành vi này, tang vật, phương tiện và tiền trong tài khoản số còn có thể bị tịch thu (Điều 14 khoản 7).

Mua bán tài khoản sàn đã định danh còn có điều riêng ở Nghị định 284, phân tích ở trang mua bán tài khoản sàn đã KYC có bị phạt không.

Điều khoản gọi tên sàn tiền ảo chưa phép

Phần an ninh mạng có một khung cho việc vận hành sàn giao dịch “tiền ảo, tài sản ảo” khi chưa được cấp phép. Đây là chỗ duy nhất Nghị định 330 dùng các chữ này.

Hành vi bị phạt là cung cấp, thiết lập, vận hành hệ thống thông tin, trang thông tin điện tử, ứng dụng, sàn giao dịch cho vay ngang hàng (người vay, người cho vay gặp nhau qua nền tảng), tiền ảo, tài sản ảo và các dạng tương tự khi chưa được cấp phép, chấp thuận (Điều 14 khoản 4 điểm a).

Cá nhân có thể bị phạt 30–50 triệu đồng. Tổ chức có thể bị phạt gấp đôi, 60–100 triệu đồng, theo quy tắc của phần an ninh mạng.

Điều 14 chỉ áp cho hành vi chưa đến mức truy cứu trách nhiệm hình sự. Nghị định 330 không dùng chữ “tài sản mã hóa”, thuật ngữ của Nghị quyết 05/2025/NQ-CP.

Cung cấp dịch vụ liên quan đến tài sản mã hóa khi chưa có giấy phép cũng có khung ở Nghị định 284: tổ chức có thể bị phạt 180–200 triệu đồng, cá nhân 90–100 triệu đồng (Điều 7 khoản 4 điểm a). Tính đến 31/10/2026, chưa sàn nào được cấp phép.

Một hành vi nằm ở hai nghị định thì áp nghị định nào

Vi phạm trên lĩnh vực an ninh mạng, bảo vệ dữ liệu cá nhân thì áp Nghị định 330; vi phạm nghĩa vụ của ngành khác thì áp nghị định ngành đó. Câu gốc ở Điều 1 khoản 3:

“Trường hợp hành vi đồng thời được quy định tại Nghị định này và nghị định xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước khác thì áp dụng Nghị định này nếu hành vi vi phạm trên lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; trường hợp dấu hiệu cấu thành hành vi vi phạm nghĩa vụ, trách nhiệm, điều cấm khác thuộc phạm vi quản lý nhà nước chuyên ngành khác thì áp dụng nghị định của lĩnh vực đó.”

Cùng khoản, câu trước giao cơ quan có thẩm quyền “phải xác định đúng bản chất hành vi và căn cứ pháp lý”. Với sàn tài sản mã hóa, hai cặp điều khoản dễ chồng nhau:

• Mua bán dữ liệu tài khoản: Nghị định 330 Điều 53 (theo khoản thu hoặc số người) và Nghị định 284 Điều 11 (150–200 triệu đồng với tổ chức).
• Vận hành sàn chưa phép: Nghị định 330 Điều 14 khoản 4 điểm a và Nghị định 284 Điều 7 khoản 4 điểm a.

Trang này không kết luận vụ việc cụ thể thuộc vế nào; việc đó do người có thẩm quyền xử phạt quyết định. Hành vi liên quan mà Nghị định 330 không quy định thì áp nghị định xử phạt của lĩnh vực đó (Điều 1 khoản 2).

Ai xử phạt và trong bao lâu

Công an nhân dân, Chủ tịch Ủy ban nhân dân (UBND), một số cơ quan thanh tra và lực lượng khác có quyền phạt; thời hiệu xử phạt là 01 năm. Thời hiệu là khoảng thời gian cơ quan còn được ra quyết định phạt.

Trong Công an, chiến sĩ đang thi hành công vụ được phạt tới 10% mức tiền phạt tối đa của lĩnh vực bảo vệ dữ liệu, Trưởng Công an cấp xã tới 50%, các trưởng phòng nghiệp vụ được nêu tên tới 80% (Điều 72 khoản 1 đến 3).

Chủ tịch UBND các cấp, Thanh tra Ngân hàng Nhà nước, Thanh tra Quốc phòng, Bộ đội Biên phòng, Cảnh sát biển và thủ trưởng cơ quan quản lý chuyên ngành cũng xử phạt trong phạm vi được giao (Điều 78 khoản 2 đến 4).

Thời hiệu tính từ ngày bên vi phạm làm xong nghĩa vụ, hoặc ngày hành vi thực tế kết thúc được cơ quan có thẩm quyền xác nhận (Điều 3).

Nhận quyết định phạt thì nộp, khiếu nại ra sao được hướng dẫn ở trang nhận quyết định xử phạt: nộp phạt, khiếu nại thế nào.

Áp dụng từ ngày nào

Văn bản	Nội dung	Hiệu lực
Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15	Hành vi bị cấm, trần phạt	01/01/2026
Nghị định 330/2026/NĐ-CP	Mức phạt từng hành vi, thẩm quyền	19/8/2026
Nghị định 284/2026/NĐ-CP	Phạt vi phạm về tài sản mã hóa	01/9/2026

Hành vi xảy ra trước 19/8/2026 mà sau đó mới bị phát hiện thì áp nghị định xử phạt có hiệu lực lúc vi phạm. Nếu Nghị định 330 nhẹ hơn hoặc không quy định trách nhiệm thì áp Nghị định 330 (Điều 81 khoản 1).