Ngày 16 tháng 3 năm 2026, Bộ Công an (BCA) đã công bố dự thảo nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (Dự Thảo Nghị Định) để lấy ý kiến công khai. Đây là bước đi đầu tiên nhằm áp dụng các chế tài cụ thể cho LBVDLCN 2025, luật đã có hiệu lực từ ngày 1 tháng 1 năm 2026 nhưng giao chi tiết thi hành cho Chính Phủ. Dự thảo bao quát nhiều lĩnh vực như an ninh mạng, dữ liệu cá nhân, AI, viễn thông và chữ ký số. Bài viết này tập trung vào các quy định về dữ liệu cá nhân (từ Điều 57 đến Điều 69 của Dự Thảo Nghị Định), đề cập những quan ngại tiềm ẩn đối với các doanh nghiệp.

Dự Thảo Nghị Định quy định mức phạt tiền đối với cá nhân; mức phạt tiền được áp dụng với tổ chức bằng hai lần (Điều 6.1 Dự Thảo Nghị Định). Trừ khi có quy định khác, các mức tiền phạt trong bài viết này đều áp dụng đối với tổ chức.

1. Sự bất tương thích DPIA/TIA - Mức phạt thủ tục được tỷ lệ hóa theo quy mô vi phạm

Điều 67 và 68 của Dự Thảo Nghị Định xử phạt các vi phạm liên quan đến đánh giá tác động xử lý dữ liệu (DPIA) và đánh giá tác động chuyển dữ liệu xuyên biên giới (TIA) - cả hai đều là các nghĩa vụ nộp hồ sơ mang tính thủ tục. Cả hai sau đó tỷ lệ hóa mức phạt theo số lượng công dân Việt Nam có dữ liệu bị rò rỉ hoặc mất. Điều 68 làm rõ mối liên kết với nghĩa vụ nộp hồ sơ một cách rõ ràng: Điều 68.2 đến 68.3 áp dụng đối với "hành vi quy định tại khoản 1 Điều này dẫn đến" rò rỉ hoặc chuyển giao ở ngưỡng tương ứng, do đó bên chuyển giao đã tuân thủ sẽ không bị ảnh hưởng. Điều 67 bỏ qua liên kết đó. Theo mặt chữ, Điều 67.2 đến 67.4 áp đặt mức phạt tiền đối với hành vi rò rỉ hoặc mất dữ liệu như một vi phạm độc lập.

Chúng tôi không nghĩ đó là những gì đã được dự định. Điều 67 có tiêu đề "Vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân"; mức phạt trong mỗi Điều từ 67.2 đến 67.4 được thể hiện dưới dạng bội số của mức phạt theo Điều 67.1; và các hình phạt bổ sung cùng biện pháp khắc phục hậu quả tại Điều 67.5 và 67.6 được gắn duy nhất với hành vi theo Điều 67.1. Theo cách đọc độc lập, một vụ rò rỉ ảnh hưởng đến năm triệu công dân sẽ không bị tước giấy phép, không bị buộc xóa và không bị thu hồi lợi nhuận, trong khi việc trễ hạn nộp hồ sơ lại chịu cả ba biện pháp này. Cách hiểu đó cũng sẽ chồng chéo với Điều 57.2(h), điều khoản vốn đã xử phạt việc cố ý tiết lộ hoặc làm mất dữ liệu cá nhân, khiến hai quy định cùng phạt một hành vi. Theo cách hiểu đúng mục đích, Điều 67.2 đến 67.4 phải được hiểu là các hình thức tăng nặng của hành vi vi phạm tại theo Điều 67.1.

Cụm từ "hành vi quy định tại khoản 1 Điều này" xuất hiện khoảng mười lần ở các điều khoản khác trong Dự Thảo Nghị Định, điều này khiến sự vắng mặt của cụm từ ở Điều 67 trở nên đáng chú ý. Không rõ liệu cách đọc độc lập có phải là điều nhà soạn thảo thể hiện ở Điều 67 hay không. Nếu bản dự thảo cuối cùng vẫn được giữ nguyên như hiện tại, bên kiểm soát dữ liệu đã tuân thủ đầy đủ các nghĩa vụ DPIA sẽ phải tranh luận về cách giải thích trái ngược với các từ ngữ rõ ràng của quy định bị buộc tội - và phải thực hiện việc đó trước cơ quan thi hành án vốn làm việc dựa trên văn bản pháp luật.

2. Xử phạt chủ thể dữ liệu - Biến nạn nhân thành người vi phạm

Điều 58.1(a) của Dự Thảo Nghị Định đề xuất phạt tiền từ 50 triệu đồng đến 70 triệu đồng đối với các cá nhân "không tự bảo vệ dữ liệu cá nhân của mình". Bản thân nghĩa vụ này không mới: Điều 4.2(a) LBVDLCN 2025 đã quy định chủ thể dữ liệu có nghĩa vụ tự bảo vệ dữ liệu cá nhân của mình, và Điều 58.1 của Dự Thảo Nghị Định lặp lại từng điểm bốn nghĩa vụ của chủ thể dữ liệu tại Điều 4.2. Điểm mới chính là chế tài xử phạt - LBVDLCN tạo ra nghĩa vụ nhưng không gắn hình phạt với quy định, còn Dự thảo Nghị định hiện quy định mức phạt lên tới 70 triệu đồng. Tuy nhiên, quy định này chuyển các chủ thể dữ liệu từ nạn nhân của việc mất cắp dữ liệu thành người vi phạm bị xử phạt cho chính những tổn thất của mình. Mặc dù quy định có thể nhằm mục đích nâng cao nhận thức của công chúng về an toàn dữ liệu, nhưng nó lại quá khắc nghiệt và không thực tế đối với các nhóm dễ bị tổn thương, chẳng hạn như người cao tuổi, những người là mục tiêu thường xuyên của các vụ lừa đảo và thường thiếu kiến thức kỹ thuật. Quan trọng nhất, cả Luật BVDLCN 2025 lẫn Dự Thảo Nghị Định đều không cung cấp một tiêu chuẩn pháp lý rõ ràng cho việc "không tự bảo vệ" thực sự có nghĩa là gì, để lại phạm vi lớn cho việc thực thi. Đáng chú ý, điều này cũng không thống nhất với khung pháp lý quốc tế như GDPR vì các quy định đó tập trung vào việc bảo vệ chủ thể dữ liệu và không áp đặt các hình phạt hành chính đối với các cá nhân vì không tự bảo vệ bản thân.

3. Hình phạt nặng cho các vi phạm nhỏ hoặc mang tính thủ tục

Nhiều vi phạm trong Dự Thảo Nghị Định là nhỏ hoặc thuần túy mang tính thủ tục, nhưng mức phạt tiền áp dụng cho các doanh nghiệp lại rất nghiêm khắc. Chẳng hạn,

- bỏ lỡ thời hạn xử lý yêu cầu của chủ thể dữ liệu có thể dẫn đến mức phạt lên tới 200 triệu đồng (Điều 58.2(b));

- thông báo vi phạm trễ hoặc không đầy đủ chịu mức phạt hành chính lên tới 100 triệu đồng (Điều 66); hoặc

- không lưu giữ hồ sơ dẫn đến mức phạt lên tới 140 triệu đồng (đối với hồ sơ DPIA) đến 200 triệu đồng (đối với hồ sơ TIA) (Điều 67 và 68).

Bên cạnh các khoản phạt tiền, một số điều khoản cho phép áp dụng các hình phạt bổ sung cho các vi phạm này, bao gồm đình chỉ giấy phép kinh doanh từ một đến ba tháng và đình chỉ tất cả các hoạt động xử lý dữ liệu cá nhân từ một đến ba tháng. Đối với một doanh nghiệp hoạt động dựa trên dữ liệu, những hậu quả đó về mặt hiệu lực có thể tương đương với việc ngừng hoạt động. Điều này có thể không nhất quán với nguyên tắc chung là các hình phạt hành chính phải tương xứng với mức độ nghiêm trọng của vi phạm.

4. Dự Thảo Nghị Định bỏ qua các trường hợp miễn trừ của chính LBVDLCN

LBVDLCN 2025 không áp dụng các nghĩa vụ về DPIA, cập nhật hồ sơ và nhân sự bảo vệ dữ liệu cho tất cả mọi người. Hộ kinh doanh và doanh nghiệp siêu nhỏ hoàn toàn nằm ngoài các nghĩa vụ đó (Điều 38.3). Các doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp có thể lựa chọn không tuân thủ cho đến ngày 1 tháng 1 năm 2031 (Điều 38.2). Cả hai trường hợp loại trừ đều bị bãi bỏ nếu doanh nghiệp cung cấp dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu cá nhân nhạy cảm, hoặc xử lý dữ liệu của một số lượng lớn chủ thể dữ liệu. Tách biệt với đó, các cơ quan nhà nước có thẩm quyền không cần phải thực hiện DPIA (Điều 21.6), và một số danh mục chuyển giao xuyên biên giới nằm ngoài chế độ TIA, bao gồm các việc chuyển giao bởi cơ quan nhà nước và việc một tổ chức lưu trữ dữ liệu của chính nhân viên mình trên các dịch vụ điện toán đám mây (Điều 20.6).

Điều 67, 68 và 69 của Dự Thảo Nghị Định được soạn thảo mà không có các trường hợp loại trừ như vậy. Theo mặt chữ của Dự Thảo Nghị Định, một doanh nghiệp siêu nhỏ được miễn trừ vĩnh viễn khỏi nghĩa vụ DPIA, hoặc một doanh nghiệp khởi nghiệp đã hợp pháp lựa chọn rút khỏi nghĩa vụ đó, vẫn có nguy cơ bị phạt tiền từ 100 triệu đồng đến 140 triệu đồng theo Điều 67.1 vì không làm điều mà đạo luật đã miễn cho họ.

Chúng tôi kỳ vọng điều này sẽ được giải quyết, vì một nghị định không nên áp đặt án phạt cho việc không thực hiện một nghĩa vụ mà luật gốc không áp đặt.

5. Những nghĩa vụ mà các doanh nghiệp không ở vị thế có thể tuân thủ

Điều 57 của Dự Thảo Nghị Định chuyển trực tiếp các tuyên bố về nguyên tắc của LBVDLCN thành các hành vi chịu phạt tiền. Điều 57.1(g) của Dự Thảo Nghị Định xử phạt một bên mà việc bảo vệ dữ liệu "không gắn liền với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế - xã hội, bảo đảm quốc phòng, an ninh và đối ngoại" - ngôn ngữ được lấy từ các nguyên tắc tại Điều 3 của LBVDLCN. Điều 57.1(e) xử phạt việc không "chủ động phòng ngừa, phát hiện, ngăn chặn, đấu tranh và xử lý kịp thời, nghiêm minh" mọi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Các nguyên tắc thuộc loại này nên được đọc để định hướng việc giải thích luật và hành vi của Nhà nước. Các quy định không có khả năng chứng minh một cách khách quan, và một doanh nghiệp không thể tự kiểm toán chính mình dựa trên các tiêu chí đó. Cũng không rõ liệu các điểm (e) và (g) có thực sự hướng tới các doanh nghiệp hay không. Nếu đọc theo đúng nghĩa, chúng áp dụng cho bất kỳ tổ chức nào xử lý dữ liệu cá nhân, nhưng cả hai đều không mô tả điều mà một doanh nghiệp tư nhân có thể thực hiện. Chẳng hạn, (i) việc chủ động phát hiện và xử lý nghiêm minh mọi vi phạm pháp luật về bảo vệ dữ liệu cá nhân là một chức năng của Nhà nước, không phải của bên kiểm soát dữ liệu, và (ii) việc điều chỉnh các phương án bảo vệ dữ liệu của một bên phù hợp với các mục tiêu quốc phòng và đối ngoại không phải là một tiêu chuẩn tuân thủ mà một công ty có thể được đo lường một cách có ý nghĩa. Nếu các quy định này nhằm áp dụng cho các cơ quan chuyên trách của Nhà nước, điều đó cần được nêu rõ.

6. Một số điểm không nhất quán với LBVDLCN 2025

Dự thảo Nghị định có một số điểm không nhất quán với LBVDLCN 2025, đặc biệt là:

Chỉ định DPO: LBVDLCN 2025 yêu cầu mọi cơ quan và tổ chức phải chỉ định bộ phận hoặc nhân sự bảo vệ dữ liệu có năng lực, hoặc thuê ngoài vai trò đó cho một đơn vị cung cấp dịch vụ bảo vệ dữ liệu cá nhân (Điều 33.2 của LBVDLCN 2025). Nghĩa vụ đó không được định hình theo danh mục dữ liệu - nghĩa vụ áp dụng bất kể dữ liệu là cơ bản hay nhạy cảm. Tuy nhiên, Dự Thảo Nghị Định chỉ xử phạt hành vi không chỉ định đối với dữ liệu cá nhân nhạy cảm (Điều 69.2 của Dự Thảo Nghị Định), và không cho phép tùy chọn thuê ngoài mà LBVDLCN 2025 cho phép một cách rõ ràng;
Thông báo vi phạm: Trong khi LBVDLCN 2025 chỉ yêu cầu thông báo về một vi phạm "có thể gây hại cho quốc phòng, an ninh quốc gia, trật tự an toàn xã hội, hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm hoặc tài sản của chủ thể dữ liệu," trong thời hạn 72 giờ (Điều 23 của LBVDLCN 2025), Dự Thảo Nghị Định xử phạt tất cả các vi phạm và đặt ra thời hạn ngắn hơn là hai ngày làm việc (Điều 66 của Dự thảo Nghị định).

Vietnam Business Law