Theo Nghị định 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ, các hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân được quy định từ Điều 39 đến Điều 71, với nhiều mức phạt khác nhau tùy tính chất, mức độ vi phạm. Dưới đây là một số hành vi và mức phạt doanh nghiệp cần đặc biệt lưu ý gồm:

1. Sử dụng dữ liệu cá nhân người khác thực hiện hành vi trái pháp luật bị phạt đến 60 triệu đồng

Theo khoản 2 Điều 39 Nghị định 330/2026/NĐ-CP, phạt tiền từ 40 - 60 triệu đồng đối với hành vi:

- Có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân;

- Sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái quy định của pháp luật.

Như vậy trường hợp tổ chức, doanh nghiệp sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái pháp luật có thể bị phạt đến 60 triệu đồng.

Ngoài tiền phạt, tùy hành vi, doanh nghiệp còn có thể bị buộc hủy, xóa dữ liệu cá nhân đến mức không thể khôi phục; nộp lại khoản thu bất hợp pháp hoặc thực hiện các biện pháp khắc phục hậu quả khác.

2. Doanh nghiệp lắp camera nơi làm việc không thông báo cho người lao động bị phạt đến 70 triệu đồng

Đây là điểm đáng chú ý được quy định tại Điều 61 Nghị định 330/2026/NĐ-CP. Cụ thể tại khoản 2 Điều 61 quy định:

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;

b) Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác;

c) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động;

d) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

Như vậy, doanh nghiệp lắp camera giám sát tại nơi làm việc để thu thập dữ liệu cá nhân mà không thông báo cho người lao động có thể bị phạt đến 70 triệu đồng.

Ngoài việc bị phạt tiền, theo điểm a khoản 4 Điều 61 Nghị định 330/2026/NĐ-CP, đối với hành vi tại điểm c khoản 2 Điều này, tổ chức, cá nhân vi phạm còn bị buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định.