Ngày 19/9/2026 Chính phủ ban hành Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính lĩnh vực dữ liệu, theo đó từ ngày 11/11/2026, thu thập dữ liệu làm lộ thông tin nhạy cảm bị phạt đến 120 triệu đồng.

Cụ thể tại điểm đ khoản 2 Điều 8 Nghị định 363 2026 NĐ CP quy định:

Điều 8. Vi phạm quy định về thu thập, tạo lập dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật;

b) Không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu;

c) Không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập dữ liệu.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

…

đ) Hành vi vi phạm tại khoản 1 Điều này làm rò rỉ thông tin nhạy cảm, làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

Theo đó, trường hợp cá nhân có hành vi thu tập, tạo lập dữ liệu không được phép của chủ thể mà làm lộ thông tin nhạy cảm ảnh hưởng đến quyền, lợi ích của hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia bị phạt đến 60 triệu đồng.

Đáng chú ý, mức phạt trên chỉ áp dụng đối với cá nhân vi phạm. Trường hợp tổ chức có cùng hành vi vi phạm thì mức phạt đối với tổ chức bằng 02 mức phạt đối với cá nhân.

Như vậy, từ những quy định trên mức phạt đối với hành vi thu thập dữ liệu làm lộ thông tin nhạy cảm như sau:

- Cá nhân: Phạt tiền từ 40 - 60 triệu đồng;

- Tổ chức: Phạt tiền từ 80 - 120 triệu đồng.

Bên cạnh phạt tiền, cá nhân, tổ chức vi phạm còn đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 06 - 09 tháng đối với hành vi vi phạm.