Ngày 11/11/2026, Nghị định 363/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu (“Nghị định 363”) chính thức có hiệu lực. Với doanh nghiệp, vấn đề đáng lưu ý không chỉ là mức phạt mới, mà là nhiều hoạt động xử lý dữ liệu vốn đang diễn ra hàng ngày: từ thu thập, lưu trữ, phân quyền truy cập đến thuê nhà cung cấp và chuyển dữ liệu ra nước ngoài nay được đặt dưới một cơ chế chế tài cụ thể hơn.
Theo Luật Dữ liệu 2024, “dữ liệu” được hiểu là dữ liệu về sự vật, hiện tượng, sự kiện, được thể hiện dưới dạng kỹ thuật số, bao gồm một hoặc kết hợp các dạng âm thanh, hình ảnh, chữ số, chữ viết và ký hiệu. Phạm vi dữ liệu thuộc khuôn khổ pháp luật này có thể bao gồm dữ liệu về hoạt động kinh doanh, giao dịch, tài chính, sản xuất, kỹ thuật, khách hàng, nhân sự hoặc các dữ liệu khác mà doanh nghiệp tạo lập, quản lý và xử lý dưới dạng số.
Một trong những điểm đáng lưu ý của Nghị định 363 là hành vi vi phạm bị xử phạt được quy định tại nhiều giai đoạn khác nhau trong quá trình xử lý dữ liệu
Với phạm vi điều chỉnh đối với dữ liệu số nói chung, Nghị định 363 yêu cầu doanh nghiệp nhìn nhận tuân thủ dữ liệu rộng hơn hoạt động bảo vệ dữ liệu cá nhân. Dữ liệu cá nhân dưới dạng kỹ thuật số có thể đồng thời thuộc khái niệm dữ liệu theo Luật Dữ liệu, nhưng Nghị định 363 không điều chỉnh các hành vi vi phạm hành chính đã thuộc phạm vi của Nghị định 330/2026/NĐ-CP về an ninh mạng và bảo vệ dữ liệu cá nhân ("Nghị định 330"). Vì vậy, đối với hoạt động có liên quan đến dữ liệu cá nhân dưới dạng số, doanh nghiệp cần xác định cụ thể nghĩa vụ và hành vi vi phạm để xác định cơ chế xử phạt tương ứng, thay vì chỉ dựa vào loại dữ liệu để lựa chọn Nghị định 330 hay Nghị định 363.
Đáng lưu ý, Điều 35 Nghị định 363 quy định hành vi bắt đầu trước ngày 11/11/2026 nhưng vẫn đang tiếp diễn khi Nghị định có hiệu lực sẽ được xử lý theo Nghị định 363. Vì vậy, thời gian trước ngày 11/11/2026 không chỉ là giai đoạn chuẩn bị cho nghĩa vụ mới mà còn là thời điểm doanh nghiệp cần nhận diện và xử lý các hành vi có nguy cơ tiếp diễn. Trên cơ sở đó, bài viết này tập trung vào các nhóm rủi ro cần ưu tiên rà soát.
1. Quản trị dữ liệu trong suốt vòng đời dữ liệu
Một trong những điểm đáng lưu ý của Nghị định 363 là hành vi vi phạm bị xử phạt được quy định tại nhiều giai đoạn khác nhau trong quá trình xử lý dữ liệu, từ thu thập, tạo lập, lưu trữ đến truy cập, kết nối, chia sẻ và phân tích dữ liệu. Theo đó, rủi ro xử phạt trong lĩnh vực dữ liệu không chỉ phát sinh từ việc sử dụng hoặc chia sẻ dữ liệu không phù hợp mà còn có thể xuất phát từ những thiếu sót trong cơ chế quản trị và kiểm soát nội bộ của doanh nghiệp.
Cụ thể, các hành vi như không ban hành quy trình thu thập, tạo lập dữ liệu, không thực hiện việc đánh giá theo yêu cầu hoặc xử lý dữ liệu vượt quá phạm vi, mục đích được phép có thể bị phạt từ 20 - 40 triệu đồng đối với cá nhân; mức phạt đối với tổ chức bằng hai lần mức phạt đối với cá nhân theo Điều 6 Nghị định 363. Bên cạnh nghĩa vụ ở giai đoạn thu thập và tạo lập, Nghị định còn đặt ra yêu cầu về phân loại, lưu trữ, quản lý dữ liệu, phân quyền truy cập, kiểm soát kết nối, chia sẻ và duy trì nhật ký xử lý. Doanh nghiệp vì thế không nên chỉ kiểm tra liệu đã có chính sách và quy trình hay chưa, mà còn phải làm rõ: doanh nghiệp đang có những dữ liệu nào; ai được quyền truy cập, xử lý; và có thể chứng minh lịch sử xử lý dữ liệu khi cơ quan có thẩm quyền yêu cầu hay không.
2. Chuyển, xử lý dữ liệu xuyên biên giới
Nghị định 363 cho thấy việc hoàn thành hồ sơ đánh giá tác động không đồng nghĩa doanh nghiệp đã hoàn tất toàn bộ nghĩa vụ tuân thủ liên quan đến hoạt động chuyển, xử lý dữ liệu xuyên biên giới. Rủi ro không chỉ nằm ở việc thiếu hồ sơ mà còn ở khoảng cách giữa hồ sơ đã lập và luồng dữ liệu đang vận hành trên thực tế. Doanh nghiệp phải bảo đảm hoạt động chuyển, xử lý dữ liệu không vượt quá phạm vi, loại dữ liệu, khối lượng, tần suất, thời hạn và các nội dung đã được khai báo, đánh giá hoặc chấp thuận. Khi phát sinh thay đổi thuộc diện phải cập nhật, hồ sơ đánh giá tác động cũng phải được sửa đổi, bổ sung tương ứng.
Ngoài ra, doanh nghiệp phải bảo đảm việc lưu trữ hồ sơ, thiết lập văn bản giao kết phù hợp giữa bên chuyển và bên nhận dữ liệu, đồng thời áp dụng biện pháp kỹ thuật và quản lý để bảo đảm an toàn dữ liệu trong quá trình chuyển, xử lý xuyên biên giới. Việc không tuân thủ các yêu cầu này, đặc biệt đối với dữ liệu cốt lõi và dữ liệu quan trọng, không chỉ làm phát sinh rủi ro xử phạt mà trong một số trường hợp còn có thể dẫn đến đình chỉ hoạt động chuyển, xử lý dữ liệu xuyên biên giới từ 03 đến 12 tháng.
3. Quản trị rủi ro dữ liệu cần được thiết lập trên cơ sở có thể kiểm chứng
Nghị định 363 quy định chế tài đối với những thiếu sót ngay trong cơ chế xác định, quản lý rủi ro dữ liệu và giám sát hoạt động xử lý dữ liệu, trong đó một số hành vi có thể bị xử phạt ngay từ việc không thiết lập hoặc không thực hiện các biện pháp quản lý theo yêu cầu pháp luật.
Theo đó, doanh nghiệp có thể bị xử phạt các hành vi như không thiết lập cơ chế xác định, đánh giá và cảnh báo sớm rủi ro trong xử lý dữ liệu hoặc không xây dựng kế hoạch ứng phó sự cố. Đối với dữ liệu cốt lõi và dữ liệu quan trọng, Nghị định 363 còn đặt ra các yêu cầu cụ thể liên quan đến thời hạn lưu giữ nhật ký hoạt động xử lý ít nhất 06 tháng, đánh giá rủi ro định kỳ và diễn tập kế hoạch dự phòng định kỳ. Bên cạnh đó, doanh nghiệp còn phải bảo đảm khả năng truy vết, tính minh bạch của hoạt động xử lý dữ liệu và cung cấp thông tin, nhật ký hệ thống hoặc báo cáo giám sát khi cơ quan có thẩm quyền yêu cầu.
Các yêu cầu về nhật ký, báo cáo giám sát, hồ sơ đánh giá rủi ro và thông tin liên quan đến sự cố cho thấy quản trị rủi ro không thể dừng ở chính sách và quy trình nội bộ. Doanh nghiệp còn phải triển khai theo cách có thể kiểm tra, truy vết và chứng minh trên thực tế. Nói cách khác, có quy trình trên giấy chưa đồng nghĩa với có tuân thủ. Việc không cung cấp nhật ký, báo cáo giám sát theo yêu cầu hoặc che giấu, làm sai lệch dữ liệu giám sát và nhật ký hệ thống cũng thuộc các hành vi bị xử phạt theo Nghị định 363.
Nguồn: Báo Điện tử Chính phủ
4. Ủy thác xử lý dữ liệu: giao dữ liệu không đồng nghĩa giao trách nhiệm
Việc thuê nhà cung cấp dịch vụ hoặc bên thứ ba xử lý dữ liệu không làm loại trừ trách nhiệm kiểm soát của bên ủy thác. Nghị định 363 vì vậy đặt ra yêu cầu đối với cả quan hệ ủy thác và quá trình xử lý dữ liệu được thuê ngoài. Hoạt động này phải được xác lập trên cơ sở hợp đồng hoặc thỏa thuận phù hợp, trong đó quy định đầy đủ phạm vi, thời hạn xử lý, nghĩa vụ bảo mật và trách nhiệm của các bên. Việc ủy thác cho tổ chức, cá nhân khác xử lý dữ liệu mà không có hợp đồng hoặc thỏa thuận ủy thác có thể bị phạt từ 80 - 120 triệu đồng đối với tổ chức. Đối với dữ liệu cốt lõi và dữ liệu quan trọng, bên ủy thác còn phải xác minh năng lực bảo đảm an toàn dữ liệu của bên được ủy thác trước khi giao xử lý.
Trách nhiệm kiểm soát của bên ủy thác tiếp tục được đặt ra trong suốt quá trình bên được ủy thác xử lý dữ liệu. Tùy hành vi cụ thể, việc không áp dụng biện pháp bảo đảm an toàn dữ liệu hoặc không thực hiện biện pháp nhằm ngăn ngừa lạm dụng, rò rỉ, sử dụng dữ liệu sai mục đích có thể dẫn đến mức phạt đáng kể; một số hành vi còn có thể bị áp dụng hình thức đình chỉ hoạt động xử lý dữ liệu. Vì vậy, doanh nghiệp cần kiểm tra không chỉ hợp đồng mà cả cơ chế thẩm định nhà cung cấp, giám sát trong quá trình thực hiện, phối hợp xử lý sự cố và khả năng hoàn trả, xóa hoặc khôi phục dữ liệu khi quan hệ ủy thác chấm dứt.[1]
5. Doanh nghiệp cần làm gì trước ngày 11/11/2026?
Nghị định 363 sắp đi vào thực thi. Để chủ động trong việc tuân thủ, doanh nghiệp nên rà soát lại hoạt động quản lý và xử lý dữ liệu trên thực tế, đặc biệt là với các nhóm nghĩa vụ có thể làm phát sinh rủi ro xử phạt theo Nghị định.
Thứ nhất, lập danh mục và rà soát quản trị dữ liệu trong toàn bộ vòng đời xử lý. Doanh nghiệp cần xác định các nhóm dữ liệu đang tạo lập, thu thập, lưu trữ, truy cập, kết nối, chia sẻ và xử lý; vị trí lưu trữ; chủ thể có quyền truy cập; cơ chế phân loại, phân quyền và lưu nhật ký. Trọng tâm không chỉ là có quy trình mà là khả năng chứng minh quy trình đang được vận hành trên thực tế, đặc biệt đối với dữ liệu cốt lõi và dữ liệu quan trọng.
Thứ hai, rà soát cơ chế quản lý rủi ro và các nhà cung cấp, bên thứ ba đang xử lý dữ liệu. Hợp đồng, thỏa thuận ủy thác cần được đối chiếu với yêu cầu về phạm vi, thời hạn xử lý, bảo mật và trách nhiệm của các bên. Đồng thời, doanh nghiệp cần kiểm tra cơ chế thẩm định năng lực nhà cung cấp, đánh giá rủi ro, biện pháp bảo đảm an toàn dữ liệu, quản lý nhật ký, phối hợp ứng phó sự cố và khả năng truy xuất, xóa, hoàn trả hoặc khôi phục dữ liệu khi cần.
Thứ ba, đối chiếu hoạt động chuyển, xử lý dữ liệu xuyên biên giới trên thực tế với hồ sơ đã lập. Trường hợp có dữ liệu cốt lõi hoặc dữ liệu quan trọng xuyên biên giới, doanh nghiệp cần kiểm tra sự phù hợp giữa hồ sơ đánh giá tác động và luồng dữ liệu thực tế, bao gồm phạm vi, loại dữ liệu, khối lượng, tần suất, thời hạn, bên chuyển, bên nhận và các biện pháp kỹ thuật, quản lý. Khoảng cách giữa hồ sơ và thực tế vận hành là điểm cần được ưu tiên nhận diện và xử lý.
Thứ tư, nhận diện và khắc phục các hành vi có nguy cơ tiếp diễn qua thời điểm Nghị định có hiệu lực. Theo Điều 35 Nghị định 363, hành vi đã kết thúc trước ngày 11/11/2026 nhưng được phát hiện hoặc xem xét sau thời điểm này được xử lý theo quy định có hiệu lực tại thời điểm hành vi được thực hiện. Ngược lại, nếu hành vi bắt đầu trước ngày 11/11/2026 nhưng vẫn tiếp diễn khi Nghị định 363 có hiệu lực, Nghị định 363 sẽ được áp dụng để xử lý.
Quy định chuyển tiếp này khiến việc rà soát trước ngày 11/11/2026 mang ý nghĩa rằng doanh nghiệp không chỉ chuẩn bị cho nghĩa vụ mới mà còn cần xử lý những hành vi đang tiếp diễn để hạn chế rủi ro bước vào cơ chế chế tài của Nghị định 363.
Nghị định 363 không chỉ bổ sung một hệ thống mức phạt mới mà còn đặt khả năng quản trị dữ liệu thực tế của doanh nghiệp dưới cơ chế kiểm tra và chế tài cụ thể hơn. Trước ngày 11/11/2026, việc cần làm vì thế không nên chỉ là bổ sung chính sách hay quy trình. Doanh nghiệp cần biết dữ liệu đang ở đâu, ai đang xử lý, luồng dữ liệu xuyên biên giới có phù hợp với hồ sơ đã lập, nhà cung cấp có được kiểm soát và hệ thống có đủ khả năng chứng minh việc tuân thủ hay không. Trong quản trị dữ liệu, khoảng cách giữa quy trình trên giấy và hoạt động thực tế chính là nơi rủi ro chế tài dễ phát sinh nhất.
[1] Điểm d khoản 2, điểm c khoản 3 và khoản 4 Điều 21 Nghị định 363.
