Trong hai năm qua, khung pháp lý về dữ liệu tại Việt Nam chuyển nhanh từ tư duy chủ yếu “bảo vệ” sang quản trị dữ liệu xuyên suốt vòng đời. Chỉ trong hai tháng, Chính phủ ban hành Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân và Nghị định 363/2026/NĐ-CP (“Nghị định 363”) về xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định 363 được ban hành ngày 19/9/2026 và có hiệu lực từ ngày 11/11/2026.
Với nhiều doanh nghiệp, khoản tiền phạt có thể lại là phần rủi ro dễ định lượng nhất.
Điểm đáng chú ý của Nghị định 363 không chỉ nằm ở tiền phạt. Điều 6 xác định mức phạt tiền tối đa là 100 triệu đồng đối với cá nhân; mức phạt đối với tổ chức bằng hai lần, tức tối đa 200 triệu đồng. Trong khi đó, khoản 3 Điều 4 quy định 18 biện pháp khắc phục hậu quả có thể tác động trực tiếp đến dữ liệu, hệ thống, quy trình và hoạt động kinh doanh. Vì vậy, với nhiều doanh nghiệp, khoản tiền phạt có thể lại là phần rủi ro dễ định lượng nhất; phần khó dự liệu hơn nằm ở những gì phải làm sau khi vi phạm đã xảy ra.
1. Cách các biện pháp khắc phục vi phạm tác động đến doanh nghiệp
Khoản 3 Điều 4 Nghị định 363 liệt kê 18 biện pháp khắc phục hậu quả. Đây không phải các nhóm được Nghị định phân loại sẵn. Tuy nhiên, xét từ góc độ tác động đối với doanh nghiệp, có thể tạm quy các biện pháp này thành bốn nhóm để nhận diện rủi ro rõ hơn:
Nhóm 1: Xử lý, khôi phục và điều chỉnh dữ liệu[1].
Nhóm 2: Củng cố hệ thống, quy trình và cơ chế quản trị dữ liệu[2].
Nhóm 3: Thông báo, cung cấp và xử lý thông tin[3].
Nhóm 4: Tác động trực tiếp đến lợi ích kinh tế, giao dịch hoặc điều kiện kinh doanh[4].
Cách phân nhóm này chỉ mang tính phân tích và các nhóm có thể giao thoa. Chẳng hạn, buộc xóa dữ liệu vừa là biện pháp xử lý dữ liệu, vừa có thể tác động trực tiếp đến hoạt động kinh doanh nếu dữ liệu đó là đầu vào của sản phẩm, thuật toán hoặc dịch vụ. Tương tự, yêu cầu áp dụng biện pháp kỹ thuật không chỉ là vấn đề công nghệ mà có thể buộc doanh nghiệp thay đổi cả quy trình vận hành.
Nhóm 1 và Nhóm 3 nhìn chung có phạm vi thực hiện dễ xác định hơn, như khôi phục, đính chính, cập nhật dữ liệu hoặc thực hiện nghĩa vụ thông báo. Tuy nhiên, hoàn thành một biện pháp không đồng nghĩa doanh nghiệp đã hoàn tất toàn bộ nghĩa vụ nếu cùng hành vi còn bị áp dụng các biện pháp khắc phục khác.
Nhóm 2 đáng lưu ý ở chỗ việc khắc phục không dừng ở sửa một dữ liệu cụ thể. Doanh nghiệp có thể phải khắc phục lỗ hổng, áp dụng biện pháp bảo đảm an toàn dữ liệu, phân loại lại dữ liệu, phân quyền truy cập hoặc hoàn thiện quy trình. Khi đó, chi phí của vi phạm chuyển từ một khoản phải trả thành yêu cầu thay đổi cách hệ thống được thiết kế và vận hành.
Trong khi đó, Nhóm 4 có mức độ tác động kinh doanh rõ nhất. Tùy hành vi, doanh nghiệp có thể phải nộp lại số lợi bất hợp pháp, nộp lại giấy chứng nhận đủ điều kiện kinh doanh hoặc hoàn trả khoản vốn đã sử dụng không đúng mục đích. Chi phí tuân thủ vì thế có thể mở rộng thành chi phí cơ hội, doanh thu bị gián đoạn hoặc ảnh hưởng đến khả năng tiếp tục một hoạt động kinh doanh nhất định. Cần phân biệt các biện pháp này với hình thức xử phạt bổ sung như đình chỉ hoạt động, vốn được Nghị định quy định riêng.
2. Vì sao biện pháp khắc phục đáng lo hơn tiền phạt?
Tiền phạt có trần; chi phí khắc phục không có một “trần” tương ứng.
Tiền phạt được xác định theo khung của từng hành vi và bị giới hạn bởi mức tối đa tại Điều 6 Nghị định 363. Vì vậy, khi xác định được hành vi và chủ thể vi phạm, doanh nghiệp có thể tương đối dễ ước tính khoản tiền phạt trực tiếp. Biện pháp khắc phục thì khác: Nghị định xác định việc phải làm, nhưng chi phí thực hiện phụ thuộc vào kiến trúc dữ liệu, quy mô hệ thống và mức độ lan truyền của vi phạm.
Cùng một nghĩa vụ xóa, khôi phục hoặc đính chính dữ liệu, chi phí thực tế có thể rất khác giữa một doanh nghiệp lưu trữ tập trung và một doanh nghiệp có dữ liệu được sao lưu, đồng bộ và phân tán trên nhiều hệ thống hoặc nhiều nhà cung cấp. Quy mô dữ liệu càng lớn và kiến trúc dữ liệu càng phân tán, chi phí khắc phục “hậu vi phạm” càng có khả năng tách xa khỏi mức tiền phạt ghi trong Nghị định.
Một vi phạm có thể tạo ra cả một chuỗi nghĩa vụ khắc phục.
Nghị định 363 cho phép áp dụng một hoặc nhiều biện pháp khắc phục tùy từng hành vi. Vì vậy, rủi ro không nhất thiết kết thúc khi doanh nghiệp hoàn thành một thao tác kỹ thuật. Việc xóa dữ liệu có thể đi cùng nghĩa vụ thông báo; việc khôi phục dữ liệu có thể đi cùng yêu cầu khắc phục lỗ hổng; việc sử dụng dữ liệu trái pháp luật có thể đồng thời kéo theo nghĩa vụ nộp lại số lợi bất hợp pháp.
Điều 14 là một ví dụ rõ. Đối với hành vi cố ý phân tích, tổng hợp dữ liệu từ nguồn bất hợp pháp, dữ liệu bị rò rỉ hoặc dữ liệu không được phép xử lý, ngoài tiền phạt từ 80 triệu đồng đến 100 triệu đồng đối với cá nhân (mức phạt đối với tổ chức áp dụng theo Điều 6), chủ thể vi phạm còn có thể bị buộc xóa, tiêu hủy dữ liệu hoặc kết quả phân tích, tổng hợp được tạo lập, sử dụng trái pháp luật và nộp lại số lợi bất hợp pháp[5].
Trong thực tế, “xóa dữ liệu” có thể không đơn giản là xóa một tệp. Nếu dữ liệu đã được sao lưu, đồng bộ sang hệ thống khác, dùng để tạo báo cáo, mô hình phân tích hoặc sản phẩm phái sinh, doanh nghiệp trước hết phải biết dữ liệu đang ở đâu, đã được xử lý như thế nào và đã tạo ra những kết quả nào. Khi đó, khả năng truy vết dữ liệu trở thành điều kiện để thực hiện chính nghĩa vụ khắc phục.
Tương tự, đối với một số hành vi liên quan đến cơ sở dữ liệu, hệ thống thông tin, Điều 7 cho phép áp dụng đồng thời các nghĩa vụ như khôi phục dữ liệu hoặc tình trạng ban đầu, áp dụng biện pháp kỹ thuật để bảo đảm an toàn, thông báo về sự cố và kết quả khắc phục, hoặc gỡ bỏ ứng dụng, phần mềm được sử dụng để vi phạm. Đây là lý do chi phí của một vi phạm không thể chỉ được đọc từ cột “mức phạt”.
Nguồn: Facebook Bộ Công an
Khắc phục có thể chạm vào chính tài sản và hạ tầng tạo doanh thu.
Khác với tiền phạt - về bản chất là nghĩa vụ tài chính - nhiều biện pháp khắc phục tác động trực tiếp đến dữ liệu và hệ thống mà doanh nghiệp đang sử dụng để kinh doanh. Với doanh nghiệp số, dữ liệu có thể là đầu vào của sản phẩm, mô hình phân tích, hệ thống chấm điểm, CRM, hoạt động marketing, logistics hoặc mô hình AI. Buộc xóa, điều chỉnh hoặc ngừng sử dụng một tập dữ liệu vì thế có thể ảnh hưởng trực tiếp đến khả năng vận hành của sản phẩm hoặc dịch vụ.
Rủi ro càng lớn khi doanh nghiệp không có khả năng xác định nguồn gốc và đường đi của dữ liệu. Nếu không biết một tập dữ liệu đã được sao chép sang đâu, chia sẻ cho ai, sử dụng trong hệ thống nào hoặc tạo ra kết quả nào, việc thực hiện quyết định khắc phục có thể kéo dài và đòi hỏi sự tham gia đồng thời của pháp chế, công nghệ thông tin, an toàn thông tin, quản trị dữ liệu và các bộ phận nghiệp vụ.
Vì vậy, điểm đáng lo không nhất thiết là một biện pháp khắc phục riêng lẻ, mà là khoảng cách giữa yêu cầu pháp lý phải thực hiện và năng lực thực tế của doanh nghiệp để thực hiện yêu cầu đó nhanh chóng, chính xác và không làm gián đoạn hoạt động kinh doanh.
3. Doanh nghiệp cần chuẩn bị cho việc khắc phục hậu quả khi vi phạm
Nghị định 363 đặt ra một vấn đề quản trị quan trọng: nếu doanh nghiệp bị buộc xóa, khôi phục, đính chính hoặc truy vết một tập dữ liệu, doanh nghiệp có biết dữ liệu đó đang nằm ở đâu, đã đi qua những hệ thống nào và ai đang chịu trách nhiệm hay không?
Từ góc độ này, tuân thủ không chỉ là phòng ngừa vi phạm mà còn là xây dựng năng lực sẵn sàng khắc phục. Muốn làm được điều này, doanh nghiệp nên:
Lập bản đồ dữ liệu (data mapping): Doanh nghiệp cần xác định các nhóm dữ liệu đang thu thập, tạo lập, lưu trữ, chia sẻ và xử lý; vị trí lưu trữ; hệ thống liên quan; chủ thể được quyền truy cập và các luồng chuyển dữ liệu quan trọng.
Bảo đảm khả năng truy vết (traceability): Hệ thống cần cho phép xác định nguồn gốc, vị trí, lịch sử xử lý và, trong phạm vi khả thi, các bản sao hoặc kết quả phát sinh từ dữ liệu. Đây là nền tảng để thực hiện yêu cầu xóa, hiệu chỉnh, cập nhật hoặc khôi phục mà không phải rà soát lại toàn bộ hệ thống từ đầu.
Kiểm tra khả năng khắc phục trên thực tế: Không nên chỉ đánh giá hệ thống có “an toàn” hay không. Doanh nghiệp cần thử nghiệm liệu mình có thể cô lập một tập dữ liệu, thu hồi quyền truy cập, khôi phục dữ liệu, xử lý bản sao lưu hoặc triển khai biện pháp kỹ thuật cần thiết trong thời gian hợp lý hay không.
Xây dựng quy trình khắc phục và thông báo (remediation playbook): Quy trình nên xác định cách khoanh vùng vi phạm, bảo toàn thông tin cần thiết, quyết định biện pháp xử lý, thực hiện nghĩa vụ thông báo và ghi nhận bằng chứng về quá trình khắc phục.
Xác định rõ trách nhiệm nội bộ: Pháp chế không thể tự mình khắc phục một sự cố dữ liệu. Doanh nghiệp nên phân định trước vai trò của pháp chế, công nghệ thông tin, an toàn thông tin, quản trị dữ liệu và bộ phận nghiệp vụ; đồng thời xác định đầu mối có quyền ra quyết định khi cần xử lý nhanh.
Nghị định 363 cho thấy chi phí của một vi phạm dữ liệu không thể chỉ đo bằng số tiền ghi trong quyết định xử phạt. Với doanh nghiệp có hệ thống dữ liệu lớn và phức tạp, khoản phạt tối đa theo Nghị định có thể là rủi ro dễ định lượng nhất; khó dự liệu hơn là chi phí truy vết, xóa, khôi phục dữ liệu, sửa hệ thống, thay đổi quy trình và khả năng gián đoạn hoạt động kinh doanh.
Vì vậy, câu hỏi quan trọng không chỉ là “nếu vi phạm thì bị phạt bao nhiêu?”, mà còn là “nếu bị buộc khắc phục, doanh nghiệp có biết dữ liệu ở đâu, phải xử lý thế nào và ai có thể thực hiện ngay hay không?”. Khả năng trả lời câu hỏi đó mới phản ánh thực chất mức độ hoàn thiện của hệ thống quản trị dữ liệu.
Luật sư Nguyễn Văn Phúc - Nguyễn Thị Bảo Khanh
Công ty Luật TNHH HM&P
