Chế tài xử phạt vi phạm hành chính bảo vệ dữ liệu cá nhân đối với hành vi vi phạm đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

Trong xu thế toàn cầu hóa và chuyển đổi số, hoạt động chuyển giao dữ liệu cá nhân ra nước ngoài phục vụ cho hoạt động kinh doanh diễn ra ngày càng phổ biến tại các doanh nghiệp. Tuy nhiên,việc doanh nghiệp tự ý chuyển dữ liệu mà bỏ qua các thủ tục pháp lý bắt buộc có thể dẫn đến hậu quả pháp lý cực kỳ nghiêm trọng.

Vậy quy định lập và nộp hồ sơ đánh giá tác động chuyển dữ liệu xuyên biên giới ra sao? Mức phạt khi vi phạm theo Nghị định mới nhất như thế nào? Cùng VDPC tìm hiểu chi tiết trong bài viết dưới đây.

1. Dữ liệu cá nhân được xử lý

Căn cứ pháp lý:

• Điều 2, 3 Luật bảo vệ dữ liệu cá nhân năm 2025
• Điều 3, 4 Nghị định 356/2025/NĐ/CP

Dữ liệu cá nhân là dữ liệu số hoặc thông tin xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

a. Dữ liệu cá nhân cơ bản:

Dữ liệu cá nhân cơ bản Là dữ liệu cá nhân phản ánh các yếu tố nhân thân, lai lịch phổ biến, thường xuyên sử dụng trong các giao dịch, quan hệ xã hội, thuộc danh mục do Chính phủ ban hành. Bao gồm:

• Họ, chữ đệm và tên khai sinh, tên gọi khác (nếu có)
• Ngày, tháng, năm sinh; ngày, tháng, năm chết hoặc mất tích
• Giới tính
• Nơi sinh, nơi đăng ký khai sinh, nơi đăng ký thường trú, nơi đăng ký tạm trú, nơi ở hiện tại, quê quán, địa chỉ liên hệ
• Quốc tịch
• Hình ảnh của cá nhân
• Số điện thoại, số định danh cá nhân, số hộ chiếu, số giấy phép lái xe, số biển số xe
• Tình trạng hôn nhân
• Thông tin về mối quan hệ gia đình (cha mẹ, con, vợ, chồng)
• Thông tin về tài khoản số của cá nhân
• Các thông tin khác gắn liền với một con người cụ thể hoặc giúp xác định một con người cụ thể không thuộc dữ liệu cá nhân nhạy cảm

b. Dữ liệu cá nhân nhạy cảm:

Dữ liệu cá nhân nhạy cảm là dữ liệu cá nhân gắn liền với quyền riêng tư của cá nhân, khi bị xâm phạm sẽ gây ảnh hưởng trực tiếp đến quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, thuộc danh mục do Chính phủ ban hành. Bao gồm: 

• Dữ liệu tiết lộ nguồn gốc chủng tộc, nguồn gốc dân tộc
• Quan điểm về chính trị, tôn giáo, tín ngưỡng
• Thông tin về đời sống riêng tư, bí mật cá nhân, bí mật gia đình
• Tình trạng sức khỏe
• Dữ liệu sinh trắc học, đặc điểm di truyền
• Dữ liệu tiết lộ đời sống tình dục, xu hướng tình dục của cá nhân
• Dữ liệu về tội phạm, vi phạm pháp luật được thu thập, lưu trữ bởi các cơ quan thực thi pháp luật
• Vị trí của cá nhân được xác định qua dịch vụ định vị
• Thông tin tên đăng nhập và mật khẩu truy cập tài khoản định danh điện tử của cá nhân; hình ảnh thẻ căn cước, thẻ căn cước công dân, chứng minh nhân dân
• Tên đăng nhập, mật khẩu truy cập của tài khoản ngân hàng; thông tin thẻ ngân hàng, dữ liệu về lịch sử giao dịch của tài khoản ngân hàng; thông tin tài chính, tín dụng và các thông tin về hoạt động, lịch sử giao dịch tài chính, chứng khoán, bảo hiểm của khách hàng tại các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, chứng khoán, bảo hiểm, các tổ chức được phép khác
• Dữ liệu theo dõi hành vi, hoạt động sử dụng dịch vụ viễn thông, mạng xã hội, dịch vụ truyền thông trực tuyến và các dịch vụ khác trên không gian mạng
• Dữ liệu cá nhân khác được pháp luật quy định cần giữ bí mật hoặc cần có biện pháp bảo mật chặt chẽ.

2. Thời điểm lập và nộp hồ sơ

Căn cứ pháp lý: Điều 21 Luật bảo vệ dữ liệu cá nhân năm 2025

Trong thời hạn 60 ngày kể từ ngày đầu tiên chuyển dữ liệu cá nhân xuyên biên giới, công ty phải tiến hành lập, lưu trữ hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và phải tiến hành nộp một (01) bản chính hồ sơ cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân – Cục An ninh mạng và phòng chống tội phạm công nghệ cao (Bộ Công an)

3. Cập nhật định kỳ 06 tháng kể từ lần đầu nộp hồ sơ trong các trường hợp sau:

• Khi phát sinh mục đích chuyển dữ liệu cá nhân mới, mục đích xử lý dữ liệu cá nhân mới;
• Khi phát sinh hoặc thay đổi bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba.

4. Các trường hợp thay đổi cần cập nhật ngay trong thời hạn 10 ngày bao gồm:

• Tổ chức lại, chấm dứt hoạt động, giải thể, phá sản theo quy định của pháp luật;
• Có sự thay đổi thông tin về tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân;
• Khi phát sinh hoặc thay đổi ngành, nghề, dịch vụ kinh doanh liên quan đến xử lý dữ liệu cá nhân đã đăng ký trong hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới.

6. Chế tài xử phạt vi phạm hành chính bảo vệ dữ liệu cá nhân khi không thực hiện thủ tục thông báo hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới

Căn cứ pháp lý: Điều 56 Nghị định 330/2026/NĐ-CP

Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: 

• Không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trước hoặc trong thời gian tiến hành chuyển dữ liệu;
• Không nộp 01 bản chính hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu;
• Không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 30 ngày kể từ khi nhận được yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
• Không cập nhật định kỳ hoặc không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi có thay đổi theo quy định pháp luật;
• Không duy trì hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
• Không thông báo thông tin và chi tiết liên lạc của tổ chức, cá nhân phụ trách bảo vệ dữ liệu cá nhân phía bên nhận dữ liệu sau khi hoàn tất việc chuyển dữ liệu cá nhân xuyên biên giới;
• Không có cơ chế kiểm soát hoặc không yêu cầu bên nhận dữ liệu xuyên biên giới tuân thủ quy trình khi chuyển tiếp dữ liệu cá nhân cho bên thứ ba khác, dẫn đến việc dữ liệu cá nhân của công dân Việt Nam được xử lý ngoài phạm vi đã khai báo trong hồ sơ đánh giá tác động.

Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: 

• Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận dữ liệu xuyên biên giới, không xác định rõ trách nhiệm thực hiện quyền của chủ thể dữ liệu cá nhân sau khi dữ liệu được chuyển;
• Không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích chuyển dữ liệu xuyên biên giới hoặc không thông báo cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý;
• Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển dữ liệu cá nhân xuyên biên giới hoặc không có phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển;
• Không phối hợp hoặc cản trở hoạt động kiểm tra hoạt động chuyển dữ liệu xuyên biên giới của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
• Tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển dữ liệu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
• Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và không yêu cầu bên nhận dữ liệu xuyên biên giới dừng xử lý, ngăn chặn thiệt hại khi phát hiện bên nhận xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu cá nhân.

Phạt tiền theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức thực hiện chuyển dữ liệu cá nhân xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai báo sai về dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân, hoặc tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng của cơ quan chuyên trách bảo vệ dữ liệu cá nhân, cụ thể như sau:

• Phạt tiền từ 1% đến 2% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
• Phạt tiền từ 2% đến 3% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
• Phạt tiền từ 3% đến 5% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

Trường hợp tổ chức vi phạm quy định tại khoản 3 Điều này không có doanh thu phát sinh tại thị trường Việt Nam trong năm tài chính liền trước hoặc mức phạt tính theo tỷ lệ phần trăm doanh thu tại từng điểm thấp hơn 3.000.000.000 đồng thì áp dụng mức phạt tiền như sau:

• Phạt tiền từ 200.000.000 đồng đến 500.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
• Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
• Phạt tiền từ 1.000.000.000 đồng đến 3.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

Hình thức xử phạt bổ sung: 

• Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;
• Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

Biện pháp khắc phục hậu quả: 

• Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới đúng quy định đối với hành vi vi phạm quy định tại khoản 1 Điều này;
• Buộc ngừng việc chuyển dữ liệu cá nhân xuyên biên giới cho đến khi hoàn thành đầy đủ nghĩa vụ hồ sơ và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm quy định tại điểm a, b khoản 1 và điểm a, b khoản 2 Điều này;
• Buộc yêu cầu bên nhận dữ liệu xuyên biên giới hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã chuyển trái quy định; cung cấp bằng chứng bên nhận đã thực hiện việc hủy, xóa cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;
• Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Kết luận

Hoạt động chuyển dữ liệu cá nhân xuyên biên giới đòi hỏi doanh nghiệp phải tuân thủ nghiêm ngặt các nghĩa vụ từ việc lập, nộp hồ sơ đánh giá tác động trong thời hạn theo quy định cho đến việc duy trì các biện pháp bảo mật và hợp đồng ràng buộc với bên nhận dữ liệu. Bất kỳ hành vi lơ là, chậm trễ hay cố tình che giấu dòng dữ liệu dẫn đến sự cố lộ, mất thông tin đều có thể khiến doanh nghiệp đối mặt với mức phạt nặng nề.

Trên đây là Chế tài xử phạt vi phạm hành chính bảo vệ dữ liệu cá nhân đối với hành vi vi phạm đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: