Nghị định số 363/2026/NĐ-CP: Thời hiệu xử phạt và các hình thức xử phạt, biện pháp khắc phục hậu quả trong lĩnh vực dữ liệu.
Ngày 19/9/2026, Chính phủ ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định có hiệu lực thi hành kể từ ngày 11/11/2026. Đây là văn bản quan trọng nhằm cụ thể hóa cơ chế xử lý vi phạm hành chính đối với các hành vi vi phạm quy định của pháp luật về dữ liệu, góp phần nâng cao trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình thu thập, tạo lập, quản trị, khai thác, sử dụng và bảo vệ dữ liệu.
Nghị định số 363/2026/NĐ-CP quy định về hành vi vi phạm hành chính, hình thức xử phạt, mức xử phạt, việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính, đối tượng bị xử phạt, thẩm quyền lập biên bản, thẩm quyền xử phạt, áp dụng biện pháp khắc phục hậu quả, mức phạt tiền cụ thể theo từng chức danh đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu.
Nghị định không điều chỉnh các hành vi vi phạm hành chính thuộc phạm vi điều chinh của Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Các quy định của Nghị định được áp dụng đối với cơ quan, tổ chức, doanh nghiệp, cá nhân có hành vi vi phạm hành chính trong lĩnh vực dữ liệu trên lãnh thổ Việt Nam theo phạm vi điều chỉnh của Nghị định.
Việc ban hành Nghị định tạo cơ sở pháp lý để xử lý các hành vi vi phạm phát sinh trong thực tiễn quản lý và khai thác dữ liệu, nhất là trong bối cảnh dữ liệu ngày càng giữ vai trò quan trọng trong hoạt động quản lý nhà nước, sản xuất, kinh doanh và cung cấp dịch vụ.
Theo Điều 3 Nghị định số 363/2026/NĐ-CP, thời hiệu xử phạt vi phạm hành chính trong lĩnh vực dữ liệu là 01 năm.
Thời điểm tính thời hiệu được thực hiện theo quy định của pháp luật về xử lý vi phạm hành chính. Đối với một số hành vi đặc thù, Nghị định xác định cụ thể thời điểm chấm dứt hành vi để tính thời hiệu, cụ thể:
- Đối với hành vi vi phạm quy định về cung cấp sản phẩm, dịch vụ về dữ liệu, thời điểm chấm dứt hành vi là ngày các bên hoàn thành nghĩa vụ.
- Đối với hành vi đăng ký, thông báo hoặc thực hiện thủ tục hành chính không đúng quy định, thời điểm chấm dứt hành vi là ngày thực hiện việc đăng ký, thông báo hoặc thủ tục hành chính.
- Đối với các hành vi khác, cơ quan, người có thẩm quyền xử phạt căn cứ quy định pháp luật có liên quan, hồ sơ, tài liệu và tình tiết cụ thể của vụ việc để xác định hành vi đã kết thúc hay đang được thực hiện.
Trường hợp trong thời hạn quy định mà cá nhân, tổ chức cố tình trốn tránh hoặc cản trở việc xử phạt, thời hiệu xử phạt được tính lại kể từ thời điểm chấm dứt hành vi trốn tránh, cản trở việc xử phạt.
Điều 4 Nghị định quy định các hình thức xử phạt vi phạm hành chính được áp dụng trong lĩnh vực dữ liệu. Việc lựa chọn hình thức xử phạt được thực hiện tùy theo tính chất, mức độ của hành vi vi phạm và quy định cụ thể đối với từng hành vi.
-Phạt tiền – là hình thức xử phạt được quy định phổ biến đối với các hành vi vi phạm trong lĩnh vực dữ liệu.
- Các hình thức xử phạt bổ sung được áp dụng trong những trường hợp Nghị định quy định, có thể bao gồm việc tước quyền sử dụng giấy chứng nhận, đình chỉ hoạt động trong thời hạn nhất định hoặc tịch thu tang vật, phương tiện vi phạm hành chính.
Việc áp dụng hình thức xử phạt bổ sung phải căn cứ vào chính hành vi vi phạm và điều khoản tương ứng tại Chương II Nghị định.
Bên cạnh việc xử phạt, người vi phạm có thể phải thực hiện các biện pháp khắc phục hậu quả nhằm khôi phục tình trạng ban đầu, bảo đảm an toàn dữ liệu và hạn chế hậu quả do hành vi vi phạm gây ra.
Tùy từng hành vi, các biện pháp khắc phục hậu quả có thể bao gồm:
- Buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu;
- Buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu;
- Buộc thông báo về sự cố dữ liệu, hậu quả và kết quả khắc phục cho chủ thể dữ liệu và các tổ chức, cá nhân có liên quan;
- Buộc gỡ bỏ, thu hồi hoặc vô hiệu hóa ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm;
- Buộc xóa, hủy hoặc xử lý dữ liệu theo quy định;
- Buộc cung cấp, bổ sung, đính chính, hiệu chỉnh hoặc cập nhật dữ liệu, hồ sơ, báo cáo;
- Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm.
Ngoài ra, Nghị định quy định cụ thể về mức phạt tiền, theo đó:
- Mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu
đối với cá nhân là 100.000.000 đồng.
- Mức phạt tiền quy định tại Chương II Nghị định số 363/2026/NĐ-CP là mức phạt được áp dụng đối với hành vi vi phạm hành chính của cá nhân, trừ trường hợp quy định tại điểm b khoản 1 Điểu 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16 của Nghị định này là mức phạt đối với tổ chức.
- Mức phạt tiền đối với tổ chức bằng 02 lần mức phạt tiền đối với cá nhân.
- Hộ kinh doanh, hộ gia đình và cộng đồng dân cư vi phạm hành chính bị áp dụng mức phạt tiền đối với cá nhân vi phạm hành chính;
- Việc xác định mức phạt cụ thể căn cứ vào mức phạt tiền đã được quy định đối với từng hành vi tại Nghị định này và các tình tiết tăng nặng, giảm nhẹ theo quy định tại Luật Xử lý vỉ phạm hành chính và các văn bản quy định chi tiết hướng dẫn thi hành.
Nghị định số 363/2026/NĐ-CP có hiệu lực thi hành kể từ ngày 11/11/2026./.