Theo Luật Bảo vệ dữ liệu cá nhân, cá nhân vi phạm bị phạt bằng bao nhiêu tổ chức?

Bằng một phần hai. Đây là nguyên tắc tại khoản 6 Điều 8, áp dụng cho cả ba mức tối đa được quy định tại các khoản 3, 4 và 5.

Câu hỏi này quan trọng với người làm nghề tự do, hộ kinh doanh và cả nhân viên trực tiếp thực hiện hành vi vi phạm.

Quy định

Khoản 6 Điều 8 Luật 91/2025/QH15 quy định mức phạt tiền tối đa quy định tại các khoản 3, 4 và 5 Điều này được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.

Ba mức tối đa dành cho tổ chức

Để áp dụng nguyên tắc trên, cần biết ba mức gốc:

• Khoản 3 Điều 8 — hành vi mua, bán dữ liệu cá nhân: mức phạt tiền tối đa là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu hoặc mức tính theo khoản thu thấp hơn mức tối đa tại khoản 5 thì áp dụng mức tại khoản 5;
• Khoản 4 Điều 8 — tổ chức vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới: mức phạt tiền tối đa là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu năm trước liền kề hoặc mức tính theo doanh thu thấp hơn mức tối đa tại khoản 5 thì áp dụng mức tại khoản 5;
• Khoản 5 Điều 8 — các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân: mức phạt tiền tối đa là 03 tỷ đồng.

Áp dụng cho cá nhân

Với nhóm hành vi thuộc khoản 5, mức tối đa dành cho cá nhân là một phần hai của 03 tỷ đồng.

Với hành vi mua bán dữ liệu tại khoản 3, cách tính cũng là một phần hai của mức áp dụng cho tổ chức trong cùng hành vi.

Lưu ý về khoản 4

Khoản 4 Điều 8 diễn đạt riêng cho tổ chức — mức phạt tính theo doanh thu của năm trước liền kề của tổ chức đó. Khoản 6 vẫn dẫn chiếu tới cả khoản 4 khi nói về nguyên tắc một phần hai áp dụng cho cá nhân thực hiện cùng hành vi vi phạm.

Đây là mức tối đa, không phải mức áp dụng

Cần đọc đúng từ ngữ: các khoản trên đều nói "mức phạt tiền tối đa". Đây là trần, còn mức cụ thể phụ thuộc vào tính chất, mức độ, hậu quả của hành vi theo khoản 1 Điều 8, và theo pháp luật về xử lý vi phạm hành chính như khoản 2 Điều 8 dẫn chiếu.

Khoản 7 Điều 8 giao Chính phủ quy định phương pháp tính khoản thu có được từ hành vi vi phạm — chi tiết ảnh hưởng trực tiếp tới con số cuối cùng trong nhóm hành vi mua bán dữ liệu.

Ba lớp trách nhiệm áp dụng với cả cá nhân

Khoản 1 Điều 8 quy định tổ chức, cá nhân có hành vi vi phạm thì tùy theo tính chất, mức độ, hậu quả có thể bị xử phạt hành chính hoặc bị truy cứu trách nhiệm hình sự; nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Nguyên tắc một phần hai chỉ áp dụng cho mức phạt tiền hành chính. Trách nhiệm hình sự và nghĩa vụ bồi thường không có nguyên tắc giảm tương ứng.

Với người lao động trực tiếp thực hiện hành vi

Điều 7 của Luật liệt kê bảy hành vi bị nghiêm cấm, trong đó khoản 7 là chiếm đoạt, cố ý làm lộ, làm mất dữ liệu cá nhân, và khoản 5 là sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái quy định của pháp luật.

Các hành vi này gắn với cá nhân thực hiện. Nhân viên sao chép danh sách khách hàng đem bán không được che chắn bởi việc đó xảy ra trong quá trình làm việc.

Ở chiều ngược lại, điểm g khoản 1 Điều 37 vẫn đặt trách nhiệm của bên kiểm soát trước chủ thể dữ liệu về thiệt hại do quá trình xử lý gây ra. Hai trách nhiệm này tồn tại song song, không loại trừ nhau.

Đọc thêm cùng chủ đề

• Thu thập dữ liệu không xin đồng ý bị xử lý sao?
• Công khai dữ liệu cá nhân trái phép bị xử lý sao?
• Mua bán dữ liệu cá nhân bị phạt bao nhiêu tiền?

Căn cứ pháp lý

• Luật 91/2025/QH15 Điều 8
• Luật 91/2025/QH15 Điều 7

Bài viết dẫn chiếu văn bản đang có hiệu lực từ ngày 01/01/2026. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.