Nghị định 330/2026: mức phạt dữ liệu cá nhân SME

Cập nhật tháng 11/2026

Nghị định 330/2026 quy định mức phạt vi phạm hành chính về bảo vệ dữ liệu cá nhân, có hiệu lực từ 19/8/2026, với mức phạt tiền tối đa 3 tỷ đồng và có hành vi bị phạt theo phần trăm doanh thu. Bài viết tóm tắt các mức phạt mà doanh nghiệp vừa và nhỏ (SME) dễ gặp nhất, đặc biệt trong cách đội sale đang dùng dữ liệu khách hàng mỗi ngày.

Hãy hình dung: một bạn sale gửi file Excel 2.000 khách hàng vào nhóm Zalo cá nhân để “cả nhóm cùng gọi”. Một bạn khác gọi lại cho khách đã nói rõ “đừng gọi cho tôi nữa”. Trưởng phòng thì mua thêm một danh sách số điện thoại “khách tiềm năng” từ trên mạng.

Không ai nghĩ đây là chuyện lớn. Ở nhiều SME, đó là cách bán hàng quen thuộc nhiều năm nay.

Từ 19/8/2026, mỗi việc trên đều có thể gắn với một mức phạt cụ thể trong Nghị định 330/2026/NĐ-CP.

Trả lời nhanh

Nghị định 330/2026 phạt bao nhiêu về dữ liệu cá nhân? Nghị định 330/2026/NĐ-CP quy định phạt tiền tối đa 3 tỷ đồng với vi phạm bảo vệ dữ liệu cá nhân của tổ chức (cá nhân bằng một nửa). Mua bán trái phép dữ liệu cá nhân bị phạt từ 2 đến 10 lần khoản thu, chuyển dữ liệu ra nước ngoài trái phép đến 5% doanh thu. Các lỗi hay gặp ở SME như xử lý dữ liệu khi chưa có sự đồng ý bị phạt 30-50 triệu đồng.

Nghị định 330/2026 là gì, áp dụng từ khi nào?

Nghị định 330/2026/NĐ-CP là văn bản quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, ban hành và có hiệu lực ngày 19/8/2026, gồm 4 chương, 82 điều (Báo Chính phủ, 22/8/2026). Nghị định này cụ thể hóa chế tài cho Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15.

Nếu bài luật bảo vệ dữ liệu cá nhân: SME cần làm gì trả lời câu hỏi “doanh nghiệp phải làm gì”, thì Nghị định 330/2026 trả lời câu hỏi “không làm thì bị phạt bao nhiêu”. Hộ kinh doanh bị áp dụng mức phạt như cá nhân.

Mức phạt tối đa về dữ liệu cá nhân là bao nhiêu?

Mức phạt tiền tối đa với vi phạm bảo vệ dữ liệu cá nhân là 3 tỷ đồng, áp dụng cho tổ chức; cá nhân có cùng hành vi bị phạt bằng một nửa (LuatVietnam). Một số hành vi nghiêm trọng bị phạt theo doanh thu hoặc khoản thu, nên có thể vượt con số 3 tỷ:

Mua bán trái phép dữ liệu cá nhân: phạt từ 2 đến 10 lần khoản thu có được từ việc mua bán.
Chuyển dữ liệu cá nhân ra nước ngoài trái quy định: phạt đến 5% doanh thu.
Làm lộ, mất dữ liệu cá nhân: phạt theo quy mô, từ 1-2% doanh thu (10.000 đến dưới 100.000 người bị ảnh hưởng) đến 3-5% (từ 1 triệu người trở lên).

Trường hợp doanh nghiệp không có doanh thu năm trước, hoặc mức tính theo phần trăm thấp hơn, mức phạt có thể lên tới 3 tỷ đồng (LuatVietnam, 10 điểm đáng chú ý).

Những hành vi nào bị phạt và phạt bao nhiêu?

Phần lớn lỗi SME dễ mắc nằm ở nhóm phạt 20-70 triệu đồng, gắn với chuyện xin đồng ý, dùng dữ liệu đúng mục đích và tôn trọng yêu cầu của khách. Biểu đồ dưới đây so sánh mức phạt tối đa của một số hành vi theo tóm tắt của Báo Chính phủ và LuatVietnam.

Mức phạt tối đa một số hành vi về dữ liệu cá nhân

Không lập hồ sơ đánh giá tác động xử lý dữ liệu20-30

Xử lý không đúng phạm vi, mục đích; lưu quá thời gian cần thiết20-40

Xử lý dữ liệu khi chưa có sự đồng ý; đồng ý mặc định30-50

Thông báo vi phạm chậm quá 72 giờ (vi phạm gây tổn hại đáng kể)40-60

Tiếp tục xử lý sau khi khách yêu cầu ngừng; coi im lặng là đồng ý50-70

Đơn vị: triệu đồng, mức tối đa áp dụng với tổ chức.

Biểu đồ minh họa theo mức phạt tối đa; mức áp dụng thực tế tùy tình tiết vi phạm.

Bên cạnh tiền phạt, doanh nghiệp có thể bị buộc hủy, xóa dữ liệu đã xử lý sai mục đích, buộc nộp lại khoản thu bất hợp pháp, buộc công khai xin lỗi chủ thể dữ liệu, hoặc bị tịch thu tang vật, phương tiện vi phạm.

6 tình huống đội sale SME hay mắc

Đội sale là nơi dữ liệu khách hàng được dùng nhiều nhất, nên cũng là nơi dễ phát sinh vi phạm nhất. Bảng dưới đây đối chiếu 6 tình huống quen thuộc với nhóm hành vi có thể bị xử phạt. Đây là tham khảo để rà soát nội bộ, không phải kết luận pháp lý cho từng trường hợp.

Tình huống ở đội sale	Nhóm hành vi có thể bị phạt	Cách phòng
1Web form, landing page không có ô đồng ý hoặc tích sẵn	Xử lý khi chưa có đồng ý, đồng ý mặc định (30-50 triệu)	Ô đồng ý để trống, ghi rõ mục đích liên hệ
2Gọi, nhắn lại khách đã yêu cầu ngừng liên hệ	Tiếp tục xử lý sau yêu cầu ngừng (50-70 triệu)	Gắn nhãn “không liên hệ” trên hồ sơ khách
3Gửi file danh sách khách qua Zalo cá nhân, email riêng	Xử lý không đúng phạm vi; nguy cơ lộ lọt dữ liệu	Làm việc trên một hệ thống có phân quyền
4Sale nghỉ việc mang theo danh bạ, lịch sử chat	Nguy cơ lộ, mất dữ liệu; dùng dữ liệu trái quy định	Khách thuộc doanh nghiệp, chuyển giao khi nghỉ
5Mua danh sách số điện thoại “khách tiềm năng”	Mua bán trái phép dữ liệu cá nhân (2-10 lần khoản thu)	Chỉ dùng lead tự thu thập, có nguồn rõ
6Giữ dữ liệu khách cũ nhiều năm không dùng	Lưu trữ quá thời gian cần thiết (20-40 triệu)	Đặt thời hạn lưu và xóa định kỳ

Sáu tình huống quen thuộc ở đội sale SME và nhóm hành vi tương ứng trong Nghị định 330/2026 (tham khảo).

Lưu ý: mức phạt trong ngoặc là mức áp dụng với tổ chức theo tóm tắt của Báo Chính phủ và LuatVietnam. Trước khi xử lý một vụ việc cụ thể, hãy đối chiếu văn bản gốc trên Công báo và hỏi ý kiến luật sư.

Tình huống thứ tư đặc biệt phổ biến. Chúng tôi đã phân tích kỹ ở bài sales nghỉ việc: làm sao không mất theo khách hàng.

SME nên làm gì để không bị phạt?

Cách phòng hiệu quả nhất là đưa dữ liệu khách hàng ra khỏi điện thoại và file cá nhân, vào một hệ thống có quy tắc. Ba lớp bảo vệ dưới đây phù hợp với đội từ 3 đến 30 người.

Ba lớp bảo vệ dữ liệu khách hàng cho đội sale

Thu thập có đồng ý

Form có ô đồng ý, ghi rõ mục đích; lưu lại thời điểm khách đồng ý.

Phân quyền và che thông tin

Sale chỉ xem khách mình phụ trách; số điện thoại che, bấm mới xem, giới hạn xuất file.

Tôn trọng yêu cầu của khách

Ghi nhận yêu cầu ngừng liên hệ, xóa hoặc sửa dữ liệu và xử lý đúng hạn.

Sơ đồ minh họa: ba lớp giúp đội sale dùng dữ liệu khách hàng mà vẫn tuân thủ.

SMECRM, phần mềm CRM cho doanh nghiệp vừa và nhỏ của Abenla, có sẵn các công cụ cho lớp thứ hai: phân quyền theo vai trò và phòng ban, che số điện thoại và email (bấm để xem, có hạn mức xem), kiểm soát xuất file, giới hạn IP truy cập và sao lưu tự động hằng ngày. Mỗi khách có người phụ trách và được chuyển giao có kiểm soát khi nhân sự thay đổi. Tin nhắn Zalo OA, Zalo cá nhân, Facebook và website về một hộp thư chung của cả đội, thay vì nằm rải rác trên điện thoại từng người.

Lời khuyên: bắt đầu bằng một buổi rà soát 30 phút: dữ liệu khách hàng đang nằm ở những đâu, ai có thể tải xuống toàn bộ, và form nào đang thu thập số điện thoại mà chưa có ô đồng ý. Danh sách đó chính là kế hoạch tuân thủ đầu tiên của bạn.

Kết luận: rủi ro lớn nhất nằm ở thói quen hằng ngày

Nghị định 330/2026 biến các quy định bảo vệ dữ liệu cá nhân thành mức phạt cụ thể, và SME dễ vi phạm nhất ở chính thói quen bán hàng hằng ngày. Tóm lại:

Có hiệu lực từ 19/8/2026; phạt tối đa 3 tỷ đồng với tổ chức, cá nhân bằng một nửa.
Mua bán dữ liệu phạt 2-10 lần khoản thu; chuyển dữ liệu ra nước ngoài trái phép đến 5% doanh thu.
Lỗi hay gặp: không xin đồng ý, gọi lại khách đã từ chối, gửi file khách qua kênh cá nhân, mua data.
Gom dữ liệu về một hệ thống có phân quyền và che thông tin là cách phòng rẻ nhất.

Đang rà soát cách đội sale dùng dữ liệu khách hàng? Tham gia Group Zalo hỗ trợ CRM để hỏi kinh nghiệm phân quyền, che số điện thoại và xin đồng ý của các SME khác.Tham gia Group Zalo

Đọc thêm: Luật Bảo vệ dữ liệu cá nhân 2026: SME cần làm gì; Sales nghỉ việc và rủi ro mất khách; CRM là gì.

Câu hỏi thường gặp về Nghị định 330/2026

Nghị định 330/2026 có hiệu lực từ ngày nào?

Nghị định 330/2026/NĐ-CP được ban hành và có hiệu lực từ ngày 19/8/2026. Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, gồm 4 chương và 82 điều.

Mức phạt cao nhất về dữ liệu cá nhân là bao nhiêu?

Mức phạt tiền tối đa là 3 tỷ đồng với tổ chức, cá nhân bằng một nửa. Riêng mua bán trái phép dữ liệu cá nhân phạt 2 đến 10 lần khoản thu, chuyển dữ liệu ra nước ngoài trái phép có thể phạt đến 5% doanh thu.

Gọi điện cho khách khi chưa có sự đồng ý bị phạt bao nhiêu?

Xử lý dữ liệu cá nhân khi chưa có sự đồng ý hoặc đồng ý mặc định bị phạt 30-50 triệu đồng với tổ chức. Tiếp tục liên hệ sau khi khách đã yêu cầu ngừng có thể bị phạt 50-70 triệu đồng.

Mua data khách hàng có vi phạm Nghị định 330 không?

Có thể. Mua bán trái phép dữ liệu cá nhân bị phạt từ 2 đến 10 lần khoản thu, kèm biện pháp buộc xóa dữ liệu đã mua bán. Doanh nghiệp nên dùng lead tự thu thập, có nguồn và sự đồng ý rõ ràng.

Hộ kinh doanh có bị phạt theo Nghị định 330 không?

Có. Hộ kinh doanh, hộ gia đình vi phạm bị áp dụng mức phạt tiền như đối với cá nhân, tức bằng một nửa mức phạt áp dụng với tổ chức có cùng hành vi.

SME nên bắt đầu tuân thủ từ đâu?

Hãy gom dữ liệu khách hàng về một hệ thống có phân quyền, thêm ô đồng ý vào mọi form thu thập thông tin, che số điện thoại với người không phụ trách và ghi nhận yêu cầu ngừng liên hệ của khách.

Dữ liệu khách hàng an toàn, đội sale vẫn bán nhanh

SMECRM là phần mềm CRM cho doanh nghiệp vừa và nhỏ của Abenla, kết nối chat đa kênh, tổng đài, SMS Brandname, Zalo ZNS và email trên một hồ sơ khách hàng.

Phân quyền, che số điện thoại và email, kiểm soát xuất file, giới hạn IP truy cập.
Gói Khởi động miễn phí trọn đời cho đến 10 người dùng, sao lưu tự động hằng ngày.
Tài khoản mới được dùng thử đầy đủ tính năng 30 ngày. Xem chi tiết tại Bảng giá SMECRM.

Dùng thử miễn phí

Hotline: 028 73088 669, email: info@abenla.com

Nguồn: Công báo Chính phủ, Nghị định số 330/2026/NĐ-CP; Báo Chính phủ, “Mức xử phạt vi phạm hành chính đối với hành vi vi phạm về bảo vệ dữ liệu cá nhân”, 22/8/2026; LuatVietnam, “Nghị định 330/2026: vi phạm về bảo vệ dữ liệu cá nhân có thể bị phạt đến 3 tỷ đồng”; LuatVietnam, “10 điểm đáng chú ý Nghị định 330/2026/NĐ-CP”. Bài viết mang tính thông tin, không thay thế tư vấn pháp lý.