Dự thảo xử phạt vi phạm hành chính trong lĩnh vực dữ liệu tác động lớn tới hoạt động doanh nghiệp

Việt Nam đang bước vào giai đoạn quan trọng trong quản lý dữ liệu, với các quy định mới được thiết lập nhằm định hình tương lai của các hoạt động liên quan đến dữ liệu. Tháng 11 năm 2024, Luật Dữ liệu được Quốc hội khóa XV thông qua và chính thức có hiệu lực từ ngày 1/7/2025 (“Luật Dữ liệu 2024”). Đây là lần đầu tiên Việt Nam ban hành một đạo luật chuyên sâu, đặt nền móng pháp lý cho việc quản lý, bảo mật, xử lý và sử dụng dữ liệu số[1].

Để thực thi Luật Dữ liệu có hiệu quả và đi vào thực chất, tháng 12 năm 2025, Bộ Công an đã chủ trì xây dựng và lấy ý kiến góp ý Dự thảo Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu (“Dự thảo Nghị định”). Dự thảo Nghị định đang ở giai đoạn hoàn thiện, đánh dấu bước tiến quan trọng trong việc thiết lập cơ chế thực thi và chế tài đối với Luật Dữ liệu và các quy định liên quan, đặt ra yêu cầu cấp thiết để doanh nghiệp chủ động rà soát và nâng cao mức độ tuân thủ. Bài viết dưới đây phân tích những ảnh hưởng chủ yếu của Dự thảo Nghị định đối với doanh nghiệp, đồng thời gợi mở một số khuyến nghị giúp doanh nghiệp chủ động chuẩn bị đối với khung pháp lý mới quan trọng này.

1. Dự thảo Nghị định hoàn thiện khung pháp lý trong lĩnh vực dữ liệu

Trong những năm gần đây, tình trạng mua bán dữ liệu hiện đang diễn ra phổ biến, công khai, nhiều hành vi chưa được xử lý vì thiếu quy định của pháp luật[2]. Nhiều doanh nghiệp thu thập dữ liệu cá nhân của khách hàng và cho phép bên thứ ba tiếp cận nhưng thiếu cơ chế kiểm soát chặt chẽ đã tạo điều kiện cho việc chuyển giao, mua bán dữ liệu trái phép. Thực tế nhiều doanh nghiệp không nhận thức được trách nhiệm bảo vệ cũng như hậu quả có thể xảy ra đồng thời chưa áp dụng giải pháp kỹ thuật đủ mức để bảo vệ dữ liệu và ứng phó hiệu quả trước các rủi ro lộ, lọt thông tin.

Qua bước đầu triển khai thi hành Luật Dữ liệu 2024 và các văn bản hướng dẫn thi hành cho thấy nhiều khó khăn, vướng mắc trong thực tiễn. Trong bối cảnh đó, Bộ Công an đã nghiên cứu và xây dựng ban hành Dự thảo Nghị định Quy định Xử phạt vi phạm hành chính trong lĩnh vực dữ liệu để lấp đầy khoảng trống pháp lý về chế tài tạo ra một khung pháp lý thống nhất, minh bạch, và hiệu quả. Đối với doanh nghiệp, Dự thảo mang đến cả cơ hội và thách thức ảnh hưởng trực tiếp đến các hoạt động kinh doanh từ phát triển sản phẩm, dịch vụ mới, ứng dụng trí tuệ nhân tạo đến phân tích thị trường[3].

2. Ảnh hưởng của Dự thảo Nghị định đến doanh nghiệp

Thách thức trong tuân thủ và quản trị rủi ro về dữ liệu đối với doanh nghiệp

Thứ nhất, khung chế tài chi tiết làm gia tăng áp lực pháp lý của doanh nghiệp.

Mỗi hành vi vi phạm đều được dự thảo xác định rõ và kèm theo mức phạt tương ứng, giúp cơ quan quản lý dễ dàng áp dụng khi doanh nghiệp không tuân thủ các quy định về dữ liệu. Dự thảo Nghị định không chỉ xử phạt “hành vi sai”, mà xử phạt cả “cách quản trị yếu”. Theo đó, doanh nghiệp không những khai thác dữ liệu một cách hợp pháp, đồng thời chịu trách nhiệm hậu kiểm. Nhiều hành vi không xuất phát từ lỗi cố ý hay hành vi xâm phạm rõ ràng, mà bắt nguồn từ việc doanh nghiệp thiếu cơ chế quản trị dữ liệu bài bản, thiếu quy trình nội bộ hoặc không duy trì điều kiện pháp lý trong suốt quá trình hoạt động. Cách tiếp cận này cho thấy Dự thảo Nghị định không chỉ nhằm trừng phạt các hành vi vi phạm nghiêm trọng đã xảy ra, mà còn hướng tới việc buộc doanh nghiệp đầu tư vào năng lực quản trị dữ liệu ngay từ đầu. Tại Điều 12 Dự thảo Nghị định, Bộ Công an đề xuất phạt tiền lên đến 120.000.000 đồng đối với các hành vi liên quan đến hoạt động quản trị, quản lý dữ liệu.

Thứ hai, gia tăng gánh nặng chi phí tuân thủ trong hoạt động của doanh nghiệp.

Việc thiết lập khung xử phạt chi tiết và mức chế tài tương đối cao với hình thức phạt tiền lên đến 2.000.000.000 đồng[4], mức phạt này sẽ phải gấp đối đối với trường hợp là tổ chức vi phạm, buộc doanh nghiệp không chỉ đối mặt với nguy cơ bị xử phạt khi vi phạm, mà còn phải chủ động đầu tư đáng kể để phòng ngừa rủi ro ngay từ đầu. Chi phí tuân thủ vì vậy không còn giới hạn ở khía cạnh pháp lý, mà mở rộng sang các khoản đầu tư cho hạ tầng công nghệ, hệ thống bảo mật, quy trình quản trị dữ liệu và nguồn nhân lực chuyên trách.

Thứ ba, nguy cơ gián đoạn hoạt động kinh doanh.

Bên cạnh hình thức phạt tiền, khoản 3 Điều 4 Dự thảo Nghị định còn quy định nhiều biện pháp khắc phục hậu quả mang tính ảnh hưởng trực tiếp vào hoạt động của doanh nghiệp, kéo theo những tác động tài chính không nhỏ. Đối với các doanh nghiệp có mô hình kinh doanh dựa trên dữ liệu, việc bị đình chỉ hoặc tạm đình chỉ hoạt động của cơ sở dữ liệu, hệ thống thông tin hoặc dịch vụ xử lý dữ liệu có thể làm gián đoạn toàn bộ chuỗi vận hành – từ cung ứng dịch vụ, chăm sóc khách hàng đến dòng doanh thu – và trong nhiều trường hợp, mức thiệt hại thực tế còn vượt xa số tiền phạt phải nộp.

Không chỉ dừng lại ở tổn thất tài chính trực tiếp, một số biện pháp như buộc thông báo công khai về vi phạm và biện pháp khắc phục còn có thể gây ảnh hưởng nghiêm trọng đến uy tín, thương hiệu và mức độ tín nhiệm của doanh nghiệp trên thị trường. Trong bối cảnh cạnh tranh ngày càng gay gắt của nền kinh tế số, việc bị gắn với hình ảnh “vi phạm quy định về dữ liệu” hoặc “xảy ra sự cố rò rỉ thông tin” có nguy cơ làm suy giảm niềm tin của khách hàng, đối tác, kéo theo hệ quả là mất thị phần, giảm giá trị thương hiệu và gặp khó khăn trong việc thu hút nhà đầu tư cũng như các cơ hội hợp tác dài hạn.

Mặt tích cực của Dự thảo đối với doanh nghiệp

Ở chiều ngược lại, Dự thảo Nghị định cũng mang đến những ảnh hưởng tích cực và có thể xem là cơ hội cho doanh nghiệp.

Trước hết, Dự thảo Nghị định tạo động lực mạnh mẽ để doanh nghiệp nâng cao chuẩn mực quản trị dữ liệu nội bộ. Các yêu cầu chặt chẽ về bảo mật, an toàn thông tin, phân quyền truy cập, lưu trữ và chia sẻ dữ liệu, cùng với chế tài xử phạt nghiêm khắc, buộc doanh nghiệp phải nhìn nhận dữ liệu không chỉ là tài sản kinh doanh mà còn là đối tượng quản trị rủi ro pháp lý. Với doanh nghiệp,  thông điệp rõ ràng là: hãy đầu tư nghiêm túc vào năng lực quản trị dữ liệu - không chỉ để tuân thủ pháp luật, mà còn để xây dựng niềm tin với khách hàng, đối tác và xã hội trong thời đại mà dữ liệu là thước đo của uy tín và năng lực cạnh tranh[5].Việc đầu tư vào hệ thống công nghệ, quy trình kiểm soát và nhân sự chuyên trách về dữ liệu không chỉ giúp doanh nghiệp giảm thiểu nguy cơ bị xử phạt, mà còn góp phần nâng cao hiệu quả quản lý, tối ưu hóa việc khai thác dữ liệu, cải thiện chất lượng ra quyết định và năng lực cạnh tranh trong dài hạn. 

Bên cạnh đó, trong bối cảnh Việt Nam hội nhập ngày càng sâu rộng vào kinh tế quốc tế, việc hoàn thiện khung pháp lý và cơ chế xử phạt trong lĩnh vực dữ liệu có ý nghĩa quan trọng trong việc củng cố niềm tin của đối tác và nhà đầu tư nước ngoài. Một khung pháp lý rõ ràng là điều kiện tiên quyết để các doanh nghiệp số hội nhập với tiêu chuẩn quốc tế; giúp doanh nghiệp an tâm đầu tư vào công nghệ như blockchain, định danh số phi tập trung, xác thực dữ liệu xuyên biên giới....Điều này đặc biệt có ý nghĩa đối với các doanh nghiệp hoạt động trong các lĩnh vực công nghệ, tài chính, thương mại điện tử và các dịch vụ số – những ngành nghề mà dữ liệu đóng vai trò then chốt trong mô hình kinh doanh.

3. Một số khuyến nghị cho doanh nghiệp

Hệ thống pháp lý về dữ liệu tại Việt Nam đang thay đổi, mang lại cả thách thức và cơ hội cho doanh nghiệp. Mặc dù các biện pháp kiểm soát giúp tăng cường an ninh và bảo mật dữ liệu, một khung pháp lý rõ ràng cũng giúp doanh nghiệp hoạt động minh bạch và tự tin hơn trong nền kinh tế số.

Dự thảo đang lấy ý kiến đến tháng 1/2025, vì vậy doanh nghiệp cần chủ động chuẩn bị càng sớm các tốt các phương án để thích nghi với các quy định mới về dữ liệu.

Đầu tiên, doanh nghiệp cần đánh giá mức độ tuân thủ hiện tại so với các yêu cầu của Luật Dữ liệu 2024 và Dự thảo Nghị định, qua đó xác định các vấn đề rủi ro pháp lý có thể phát sinh khi cơ chế xử phạt chính thức được áp dụng.

Thêm vào đó, việc xây dựng hoặc cập nhật các chính sách nội bộ về quản trị dữ liệu, phân quyền truy cập, bảo mật thông tin và quy trình xử lý sự cố rò rỉ dữ liệu là hết sức cần thiết. Doanh nghiệp cũng nên cân nhắc đầu tư nâng cấp hạ tầng công nghệ, thiết lập cơ chế giám sát, lưu vết và kiểm soát truy cập dữ liệu nhằm đáp ứng yêu cầu hậu kiểm ngày càng chặt chẽ.

Ngoài ra, trong giai đoạn Dự thảo còn đang lấy ý kiến, doanh nghiệp có thể chủ động theo dõi, tham gia đóng góp ý kiến thông qua các hiệp hội ngành nghề hoặc kênh tham vấn phù hợp, tham gia các chương trình thảo luận  để phản ánh những vướng mắc thực tiễn trong quá trình triển khai và đóng góp ý kiến. Việc chuẩn bị sớm và tiếp cận theo hướng tuân thủ chủ động không chỉ giúp doanh nghiệp giảm thiểu rủi ro xử phạt trong tương lai, mà còn tạo nền tảng vững chắc cho hoạt động kinh doanh bền vững trong môi trường kinh tế số đang ngày càng được chuẩn hóa và giám sát chặt chẽ.

Tóm lại, Dự thảo Nghị định là bước đi quan trọng trong tiến trình xây dựng quốc gia số, góp phần bảo vệ các hoạt động doanh nghiệp trong lĩnh vực dữ liệu và tạo ra nền tảng để quản lý, khai thác dữ liệu một cách minh bạch, hiệu quả, có trách nhiệm. Tuy nhiên, cơ hội đi kèm với trách nhiệm. Doanh nghiệp không thể xem dữ liệu là “mỏ vàng” không rào chắn. Mỗi hành vi xử lý, lưu trữ hay chuyển giao dữ liệu cần được cân nhắc kỹ lưỡng dưới góc độ pháp lý. Nghị định Dự đang được xây dựng được kỳ vọng sẽ hoàn thiện “mảnh ghép” còn thiếu để đảm bảo sự cân bằng giữa phát triển kinh tế và bảo vệ quyền riêng tư, an toàn của mỗi cá nhân trên không gian số - yếu tố then chốt trong môi trường kinh doanh hiện đại.