Mua, bán dữ liệu cá nhân có thể bị phạt gấp 10 lần khoản thu từ vi phạm

Sáng 26-6, dưới sự điều hành của Phó Chủ tịch Quốc hội, Thượng tướng Trần Quang Phương, Quốc hội đã biểu quyết thông qua Luật Bảo vệ dữ liệu cá nhân với 433/435 đại biểu Quốc hội có mặt biểu quyết tán thành, đạt tỉ lệ 99,54%. Luật có hiệu lực thi hành từ ngày 1-1-2026.

Trước đó, trình bày báo cáo giải trình, tiếp thu, chỉnh lý dự thảo luật, Chủ nhiệm Ủy ban Quốc phòng An ninh của Quốc hội Lê Tấn Tới, cho biết dự thảo luật bảo đảm tính thống nhất với hệ thống pháp luật, tương thích với điều ước quốc tế có liên quan mà Việt Nam là thành viên và bảo đảm tính khả thi.

Liên quan đến quy định về mức xử phạt vi phạm hành chính, nhiều ý kiến đề nghị cân nhắc quy định về mức phạt 1-5% doanh thu, một số ý kiến nhất trí với quy định này để tạo tính răn đe nhưng đề nghị quy định cụ thể cho tổ chức không có doanh thu năm trước để bảo đảm khả thi.

Bên cạnh đó, có ý kiến đề nghị thiết kế lại quy định về xử phạt hành chính cho thống nhất với pháp luật về xử lý vi phạm hành chính…

Ủy ban Thường vụ Quốc hội cho rằng do tính chất và hậu quả nghiêm trọng của hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân nên cần quy định mức phạt cao hơn để bảo đảm tính răn đe đối với các doanh nghiệp lớn, đặc biệt là các tập đoàn đa quốc gia hoặc doanh nghiệp công nghệ có doanh thu hàng ngàn tỉ đồng.

Trên cơ sở đó, dự thảo luật được chỉnh lý theo hướng nâng mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 3 tỉ đồng.

Đồng thời sửa đổi, bổ sung quy định tại khoản 3 Điều 24 của Luật Xử lý vi phạm hành chính theo hướng mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân sẽ được thực hiện theo quy định của Luật Bảo vệ dữ liệu cá nhân.

Đối với hành vi mua, bán dữ liệu cá nhân thì có thể bị phạt đến 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại khoản 5 thì áp dụng mức phạt tiền tối đa (3 tỉ đồng).

Luật được thông qua quy định mức phạt tiền tối đa 5% doanh thu năm liền trước của tổ chức, doanh nghiệp đối với hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới.

Ngoài ra, luật này cũng bổ sung quy định xử phạt đối với cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng 1/2 mức phạt tiền tối đa đối với tổ chức.

Luật này quy định cấm mua, bán dữ liệu cá nhân dưới mọi hình thức. Ủy ban Thường vụ Quốc hội cho rằng việc cấm triệt để hành vi mua bán dữ liệu cá nhân là cần thiết để ngăn chặn tình trạng rao bán thông tin cá nhân tràn lan trên mạng, hoặc việc nhân viên tổ chức lợi dụng dữ liệu để lừa đảo, chiếm đoạt tài sản.

Dữ liệu cá nhân gắn với quyền riêng tư, nhân thân và không thể coi là hàng hóa để trao đổi mua bán, theo Ủy ban Thường vụ Quốc hội.

Luật quy định lực lượng bảo vệ dữ liệu cá nhân gồm: Cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an; bộ phận, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức; tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân; tổ chức, cá nhân được huy động tham gia bảo vệ dữ liệu cá nhân.