Mức phạt lên tới 3 tỷ đồng hoặc 5% doanh thu thường áp dụng cho các hành vi vi phạm nghiêm trọng về bảo vệ dữ liệu cá nhân (theo quy định như Nghị định 13/2023/NĐ-CP và các dự thảo xử phạt liên quan). Dưới đây là các trường hợp điển hình có thể bị áp dụng mức phạt rất nặng này:

🚨 1. Xử lý dữ liệu cá nhân không có sự đồng ý

• Thu thập, sử dụng, chia sẻ dữ liệu khi chưa được chủ thể dữ liệu đồng ý
• Ép buộc, “gài” điều khoản đồng ý không rõ ràng

👉 Đây là lỗi phổ biến và dễ bị phạt nặng nhất

🚨 2. Mua bán, trao đổi dữ liệu cá nhân trái phép

• Bán danh sách khách hàng, số điện thoại, email
• Thu thập dữ liệu rồi chuyển cho bên thứ ba để kiếm lợi

👉 Nếu có yếu tố thương mại → có thể bị áp dụng mức % doanh thu

🚨 3. Làm lộ, mất dữ liệu cá nhân quy mô lớn

• Bị hack, rò rỉ dữ liệu nhưng:
  • Không có biện pháp bảo mật
  • Không thông báo cho cơ quan chức năng

👉 Đặc biệt nghiêm trọng nếu ảnh hưởng đến nhiều người

🚨 4. Xử lý dữ liệu nhạy cảm trái quy định

(Dữ liệu nhạy cảm: tài khoản ngân hàng, sức khỏe, sinh trắc học…)

• Thu thập nhưng không có biện pháp bảo vệ đặc biệt
• Không đăng ký hoặc không đánh giá tác động xử lý dữ liệu

🚨 5. Chuyển dữ liệu ra nước ngoài trái phép

• Chưa thực hiện thủ tục theo quy định mà vẫn:
  • Lưu trữ dữ liệu ở server nước ngoài
  • Chia sẻ cho đối tác quốc tế

🚨 6. Không tuân thủ nghĩa vụ quản lý dữ liệu

• Không bổ nhiệm người phụ trách bảo vệ dữ liệu (DPO)
• Không lập hồ sơ, đánh giá tác động xử lý dữ liệu
• Không hợp tác khi cơ quan chức năng kiểm tra

💰 Mức phạt áp dụng thế nào?

• Tối đa 3 tỷ đồng (mức tiền cụ thể)
• Hoặc tối đa 5% tổng doanh thu tại Việt Nam
  👉 Áp dụng với:
• Doanh nghiệp lớn
• Vi phạm có tổ chức, có yếu tố kinh doanh dữ liệu

⚠️ Lưu ý quan trọng

• Có thể bị đình chỉ hoạt động xử lý dữ liệu
• Bị thu hồi dữ liệu đã thu thập trái phép
• Thậm chí có thể xử lý hình sự nếu nghiêm trọng