Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định có thể bị phạt tới 70 triệu đồng đúng không?

Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định có thể bị phạt tới 70 triệu đồng đúng không?

Ngày 19/8/2026, Chính phủ ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, trong đó có quy định mức xử phạt hành chính đối với hành vi lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn.

>>> Tải về Toàn văn Nghị định 330/2026/NĐ-CP

Căn cứ theo quy định tại Điều 61 Nghị định 330/2026/NĐ-CP về vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng lao động như sau:

Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng lao động

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Yêu cầu người dự tuyển cung cấp dữ liệu cá nhân không phục vụ cho mục đích tuyển dụng hoặc không phù hợp với quy định của pháp luật;

b) Sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển;

c) Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý;

d) Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;

b) Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác;

c) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động;

d) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm quy định tại điểm c, d khoản 1, điểm c, d khoản 2 và khoản 3 Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Theo đó, căn cứ tại điểm a khoản 2 Điều 61 Nghị định 330/2026/NĐ-CP thì hành vi lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận có thể bị phạt tiền từ 50 triệu đồng đến 70 triệu đồng.

*Lưu ý: Quy định về mức phạt tiền trên được áp dụng đối với hành vi vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân do tổ chức thực hiện. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với tổ chức.

Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định có thể bị phạt tới 70 triệu đồng đúng không?

Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân?

Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân được quy định tại Điều 3 Nghị định 330/2026/NĐ-CP như sau:

- Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân là 01 năm.

- Thời điểm chấm dứt hành vi vi phạm để tính thời hiệu xử phạt là ngày cá nhân, tổ chức thực hiện xong nghĩa vụ theo quy định hoặc ngày hành vi vi phạm đó thực tế kết thúc được cơ quan có thẩm quyền xác nhận.

- Ngoài quy định tại khoản 2 Điều 3 Nghị định 330/2026/NĐ-CP, cơ quan, người có thẩm quyền xử phạt vi phạm hành chính căn cứ vào các văn bản quy phạm pháp luật có liên quan, hồ sơ, tài liệu và tình tiết của từng vụ việc cụ thể để xác định hành vi vi phạm đã kết thúc hay hành vi vi phạm đang thực hiện theo quy định tại Nghị định của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Xử lý vi phạm hành chính hiện hành.

Xử phạt vi phạm hành chính trên môi trường điện tử được quy định thế nào?

Xử phạt vi phạm hành chính trên môi trường điện tử được quy định tại Điều 8 Nghị định 330/2026/NĐ-CP như sau:

(1) Chứng cứ chứng minh hành vi vi phạm trên môi trường điện tử:

- Chứng cứ chứng minh hành vi vi phạm hành chính trên môi trường điện tử bao gồm các hình thức thể hiện của thông điệp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số và các dạng dữ liệu khác được thu thập trực tiếp hoặc trực tuyến trên thiết bị điện tử, hệ thống thông tin của tổ chức, cá nhân vi phạm hoặc thu thập trên thiết bị điện tử, hệ thống thông tin của tổ chức, cá nhân khác;

- Người có thẩm quyền xử phạt vi phạm hành chính có trách nhiệm kiểm tra, đánh giá độ tin cậy, tính toàn vẹn của chứng cứ điện tử; có quyền yêu cầu tổ chức, cá nhân có liên quan cung cấp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số và các dạng dữ liệu khác để chứng minh hành vi vi phạm theo quy định của pháp luật;

- Chứng cứ điện tử được thu thập theo quy định tại điểm a khoản 1 Điều này có giá trị pháp lý, là căn cứ để xử lý vi phạm hành chính đối với các hành vi vi phạm hành chính quy định tại Nghị định 330/2026/NĐ-CP.

(2) Lập biên bản vi phạm hành chính trên môi trường điện tử:

- Biên bản vi phạm hành chính trên môi trường điện tử là biên bản được lập, ký số, gửi, nhận, lưu trữ và quản lý bằng phương thức điện tử;

- Việc lập biên bản vi phạm hành chính trên môi trường điện tử phải bảo đảm xác thực được danh tính của người lập biên bản, xác thực được danh tính người vi phạm, đại diện tổ chức vi phạm, người chứng kiến (nếu có), người phiên dịch (nếu có). Thông tin, dữ liệu trong biên bản không bị thay đổi sau khi ký số bởi chữ ký số có hiệu lực pháp luật của người lập biên bản vi phạm hành chính, người vi phạm, đại diện tổ chức vi phạm, người chứng kiến (nếu có), người phiên dịch (nếu có). Đảm bảo tính toàn vẹn, an toàn, bảo mật dữ liệu theo quy định của pháp luật về giao dịch điện tử và an ninh mạng;

- Biên bản vi phạm hành chính được ký số bởi người có thẩm quyền lập biên bản và người vi phạm hoặc người đại diện hợp pháp của tổ chức vi phạm; trường hợp người vi phạm, đại diện tổ chức vi phạm không sử dụng được chữ ký số trong thủ tục xử phạt điện tử, thì sử dụng phương tiện xác thực yếu tố về sinh trắc học bằng ảnh khuôn mặt hoặc vân tay để xác định danh tính theo quy định của pháp luật và thay thế cho chữ ký số của người vi phạm, đại diện tổ chức vi phạm;

- Biên bản vi phạm hành chính lập trên môi trường điện tử có giá trị pháp lý như biên bản được lập bằng văn bản giấy, là căn cứ để ra quyết định xử phạt vi phạm hành chính.

(3) Ban hành quyết định xử phạt vi phạm hành chính trên môi trường điện tử:

- Quyết định xử phạt vi phạm hành chính trên môi trường điện tử là quyết định được lập, ký số, gửi, lưu trữ và quản lý bằng phương thức điện tử;

- Việc ban hành quyết định xử phạt vi phạm hành chính trên môi trường điện tử phải bảo đảm được ký số bởi chữ ký đang có giá trị pháp lý bởi người có thẩm quyền xử phạt; toàn bộ nội dung, dữ liệu của quyết định được lưu trữ an toàn, bảo mật, không bị chỉnh sửa, thay đổi sau khi ban hành; trường hợp người vi phạm, tổ chức vi phạm không có điều kiện tiếp cận hệ thống điện tử, cơ quan có thẩm quyền xử phạt phải bảo đảm việc thông báo quyết định xử phạt bằng tin nhắn, thư điện tử, đồng thời lưu trữ bản điện tử của quyết định trong hệ thống thông tin phát hành quyết định xử phạt;

- Quyết định xử phạt vi phạm hành chính được ban hành trên môi trường điện tử có giá trị pháp lý như quyết định được ban hành bằng văn bản giấy, là căn cứ để tổ chức thi hành quyết định xử phạt, thực hiện thu, nộp tiền phạt và các biện pháp khắc phục hậu quả theo quy định.

(4) Điều kiện thực hiện xử lý vi phạm hành chính trên môi trường điện tử được thực hiện theo quy định tại Nghị định 118/2021/NĐ-CP ngày 23 tháng 12 năm 2021 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Xử lý vi phạm hành chính được sửa đổi, bổ sung theo Nghị định 68/2025/NĐ-CP và Nghị định 190/2025/NĐ-CP.