Chính phủ vừa ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, chính thức có hiệu lực thi hành từ ngày 19/8/2026. Văn bản quy phạm pháp luật này bổ sung hệ thống chế tài nghiêm khắc nhằm giải quyết vấn nạn cuộc gọi rác, tin nhắn rác và hoạt động tiếp thị qua điện thoại gây phiền nhiễu cho người sử dụng dịch vụ viễn thông.

Quy định chặt chẽ về khung giờ và tần suất quảng cáo

Một trong những nội dung trọng tâm tại Điều 37 của Nghị định là việc xác lập hạn mức cụ thể về thời gian và tần suất liên hệ tiếp thị tới thuê bao. Theo đó, đơn vị quảng cáo chỉ được phép gọi điện thoại quảng cáo trong khoảng thời gian từ 8 giờ đến 17 giờ và gửi tin nhắn quảng cáo từ 7 giờ đến 22 giờ mỗi ngày, trừ trường hợp có thỏa thuận khác với người nhận.

Về tần suất, bên quảng cáo không được thực hiện quá 1 cuộc gọi và không quá 3 tin nhắn (hoặc 3 thư điện tử) tới cùng một địa chỉ liên hệ trong vòng 24 giờ nếu chưa được sự đồng thuận.

Hành vi gọi điện, nhắn tin ngoài khung giờ hoặc vượt quá tần suất quy định sẽ bị phạt tiền từ 30 đến 50 triệu đồng đối với cá nhân. Căn cứ theo quy định tại khoản 1 Điều 7, mức phạt tiền đối với tổ chức vi phạm gấp đôi mức phạt đối với cá nhân, tương đương khung phạt từ 60 đến 100 triệu đồng.

Đối với các vi phạm khác trong hoạt động tiếp thị, người thực hiện quảng cáo gửi tin nhắn, thư điện tử hoặc gọi điện khi chưa có sự đồng ý rõ ràng, hoặc tiếp tục gửi sau khi người dùng đã từ chối, sẽ đối mặt mức phạt từ 10 đến 20 triệu đồng. Trường hợp không gắn nhãn quảng cáo theo quy định, hoặc không lưu trữ thông tin đăng ký, yêu cầu từ chối trong thời gian tối thiểu một năm, mức phạt áp dụng từ 20 đến 30 triệu đồng.

Phạt tới 180 triệu đồng nếu xâm phạm danh sách không quảng cáo

Quyền bảo vệ sự riêng tư của thuê bao được bảo đảm chặt chẽ thông qua các mức phạt tăng nặng đối với hành vi xâm phạm Danh sách không quảng cáo. Cụ thể, điểm b khoản 6 Điều 37 quy định hành vi gửi tin nhắn quảng cáo hoặc gọi điện quảng cáo đến các số điện thoại nằm trong danh sách này sẽ bị phạt tiền từ 80 đến 90 triệu đồng đối với cá nhân, và từ 160 đến 180 triệu đồng đối với tổ chức.

Bên cạnh hình thức phạt tiền, cá nhân và tổ chức vi phạm còn bị áp dụng hình thức xử phạt bổ sung là đình chỉ quyền sử dụng tên định danh từ 1 đến 3 tháng, có thể buộc áp dụng biện pháp khắc phục hậu quả thu hồi số điện thoại vi phạm theo quy định.

Siết trách nhiệm kỹ thuật và giám sát

Nghị định số 330/2026/NĐ-CP chuyển dịch một phần trách nhiệm kiểm soát lên hạ tầng của các nhà mạng và nhà cung cấp dịch vụ internet. Theo khoản 7 Điều 37, việc không thực hiện ngăn chặn hoặc không thu hồi các số thuê bao phát tán tin nhắn rác, cuộc gọi rác sẽ bị xử phạt từ 90 đến 100 triệu đồng.

Quy định tại Điều 38 cũng đặt ra nghĩa vụ kỹ thuật bắt buộc đối với doanh nghiệp cung cấp dịch vụ thoại qua internet (VoIP) và SIP Trunk. Doanh nghiệp phải duy trì cơ chế kỹ thuật tự động chặn toàn bộ lưu lượng phát sinh cuộc gọi ra mạng viễn thông công cộng nếu không gắn tên định danh (Voice Brandname) hợp lệ. Đồng thời, nhà mạng có trách nhiệm giám sát, phân tích phát hiện lưu lượng bất thường để kịp thời cảnh báo, tạm dừng hoặc chấm dứt cung cấp dịch vụ cho khách hàng có dấu hiệu phát tán cuộc gọi rác, lừa đảo, mạo danh.

Nếu không thực hiện đúng các nghĩa vụ kỹ thuật trên, nhà mạng sẽ bị phạt tiền từ 50 đến 70 triệu đồng và bị đình chỉ cung cấp dịch vụ SIP Trunk, VoIP từ 1 đến 3 tháng.

Song song với việc quản lý cuộc gọi tiếp thị, Nghị định 330/2026/NĐ-CP đưa ra các quy định cụ thể về bảo vệ dữ liệu cá nhân. Hành vi xử lý dữ liệu cá nhân khi chưa có sự đồng ý hợp lệ của chủ thể dữ liệu bị phạt từ 30 đến 50 triệu đồng. Mức phạt tăng lên 50 đến 70 triệu đồng nếu tổ chức, cá nhân tiếp tục xử lý dữ liệu sau khi người dùng đã yêu cầu dừng lại, hoặc mặc nhiên coi sự im lặng của khách hàng là sự đồng ý.

Để bảo đảm quyền lợi trực tiếp của người sử dụng, các tổ chức liên quan có trách nhiệm cung cấp công cụ, ứng dụng cho phép người dùng chủ động ngăn chặn và gửi phản ánh về cuộc gọi rác, tin nhắn rác. Doanh nghiệp vi phạm nghĩa vụ cung cấp công cụ phản ánh sẽ bị phạt từ 20 đến 30 triệu đồng. Ngoài ra, đơn vị thực hiện tiếp thị phải cung cấp công cụ tra cứu hoặc lưu trữ các thỏa thuận đăng ký, từ chối nhận quảng cáo nhằm phục vụ công tác thanh tra, kiểm tra và giải quyết khiếu nại theo quy định pháp luật.