"Phạt tới 5% doanh thu" theo PDPL nghĩa là gì

Con số "phạt tới 5% doanh thu" xuất hiện gần như mỗi khi ai đó nói về Luật Bảo vệ dữ liệu cá nhân (PDPL). Nó gây ấn tượng mạnh, nên cũng dễ bị hiểu sai. Cách hiểu phổ biến nhất, và cũng là cách sai nhất, là nghĩ rằng bất kỳ vi phạm nào về dữ liệu cá nhân cũng bị phạt 5% doanh thu. Không phải vậy. Mức trần 5% chỉ dành cho một nhóm vi phạm rất cụ thể. Hiểu đúng chỗ này giúp doanh nghiệp phân bổ nguồn lực đúng chỗ, thay vì vừa hoang mang vừa làm sai trọng tâm.

Khung pháp lý ở đây là Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ 1/1/2026, với các mức trần xử phạt hành chính quy định tại Điều 8 của Luật, và Nghị định 356/2025/NĐ-CP hướng dẫn thi hành. Điều quan trọng cần nắm ngay từ đầu: Điều 8 không đặt một mức phạt duy nhất cho mọi hành vi, mà chia mức tối đa thành nhiều nhóm khác nhau tùy tính chất vi phạm.

Mức 5% thực chất áp cho cái gì

Mức phạt tiền tối đa bằng 5% doanh thu năm trước liền kề của tổ chức chỉ áp dụng cho hành vi vi phạm quy định về chuyển dữ liệu cá nhân ra nước ngoài (chuyển dữ liệu xuyên biên giới). Đây là nhóm duy nhất mà chế tài được tính theo phần trăm doanh thu. Các nhóm vi phạm khác có cách tính hoàn toàn khác, và phần lớn không hề chạm tới con số 5%.

Vì sao lại là chuyển xuyên biên giới? Vì đây là nhóm hành vi mà nhà nước đánh giá rủi ro cao nhất: khi dữ liệu cá nhân của người ở Việt Nam rời khỏi lãnh thổ, khả năng kiểm soát, thu hồi và bảo vệ dữ liệu của cả doanh nghiệp lẫn cơ quan quản lý đều giảm mạnh. Gắn chế tài với quy mô doanh thu là cách để mức phạt đủ sức răn đe với cả doanh nghiệp lớn, tương tự tinh thần của GDPR châu Âu. Một khoản phạt cố định vài tỷ đồng có thể không đáng kể với một tập đoàn, nhưng 5% doanh thu thì luôn đáng kể.

Các mức phạt thật sự được chia thế nào

Để thấy rõ vị trí của con số 5%, cần nhìn toàn bộ cấu trúc mức trần theo Điều 8. Luật phân biệt ít nhất ba nhóm.

Mua bán dữ liệu cá nhân. Đây là hành vi bị coi là nghiêm trọng về bản chất, và mức phạt tối đa được tính bằng 10 lần khoản thu có được từ hành vi vi phạm. Cách tính này nhắm thẳng vào động cơ trục lợi: càng kiếm được nhiều từ việc mua bán dữ liệu thì mức phạt càng lớn.

Chuyển dữ liệu cá nhân ra nước ngoài. Nhóm này, như đã nói, chịu mức tối đa bằng 5% doanh thu năm trước liền kề của tổ chức. Đây là nhóm duy nhất tính theo doanh thu.

Các vi phạm khác. Toàn bộ những vi phạm còn lại, chẳng hạn thiếu hồ sơ đánh giá tác động, xin đồng ý không đúng cách, chậm phản hồi yêu cầu của chủ thể dữ liệu, không chỉ định nhân sự bảo vệ dữ liệu, chịu mức phạt tối đa cố định 3 tỷ đồng, không phải theo phần trăm doanh thu.

Ngoài ra, cá nhân vi phạm cùng một hành vi chịu mức tối đa bằng một phần hai mức áp dụng cho tổ chức. Cần nhấn mạnh: đây là các mức trần do Luật ấn định, tức là giới hạn cao nhất. Mức phạt cụ thể cho từng hành vi sẽ do nghị định về xử phạt vi phạm hành chính quy định chi tiết, và doanh nghiệp nên theo dõi văn bản chính thức khi được ban hành để biết khung áp dụng thực tế cho từng lỗi.

Nói cách khác, phần lớn các lỗi tuân thủ hằng ngày không rơi vào nhóm 5%. Chúng nằm ở nhóm trần 3 tỷ đồng. Con số 5% được nhắc nhiều không phải vì nó phổ biến, mà vì nó là mức nặng nhất và dễ gây chú ý nhất.

Vì sao chuyển xuyên biên giới bị xử lý nặng nhất

Đáng chú ý là rất nhiều doanh nghiệp đang chuyển dữ liệu ra nước ngoài mà không nhận ra. Chuyển dữ liệu xuyên biên giới không chỉ là hành động gửi một tệp ra ngoài. Việc lưu trữ và xử lý dữ liệu cá nhân của người ở Việt Nam trên hệ thống đặt ngoài lãnh thổ cũng được xem là chuyển dữ liệu ra nước ngoài. Điều đó có nghĩa là khi bạn dùng một phần mềm SaaS, một dịch vụ cloud hay một công cụ AI có hạ tầng đặt ở nước ngoài để xử lý dữ liệu khách hàng, nhân viên hay đối tác, bạn đã phát sinh nghĩa vụ về chuyển dữ liệu xuyên biên giới, kể cả khi không hề chủ động "gửi" gì cả.

Đây là lý do nhóm vi phạm này vừa nặng nhất về chế tài, vừa dễ mắc nhất trên thực tế. Rủi ro thường ẩn trong các phần mềm bên thứ ba mà doanh nghiệp đã quen dùng. Chi tiết về nghĩa vụ hồ sơ, thủ tục nộp và cách nhận diện luồng dữ liệu ra nước ngoài được trình bày trong bài chuyển dữ liệu cá nhân ra nước ngoài: hồ sơ, thủ tục và mức phạt.

Vì sao đây là việc của ban lãnh đạo

Khi chế tài nặng nhất được tính theo phần trăm doanh thu, rủi ro tuân thủ không còn nằm gọn trong bộ phận IT. Một quyết định tưởng chừng thuần kỹ thuật, chẳng hạn chọn một nền tảng đám mây nước ngoài vì tiện và rẻ, có thể kéo theo nghĩa vụ pháp lý gắn trực tiếp với kết quả kinh doanh. Phạt hành chính cũng chỉ là một phần: bên cạnh đó còn có biện pháp khắc phục hậu quả, chi phí xử lý sự cố và ảnh hưởng tới uy tín thương hiệu. Đó là lý do tuân thủ PDPL cần được nhìn ở cấp quản trị, gắn với quyết định về hạ tầng và lựa chọn nhà cung cấp, chứ không chỉ là việc kỹ thuật giao hết cho phòng công nghệ.

Doanh nghiệp nên làm gì

Vì mức phạt nặng nhất gắn với chuyển dữ liệu ra nước ngoài, hướng giảm rủi ro hiệu quả nhất là thu hẹp chính phần đó.

Rà soát để biết dữ liệu đang ở đâu. Lập danh mục các hệ thống đang xử lý dữ liệu cá nhân và đánh dấu hệ thống nào chạy trong nước, hệ thống nào dùng nền tảng đặt ngoài lãnh thổ. Đây là bước khó nhất nhưng cũng quan trọng nhất, vì nhiều luồng dữ liệu ra nước ngoài nằm ẩn trong phần mềm bên thứ ba.

Hạn chế chuyển dữ liệu khi không thật sự cần. Mỗi hệ thống đưa được về hạ tầng trong nước là một hồ sơ đánh giá tác động chuyển dữ liệu không phải lập và một nhóm rủi ro không phải quản lý.

Ưu tiên phương án on-premise hoặc lưu trữ trong nước với dữ liệu nhạy cảm. Khi phần mềm và dữ liệu chạy on-premise hoặc trên hạ tầng trong nước, phần đó không phát sinh nghĩa vụ chuyển xuyên biên giới, đồng thời cũng dễ chứng minh khả năng kiểm soát khi bị kiểm tra.

Hoàn thành các bước nền tảng. Những việc như lập danh mục dữ liệu, chuẩn hóa cách xin đồng ý, chỉ định nhân sự bảo vệ dữ liệu và quy trình phản hồi chủ thể dữ liệu được liệt kê chi tiết trong checklist tuân thủ PDPL cho doanh nghiệp.

Về công cụ, Tetra eOffice và Manta Security chạy on-premise, hỗ trợ phân quyền theo vai trò, nhật ký truy cập và giữ dữ liệu trong hệ thống của bạn, giúp giảm phần dữ liệu phải chuyển ra ngoài và dễ chứng minh khả năng kiểm soát hơn.

Chốt lại

Con số 5% là có thật, nhưng nó không áp cho mọi vi phạm. Nó là mức trần dành riêng cho vi phạm về chuyển dữ liệu cá nhân ra nước ngoài, nhóm rủi ro tài chính lớn nhất theo Điều 8. Phần lớn lỗi tuân thủ hằng ngày nằm ở nhóm trần 3 tỷ đồng, còn hành vi mua bán dữ liệu tính theo bội số khoản thu bất chính. Hiểu đúng cấu trúc này cho phép doanh nghiệp làm đúng thứ tự: kiểm soát dòng dữ liệu ra ngoài lãnh thổ trước, rồi mới đến các phần còn lại. Cần rà soát hiện trạng và dựng lộ trình, hãy đặt lịch tư vấn.

Lưu ý: bài viết mang tính tham khảo, không thay thế tư vấn pháp lý; doanh nghiệp nên đối chiếu văn bản luật hiện hành và ý kiến chuyên gia pháp chế.