Phạt gửi tin nhắn, email, gọi điện quảng cáo theo Nghị định 330/2026: doanh nghiệp cần tuân thủ gì
Doanh nghiệp bán lẻ, bất động sản, bảo hiểm, giáo dục thường dùng tin nhắn thương hiệu, email marketing và đội telesales để tìm khách. Từ ngày 19/8/2026, các hành vi sai quy định trong hoạt động này bị xử phạt theo Điều 37, Điều 38 Nghị định 330/2026/NĐ-CP về xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.
Mức phạt tại Điều 37 Nghị định 330/2026 là mức với cá nhân, từ 10 triệu đến 100 triệu đồng; doanh nghiệp vi phạm cùng hành vi chịu gấp 02 lần, tối đa 200 triệu đồng. Ba lỗi telesales và SMS marketing hay gặp: gửi, gọi khi chưa có sự đồng ý; vượt 03 tin nhắn hoặc 01 cuộc gọi tới một người trong 24 giờ; nhắn ngoài 07h-22h, gọi ngoài 08h-17h. Doanh nghiệp còn có thể bị đình chỉ tên định danh 01-03 tháng.
Căn cứ pháp lý & ngày rà soát: Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân, hiệu lực từ 19/8/2026, đăng Công báo số 498 ngày 04/9/2026 (Điều 3, 7, 37, 38, 80, 81). Rà soát ngày 02/10/2026.
Lưu ý: Nội dung mang tính tham khảo. Mức với tổ chức nêu ở các bảng là con số suy ra theo khoản 1 Điều 7 (gấp 02 lần mức cá nhân). Quy định gốc về đồng ý nhận quảng cáo, gắn nhãn, tên định danh nằm ở văn bản chuyên ngành, chưa được trình bày chi tiết. Ví dụ là tình huống tự lập.
Cách đọc mức phạt: cá nhân và tổ chức
Khoản 1 Điều 7 Nghị định 330/2026 quy định: mức phạt từ Mục 1 đến Mục 5 Chương II (lĩnh vực an ninh mạng) là mức áp dụng với cá nhân; tổ chức có cùng hành vi bị phạt gấp 02 lần. Điều 37 và Điều 38 nằm trong phần này. Mức tối đa là 100 triệu đồng với cá nhân và 200 triệu đồng với tổ chức (khoản 3 Điều 7).
Phần dữ liệu cá nhân của Nghị định này đi theo quy tắc ngược lại (mức ghi là mức tổ chức), xem bài bảo vệ dữ liệu cá nhân: checklist cho doanh nghiệp 2026. Thời hiệu xử phạt trong cả hai lĩnh vực là 01 năm (khoản 1 Điều 3). Một số ngành còn có quy định riêng về thu thập, truyền dữ liệu, ví dụ hình ảnh camera trên xe kinh doanh vận tải, xem bài thiết bị giám sát hành trình và camera xe theo Nghị định 319/2026.
Bảng mức phạt tin nhắn, email, cuộc gọi quảng cáo (Điều 37)
| Khoản | Hành vi tiêu biểu | Cá nhân (triệu đồng) | Tổ chức, suy ra x2 (triệu đồng) |
|---|---|---|---|
| 1 | Gửi email, tin nhắn quảng cáo khi chưa được đồng ý; gắn nhãn sai, thiếu; gọi quảng cáo khi chưa được đồng ý rõ ràng; gọi người đã không đồng ý; nhắn cho người đã từ chối | 10-20 | 20-40 |
| 2 | Không gắn nhãn; không lưu thông tin đăng ký, từ chối, xác nhận từ chối tối thiểu 01 năm; nhắn, gọi quảng cáo khi chưa có tên định danh hoặc dùng số điện thoại thường | 20-30 | 40-60 |
| 3 | Che giấu tên, địa chỉ khi gửi; quá 03 tin nhắn, 03 email hoặc 01 cuộc gọi tới một người trong 24 giờ; nhắn ngoài 07h-22h, gọi ngoài 08h-17h không có thỏa thuận; không kiểm tra sự đồng ý trước | 30-50 | 60-100 |
| 4 | Cuộc gọi quảng cáo không nêu họ tên, chức vụ người gọi, tên, địa chỉ đơn vị quảng cáo, hoặc giá cước với dịch vụ thu cước | 50-70 | 100-140 |
| 5 | Không có đủ hình thức từ chối nhận; phát tán thư rác, tin nhắn rác, thực hiện cuộc gọi rác; gửi tin đăng ký quảng cáo tới số trong Danh sách không quảng cáo; không lưu nhật ký, ghi âm cuộc gọi quảng cáo | 70-80 | 140-160 |
| 6 | Không có hệ thống tiếp nhận, xử lý yêu cầu từ chối; nhắn tin, gọi quảng cáo tới số trong Danh sách không quảng cáo | 80-90 | 160-180 |
| 7 | Không ngăn chặn, thu hồi số thuê bao phát tán tin nhắn rác, cuộc gọi rác | 90-100 | 180-200 |
Cột tổ chức là con số suy ra từ khoản 1 Điều 7. Một số hành vi tại khoản 3, 4, 7 (ngăn chặn tin rác, phối hợp điều phối) chủ yếu áp dụng với doanh nghiệp viễn thông, nhà cung cấp dịch vụ tin nhắn.
Phạt bổ sung và biện pháp khắc phục
| Biện pháp | Áp dụng với | Căn cứ |
|---|---|---|
| Đình chỉ cung cấp dịch vụ với khách hàng mới 01-03 tháng | Điểm c, d, e, h khoản 3; khoản 5 và khoản 6 | điểm a khoản 8 |
| Đình chỉ quyền sử dụng tên định danh 01-03 tháng | Điểm a, b khoản 2; điểm d, g, h, i, o khoản 3; điểm a, b khoản 5 | điểm b khoản 8 |
| Buộc thu hồi số điện thoại | Vi phạm tại khoản 1 | điểm c khoản 9 |
| Buộc thu hồi đầu số, kho số viễn thông | Điểm b, c khoản 4 và khoản 5 | điểm b khoản 9 |
Với doanh nghiệp làm SMS marketing, đình chỉ tên định danh (brandname) 01-03 tháng thường gây thiệt hại lớn hơn tiền phạt, vì kênh chăm sóc khách hàng cũng dừng theo.
Nghĩa vụ của đơn vị cung cấp dịch vụ email, tin nhắn (Điều 38)
Doanh nghiệp thuê nền tảng gửi email hoặc tin nhắn cần kiểm tra nhà cung cấp, vì Điều 38 phạt các trường hợp:
- Không có trang thông tin điện tử dùng tên miền quốc gia Việt Nam khi cung cấp dịch vụ gửi email quảng cáo, nhắn tin qua Internet: 5-10 triệu đồng (điểm a khoản 1).
- Gửi thông tin sản phẩm, dịch vụ bằng email mà máy chủ gửi không đặt tại Việt Nam; dịch vụ nhắn tin qua Internet có máy chủ không đặt tại Việt Nam: 20-30 triệu đồng (điểm a, b khoản 3).
- Cung cấp dịch vụ quảng cáo bằng email, tin nhắn không có hệ thống tiếp nhận, xử lý yêu cầu từ chối: 20-30 triệu đồng (điểm d khoản 3).
Các mức tại Điều 38 cũng là mức cá nhân; tổ chức gấp 02 lần theo khoản 1 Điều 7. Quy định về tên miền và website thương mại, xem bài mức phạt chữ ký số, website, tên miền theo Nghị định 174/2026. Nghĩa vụ an ninh mạng chung của doanh nghiệp, xem bài Luật An ninh mạng 2025: nghĩa vụ doanh nghiệp.
Ví dụ tự lập
Công ty bất động sản K thuê 10 nhân viên telesales gọi từ danh sách mua lại, gọi cả buổi tối đến 20h, mỗi khách gọi 2 lần trong ngày, không giới thiệu tên công ty. Khi bị kiểm tra, công ty không có hồ sơ đồng ý của khách.
| Hành vi | Căn cứ | Mức cá nhân | Mức tổ chức (suy ra) |
|---|---|---|---|
| Gọi quảng cáo khi chưa được đồng ý rõ ràng | điểm c khoản 1 | 10-20 triệu | 20-40 triệu |
| Gọi ngoài 08h-17h không có thỏa thuận | điểm o khoản 3 | 30-50 triệu | 60-100 triệu |
| Quá 01 cuộc gọi tới một số trong 24 giờ | điểm n khoản 3 | 30-50 triệu | 60-100 triệu |
| Cuộc gọi không nêu tên, địa chỉ đơn vị quảng cáo | điểm e khoản 4 | 50-70 triệu | 100-140 triệu |
Bảng chỉ liệt kê khung phạt của từng hành vi; việc xử phạt và mức cụ thể do người có thẩm quyền quyết định theo hồ sơ, tình tiết vụ việc. Công ty còn có thể bị buộc thu hồi số điện thoại dùng để gọi (điểm c khoản 9). Nguồn danh sách mua lại còn có rủi ro riêng về dữ liệu cá nhân.
Checklist cho bộ phận marketing, telesales
- Chỉ nhắn, gọi, gửi email quảng cáo cho người đã đồng ý; lưu bằng chứng đồng ý.
- Lưu thông tin đăng ký, từ chối và xác nhận từ chối ít nhất 01 năm.
- Dùng tên định danh đã được cấp; không dùng số di động thường để nhắn, gọi quảng cáo.
- Cài giới hạn: tối đa 03 tin nhắn, 03 email hoặc 01 cuộc gọi tới một người trong 24 giờ.
- Khung giờ: nhắn từ 07h đến 22h, gọi từ 08h đến 17h, trừ khi có thỏa thuận với khách.
- Kịch bản gọi: nêu họ tên, chức vụ người gọi, tên, địa chỉ công ty trước nội dung quảng cáo.
- Đối chiếu Danh sách không quảng cáo trước mỗi chiến dịch.
- Gắn nhãn email, tin nhắn quảng cáo đúng quy định; có đủ cách từ chối nhận.
- Chọn nhà cung cấp email, SMS có máy chủ đặt tại Việt Nam và hệ thống xử lý từ chối.
Câu hỏi thường gặp
Mức phạt trong Điều 37 Nghị định 330/2026 áp dụng cho ai?
Là mức với cá nhân. Tổ chức có cùng hành vi bị phạt gấp 02 lần (khoản 1 Điều 7), tối đa 200 triệu đồng (khoản 3 Điều 7).
Được gửi bao nhiêu tin nhắn quảng cáo cho một khách trong ngày?
Không quá 03 tin nhắn tới 01 số điện thoại trong 24 giờ, trừ khi có thỏa thuận khác với người dùng. Vượt mức bị phạt cá nhân 30-50 triệu đồng (điểm n khoản 3 Điều 37).
Gọi điện quảng cáo trong khung giờ nào?
Từ 08h đến 17h mỗi ngày; tin nhắn quảng cáo từ 07h đến 22h. Ngoài khung giờ mà không có thỏa thuận thì bị phạt cá nhân 30-50 triệu đồng (điểm o khoản 3 Điều 37).
Gọi vào số trong Danh sách không quảng cáo bị phạt bao nhiêu?
Cá nhân 80-90 triệu đồng (điểm b khoản 6 Điều 37); tổ chức gấp 02 lần, tức 160-180 triệu đồng (suy ra theo khoản 1 Điều 7).
Có bị đình chỉ tên định danh không?
Có thể bị đình chỉ quyền sử dụng tên định danh từ 01 đến 03 tháng với các hành vi như không gắn nhãn, không lưu thông tin từ chối, nhắn tin ngoài khung giờ (điểm b khoản 8 Điều 37).
Nghị định 330/2026 có hiệu lực từ ngày nào?
Từ ngày 19/8/2026 (Điều 80). Hành vi xảy ra trước đó áp dụng nghị định có hiệu lực tại thời điểm vi phạm, trừ khi nghị định mới nhẹ hơn (khoản 1 Điều 81).
Thời hiệu xử phạt là bao lâu?
01 năm trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (khoản 1 Điều 3).