Biên soạn: Đội tư vấn Oracle NetSuite, S4 Consulting · Cập nhật: 04/11/2026
Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu, ban hành ngày 19/9/2026 và có hiệu lực từ ngày 11/11/2026. Văn bản áp dụng cho cả doanh nghiệp thành lập theo Luật Doanh nghiệp, không chỉ cơ quan nhà nước. Với ban điều hành đang cho nhân viên kết nối ChatGPT, Claude hay Copilot vào ERP, ba nhóm quy định cần đọc kỹ là truy cập, truy xuất dữ liệu (Điều 12), kết nối, chia sẻ dữ liệu (Điều 13) và phân tích, tổng hợp dữ liệu (Điều 14). Bài viết tóm tắt các điểm này theo toàn văn Nghị định, giải thích vì sao báo chí đưa mức phạt khác nhau và gợi ý những việc nên làm trước ngày hiệu lực.
Nghị định 363/2026 áp dụng cho ai và từ khi nào?
Nghị định 363/2026 áp dụng cho cơ quan, tổ chức, cá nhân Việt Nam và tổ chức, cá nhân nước ngoài có hoạt động dữ liệu tại Việt Nam, có hiệu lực từ ngày 11/11/2026 (Điều 2, Điều 34). Trong nhóm tổ chức bị xử phạt, Điều 2 khoản 2 nêu rõ tổ chức thành lập theo Luật Doanh nghiệp, Luật Hợp tác xã, Luật Các tổ chức tín dụng và Luật Đầu tư. Nghị định được ban hành trên cơ sở Luật Dữ liệu số 60/2024/QH15, theo đề nghị của Bộ trưởng Bộ Công an.
Hai điểm phạm vi cần lưu ý. Thứ nhất, Nghị định không điều chỉnh các hành vi thuộc phạm vi của nghị định xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân (Điều 1 khoản 2), nên vi phạm liên quan dữ liệu cá nhân của nhân viên, khách hàng được xử lý theo văn bản riêng. Thứ hai, thời hiệu xử phạt là 01 năm (Điều 3), và hành vi bắt đầu trước ngày 11/11/2026 nhưng vẫn tiếp diễn sau đó sẽ áp dụng Nghị định này (Điều 35 khoản 1). Một tài khoản dùng chung đang mở cho công cụ AI, nếu vẫn tiếp tục dùng sau ngày hiệu lực, thuộc trường hợp thứ hai.
Khi làm việc với các kết nối AI trên Oracle NetSuite, đội S4 nhận thấy phần việc tốn thời gian nhất không phải cấu hình kỹ thuật mà là thống nhất vai trò nào được xem dữ liệu gì. Doanh nghiệp đã có ma trận phân quyền rõ ràng thường hoàn tất việc rà soát này nhanh hơn nhiều.
Mức phạt theo Nghị định 363/2026 là 40 hay 60 triệu đồng?
Cả hai con số đều có trong Nghị định, nhưng thuộc các hành vi khác nhau và đều là mức áp dụng cho cá nhân. Điều 6 quy định mức phạt tối đa đối với cá nhân là 100 triệu đồng; mức phạt tại Chương II là mức cho cá nhân, mức phạt đối với tổ chức bằng 02 lần, trừ một số điều đã ghi sẵn mức cho tổ chức (điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16). Khung 40-60 triệu đồng là khung của Điều 7 khoản 1 (ví dụ cố ý cung cấp dữ liệu sai lệch theo yêu cầu của cơ quan có thẩm quyền) và Điều 12 khoản 3 (cố ý truy cập dữ liệu ngoài phạm vi được cấp quyền). Doanh nghiệp vi phạm cùng hành vi sẽ chịu khung gấp đôi, tức 80-120 triệu đồng. Sự khác biệt giữa các bài báo phần lớn đến từ việc trích khung cá nhân hay khung tổ chức, hoặc trích các điều khác nhau.
Bảng dưới đây tóm tắt các hành vi gần nhất với việc dùng AI trên dữ liệu ERP, theo toàn văn Nghị định.
| Hành vi | Căn cứ | Cá nhân | Tổ chức |
|---|---|---|---|
| Phân quyền không đúng quy trình, không phê duyệt; không ghi nhật ký truy cập; không kiểm tra định kỳ phân quyền và nhật ký | Điều 12 khoản 1 | Cảnh cáo | Cảnh cáo |
| Cấp quyền ngoài đối tượng, phạm vi, mục đích; dùng hoặc cho người khác dùng tài khoản, khóa truy cập; xóa, sửa nhật ký | Điều 12 khoản 2 | 20-40 triệu | 40-80 triệu |
| Cố ý truy cập ngoài phạm vi được cấp quyền; truy cập trái phép dữ liệu cốt lõi, dữ liệu quan trọng | Điều 12 khoản 3 | 40-60 triệu | 80-120 triệu |
| Chia sẻ, cung cấp dữ liệu ngoài phạm vi, mục đích theo hợp đồng, thỏa thuận hoặc phạm vi phân quyền | Điều 13 khoản 1 | 20-40 triệu | 40-80 triệu |
| Chia sẻ dữ liệu qua kênh không an toàn, không mã hóa, không kiểm soát | Điều 13 khoản 2 | Không áp dụng | 60-80 triệu (mức cho tổ chức) |
| Dùng kết nối dữ liệu, API để thu thập, sao chép, trích xuất dữ liệu trái phép | Điều 13 khoản 3 | 80-100 triệu | 160-200 triệu |
| Phân tích, tổng hợp dữ liệu vượt phạm vi, khối lượng được phép theo phân quyền hoặc hợp đồng | Điều 14 khoản 1 | 20-40 triệu | 40-80 triệu |
| Không phân loại dữ liệu; không rà soát kết quả phân loại khi thay đổi mục đích xử lý | Điều 9 khoản 1 | Không áp dụng | 30-50 triệu (mức cho tổ chức) |
Ngoài tiền phạt, nhiều hành vi kèm hình thức xử phạt bổ sung như đình chỉ hoạt động kết nối, chia sẻ, khai thác dữ liệu từ 01 đến 06 tháng (Điều 13 khoản 4, Điều 14 khoản 4), và biện pháp khắc phục như buộc thu hồi, khóa tài khoản, mã truy cập đã cấp sai quy định (Điều 12 khoản 5). Với một doanh nghiệp đang vận hành bằng ERP, bị đình chỉ khai thác dữ liệu đáng lo hơn số tiền phạt.
Khi AI đọc dữ liệu ERP, rủi ro nằm ở đâu?
Rủi ro thường không nằm ở công cụ AI, mà ở cách cấp quyền và cách dữ liệu đi ra khỏi hệ thống. Theo kinh nghiệm của chúng tôi khi làm việc với các kết nối AI trên ERP, có bốn tình huống dễ chạm vào các điều khoản trên:
- Dùng chung tài khoản hoặc khóa truy cập. Một tài khoản quản trị được dùng để kết nối công cụ AI cho cả phòng, hoặc một khóa API được chia cho nhiều người, đều là hành vi nêu tại Điều 12 khoản 2 điểm b, c.
- Vai trò quá rộng. Vai trò gán cho kết nối AI có quyền xem toàn bộ sổ cái, bảng lương, giá vốn, trong khi người dùng chỉ cần công nợ phải thu. Đây là cấp quyền ngoài phạm vi, mục đích (Điều 12 khoản 2 điểm a) và có thể dẫn đến phân tích vượt phạm vi phân quyền (Điều 14 khoản 1 điểm c).
- Không có nhật ký hoặc không ai xem nhật ký. Không ghi nhật ký truy cập và không kiểm tra định kỳ đều bị xử phạt cảnh cáo (Điều 12 khoản 1). Mức nhẹ, nhưng đây là bằng chứng đầu tiên cơ quan chức năng sẽ hỏi khi có sự cố.
- Đưa dữ liệu ra ngoài phạm vi đã thỏa thuận. Sao chép báo cáo từ ERP để dán vào một dịch vụ AI mà hợp đồng với khách hàng, đối tác không cho phép, cần được xem xét theo Điều 13 khoản 1 điểm b. Việc có vi phạm hay không phụ thuộc vào nội dung hợp đồng, thỏa thuận và phân loại dữ liệu cụ thể, nên doanh nghiệp nên hỏi ý kiến pháp lý cho từng trường hợp.
Các quy định nặng hơn về dữ liệu cốt lõi, dữ liệu quan trọng (ví dụ lưu trữ trên nền tảng đặt ngoài lãnh thổ Việt Nam trái quy định tại Điều 10 khoản 2) chỉ áp dụng cho dữ liệu được xác định là cốt lõi hoặc quan trọng theo pháp luật về dữ liệu. Phần lớn dữ liệu kế toán, bán hàng thông thường của doanh nghiệp không tự động thuộc nhóm này, nhưng việc phân loại là nghĩa vụ của tổ chức (Điều 9).
Phân quyền và nhật ký trên Oracle NetSuite hỗ trợ được gì?
Trên Oracle NetSuite, các kết nối AI qua NetSuite AI Connector Service chạy theo vai trò người dùng chọn khi đăng nhập OAuth 2.0, không dùng được vai trò Administrator, và có nhật ký thực thi (Execution Log) cho từng lần gọi. Nhờ vậy, ba yêu cầu cốt lõi của Điều 12 có điểm tựa kỹ thuật: mỗi người một tài khoản, vai trò riêng cho AI đúng phạm vi công việc, và nhật ký truy xuất được. Tuy nhiên, theo tài liệu của Oracle, nhật ký này lưu 21 ngày trên môi trường production, ngắn hơn chính sách lưu trữ của nhiều doanh nghiệp, nên cần quy trình xuất và lưu định kỳ nếu muốn dùng làm bằng chứng kiểm tra.
Chúng tôi đã trình bày cách cấu hình vai trò riêng và kiểm soát rủi ro trong bài kết nối Claude, ChatGPT với Oracle NetSuite an toàn. Góc nhìn quản trị rủi ro dành cho CEO có ở bài CEO duyệt dự án AI trên ERP, còn câu hỏi nên cho nhân viên tự cài ChatGPT hay không được bàn trong bài ChatGPT kết nối ERP: CEO cần quyết định gì. Với phòng tài chính, bài AI đọc dữ liệu tài chính trên NetSuite: CFO kiểm soát thế nào đi sâu hơn vào phân quyền theo nhóm dữ liệu.
Tìm hiểu Oracle NetSuite cùng S4 Consulting
S4 Consulting là nhà tư vấn Oracle NetSuite tại Việt Nam, đồng hành cùng doanh nghiệp vừa và lớn từ lựa chọn giải pháp, triển khai đến bản địa hóa theo quy định Việt Nam.
CEO nên yêu cầu những gì trước ngày 11/11/2026?
Trước ngày Nghị định 363/2026 có hiệu lực, ban điều hành nên giao một đầu mối rà soát nhanh bảy việc sau. Đây không phải danh sách đầy đủ theo pháp luật về dữ liệu, mà là những việc thực tế nhất với doanh nghiệp đang dùng ERP và công cụ AI:
- Ban hành quy chế nội bộ về sử dụng AI với dữ liệu doanh nghiệp: công cụ nào được dùng, dữ liệu nào được đưa vào, ai phê duyệt.
- Phân loại dữ liệu trong ERP theo mức độ nhạy cảm và rà soát lại khi mục đích sử dụng thay đổi, ví dụ khi bắt đầu cho AI phân tích.
- Tạo vai trò riêng cho kết nối AI, chỉ cấp quyền cần thiết cho công việc, có người phê duyệt và rà soát định kỳ.
- Chấm dứt việc dùng chung tài khoản, khóa truy cập; mỗi người kết nối bằng tài khoản của mình.
- Bật và lưu nhật ký truy cập, phân công người xem nhật ký theo lịch.
- Quy định kênh được phép chia sẻ dữ liệu ra ngoài hệ thống, ưu tiên kênh có mã hóa và kiểm soát.
- Rà soát hợp đồng với khách hàng, đối tác về phạm vi sử dụng dữ liệu trước khi đưa dữ liệu đó vào công cụ AI.
Bài viết tóm tắt theo toàn văn Nghị định 363/2026/NĐ-CP để doanh nghiệp tham khảo, không thay thế ý kiến tư vấn pháp lý cho từng trường hợp cụ thể.
Câu hỏi thường gặp
Nghị định 363/2026 có hiệu lực từ ngày nào?
Nghị định 363/2026/NĐ-CP ban hành ngày 19/9/2026 và có hiệu lực thi hành từ ngày 11/11/2026 (Điều 34).
Doanh nghiệp có bị xử phạt theo Nghị định 363/2026 không?
Có. Điều 2 khoản 2 liệt kê tổ chức thành lập theo Luật Doanh nghiệp, Luật Hợp tác xã, Luật Các tổ chức tín dụng, Luật Đầu tư là đối tượng bị xử phạt. Mức phạt tổ chức bằng 02 lần mức cá nhân, trừ các điều đã ghi mức cho tổ chức.
Mức phạt tối đa theo Nghị định 363/2026 là bao nhiêu?
Mức phạt tiền tối đa đối với cá nhân là 100 triệu đồng (Điều 6 khoản 1); với tổ chức, mức tối đa tương ứng là 200 triệu đồng do được nhân 02 lần.
Dùng chung tài khoản để kết nối AI vào ERP bị phạt thế nào?
Sử dụng tài khoản, khóa truy cập của người khác hoặc cho người khác sử dụng để truy cập dữ liệu bị phạt 20-40 triệu đồng với cá nhân (Điều 12 khoản 2), tổ chức gấp đôi, kèm biện pháp buộc thu hồi, khóa tài khoản.
Vi phạm về dữ liệu cá nhân có xử lý theo Nghị định 363/2026 không?
Không. Điều 1 khoản 2 loại trừ các hành vi thuộc phạm vi nghị định xử phạt về an ninh mạng và bảo vệ dữ liệu cá nhân; các hành vi này xử lý theo văn bản riêng.
Nguồn tham khảo
- Thư viện Pháp luật - Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu
- LuatVietnam - Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu
- Oracle NetSuite Help - Associated Risks, Controls, and Mitigation Strategies (NetSuite AI Connector Service)
- Oracle NetSuite Help - NetSuite AI Connector Service FAQ