Chế tài khi vi phạm về xử lý dữ liệu cá nhân của trường học

Trong môi trường giáo dục hiện đại, các trường học thường xuyên phải thu thập, lưu trữ và xử lý một lượng lớn dữ liệu cá nhân bao gồm thông tin hành chính, kết quả học tập, sức khỏe định kỳ của học sinh cho đến hình ảnh từ hệ thống camera an ninh và thông tin nhân sự của giáo viên. Tuy nhiên, việc quản lý khối lượng dữ liệu khổng lồ này lại đi kèm với những yêu cầu pháp lý vô cùng nghiêm ngặt.

Cùng Luật Kỳ Vọng Việt tìm hiểu chi tiết các quy định và mức phạt pháp lý đối với trường học khi xử lý dữ liệu cá nhân trong bài viết dưới đây.

1. Dữ liệu cá nhân Trường học xử lý

Căn cứ pháp lý: Khoản 1, 2, 3 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025

(1) Dữ liệu cá nhân là dữ liệu số hoặc thông tin xác định hoặc giúp xác định một con người cụ thể, bao gồm dữ liệu cá nhân cơ bản và dữ liệu cá nhân nhạy cảm

• Dữ liệu cá nhân cơ bản: thông tin cá nhân (họ tên, ngày sinh, số điện thoại,…)
• Dữ liệu cá nhân nhạy cảm (gắn liền với quyền riêng tư của cá nhân): kết quả kiểm tra sức khỏe định kỳ, hồ sơ bệnh án; hình ảnh giám sát từ camera an ninh, dữ liệu vân tay, khuôn mặt,…

(2) Chủ thể dữ liệu cá nhân là người được dữ liệu cá nhân phản ánh. Đối với Trường học Chủ thể dữ liệu cá nhân bao gồm: nhân viên, giáo viên, phụ huynh, người giám hộ, học sinh…

2. Hành vi xử lý dữ liệu cá nhân của trường học

Căn cứ pháp lý: Khoản 6 Điều 2 Luật Bảo vệ dữ liệu cá nhân 2025

Xử lý dữ liệu cá nhân là hoạt động tác động đến dữ liệu cá nhân, bao gồm một hoặc nhiều hoạt động như sau: thu thập, phân tích, tổng hợp, mã hóa, giải mã, chỉnh sửa, xóa, hủy, khử nhận dạng, cung cấp, công khai, chuyển giao dữ liệu cá nhân và hoạt động khác tác động đến dữ liệu cá nhân.

3. Trách nhiệm bảo vệ dữ liệu cá nhân của Trường học

Căn cứ pháp lý: Khoản 2 Điều 20, Khoản 2 Điều 21, Khoản 2 Điều 24 Luật Bảo vệ dữ liệu cá nhân 2025

1. Xin sự đồng ý của phụ huynh, học sinh trên 07 tuổi; người lao động; ứng viên trước khi xử lý dữ liệu cá nhân, chuyển dữ liệu cá nhân ra nước ngoài
2. Xây dựng quy trình, chính sách, biểu mẫu xử lý dữ liệu cá nhân
3. Áp dụng các biện pháp kỹ thuật cần thiết để bảo vệ dữ liệu cá nhân
4. Thực hiện đánh giá tác động xử lý dữ liệu cá nhân. Trường học có trách nhiệm lập, lưu trữ, và gửi 01 bản chính hồ sơ đánh giá tác động cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) trong thời gian 60 ngày. Bên cạnh đó, hồ sơ này cần được cập nhật định kỳ 06 tháng khi có sự thay đổi.
5. Chuyển dữ liệu cá nhân ra nước ngoài. Nếu có dữ liệu chuyển ra nước ngoài, Trường học có trách nhiệm lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới và gửi 01 bản chính cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời gian 60 ngày sau khi chuyển dữ liệu.

4. Hậu quả pháp lý của hành vi vi phạm về bảo vệ dữ liệu cá nhân

4.1. Vi phạm sự đồng ý

Căn cứ pháp lý:Điều 43 Nghị định 330/2026/NĐ-CP

(1) Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

1. Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác;
2. Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó;
3. Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân;
4. Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý;
5. Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ;
6. Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân;
7. Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền;
8. Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

(2) Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

1. Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản;
2. Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.

(3) Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại điểm a, c khoản 1, khoản 2 Điều này.

(4) Biện pháp khắc phục hậu quả:

1. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân thu thập, xử lý khi không có sự đồng ý hợp lệ đối với hành vi vi phạm tại điểm a, c khoản 1 và khoản 2 Điều này;
2. Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

4.2. Vi phạm về việc đánh giá tác động

Căn cứ pháp lý: Điều 55 Nghị định 330/2026/NĐ-CP

(1) Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

1. Bắt đầu các hoạt động xử lý dữ liệu cá nhân nhưng không lập, không duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại trụ sở doanh nghiệp theo quy định tại Điều 21 Luật Bảo vệ dữ liệu cá nhân;
2. Không gửi 01 bản chính Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (theo mẫu quy định tại Phụ lục Nghị định 356/2025/NĐ-CP) cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân;
3. Cố ý không hoàn thiện hồ sơ đánh giá tác động theo yêu cầu của cơ quan chuyên trách trong trường hợp hồ sơ chưa đầy đủ, đúng quy định;
4. Không cập nhật định kỳ 06 tháng đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi có sự thay đổi theo quy định pháp luật;
5. Không cập nhật hồ sơ trong thời hạn 10 ngày khi thuộc một trong các trường hợp phải cập nhật theo quy định của pháp luật.

(2) Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi cố tình làm giả số liệu, cung cấp sai lệch thông tin trong Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ khi có văn bản yêu cầu khắc phục từ Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an).

(3) Biện pháp khắc phục hậu quả:

1. Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo đúng quy định, cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1 Điều này;
2. Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm tại điểm a khoản 1 Điều này.

4.3. Vi phạm về xây dựng quy trình, chính sách, biểu mẫu

Căn cứ pháp lý: Khoản 1 Điều 44 Nghị định 330/2026/NĐ-CP

Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi sau: 

1. Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân; 
2. Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ chức để thực hiện quyền của chủ thể dữ liệu cá nhân; 
3. Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại Luật Bảo vệ dữ liệu cá nhân; 
4. Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ; 
5. Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân.

4.4. Vi phạm về chuyển dữ liệu cá nhân xuyên biên giới

Căn cứ pháp lý: Điều 56 Nghị định 330/2026/NĐ-CP

(1) Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

1. Không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trước hoặc trong thời gian tiến hành chuyển dữ liệu;
2. Không nộp 01 bản chính hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu;
3. Không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 30 ngày kể từ khi nhận được yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
4. Không cập nhật định kỳ hoặc không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi có thay đổi theo quy định pháp luật;
5. Không duy trì hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
6. Không thông báo thông tin và chi tiết liên lạc của tổ chức, cá nhân phụ trách bảo vệ dữ liệu cá nhân phía bên nhận dữ liệu sau khi hoàn tất việc chuyển dữ liệu cá nhân xuyên biên giới;
7. Không có cơ chế kiểm soát hoặc không yêu cầu bên nhận dữ liệu xuyên biên giới tuân thủ quy trình khi chuyển tiếp dữ liệu cá nhân cho bên thứ ba khác, dẫn đến việc dữ liệu cá nhân của công dân Việt Nam được xử lý ngoài phạm vi đã khai báo trong hồ sơ đánh giá tác động.

(2) Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

1. Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận dữ liệu xuyên biên giới, không xác định rõ trách nhiệm thực hiện quyền của chủ thể dữ liệu cá nhân sau khi dữ liệu được chuyển;
2. Không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích chuyển dữ liệu xuyên biên giới hoặc không thông báo cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý;
3. Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển dữ liệu cá nhân xuyên biên giới hoặc không có phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển;
4. Không phối hợp hoặc cản trở hoạt động kiểm tra hoạt động chuyển dữ liệu xuyên biên giới của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;
5. Tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển dữ liệu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân; e) Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và không yêu cầu bên nhận dữ liệu xuyên biên giới dừng xử lý, ngăn chặn thiệt hại khi phát hiện bên nhận xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu cá nhân.

(3) Phạt tiền theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức thực hiện chuyển dữ liệu cá nhân xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai báo sai về dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân, hoặc tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng của cơ quan chuyên trách bảo vệ dữ liệu cá nhân, cụ thể như sau:

1. Phạt tiền từ 1% đến 2% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
2. Phạt tiền từ 2% đến 3% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
3. Phạt tiền từ 3% đến 5% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

(4) Trường hợp tổ chức vi phạm quy định tại khoản 3 Điều này không có doanh thu phát sinh tại thị trường Việt Nam trong năm tài chính liền trước hoặc mức phạt tính theo tỷ lệ phần trăm doanh thu tại từng điểm thấp hơn 3.000.000.000 đồng thì áp dụng mức phạt tiền như sau:

1. Phạt tiền từ 200.000.000 đồng đến 500.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
2. Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;
3. Phạt tiền từ 1.000.000.000 đồng đến 3.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

(5) Hình thức xử phạt bổ sung:

1. Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;
2. Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

(6) Biện pháp khắc phục hậu quả:

1. Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới đúng quy định đối với hành vi vi phạm quy định tại khoản 1 Điều này;
2. Buộc ngừng việc chuyển dữ liệu cá nhân xuyên biên giới cho đến khi hoàn thành đầy đủ nghĩa vụ hồ sơ và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm quy định tại điểm a, b khoản 1 và điểm a, b khoản 2 Điều này;
3. Buộc yêu cầu bên nhận dữ liệu xuyên biên giới hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã chuyển trái quy định; cung cấp bằng chứng bên nhận đã thực hiện việc hủy, xóa cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;
4. Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này. Hành vi vi phạm có thể bị xử phạt hành chính, truy cứu trách nhiệm hình sự tùy tính chất, mức độ… vi phạm. Nếu gây thiệt hại thì phải bồi thường theo quy định của pháp luật.

Kết luận

Hoạt động quản lý và vận hành trong môi trường giáo dục không chỉ đơn thuần là truyền đạt tri thức mà còn gắn liền với nghĩa vụ pháp lý đặc biệt quan trọng trong việc bảo vệ dữ liệu cá nhân của học sinh, phụ huynh và giáo viên. Do đó, việc chủ động rà soát, chuẩn hóa toàn bộ hệ thống quản lý dữ liệu là yêu cầu cấp thiết và sống còn đối với mọi cơ sở giáo dục.

Trên đây là Chế tài khi vi phạm về xử lý dữ liệu cá nhân của trường học. Nếu bạn còn thắc mắc liên quan đến vấn đề này, hãy liên hệ với Luật Kỳ Vọng Việt để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

SDT: 0983.756.066

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà Luật Kỳ Vọng Việt không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ Luật sư. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!