Cụ thể, hành vi mua, bán dữ liệu cá nhân trái phép bị xử phạt tối đa 10 lần khoản thu bất hợp pháp. Nếu không xác định được khoản thu, tổ chức vi phạm có thể bị phạt đến 3 tỷ đồng, cá nhân bị phạt đến 1,5 tỷ đồng.

Với hành vi chuyển dữ liệu cá nhân xuyên biên giới trái phép, mức phạt là 5% doanh thu năm trước của tổ chức. Trường hợp không có doanh thu, mức phạt cũng có thể lên tới 3 tỷ đồng. 

Luật cũng quy định cấm mua, bán dữ liệu cá nhân dưới mọi hình thức.

Tại Điều 7 của luật nghiêm cấm hành vi sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật; cho người khác sử dụng dữ liệu cá nhân của mình; chiếm đoạt, cố ý làm lộ hoặc làm mất dữ liệu cá nhân; xử lý dữ liệu với mục đích chống lại Nhà nước, xâm phạm quốc phòng, an ninh quốc gia, trật tự xã hội, hoặc cản trở việc bảo vệ dữ liệu cá nhân.

Luật quy định nguyên tắc bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến tại Điều 29. Các nền tảng không được thu thập trái phép dữ liệu cá nhân và ngoài phạm vi theo thỏa thuận với khách hàng; không được yêu cầu cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm yếu tố xác thực tài khoản; không nghe lén, nghe trộm hoặc ghi âm cuộc gọi và đọc tin nhắn văn bản khi không có sự đồng ý của người dùng.

Đồng thời, các nền tảng phải công khai chính sách bảo mật, minh bạch trong việc thu thập và sử dụng dữ liệu, cung cấp cơ chế để người dùng truy cập, chỉnh sửa, xóa thông tin và thiết lập quyền riêng tư. Trong trường hợp chuyển dữ liệu cá nhân công dân Việt Nam ra nước ngoài, các nền tảng phải có biện pháp bảo vệ phù hợp.

Luật cũng đặt ra các nguyên tắc bảo vệ dữ liệu trong lĩnh vực tài chính, ngân hàng và thông tin tín dụng. Luật Bảo vệ dữ liệu cá nhân có hiệu lực từ ngày 1/1/2026.