Mười triệu đồng là mức thấp nhất. Ba tỉ đồng là mức cao nhất. Giữa hai con số đó nằm trọn thang xử phạt mà Nghị định 330/2026/NĐ-CP dựng lên cho hoạt động gửi thư và tin nhắn quảng cáo tại Việt Nam. Văn bản có hiệu lực từ ngày 19 tháng 8 năm 2026.
Nghị định này không phải một văn bản về thư rác. Phạm vi của nó rộng hơn: xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Thư quảng cáo chỉ chiếm vài điều khoản trong đó. Nhưng chính chỗ đứng ấy mới đáng để ý. Hành vi gửi thư tiếp thị nay xếp cùng nhóm với hành vi xâm phạm dữ liệu cá nhân, không còn nằm riêng ở khung viễn thông như trước.
Thang phạt leo theo mức độ làm phiền
Bậc đầu tiên áp cho việc gửi khi chưa được đồng ý. Cá nhân chịu 10 tới 20 triệu đồng, tổ chức gấp đôi, tối đa 40 triệu. Cùng khung ấy áp luôn cho tin nhắn quảng cáo và cuộc gọi quảng cáo.
Bậc thứ hai nặng hơn hẳn, và nó xử lý chuyện tần suất. Quá ba thư quảng cáo tới một địa chỉ trong vòng một ngày mà chưa có thoả thuận thì cá nhân bị phạt 30 tới 50 triệu. Tổ chức chịu 60 tới 100 triệu. Con số ba cũng áp cho tin nhắn. Với cuộc gọi, hạn mức chỉ là một cuộc mỗi ngày.
Nghị định khoá cả khung giờ. Gọi quảng cáo chỉ được từ 8 giờ sáng tới 5 giờ chiều. Nhắn tin quảng cáo từ 7 giờ sáng tới 10 giờ tối, trừ khi người dùng đã thoả thuận khác. Ra ngoài khung giờ chịu cùng mức phạt như gửi quá số lượng.
Bậc cao nhất trong nhóm quảng cáo dành cho việc liên hệ số thuê bao nằm trong danh sách không quảng cáo. Cá nhân 80 tới 90 triệu, tổ chức 160 tới 180 triệu. Ngoài tiền còn có hình phạt bổ sung. Đình chỉ cung cấp dịch vụ cho khách hàng mới, tước quyền dùng số hiệu, thu hồi số thuê bao đã phát tán.
Nhà mạng cũng nằm trong tầm ngắm. Doanh nghiệp viễn thông không ngăn chặn số thuê bao dùng để phát tán tin nhắn rác và cuộc gọi rác chịu mức 90 tới 100 triệu đồng.
Ba tỉ đồng nằm ở nhánh dữ liệu
Trần ba tỉ không nằm ở điều khoản quảng cáo. Nó nằm ở nhánh bảo vệ dữ liệu cá nhân — phần nghị định này thi hành cho Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15. Luật đã hiệu lực từ ngày 1 tháng 1 năm 2026, nhưng phải chờ thêm gần tám tháng mới có nghị định kèm mức phạt cụ thể.
Mức trần chung với tổ chức là 3 tỉ đồng. Riêng hành vi mua bán dữ liệu cá nhân, tiền phạt tính bằng mười lần khoản thu có được từ vi phạm. Không có khoản thu, hoặc tính ra dưới 3 tỉ, thì lấy mức 3 tỉ. Với hành vi chuyển dữ liệu cá nhân ra nước ngoài trái quy định, mức phạt lên tới 5% doanh thu năm liền trước. Cá nhân chịu một nửa mức của tổ chức.
Đọc hai nhánh cùng lúc mới thấy hết. Một danh sách địa chỉ thư mua lại từ bên thứ ba chạm cả hai. Gửi tới đó là vi phạm điều khoản quảng cáo, mà chuyện mua danh sách lại là vi phạm điều khoản dữ liệu. Hai mức phạt chênh nhau gần trăm lần.
Đáng nói thêm về bối cảnh văn bản. Trước đây, phạt thư quảng cáo nằm gọn trong nhóm quy định về bưu chính và viễn thông. Nghị định 174/2026/NĐ-CP ban hành ngày 15 tháng 5 năm 2026, hiệu lực từ mùng 1 tháng 7, vẫn giữ mảng ấy. Còn phần liên quan tới sự đồng ý của người nhận thì đã dời sang khung dữ liệu cá nhân. Hai văn bản cách nhau đúng bảy tuần.
Chứng minh đồng ý mới là phần khó
Dừng gửi thì dễ. Chứng minh người nhận đã đồng ý mới khó. Khi có khiếu nại, công ty phải trưng ra được thời điểm đồng ý, kênh đồng ý, và nội dung mà người đó đã đọc lúc bấm xác nhận. Phần lớn hệ thống gửi thư tự dựng trong nước không lưu ba thứ ấy, vì lúc viết ra chưa ai nghĩ sẽ có ngày phải trưng.
Ghi nhận đồng ý cũng không phải việc làm một lần rồi xong. Người nhận có quyền rút lại bất cứ lúc nào, và nghị định phạt cả hành vi tiếp tục gửi sau khi đã bị từ chối. Nên nhật ký từ chối phải sống ngay cạnh danh sách gửi. Nằm rời trong một bảng tính nào đó thì sớm muộn cũng lệch. Bên chúng tôi ghép hai thứ ấy vào chung một chỗ từ đầu, đúng vì lý do này.
Có một điểm dễ chịu giữa mớ con số trên. Các yêu cầu của nghị định trùng gần hết với bộ yêu cầu người gửi mà Google, Yahoo, Microsoft và Apple đã áp từ năm 2024. Đồng ý rõ ràng, huỷ đăng ký một chạm, tỉ lệ báo rác dưới ngưỡng. Làm đúng luật trong nước thì đồng thời cũng đạt điều kiện vào hộp thư đến. Hai thứ này hiếm khi đi cùng hướng.
Một danh sách nhỏ mà sạch vẫn cho kết quả tốt hơn một danh sách lớn không rõ nguồn gốc. Từ tháng 8 năm 2026, khoảng cách giữa hai thứ đó thôi không còn đo bằng tỉ lệ mở thư. Nó đo bằng tiền phạt.
