GDPR siết chặt thực thi: Tiền phạt quý II tăng 230% lên 225,9 triệu euro

Bức tranh thực thi Quy định bảo vệ dữ liệu chung của Liên minh châu Âu (GDPR) đã nóng lên rõ rệt trong quý II/2026. Theo tổng hợp của Finbold, các cơ quan chức năng đã ban hành số tiền phạt 225.879.175 euro (260,59 triệu USD) trong giai đoạn từ ngày 1/4 đến 30/6, tương đương khoảng 2,48 triệu euro (2,86 triệu USD) mỗi ngày. Con số này cao hơn khoảng 230% so với mức 68,18 triệu euro của quý I, đưa tổng tiền phạt trong 6 tháng đầu năm lên khoảng 295 triệu euro (340,5 triệu USD).

Tuy nhiên, tổng số tiền trên cần được nhìn trong bối cảnh cụ thể. Vụ phạt 100 triệu euro liên quan đến ứng dụng gọi xe Yango chiếm khoảng 44% tổng giá trị thực thi được báo cáo trong quý II. Nói cách khác, một quyết định về chuyển dữ liệu xuyên biên giới đã tác động rất lớn đến toàn bộ thống kê của quý.

Những khoản phạt GDPR lớn nhất quý II/2026

Hà Lan: 100 triệu euro đối với đơn vị liên quan đến Yango

Khoản phạt lớn nhất trong quý được Cơ quan Bảo vệ dữ liệu Hà Lan áp dụng đối với MLU B.V., pháp nhân tại Hà Lan đứng sau ứng dụng gọi xe Yango. Nhà chức trách cho biết dữ liệu cá nhân liên quan đến người dùng tại Phần Lan và Na Uy đã được chuyển sang Nga mà không có các biện pháp bảo vệ đáp ứng yêu cầu của GDPR. Cơ quan này cũng yêu cầu doanh nghiệp dừng những hoạt động chuyển dữ liệu không đáp ứng quy định.

Vụ việc cho thấy chuyển dữ liệu quốc tế không thể chỉ dựa vào hồ sơ hay điều khoản mẫu trên giấy tờ. Doanh nghiệp phải đánh giá liệu cơ chế chuyển dữ liệu và các biện pháp bảo vệ bổ sung có thực sự duy trì được mức bảo vệ hiệu quả hay không, đặc biệt khi dữ liệu được đưa tới một nước thứ ba. Vì vậy, quản trị luồng dữ liệu quốc tế đang trở thành một vấn đề vận hành cốt lõi, thay vì chỉ là thủ tục pháp lý.

Pháp: 42 triệu euro đối với Free Mobile và Free

Các cơ quan chức năng Pháp đã áp tổng cộng 42 triệu euro tiền phạt đối với hai doanh nghiệp viễn thông Free Mobile và Free. Trong đó, Free Mobile chịu khoản phạt 27 triệu euro, đưa vấn đề bảo mật dữ liệu thuê bao vào nhóm các mối quan ngại thực thi nổi bật nhất trong quý.

Italy: 31,8 triệu euro đối với Intesa Sanpaolo

Cơ quan bảo vệ dữ liệu Italy đã phạt ngân hàng Intesa Sanpaolo 31,8 triệu euro vì những thiếu sót liên quan đến việc bảo vệ dữ liệu ngân hàng của khách hàng, theo tổng hợp thực thi GDPR trong quý II.

Khoản phạt một lần nữa cho thấy mức độ rủi ro cao của các tổ chức tài chính. Đây là nhóm doanh nghiệp xử lý khối lượng lớn thông tin định danh, tài khoản và giao dịch, đồng thời phải duy trì kiểm soát chặt chẽ về quyền truy cập, an ninh và tính hợp pháp của hoạt động xử lý dữ liệu.

Vương quốc Anh: Reddit bị phạt 14,47 triệu bảng

Cơ quan Thông tin của Vương quốc Anh (ICO) đã phạt Reddit 14,47 triệu bảng sau khi kết luận nền tảng này sử dụng trái phép thông tin cá nhân của trẻ em và không áp dụng biện pháp kiểm tra độ tuổi đủ mạnh. ICO cho rằng những thiếu sót của Reddit đã khiến trẻ em gặp rủi ro; Reddit sau đó kháng nghị thông báo phạt tiền.

Vụ việc cho thấy nghĩa vụ bảo vệ quyền riêng tư của trẻ em có thể dẫn đến rủi ro thực thi đáng kể nếu nền tảng không thể chứng minh rằng họ có cơ chế xác minh độ tuổi hiệu quả và xử lý dữ liệu trẻ vị thành niên một cách phù hợp.

Điều gì thúc đẩy đà tăng tiền phạt?

Hai chủ đề lặp lại trong các vụ việc quý II là sai sót về an ninh dữ liệu và xử lý dữ liệu không có cơ sở pháp lý đầy đủ. Vụ Yango bổ sung một rủi ro có tác động đặc biệt lớn: chuyển dữ liệu quốc tế mà không có biện pháp bảo vệ hiệu quả.

Các nhóm rủi ro này có mối liên hệ chặt chẽ. Một doanh nghiệp có thể sở hữu hệ thống tài liệu về quyền riêng tư rất đầy đủ nhưng vẫn bị xử phạt nếu các biện pháp kiểm soát trên thực tế không bảo vệ được dữ liệu, mục đích xử lý không được pháp luật cho phép hoặc dữ liệu tiếp tục được chuyển tới một quốc gia không có khung bảo vệ tương xứng mà thiếu các biện pháp bổ sung phù hợp.

Những ngành nào chịu rủi ro lớn nhất?

Theo phân tích về hoạt động thực thi, các doanh nghiệp trong lĩnh vực truyền thông và tài chính chiếm 6 trong 10 khoản phạt lớn nhất quý II. Mô hình này phản ánh mức độ dễ bị tổn thương của những ngành vừa xử lý dữ liệu cá nhân trên quy mô lớn, vừa có quan hệ trực tiếp với người tiêu dùng, hoạt động quảng cáo hoặc chịu sự quản lý tài chính.

Viễn thông cũng là lĩnh vực nổi bật qua các khoản phạt đối với Free. Trong khi đó, các công ty công nghệ và nền tảng trực tuyến bị giám sát về hoạt động chuyển dữ liệu quốc tế cũng như việc xử lý dữ liệu trẻ em. Những vụ việc này không có nghĩa mọi doanh nghiệp trong các ngành trên đều sẽ bị phạt, nhưng cho thấy đây là nơi cơ quan quản lý có thể phát hiện hoạt động xử lý dữ liệu có tác động lớn và kéo theo hậu quả tuân thủ đáng kể.

Doanh nghiệp hoạt động tại châu Âu nên ưu tiên gì?

Diễn biến trong quý II cho thấy tuân thủ GDPR cần được quản lý như một rủi ro tài chính và vận hành, với trách nhiệm rõ ràng vượt ra ngoài bộ phận pháp chế hoặc quyền riêng tư. Doanh nghiệp nên tập trung vào 5 lĩnh vực sau:

• Lập bản đồ cơ sở pháp lý: ghi nhận cơ sở pháp lý cho từng hoạt động xử lý dữ liệu quan trọng và rà soát tính hợp lệ của sự đồng ý trong những trường hợp bắt buộc phải có.
• Kiểm thử biện pháp bảo mật: duy trì các biện pháp kỹ thuật và tổ chức để bảo vệ dữ liệu cá nhân, đồng thời kiểm tra hiệu quả thực tế thay vì chỉ dựa vào quy trình trên giấy tờ.
• Tăng cường xác minh độ tuổi: xác định những nơi trẻ em có thể tiếp cận dịch vụ, triển khai biện pháp kiểm tra độ tuổi tương xứng và hạn chế việc sử dụng trái phép dữ liệu của trẻ vị thành niên.
• Rà soát hoạt động chuyển dữ liệu quốc tế: xác định mọi luồng dữ liệu tới nước thứ ba, thực hiện đánh giá rủi ro chuyển dữ liệu và áp dụng các biện pháp bảo vệ vẫn có hiệu lực tại quốc gia nhận dữ liệu.
• Đưa hoạt động xử lý rủi ro cao lên cấp quản trị: bảo đảm hội đồng quản trị và lãnh đạo cấp cao nắm được các hoạt động chuyển dữ liệu lớn, dữ liệu nhạy cảm, dữ liệu trẻ em cũng như hoạt động lập hồ sơ hoặc xử lý dữ liệu người tiêu dùng trên quy mô lớn.

Kết luận

Khoản 225,9 triệu euro tiền phạt GDPR trong quý II/2026 không chỉ là một con số theo quý cao hơn. Nó bao gồm một quyết định lớn về chuyển dữ liệu xuyên biên giới cùng các vụ việc liên quan đến an ninh, cơ sở pháp lý cho hoạt động xử lý và quyền riêng tư của trẻ em. Khi tiền phạt quý II cao hơn khoảng 230% so với quý I và tổng 6 tháng đầu năm tiến gần 295 triệu euro, thông điệp rõ ràng là những thiếu sót về quyền riêng tư có thể nhanh chóng trở thành nghĩa vụ tài chính đáng kể với doanh nghiệp.

Dù vậy, số liệu vẫn cần được đọc có chừng mực vì một vụ việc đặc biệt lớn đã tác động đáng kể đến tổng tiền phạt của quý. Nhưng xét trên phạm vi các vụ thực thi, doanh nghiệp hoạt động tại châu Âu vẫn phải chủ động giám sát và dokument hóa 4 yếu tố: xử lý dữ liệu hợp pháp, bảo mật có thể chứng minh, bảo vệ có trách nhiệm dữ liệu trẻ em và quản trị chặt chẽ hoạt động chuyển dữ liệu quốc tế.