Theo quy định, tùy tính chất và mức độ vi phạm, cá nhân có thể bị phạt tối đa 100 triệu đồng. Ngoài tiền phạt, người vi phạm còn có thể bị tước quyền sử dụng giấy phép, tịch thu tang vật, phương tiện hoặc đình chỉ hoạt động.
Đáng chú ý, hành vi cố ý thu thập, tạo lập dữ liệu không đúng dữ liệu gốc, vượt quá phạm vi hoặc mục đích đã thông báo, hoặc làm rò rỉ thông tin nhạy cảm gây ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia có thể bị phạt từ 40 đến 60 triệu đồng.
Người vi phạm còn có thể bị buộc xóa, tiêu hủy, đính chính, hiệu chỉnh, cập nhật và bảo vệ dữ liệu, đồng thời nộp lại khoản thu lợi bất hợp pháp nếu có. Dữ liệu cá nhân nhạy cảm gồm thông tin sức khỏe, sinh trắc học, đời sống riêng tư, tài khoản ngân hàng, lịch sử giao dịch, tín dụng, tài chính, bảo hiểm, căn cước, vị trí cá nhân và một số thông tin về đời sống tình dục, xu hướng tình dục.

