Điều 42 Nghị định số 330/2026/NĐ-CP: Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân

Điều 42. Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Cố ý làm lộ, làm mất dữ liệu cá nhân của bản thân gây ảnh hưởng đến trật tự, an toàn xã hội hoặc gây thiệt hại cho cơ quan, tổ chức, cá nhân có liên quan;

b) Cố ý cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật;

c) Cố ý cung cấp dữ liệu cá nhân giả mạo, sai sự thật nhằm mục đích lừa đảo, gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;

d) Cố ý tạo lập tình huống giả mạo về việc lộ, mất dữ liệu cá nhân của bản thân nhằm trốn tránh trách nhiệm, yêu cầu đền bù hoặc trục lợi gây ảnh hưởng đến uy tín, tài sản của tổ chức, cá nhân khác;

đ) Cố ý không cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định bắt buộc của pháp luật hoặc theo hợp đồng đã ký kết, gây rủi ro về nhận diện pháp lý hoặc thiệt hại tài chính cho bên kiểm soát và xử lý dữ liệu.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cá nhân có một trong các hành vi sau:

a) Thu thập, sử dụng, tiết lộ, sửa đổi, làm sai lệch, hủy hoại hoặc truy cập trái phép dữ liệu cá nhân của người khác gây thiệt hại đến quyền, lợi ích hợp pháp của người đó;

b) Cố ý cung cấp dữ liệu cá nhân của người khác nhằm mục đích lừa đảo, gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;

c) Lợi dụng việc thực hiện quyền chủ thể dữ liệu cá nhân vượt quá phạm vi cần thiết hoặc không phù hợp với mục đích thực hiện quyền, gây khó khăn hoặc cản trở hoạt động kinh doanh hợp pháp của cơ quan, tổ chức;

d) Từ chối tham gia phối hợp phòng, chống hoạt động xâm phạm dữ liệu cá nhân khi có yêu cầu chính thức của cơ quan nhà nước có thẩm quyền.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại khoản 2, khoản 3 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập trái phép của người khác đối với hành vi vi phạm tại điểm a khoản 2 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại điểm b, c khoản 2 Điều này;

c) Buộc cung cấp lại thông tin dữ liệu cá nhân chính xác, đầy đủ theo quy định pháp luật hoặc theo hợp đồng đối với hành vi vi phạm tại điểm đ khoản 1 Điều này;

d) Buộc chấm dứt hành vi cản trở việc thực hiện quyền và nghĩa vụ xử lý dữ liệu cá nhân hợp pháp đối với hành vi vi phạm tại điểm c khoản 2 Điều này.