Điều 44 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân

Điều 44. Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi sau:

a) Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân;

b) Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ chức để thực hiện quyền của chủ thể dữ liệu cá nhân;

c) Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại Luật Bảo vệ dữ liệu cá nhân;

d) Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ;

đ) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với Bên xử lý dữ liệu cá nhân, Bên thứ ba đã nhận được yêu cầu hợp lệ từ Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân nhưng không thực hiện đúng thời hạn một trong các yêu cầu sau:

a) Không ngừng xử lý dữ liệu cá nhân khi nhận được yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;

b) Không thực hiện chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;

c) Không thực hiện xóa, hủy dữ liệu cá nhân hoặc không hạn chế xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định.

3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi không thực hiện đúng thời hạn yêu cầu của chủ thể dữ liệu cá nhân sau:

a) Không thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 20 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày;

b) Không thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn 10 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 10 ngày;

c) Không thực hiện yêu cầu xóa dữ liệu cá nhân trong thời hạn 20 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 30 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 20 ngày;

d) Không thực hiện yêu cầu áp dụng các biện pháp, giải pháp bảo vệ dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày.

4. Bên xử lý dữ liệu cá nhân, bên thứ ba không bị xử phạt theo quy định tại khoản 2 Điều này trong trường hợp pháp luật có quy định khác.

5. Biện pháp khắc phục hậu quả: Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân theo yêu cầu hợp pháp và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này.