Điều 45 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về quyền rút lại sự đồng ý và quyền hạn chế xử lý dữ liệu cá nhân

Điều 45. Vi phạm quy định về quyền rút lại sự đồng ý và quyền hạn chế xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Sử dụng các cách thức, biện pháp nhằm che giấu, ngăn chặn hoặc cố tình gây cản trở cho việc thực hiện quyền rút lại sự đồng ý, yêu cầu hạn chế của chủ thể dữ liệu cá nhân;

b) Không thực hiện ngừng xử lý dữ liệu cá nhân kể từ khi chủ thể dữ liệu cá nhân rút lại sự đồng ý, yêu cầu hạn chế theo đúng thủ tục, trừ trường hợp pháp luật có quy định tiếp tục xử lý không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân;

c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân không gửi yêu cầu cho Bên xử lý dữ liệu cá nhân, Bên thứ ba để ngừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý, yêu cầu hạn chế xử lý dữ liệu cá nhân.

2. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân tiếp tục xử lý sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1 Điều này;

b) Buộc nộp lại khoản thu có được do tiếp tục khai thác dữ liệu cá nhân sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1 Điều này;

c) Buộc thiết lập và cung cấp cho chủ thể dữ liệu cá nhân cơ chế kỹ thuật rõ ràng, dễ tiếp cận để thực hiện quyền rút lại sự đồng ý; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm a khoản 1 Điều này;

d) Buộc thực hiện việc gửi yêu cầu đến Bên xử lý dữ liệu cá nhân, Bên thứ ba để dừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý; cung cấp minh chứng thực hiện đối với hành vi vi phạm tại điểm c khoản 1 Điều này.