Điều 47 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân

Điều 47. Vi phạm quy định về xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau:

a) Không thiết lập quy trình, quy định xử lý dữ liệu cá nhân và xác định trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình xử lý dữ liệu cá nhân;

b) Không thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của pháp luật, quy trình, quy định xử lý dữ liệu cá nhân;

c) Không có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Không triển khai các biện pháp bảo vệ dữ liệu cá nhân phù hợp làm lộ, mất dữ liệu cá nhân được thu thập;

b) Không thực hiện đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi sau:

a) Lợi dụng các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân để thu thập, xử lý dữ liệu cá nhân vượt quá mục đích, phạm vi cần thiết so với căn cứ theo quy định pháp luật;

b) Không chứng minh được trường hợp theo quy định pháp luật của việc xử lý dữ liệu cá nhân không cần sự đồng ý khi có yêu cầu kiểm tra của cơ quan nhà nước có thẩm quyền.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai quy trình, quy định xử lý dữ liệu cá nhân; biện pháp bảo vệ dữ liệu cá nhân; cơ chế tiếp nhận phản ánh, kiến nghị theo đúng quy định, cung cấp minh chứng đã thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân được thực hiện dựa trên căn cứ miễn đồng ý không đúng quy định hoặc vượt quá mục đích, phạm vi căn cứ đó cho phép đối với hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý vượt quá mục đích, phạm vi quy định hoặc không có căn cứ hợp pháp đối với hành vi vi phạm quy định tại điểm a khoản 3 Điều này;

d) Buộc lập, lưu trữ và cung cấp tài liệu chứng minh căn cứ hợp pháp của việc xử lý dữ liệu cá nhân không cần sự đồng ý khi có yêu cầu của cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 3 Điều này;

đ) Buộc triển khai biện pháp bảo vệ dữ liệu cá nhân phù hợp và thực hiện đánh giá rủi ro trong quá trình xử lý dữ liệu cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này.