Điều 51 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về xóa, hủy, khử nhận dạng dữ liệu cá nhân

Điều 51. Vi phạm quy định về xóa, hủy, khử nhận dạng dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do trong trường hợp không thể thực hiện việc xóa, hủy dữ liệu cá nhân sau khi nhận được yêu cầu;

b) Việc xóa, hủy dữ liệu cá nhân không được thực hiện bằng các biện pháp an toàn;

c) Không có biện pháp ngăn chặn hoạt động xâm nhập và khôi phục trái phép dữ liệu đã xóa, hủy;

d) Khử nhận dạng dữ liệu cá nhân nhưng không kiểm soát, giám sát chặt chẽ;

đ) Không có biện pháp ngăn chặn việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu trong quá trình khử nhận dạng.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thực hiện xóa, hủy dữ liệu cá nhân tại các trường hợp theo quy định pháp luật;

b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba xóa, hủy dữ liệu cá nhân của chủ thể dữ liệu cá nhân theo quy định của pháp luật;

c) Bên xử lý dữ liệu cá nhân không thực hiện xóa hoặc trả lại toàn bộ dữ liệu cá nhân cho Bên kiểm soát dữ liệu cá nhân sau khi kết thúc hợp đồng hoặc thỏa thuận xử lý dữ liệu cá nhân;

d) Để xảy ra việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu cá nhân trong quá trình khử nhận dạng.

3. Phạt tiền từ 50.000.000 đồng đến 60.000.000 đồng đối với một trong các hành vi sau đây:

a) Cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy;

b) Tái nhận dạng dữ liệu cá nhân sau khi dữ liệu đó đã được khử nhận dạng, trừ trường hợp pháp luật có quy định khác.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với hành vi vi phạm tại điểm a, b khoản 2 Điều này;

b) Buộc thông báo cho chủ thể dữ liệu cá nhân về việc không thể thực hiện xóa, hủy trong trường hợp quy định tại điểm a khoản 1 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục kết quả tái nhận dạng và dữ liệu cá nhân đã được khôi phục trái phép đối với hành vi vi phạm tại khoản 3 Điều này;

d) Buộc áp dụng biện pháp kiểm soát, giám sát và ngăn chặn truy cập trái phép trong quá trình khử nhận dạng; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này.