Điều 52 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về chuyển giao dữ liệu cá nhân

Điều 52. Vi phạm quy định về chuyển giao dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân; trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân; trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân;

b) Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập, cơ quan, tổ chức không xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân đúng quy định; không có biện pháp phòng, chống việc nhân sự nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi chuyển giao dữ liệu cá nhân theo điểm a, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu cá nhân hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu cá nhân nhưng vi phạm các nghĩa vụ sau:

a) Không xác định rõ vai trò bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba trong hoạt động chuyển giao dữ liệu cá nhân;

b) Không xác định, giới hạn loại dữ liệu cá nhân chuyển giao trong phạm vi mục đích chuyển giao;

c) Không xác định thời hạn lưu trữ dữ liệu cá nhân phù hợp với mục đích chuyển giao; không xóa, hủy dữ liệu cá nhân khi hoàn thành mục đích theo quy định pháp luật.

3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi chuyển giao dữ liệu cá nhân nhạy cảm không có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác trong quá trình chuyển giao.

4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc bổ sung, hoàn thiện thỏa thuận chuyển giao dữ liệu cá nhân theo đúng quy định và cung cấp minh chứng cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật theo quy định đối với dữ liệu cá nhân nhạy cảm đang được lưu trữ và truyền tải đối với hành vi vi phạm tại khoản 3 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân nhạy cảm đã chuyển giao trong trường hợp không thể bảo đảm bảo mật theo quy định đối với hành vi vi phạm tại khoản 2, 3 Điều này.