Điều 58 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về cung cấp dịch vụ bảo vệ dữ liệu cá nhân

Điều 58. Vi phạm quy định về cung cấp dịch vụ bảo vệ dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân có một trong các hành vi sau:

a) Không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc chưa được đào tạo, bồi dưỡng chuyên sâu về bảo vệ dữ liệu cá nhân nhưng vẫn thực hiện cung cấp dịch vụ;

b) Thực hiện dịch vụ vượt quá phạm vi và nhiệm vụ đã thỏa thuận trong hợp đồng;

c) Không thực hiện xóa, hủy dữ liệu cá nhân đã xử lý trong quá trình cung cấp dịch vụ sau khi hoàn thành hợp đồng.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân có một trong các hành vi sau:

a) Không xây dựng hoặc cung cấp hồ sơ năng lực không đầy đủ các nội dung theo quy định;

b) Không có tối thiểu 03 nhân sự đáp ứng đủ điều kiện năng lực theo quy định;

c) Không giao kết hợp đồng sử dụng dịch vụ và thỏa thuận xử lý dữ liệu cá nhân với cơ quan, tổ chức sử dụng dịch vụ trước khi thực hiện cung cấp dịch vụ;

d) Không công khai thông tin về tổ chức cung cấp dịch vụ cho chủ thể dữ liệu cá nhân và các bên liên quan được biết.

3. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi lợi dụng việc cung cấp dịch vụ để truy cập, thu thập, sử dụng, tiết lộ hoặc xử lý dữ liệu cá nhân ngoài phạm vi hợp đồng hoặc thực hiện các hành vi vi phạm pháp luật khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 3 Điều này;

b) Đình chỉ có thời hạn hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm a, b khoản 2 và khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái phép trong quá trình cung cấp dịch vụ đối với hành vi vi phạm quy định tại điểm c khoản 1 và khoản 3 Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc thông báo cho cơ quan, tổ chức đang sử dụng dịch vụ về việc tổ chức, cá nhân cung cấp dịch vụ không còn đáp ứng điều kiện theo quy định, để cơ quan, tổ chức đó kịp thời thực hiện biện pháp thay thế bảo đảm hoạt động bảo vệ dữ liệu cá nhân liên tục đối với hành vi vi phạm quy định tại điểm a, b khoản 2 Điều này.