Điều 59 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về kinh doanh dịch vụ xử lý dữ liệu cá nhân

Điều 59. Vi phạm quy định về kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân đã được cấp Giấy chứng nhận có một trong các hành vi sau:

a) Không xây dựng khung quản trị rủi ro về bảo vệ dữ liệu cá nhân phù hợp với dịch vụ cung cấp;

b) Không xây dựng quy định về trách nhiệm và quyền hạn của tổ chức trong xử lý dữ liệu cá nhân;

c) Không áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng;

d) Không thực hiện xác thực danh tính tổ chức theo quy định pháp luật về định danh và xác thực điện tử.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân đã được cấp Giấy chứng nhận có một trong các hành vi sau:

a) Trường hợp là bên xử lý dữ liệu cá nhân, tổ chức không yêu cầu bên kiểm soát dữ liệu cá nhân xin sự đồng ý của chủ thể dữ liệu cá nhân trước khi cung cấp dịch vụ, không bảo đảm chủ thể dữ liệu cá nhân được biết về loại dữ liệu được xử lý, mục đích xử lý và tổ chức cung cấp dịch vụ;

b) Không bảo đảm xử lý dữ liệu cá nhân đúng mục đích, không giới hạn việc thu thập, chuyển giao, lưu trữ phù hợp theo quy định, hoặc không có biện pháp ngăn chặn truy cập, thu thập, sử dụng, tiết lộ trái phép dữ liệu cá nhân trong hoạt động cung cấp dịch vụ;

c) Không thực hiện đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân có một trong các hành vi sau:

a) Thực hiện hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân khi chưa được cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân;

b) Bố trí nhân sự bảo vệ dữ liệu cá nhân không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc chưa được đào tạo, bồi dưỡng chuyên sâu về bảo vệ dữ liệu cá nhân;

c) Không có tối thiểu 03 nhân sự đáp ứng điều kiện năng lực theo quy định.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với hành vi tiếp tục kinh doanh dịch vụ xử lý dữ liệu cá nhân sau khi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân đã bị thu hồi.

5. Biện pháp khắc phục hậu quả:

a) Buộc xây dựng, ban hành và thực hiện khung quản trị rủi ro, quy định trách nhiệm, tiêu chuẩn kỹ thuật, cơ chế xác thực danh tính theo quy định; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân thu thập, xử lý trái phép trong quá trình cung cấp dịch vụ đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

c) Buộc nộp lại khoản thu có được từ hành vi vi phạm tại khoản 3 Điều này.