Điều 60 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi

Điều 60. Vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em;

b) Xử lý dữ liệu cá nhân của trẻ em dưới 07 tuổi, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi mà không có sự đồng ý của người đại diện theo pháp luật, trừ trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân;

c) Xử lý dữ liệu cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật;

b) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi khi người đại diện theo pháp luật rút lại sự đồng ý, trừ trường hợp pháp luật có quy định khác;

c) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi khi cơ quan có thẩm quyền có đủ căn cứ chứng minh việc xử lý dữ liệu có thể xâm phạm đến quyền, lợi ích hợp pháp của đối tượng được bảo vệ và yêu cầu ngừng xử lý, trừ trường hợp pháp luật có quy định khác.

3. Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi không thực hiện xóa, hủy tới mức không thể khôi phục dữ liệu cá nhân của trẻ em trong các trường hợp: xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý; cha mẹ hoặc người giám hộ rút lại sự đồng ý; theo yêu cầu của cơ quan có thẩm quyền.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc ngừng hoạt động xử lý dữ liệu cá nhân và thông báo bằng văn bản cho người đại diện theo pháp luật về việc dừng xử lý đối với hành vi vi phạm quy định tại điểm b, c khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã xử lý trái quy định đối với hành vi vi phạm quy định tại khoản 1, khoản 2 và khoản 3 Điều này;

c) Buộc gỡ bỏ thông tin về đời sống riêng tư, bí mật cá nhân đã công bố trái quy định và thông báo cho người đại diện theo pháp luật về việc gỡ bỏ đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.