Điều 62 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với thông tin sức khỏe và trong hoạt động kinh doanh bảo hiểm

Điều 62. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với thông tin sức khỏe và trong hoạt động kinh doanh bảo hiểm

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Trong quá trình kinh doanh bảo hiểm, tái bảo hiểm, nhượng tái bảo hiểm, tiến hành chuyển giao dữ liệu cá nhân của khách hàng cho đối tác nhưng không quy định rõ ràng, minh bạch trong hợp đồng đã giao kết với khách hàng;

b) Trong quá trình phát triển, vận hành các ứng dụng y tế, nền tảng chăm sóc sức khỏe trực tuyến, tiến hành thu thập dữ liệu cá nhân nhạy cảm nhưng không thiết lập quy định phân quyền giới hạn truy cập và các biện pháp bảo mật theo quy định.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi cung cấp, chia sẻ dữ liệu cá nhân của bệnh nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe khác hoặc doanh nghiệp kinh doanh bảo hiểm sức khỏe, bảo hiểm nhân thọ khi chưa nhận được yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1 Điều này; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập và áp dụng biện pháp bảo mật, phân quyền truy cập theo đúng quy định kỹ thuật đối với hệ thống thu thập dữ liệu sức khỏe, sinh trắc học; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này;

b) Buộc yêu cầu bên thứ ba hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã tiếp nhận trái phép và cung cấp bằng chứng đã thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này;

c) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.