Điều 63 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo

Điều 63. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Thu thập và sử dụng dữ liệu cá nhân cơ bản để phân phối quảng cáo mà không có sự đồng ý của chủ thể dữ liệu cá nhân;

b) Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không cung cấp cơ chế, phương thức kỹ thuật minh bạch, dễ tiếp cận để chủ thể dữ liệu cá nhân thực hiện quyền từ chối nhận quảng cáo hoặc rút lại sự đồng ý chia sẻ dữ liệu cá nhân cho mục đích quảng cáo;

c) Thiết lập phương thức mặc định đồng ý cung cấp dữ liệu cá nhân của chủ thể dữ liệu cá nhân cho mạng lưới quảng cáo liên kết;

d) Cố ý chia sẻ hồ sơ người dùng cho bên thứ ba với mục đích kinh doanh dịch vụ quảng cáo khi người dùng đã thực hiện thao tác từ chối.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Thu thập và sử dụng dữ liệu cá nhân nhạy cảm để phân phối quảng cáo mà không có sự đồng ý của chủ thể dữ liệu cá nhân;

b) Kinh doanh dịch vụ quảng cáo dựa trên dữ liệu cá nhân của trẻ em dưới 16 tuổi khi chưa được sự đồng ý của người đại diện hợp pháp;

c) Thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo khi không có sự đồng ý của chủ thể dữ liệu cá nhân;

d) Không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo;

đ) Cố ý lưu trữ, không xóa hoặc không hủy dữ liệu cá nhân khi dữ liệu đó không còn cần thiết cho mục đích xử lý theo quy định của pháp luật.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ quảng cáo liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, sử dụng trái phép để phân phối quảng cáo đối với hành vi vi phạm tại khoản 1 và khoản 2 Điều này;

b) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều này;

c) Buộc thiết lập và cung cấp cho người dùng cơ chế từ chối nhận quảng cáo, rút lại sự đồng ý chia sẻ dữ liệu theo đúng quy định và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.