Điều 65 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến

Điều 65. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với tổ chức cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến, nền tảng nội dung số có một trong các hành vi sau:

a) Không thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cá nhân cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến;

b) Không cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu (gọi là cookies);

c) Không cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người sử dụng;

d) Không công khai chính sách bảo mật một cách minh bạch hoặc không giải thích rõ ràng, dễ hiểu về cách thức thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân;

đ) Không cung cấp cho người dùng cơ chế để truy cập, chỉnh sửa, xóa dữ liệu cá nhân; tự thiết lập các quyền riêng tư đối với tài khoản cá nhân của mình và báo cáo vi phạm về bảo mật và quyền riêng tư;

e) Không thông báo rõ ràng về các nội dung dữ liệu cá nhân sẽ bị thu thập khi chủ thể dữ liệu tiến hành cài đặt và sử dụng ứng dụng.

2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong các hành vi sau:

a) Bắt buộc người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm điều kiện bắt buộc để xác thực tài khoản sử dụng thông thường trong các trường hợp pháp luật chuyên ngành không có yêu cầu định danh;

b) Các ứng dụng OTT, mạng xã hội sử dụng các tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện thiết bị khi không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc trường hợp pháp luật không có quy định khác;

c) Thu thập trái phép dữ liệu cá nhân vượt ra ngoài phạm vi đã thỏa thuận với người dùng khi cài đặt dịch vụ.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ của ứng dụng, nền tảng số tại Việt Nam từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập và cung cấp cho người dùng tính năng từ chối theo dõi và từ chối chia sẻ cookies; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b, c khoản 1 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân, giấy tờ tùy thân, danh bạ, tệp tin đã bị thu thập, trích xuất trái phép đối với hành vi vi phạm tại khoản 2 Điều này.