Điều 66 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn

Điều 66. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Xử lý dữ liệu lớn có chứa dữ liệu cá nhân nhưng không xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp, đúng quy định của pháp luật;

b) Không có thỏa thuận bằng văn bản với bên thứ ba, đối tác và nhà cung cấp dịch vụ nhằm bảo đảm tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân;

c) Không tổ chức đào tạo, phổ biến và nâng cao nhận thức định kỳ về bảo mật dữ liệu cá nhân cho nhân sự, đặc biệt là nhân sự trực tiếp xử lý dữ liệu.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Không có cơ chế thông báo hoặc không giải thích phù hợp cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được đưa vào hệ thống phân tích dữ liệu lớn;

b) Không sử dụng phương thức xác thực mạnh (tối thiểu xác thực đa yếu tố) hoặc không phân quyền truy cập để bảo đảm chỉ những người có quyền mới được truy cập dữ liệu;

c) Không thực hiện giám sát liên tục hoặc không sử dụng các công cụ giám sát để theo dõi hoạt động truy cập và phát hiện các hành vi bất thường;

d) Không thực hiện kiểm tra, đánh giá định kỳ về an ninh mạng và bảo mật dữ liệu để phát hiện, ngăn chặn và khắc phục lỗ hổng bảo mật;

đ) Không thực hiện mã hóa, ẩn danh dữ liệu cá nhân trong quá trình chuyển giao, cung cấp dữ liệu, trừ trường hợp pháp luật chuyên ngành có quy định khác.

3. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau đây:

a) Vận hành hệ thống dữ liệu lớn đưa ra các quyết định tự động gây ảnh hưởng đến an ninh trật tự, quyền, lợi ích hợp pháp của tổ chức, cá nhân nhưng không thiết lập cơ chế giám sát hoặc không cho phép yêu cầu sự đánh giá lại từ con người;

b) Sử dụng, phát triển các hệ thống dữ liệu lớn có xử lý dữ liệu cá nhân nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng phân tích dữ liệu lớn có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai chính sách lưu trữ, xóa, hủy dữ liệu cá nhân và biện pháp bảo vệ dữ liệu cá nhân trong tổ chức theo đúng quy định pháp luật; buộc bổ sung, điều chỉnh thỏa thuận với bên thứ ba, đối tác và nhà cung cấp dịch vụ bảo đảm tuân thủ quy định về bảo vệ dữ liệu cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm xác thực đa yếu tố, phân quyền truy cập, mã hóa và ẩn danh dữ liệu cá nhân trong quá trình chuyển giao, cung cấp dữ liệu; buộc cung cấp đầy đủ thông tin minh bạch cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được đưa vào hệ thống phân tích dữ liệu lớn; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép; buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân bao gồm quyền yêu cầu đánh giá lại quyết định tự động;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.