Điều 67 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo

Điều 67. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với hành vi xử lý dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo nhưng không thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thông báo hoặc không giải thích nguyên tắc hoạt động của thuật toán tự động và ảnh hưởng của nó đối với quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;

b) Không cung cấp công cụ, cơ chế để chủ thể dữ liệu cá nhân có quyền từ chối tham gia quá trình xử lý dữ liệu tự động;

c) Không bảo đảm cho chủ thể dữ liệu cá nhân quyền chỉnh sửa, ẩn danh hoặc xóa hồ sơ nhận dạng;

d) Không phân loại hệ thống trí tuệ nhân tạo theo các mức độ rủi ro để thiết lập các biện pháp bảo vệ dữ liệu cá nhân phù hợp;

đ) Không áp dụng các biện pháp bảo vệ dữ liệu cá nhân khi sử dụng kết quả suy luận của trí tuệ nhân tạo để xác định hoặc giúp xác định một con người cụ thể;

e) Phát triển, triển khai hệ thống trí tuệ nhân tạo, vũ trụ ảo nhưng không xây dựng hệ thống đáp ứng tiêu chuẩn an ninh mạng và bảo vệ dữ liệu toàn diện, hoặc không thiết lập hệ thống giám sát và cảnh báo sớm nguy cơ an ninh mạng;

g) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không phân quyền truy cập để xử lý dữ liệu cá nhân trong hệ thống.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thiết lập cơ chế kiểm soát, ngăn chặn việc lợi dụng trí tuệ nhân tạo, vũ trụ ảo vào các hoạt động xâm phạm an ninh quốc gia, trật tự an toàn xã hội;

b) Phát triển, vận hành hệ thống trí tuệ nhân tạo, vũ trụ ảo đưa ra các quyết định tự động gây ảnh hưởng đến an ninh trật tự, quyền, lợi ích hợp pháp của tổ chức, cá nhân nhưng không thiết lập cơ chế giám sát hoặc không cho phép yêu cầu sự đánh giá lại từ con người;

c) Sử dụng, phát triển hệ thống trí tuệ nhân tạo, vũ trụ ảo nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính bao gồm được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng trí tuệ nhân tạo, vũ trụ ảo có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và thực hiện đầy đủ cơ chế thông báo, giải thích nguyên tắc hoạt động của thuật toán cho chủ thể dữ liệu cá nhân; buộc cung cấp công cụ, cơ chế để chủ thể dữ liệu cá nhân thực hiện quyền từ chối xử lý tự động, quyền chỉnh sửa, ẩn danh và xóa hồ sơ nhận dạng; buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm phân loại rủi ro, xác thực định danh, phân quyền truy cập và bảo vệ kết quả suy luận nhận dạng cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép; buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân bao gồm quyền yêu cầu đánh giá lại quyết định tự động;

c) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.