Điều 69 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân trong điện toán đám mây

Điều 69. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong điện toán đám mây

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp dịch vụ điện toán đám mây nhưng không cung cấp thông tin về bộ phận, nhân sự bảo vệ dữ liệu cá nhân cho đối tác và các bên liên quan;

b) Tổ chức sử dụng dịch vụ điện toán đám mây không xác định rõ luồng xử lý dữ liệu cá nhân, vai trò và trách nhiệm của các bên trong hợp đồng với nhà cung cấp dịch vụ hoặc không có yêu cầu về biện pháp bảo mật kỹ thuật, tổ chức trong hợp đồng;

c) Nhà cung cấp dịch vụ điện toán đám mây không đề nghị, ràng buộc nhà thầu phụ thực hiện các quy định và nghĩa vụ bảo vệ dữ liệu cá nhân;

d) Không xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp;

đ) Tổ chức cung cấp dịch vụ điện toán đám mây không thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp hoặc sử dụng dịch vụ điện toán đám mây nhưng không áp dụng các biện pháp kỹ thuật và tổ chức để ngăn chặn dữ liệu cá nhân bị truy cập trái phép;

b) Cung cấp hoặc sử dụng dịch vụ điện toán đám mây nhưng không thực hiện mã hóa dữ liệu cá nhân của khách hàng ở trạng thái nghỉ (lưu trữ) và trong quá trình truyền tải;

c) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không phân quyền truy cập nghiêm ngặt để xử lý dữ liệu cá nhân trên điện toán đám mây;

d) Tổ chức sử dụng dịch vụ điện toán đám mây không thông báo cho các bên liên quan khi có thay đổi hệ thống, hạ tầng có thể ảnh hưởng đến an toàn dữ liệu cá nhân.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi sử dụng, phát triển hệ thống điện toán đám mây nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng điện toán đám mây có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai chính sách lưu trữ, xóa, hủy dữ liệu cá nhân theo đúng quy định pháp luật; buộc bổ sung, điều chỉnh hợp đồng với nhà cung cấp dịch vụ điện toán đám mây và yêu cầu nhà thầu phụ thực hiện đầy đủ các quy định, nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định pháp luật; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm mã hóa dữ liệu cá nhân ở trạng thái nghỉ và trong quá trình truyền tải, xác thực định danh, phân quyền truy cập nghiêm ngặt và các biện pháp ngăn chặn truy cập trái phép; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép;

d) Buộc nộp khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.