Điều 70 Nghị định số 330/2026/NĐ-CP: Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học

Điều 70. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng không thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân;

b) Không có biện pháp kỹ thuật ngăn chặn việc thu thập dữ liệu vị trí cá nhân của các bên thứ ba không liên quan hoặc không cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân;

c) Thu thập, xử lý dữ liệu sinh trắc học nhưng không thiết lập các biện pháp bảo mật vật lý đối với hệ thống, thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học;

d) Không thực hiện hạn chế quyền truy cập hoặc không có hệ thống theo dõi phòng ngừa hành vi xâm phạm đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học;

đ) Không thực hiện thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát hiện ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học;

e) Thông báo cho chủ thể dữ liệu bị ảnh hưởng không bao gồm các nội dung tối thiểu theo quy định pháp luật;

g) Không ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý; không bảo đảm lưu hồ sơ vi phạm trong thời gian tối thiểu 05 năm kể từ ngày khắc phục xong sự cố;

h) Không thông báo công khai bằng phương tiện điện tử chính thức của tổ chức qua Trang thông tin điện tử, ứng dụng; không gửi thông báo cho chủ thể dữ liệu cá nhân liên quan khi điều kiện kỹ thuật cho phép trong trường hợp không thể thông báo cho tất cả chủ thể dữ liệu cá nhân bị ảnh hưởng trong thời hạn quy định vì lý do kỹ thuật hoặc khẩn cấp.

2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong các hành vi sau đây:

a) Lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác mà không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc không có yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật hoặc pháp luật không có quy định khác;

b) Khai thác, sử dụng dữ liệu sinh trắc học của chủ thể dữ liệu cá nhân vượt quá mục đích ban đầu mà chưa có được sự đồng ý.

3. Hình thức xử phạt bổ sung:

a) Tịch thu các thiết bị phát sóng, thẻ RFID, thiết bị thu thập và máy chủ lưu trữ sinh trắc học được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 2 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu vị trí cá nhân và dữ liệu sinh trắc học đã bị thu thập, theo dõi trái phép đối với hành vi vi phạm tại khoản 2 Điều này;

b) Buộc cung cấp cho người dùng tùy chọn bật/tắt thu thập dữ liệu vị trí cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.