Điều 19 Nghị định số 363/2026/NĐ-CP: Vi phạm quy định về chuyển, xử lý dữ liệu xuyên biên giới

Điều 19. Vi phạm quy định về chuyển, xử lý dữ liệu xuyên biên giới

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không gửi hồ sơ đánh giá tác động theo thời hạn quy định đối với trường hợp chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới;

b) Không sửa đổi, bổ sung hồ sơ đánh giá tác động khi có thay đổi về mục đích, phương pháp, phạm vi, loại dữ liệu chuyển, xử lý; thay đổi mục đích hoặc phương pháp xử lý dữ liệu ảnh hưởng đến an ninh, an toàn dữ liệu; kéo dài thời gian lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng; thay đổi chính sách, quy định bảo vệ dữ liệu và môi trường an ninh mạng; thay đổi quyền kiểm soát thực tế của bên chuyển dữ liệu hoặc bên nhận dữ liệu;

c) Không lưu trữ, bảo quản hồ sơ đánh giá tác động theo quy định;

d) Không gửi báo cáo đánh giá tác động trong thời hạn quy định đối với trường hợp chuyển dữ liệu theo cơ chế ngoại lệ;

đ) Không lập văn bản giao kết giữa bên chuyển dữ liệu và bên nhận dữ liệu theo nội dung bắt buộc.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Chuyển hoặc xử lý dữ liệu vượt phạm vi, loại dữ liệu, khối lượng dữ liệu, tần suất hoặc thời hạn đã khai báo, đánh giá hoặc được chấp thuận;

b) Không tuân thủ quy định về định lượng dữ liệu quan trọng khi chuyển hoặc xử lý dữ liệu xuyên biên giới;

c) Không thực hiện nghĩa vụ phối hợp, cung cấp thông tin hoặc giải trình khi cơ quan có thẩm quyền yêu cầu;

d) Không áp dụng biện pháp kỹ thuật, biện pháp quản lý để bảo đảm an toàn dữ liệu trong quá trình chuyển, xử lý dữ liệu xuyên biên giới.

3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau:

a) Chuyển hoặc xử lý dữ liệu cốt lõi xuyên biên giới khi chưa thực hiện đánh giá tác động theo quy định;

b) Chuyển dữ liệu cốt lõi khi chưa có văn bản chấp thuận của cơ quan có thẩm quyền theo quy định của pháp luật;

c) Cung cấp hồ sơ đánh giá tác động không đúng sự thật, tẩy xóa, sửa chữa tài liệu làm sai lệch hồ sơ;

d) Không chấp hành yêu cầu tạm dừng hoạt động chuyển hoặc xử lý dữ liệu xuyên biên giới của cơ quan có thẩm quyền.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau:

a) Chuyển hoặc xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới gây ảnh hưởng hoặc có nguy cơ gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, lợi ích quốc gia, lợi ích công cộng hoặc quyền, lợi ích hợp pháp của chủ thể dữ liệu;

b) Lợi dụng hoạt động chuyển, xử lý dữ liệu xuyên biên giới để che giấu hoạt động chuyển dữ liệu trái phép hoặc thực hiện hành vi trái quy định của pháp luật khác.

5. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động chuyển, xử lý dữ liệu xuyên biên giới từ 03 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3, khoản 4 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 3 và điểm a, điểm b khoản 4 Điều này;

c) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm tại khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc xóa, tiêu hủy dữ liệu chuyển, xử lý trái quy định đối với hành vi vi phạm quy định tại điểm a khoản 2, điểm a, điểm b khoản 3 và điểm a khoản 4 Điều này;

b) Buộc thông báo về việc chuyển, xử lý dữ liệu trái phép đến chủ thể dữ liệu, tổ chức, cá nhân có liên quan đối với hành vi vi phạm quy định tại khoản 4 Điều này;

c) Buộc áp dụng biện pháp kỹ thuật, biện pháp quản lý để bảo đảm an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm d khoản 2 và khoản 4 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2, khoản 3, khoản 4 Điều này.