Điều 21 Nghị định số 363/2026/NĐ-CP: Vi phạm quy định về các hoạt động khác trong xử lý dữ liệu

Điều 21. Vi phạm quy định về các hoạt động khác trong xử lý dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thiết lập, không thực hiện việc điều chỉnh, cập nhật, không thực hiện quy trình thu hồi, xóa, hủy dữ liệu theo quy định của pháp luật;

b) Không thông báo cho tổ chức, cá nhân bị ảnh hưởng về việc chuyển giao dữ liệu khi tổ chức lại, giải thể hoặc phá sản;

c) Không lập hoặc không lưu trữ biên bản bàn giao, tiếp nhận, điều chỉnh, sao chép, truyền đưa, chuyển giao hoặc hủy dữ liệu theo quy định;

d) Không quy định đầy đủ phạm vi, thời hạn, nghĩa vụ bảo mật và trách nhiệm của các bên tại hợp đồng, thỏa thuận ủy thác theo quy định.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Chuyển dữ liệu khi tổ chức lại, giải thể hoặc phá sản mà không có kế hoạch chuyển dữ liệu theo quy định;

b) Không xác minh năng lực bảo đảm an toàn dữ liệu của bên được ủy thác khi ủy thác xử lý dữ liệu cốt lõi, dữ liệu quan trọng;

c) Không có hợp đồng hoặc thỏa thuận ủy thác khi giao tổ chức, cá nhân khác xử lý dữ liệu;

d) Không áp dụng biện pháp bảo đảm an toàn dữ liệu.

3. Phạt tiền từ 60.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Thu hồi, xóa, hủy dữ liệu cốt lõi, dữ liệu quan trọng không đúng quy trình, không bảo đảm dữ liệu không thể khôi phục;

b) Không lập hồ sơ, tài liệu chứng minh việc xóa, hủy dữ liệu cốt lõi, dữ liệu quan trọng;

c) Không thực hiện biện pháp ngăn ngừa lạm dụng, rò rỉ, sử dụng sai mục đích trong quá trình ủy thác xử lý dữ liệu.

4. Hình thức xử phạt bổ sung Đình chỉ hoạt động xử lý dữ liệu từ 01 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc lưu giữ, cung cấp đầy đủ nhật ký hệ thống, lịch sử xử lý dữ liệu và tài liệu liên quan đến việc bàn giao, tiếp nhận, điều chỉnh, sao chép, truyền đưa, chuyển giao, thu hồi, xóa hoặc hủy dữ liệu đối với hành vi vi phạm quy định tại điểm c khoản 1 và điểm b khoản 3 Điều này;

b) Buộc thông báo về việc chuyển giao dữ liệu đến tổ chức, cá nhân bị ảnh hưởng đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

c) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2 Điều này.