Điều 22 Nghị định số 363/2026/NĐ-CP: Vi phạm quy định về xác định, quản lý rủi ro, bảo vệ dữ liệu và giám sát hoạt động xử lý dữ liệu

Điều 22. Vi phạm quy định về xác định, quản lý rủi ro, bảo vệ dữ liệu và giám sát hoạt động xử lý dữ liệu

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thiết lập cơ chế xác định, đánh giá, cảnh báo sớm rủi ro trong xử lý dữ liệu theo quy định;

b) Không ghi nhật ký hoạt động xử lý dữ liệu và lưu trữ trong thời hạn ít nhất 06 tháng đối với dữ liệu quan trọng, dữ liệu cốt lõi;

c) Không thông báo sự cố dữ liệu cho tổ chức, cá nhân liên quan khi sự cố gây thiệt hại.

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi:

a) Không đánh giá rủi ro đối với dữ liệu cốt lõi, dữ liệu quan trọng theo định kỳ trừ trường hợp đã lập hồ sơ đánh giá tác động chuyển, xử lý dữ liệu xuyên biên giới theo quy định của pháp luật;

b) Không thông báo đánh giá rủi ro hoặc nguy cơ rủi ro cho Bộ Công an, Bộ Quốc phòng theo quy định;

c) Không xây dựng kế hoạch ứng phó khẩn cấp sự cố dữ liệu;

d) Không thực hiện diễn tập kế hoạch dự phòng đối với các sự cố an toàn dữ liệu cốt lõi, dữ liệu quan trọng định kỳ theo quy định của pháp luật;

đ) Không ban hành quy trình kỹ thuật, quy chế bảo vệ dữ liệu hoặc không áp dụng các biện pháp bảo vệ dữ liệu phù hợp khi cung cấp dữ liệu ra bên ngoài.

3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi:

a) Không thực hiện giám sát hoạt động xử lý dữ liệu trong kết nối, chia sẻ dữ liệu theo quy định của pháp luật;

b) Không bảo đảm khả năng truy vết, minh bạch hoạt động xử lý dữ liệu theo yêu cầu giám sát;

c) Không cung cấp thông tin, nhật ký hệ thống, báo cáo giám sát khi cơ quan có thẩm quyền yêu cầu;

d) Ngăn cản, trì hoãn hoặc làm sai lệch hoạt động giám sát dữ liệu của cơ quan có thẩm quyền;

đ) Không triển khai biện pháp giảm thiểu sau cảnh báo sớm rủi ro dẫn đến lộ lọt, rò rỉ, mất an toàn dữ liệu.

4. Phạt tiền từ 60.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi:

a) Không thông báo sự cố dữ liệu cốt lõi, dữ liệu quan trọng cho Bộ Công an hoặc Bộ Quốc phòng theo yêu cầu;

b) Không chấp hành yêu cầu khắc phục, tạm dừng, đình chỉ hoạt động xử lý dữ liệu từ cơ quan có thẩm quyền;

c) Không tuân thủ tiêu chuẩn, quy chuẩn kỹ thuật, bảo vệ dữ liệu trong quá trình kết nối, chia sẻ dữ liệu;

d) Cố ý che giấu, làm sai lệch dữ liệu giám sát, nhật ký hệ thống, báo cáo đánh giá rủi ro;

đ) Không thiết lập hệ thống quản lý việc bảo vệ dữ liệu, sao lưu dữ liệu trong quá trình xử lý dữ liệu.

5. Hình thức xử phạt bổ sung Đình chỉ hoạt động xử lý dữ liệu, kết nối, chia sẻ dữ liệu từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm b, điểm c, điểm d, điểm đ khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc khôi phục hệ thống giám sát dữ liệu, khắc phục các lỗ hổng bảo mật đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm d khoản 3 và điểm c, điểm đ khoản 4 Điều này;

b) Buộc thực hiện đánh giá rủi ro, đánh giá an toàn dữ liệu theo quy định đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này;

c) Buộc xây dựng kế hoạch ứng phó khẩn cấp theo quy định đối với hành vi vi phạm quy định tại điểm c khoản 2 Điều này;

d) Buộc thực hiện diễn tập khẩn cấp theo quy định đối với hành vi vi phạm quy định tại điểm d khoản 2 Điều này;

đ) Buộc thông báo về sự cố dữ liệu, hậu quả xảy ra và kết quả khắc phục cho chủ thể dữ liệu hoặc các tổ chức, cá nhân có liên quan đối với hành vi vi phạm quy định tại điểm c khoản 1, điểm b khoản 2 và điểm a khoản 4 Điều này;

e) Buộc ban hành quy trình kỹ thuật về bảo vệ dữ liệu đối với hành vi vi phạm quy định tại điểm đ khoản 2 Điều này;

g) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm d khoản 4 Điều này.