330/2026/NĐ-CP

Chỉ hiện các điều liên quan tới quảng cáo, bán hàng và nội dung số. Để tra cứu và tham khảo; khi cần dựa vào điều luật, đối chiếu văn bản gốc hoặc hỏi luật sư.

1. Điều 9. Cung cấp, chia sẻ thông tin trên không gian mạng có nội dung

   vi phạm pháp luật, gây ảnh hưởng đến an ninh, trật tự 1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với các hành vi sau đây: a) Cung cấp, chia sẻ thông tin nhằm cổ súy, vận động hoặc dụ dỗ người khác thực hiện hành vi xâm hại an ninh, trật tự xã hội; b) Cung cấp, chia sẻ thông tin mang tính đe dọa, kích động mâu thuẫn, chia rẽ hoặc gây tác động tiêu cực đến tình hình an ninh, trật tự; c) Cung cấp, chia sẻ thông tin có nội dung kích động, lôi kéo tụ tập đông người, gây ảnh hưởng đến trật tự, an toàn xã hội và hoạt động của cơ quan, tổ chức; d) Cung cấp, chia sẻ thông tin chưa kiểm chứng liên quan đến lịch sử, truyền thống cách mạng. 2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau đây mà chưa đến mức truy cứu trách nhiệm hình sự: a) Cung cấp, chia sẻ thông tin có nội dung sai sự thật về chủ quyền quốc gia, an ninh, quốc phòng, gây ảnh hưởng đến an ninh, trật tự; b) Cung cấp, chia sẻ thông tin có nội dung không phù hợp, gây ảnh hưởng đến sự tôn nghiêm của dân tộc, quốc kỳ, quốc huy, quốc ca, vĩ nhân, lãnh tụ, danh nhân, anh hùng dân tộc; c) Cung cấp, chia sẻ thông tin không phù hợp liên quan đến dân tộc, tín ngưỡng, tôn giáo, giới hoặc chủng tộc, gây tác động tiêu cực trong xã hội; d) Tạo ra, đăng tải, chia sẻ thông tin giả mạo trên không gian mạng, gây ảnh hưởng đến an ninh, trật tự; đ) Cung cấp, chia sẻ thông tin có nội dung sai sự thật, xuyên tạc, gây ảnh hưởng đến hoạt động bình thường hoặc uy tín của cơ quan, tổ chức, chính quyền Nhân dân. 3. Biện pháp khắc phục hậu quả: a) Buộc gỡ, xóa thông tin vi phạm đối với hành vi quy định tại khoản 1, 2 Điều này; b) Buộc cải chính thông tin sai sự thật đối với hành vi quy định tại khoản 1, 2 Điều này.

   Xử phạt · Chống Nhà nước, bí mật nhà nước · Tin giả, thông tin chưa kiểm chứng

2. Điều 10. Làm ra và phát tán thông tin trên không gian mạng có nội

   dung xâm phạm trật tự quản lý kinh tế 1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi sau đây: a) Cung cấp, chia sẻ thông tin về sản phẩm, hàng hóa, giấy tờ có giá không bảo đảm tính chính xác theo quy định của pháp luật, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc trật tự thị trường; b) Cung cấp, chia sẻ nội dung quảng bá sản phẩm, dịch vụ, thiết bị, hàng hóa chưa được cơ quan có thẩm quyền xác nhận hoặc cho phép sử dụng trong hoạt động khám bệnh, chữa bệnh theo quy định của pháp luật. 2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây: a) Đăng tải, phát tán thông tin mua, bán, trao đổi, cho tặng, thu thập, cho thuê, cho mượn, sử dụng trái pháp luật tài khoản số mà chưa đến mức truy cứu trách nhiệm hình sự; b) Đăng tải, phát tán thông tin mua, bán hàng hóa, dịch vụ bị cấm theo quy định pháp luật mà chưa đến mức truy cứu trách nhiệm hình sự; c) Đăng tải, phát tán thông tin quảng cáo, mua, bán, trao đổi, cho tặng tiền giả, giấy tờ có giá giả, phương tiện thanh toán giả mà chưa đến mức truy cứu trách nhiệm hình sự. 3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi thiết lập các trang thông tin điện tử, mạng xã hội hoặc tài khoản, chuyên trang, hội, nhóm trên mạng xã hội, diễn đàn điện tử để đăng tải, phát tán, hướng dẫn thực hiện các hành vi quy định tại khoản 1, 2 Điều này. 4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với tổ chức thực hiện hành vi vi phạm quy định tại khoản 3 Điều này. 5. Biện pháp khắc phục hậu quả: a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung xâm phạm trật tự quản lý kinh tế đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này; b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm quy định tại khoản 3 Điều này; c) Buộc cải chính thông tin trên không gian mạng có nội dung xâm phạm trật tự quản lý kinh tế đối với hành vi quy định tại khoản 1, 2, 3 Điều này; d) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành vi quy định tại khoản 1, 2, 3 Điều này.

   Xử phạt · Công dụng chữa bệnh cho sản phẩm không phải thuốc · Bán hàng cấm, hàng giả, dịch vụ không phép

3. Điều 11. Làm ra và phát tán thông tin trên không gian mạng có nội

   dung sai sự thật, chưa được kiểm chứng gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội 1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi sau đây: a) Cung cấp, chia sẻ thông tin có nội dung không phù hợp với thuần phong, mỹ tục, đạo đức xã hội hoặc có khả năng gây ảnh hưởng không tích cực đến cộng đồng; b) Cung cấp, chia sẻ thông tin có nội dung khuyến khích hoặc hướng dẫn thực hiện hành vi trái quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự; c) Cung cấp, chia sẻ thông tin về phương pháp, liệu pháp, bài thuốc, kỹ thuật khám bệnh, chữa bệnh chưa được cơ quan có thẩm quyền cho phép hoặc chưa được xác nhận theo quy định chuyên ngành; d) Cung cấp, chia sẻ thông tin khuyến nghị thay đổi, trì hoãn hoặc không áp dụng phương pháp, phác đồ khám bệnh, chữa bệnh đã được cơ quan có thẩm quyền công nhận mà không có khuyến cáo chuyên môn phù hợp. 2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau đây: a) Làm ra, phát tán thông tin sai sự thật, chưa được kiểm chứng làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân và môi trường thông tin trên không gian mạng; b) Làm ra, phát tán thông tin có nội dung không phù hợp với thuần phong, mỹ tục, đạo đức xã hội hoặc có khả năng gây ảnh hưởng không tích cực đến cộng đồng; c) Làm ra, phát tán thông tin có nội dung khuyến khích hoặc hướng dẫn thực hiện hành vi trái với quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự; d) Làm ra, phát tán thông tin về phương pháp, liệu pháp, bài thuốc, kỹ thuật khám bệnh, chữa bệnh chưa được cơ quan có thẩm quyền cho phép hoặc chưa được xác nhận theo quy định chuyên ngành; đ) Làm ra, phát tán thông tin khuyến nghị thay đổi, trì hoãn hoặc không áp dụng phương pháp, phác đồ khám bệnh, chữa bệnh đã được cơ quan có thẩm quyền công nhận mà không có khuyến cáo chuyên môn phù hợp. 3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi thiết lập, quản trị các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội, diễn đàn điện tử để đăng tải, hướng dẫn thực hiện các hành vi tại khoản 1, 2 Điều này. 4. Các nội dung xử phạt quy định tại điểm d, đ khoản 1 và khoản 2 Điều này không áp dụng đối với trường hợp cá nhân chia sẻ kinh nghiệm, trải nghiệm cá nhân về quá trình khám bệnh, chữa bệnh không vì mục đích quảng cáo, tư vấn chuyên môn, hướng dẫn thay thế điều trị hoặc thu lợi từ việc cung cấp sản phẩm, dịch vụ, phương pháp khám bệnh, chữa bệnh. 5. Hình thức xử phạt bổ sung: a) Tịch thu tang vật, phương tiện đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này; b) Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với doanh nghiệp thực hiện hành vi vi phạm quy định tại khoản 3 Điều này. 6. Biện pháp khắc phục hậu quả: a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung bịa đặt, sai sự thật, gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này; b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm quy định tại khoản 3 Điều này; c) Buộc cải chính thông tin trên không gian mạng có nội dung bịa đặt, sai sự thật nhằm gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội đối với hành vi quy định tại khoản 1, 2, 3 Điều này; d) Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1, 2 và 3 Điều này.

   Xử phạt · Công dụng chữa bệnh cho sản phẩm không phải thuốc · Tin giả, thông tin chưa kiểm chứng

4. Điều 12. Vi phạm quy định về trách nhiệm ngăn chặn, xử lý thông tin

   trên không gian mạng có nội dung vi phạm pháp luật 1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi: a) Quản lý, điều hành hoặc có khả năng chi phối các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội nhưng không triển khai biện pháp nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật; b) Không triển khai biện pháp quản lý, kỹ thuật nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật. 2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi: a) Quản lý, điều hành hoặc có khả năng chi phối các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội nhưng không triển khai biện pháp nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật khi được yêu cầu của cơ quan chức năng có thẩm quyền; b) Không cung cấp thông tin, tài liệu về hành vi vi phạm pháp luật được đăng tải, chia sẻ trên hệ thống thông tin, sản phẩm, dịch vụ do tổ chức, cá nhân theo yêu cầu của cơ quan chức năng có thẩm quyền. 3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây: a) Không bố trí cổng kết nối hoặc các điều kiện kỹ thuật cần thiết cho nhiệm vụ bảo đảm an ninh thông tin, an ninh mạng theo yêu cầu của Bộ Công an; b) Không thực hiện ngăn chặn, ngừng cung cấp dịch vụ viễn thông, Internet đối với trường hợp bạo động, bạo loạn, sử dụng dịch vụ viễn thông xâm phạm an ninh quốc gia, chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam; c) Không triển khai hoặc không duy trì các biện pháp kỹ thuật theo yêu cầu của cơ quan nhà nước có thẩm quyền để ngăn chặn việc truy cập vào các trang thông tin điện tử, ứng dụng, nền tảng, tên miền vi phạm pháp luật, để người sử dụng tại Việt Nam tiếp tục truy cập, sử dụng các dịch vụ, nền tảng, tên miền thuộc diện phải ngăn chặn; d) Không đầu tư, cập nhật và nâng cấp hệ thống kỹ thuật, công nghệ mạng đáp ứng yêu cầu quản lý nhà nước về an ninh mạng, an ninh dữ liệu; không chủ động rà soát, cập nhật giải pháp công nghệ và phương án kỹ thuật nhằm bảo đảm hiệu quả ngăn chặn, hạn chế tối đa khả năng truy cập đối với các trang thông tin điện tử, ứng dụng, nền tảng, tên miền vi phạm pháp luật theo yêu cầu của cơ quan nhà nước có thẩm quyền; đ) Không chấp hành quyết định huy động một phần hoặc toàn bộ cơ sở hạ tầng Internet trong trường hợp xử lý tình huống nguy hiểm về an ninh mạng; e) Không cung cấp thông tin phục vụ bảo vệ an ninh quốc gia theo yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an. 4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với doanh nghiệp thực hiện hành vi vi phạm quy định tại khoản 2, 3 Điều này. 5. Biện pháp khắc phục hậu quả: a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung vi phạm pháp luật đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này; b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm quy định tại điểm b khoản 2 Điều này.

   Nghĩa vụ

5. Điều 13. Vi phạm quy định về bảo vệ thông tin thuộc bí mật cá nhân,

   bí mật công tác, bí mật kinh doanh, bí mật gia đình và đời sống riêng tư trên không gian mạng 1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây: a) Đưa lên không gian mạng thông tin thuộc bí mật công tác, bí mật kinh doanh, bí mật cá nhân, bí mật gia đình và đời sống riêng tư gây ảnh hưởng đến danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân nhưng không bị truy cứu trách nhiệm hình sự; b) Không thực hiện yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng về phòng, chống gián điệp mạng, bảo vệ thông tin thuộc bí mật nhà nước theo quy định của pháp luật; c) Thay đổi, hủy bỏ hoặc vô hiệu hóa trái phép các biện pháp kỹ thuật được xây dựng, sử dụng để bảo vệ thông tin thuộc bí mật nhà nước. 2. Hình thức xử phạt bổ sung: a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại điểm a, c khoản 1 Điều này; b) Đình chỉ hoạt động có thời hạn từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại điểm b, c khoản 1 Điều này. 3. Biện pháp khắc phục hậu quả: a) Buộc xây dựng, áp dụng biện pháp bảo vệ bí mật nhà nước phòng, chống lộ, mất bí mật nhà nước qua các kênh kỹ thuật đối với các hành vi vi phạm quy định tại khoản 1 Điều này; b) Buộc tiêu hủy sản phẩm, thiết bị, dịch vụ, phần mềm gây lộ, mất bí mật nhà nước, không bảo đảm an ninh mạng đối với các hành vi vi phạm quy định tại điểm a, c khoản 1 Điều này, trường hợp có liên quan tới tài liệu, vật chứa bí mật nhà nước thì áp dụng theo quy định của Luật Bảo vệ bí mật nhà nước; c) Buộc kiểm tra an ninh mạng lại đối với các sản phẩm, thiết bị, dịch vụ, phần mềm phục vụ bảo vệ bí mật nhà nước đối với các hành vi vi phạm quy định tại điểm a khoản 1 Điều này; d) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành vi quy định tại điểm a khoản 1 Điều này.

   Xử phạt · Thông tin cá nhân, đời tư, trẻ em · Vu khống, xúc phạm danh dự

6. Điều 31. Vi phạm quy định về bảo vệ trẻ em trên không gian mạng

   1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Không triển khai các biện pháp kiểm soát nội dung thông tin trên hệ thống hoặc trên dịch vụ do doanh nghiệp cung cấp gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em; b) Không ngăn chặn việc chia sẻ và xóa bỏ thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em; c) Không có dấu hiệu cảnh báo đối với sản phẩm, dịch vụ công nghệ thông tin mang nội dung không có lợi cho trẻ em; d) Không triển khai các biện pháp phù hợp theo quy định pháp luật của Việt Nam nhằm đảm bảo phát hiện, xác định, ngăn chặn việc trẻ em trực tiếp tạo lập, sử dụng tài khoản dịch vụ bằng thông tin của mình; đ) Không xây dựng các tính năng theo hướng dẫn của quy định pháp luật nhằm hỗ trợ cha, mẹ, người giám hộ hợp pháp của trẻ em tạo lập tài khoản cho trẻ em dưới thông tin của cha, mẹ, người giám hộ hợp pháp theo pháp luật dân sự và quản lý, giám sát được hoạt động của trẻ em; e) Không vô hiệu hóa, hủy tài khoản dịch vụ do trẻ em trực tiếp tạo lập, sử dụng đã được cơ quan chức năng xác định, yêu cầu bằng văn bản hoặc hình thức trao đổi phù hợp khác đã được thống nhất. 2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau: a) Đăng tải, phát tán, chia sẻ, lưu trữ, trao đổi, sử dụng thông tin, hình ảnh, âm thanh có nội dung khiêu dâm, đồi trụy, bạo lực liên quan đến trẻ em; b) Đăng tải, chia sẻ, phát tán thông tin xúc phạm danh dự, uy tín, nhân phẩm, ảnh hưởng về sức khỏe, sự phát triển bình thường về tâm sinh lý của trẻ em nhưng không bị truy cứu trách nhiệm hình sự. 3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: a) Không phối hợp với cơ quan có thẩm quyền trong bảo đảm quyền của trẻ em trên không gian mạng; b) Kích động, lôi kéo, dụ dỗ, ép buộc trẻ em theo dõi, chia sẻ, phát tán thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em hoặc tham gia vào các hoạt động vi phạm pháp luật khác. 4. Hình thức xử phạt bổ sung: a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại khoản 2 Điều này; b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm quy định tại khoản 2 Điều này. 5. Biện pháp khắc phục hậu quả: a) Buộc thực hiện các biện pháp bảo vệ trẻ em trên không gian mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1 Điều này; b) Buộc xóa bỏ, cải chính thông tin đối với các hành vi vi phạm quy định tại khoản 2 Điều này; c) Buộc thu hồi số thuê bao, đầu số, kho số viễn thông; tài nguyên Internet, tên miền, địa chỉ Internet (IP), số hiệu mạng (ASN); mã số quản lý, số cung cấp dịch vụ; buộc hoàn trả địa chỉ IP, ASN, tên miền, tài khoản số đối với các hành vi vi phạm quy định tại khoản 2 Điều này; d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện vi phạm hành chính hoặc buộc nộp lại số tiền bằng giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy đối với các hành vi vi phạm quy định tại khoản 2 Điều này.

   Xử phạt · Thông tin cá nhân, đời tư, trẻ em

7. Điều 39. Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân và

   các hành vi bị nghiêm cấm 1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với các hành vi sau: a) Xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích xử lý dữ liệu cá nhân đã được xác định, xin sự đồng ý, thỏa thuận hoặc vượt quá mức cần thiết để thực hiện mục đích đó; b) Không bảo đảm tính chính xác của dữ liệu cá nhân hoặc không thực hiện chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót hoặc khi cần thiết; c) Lưu trữ dữ liệu cá nhân vượt quá khoảng thời gian cần thiết phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật quy định khác; d) Không chủ động phòng ngừa, phát hiện, phối hợp kịp thời với các cơ quan có thẩm quyền trong xử lý mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân. 2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với các hành vi sau: a) Có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân; b) Sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái quy định của pháp luật. 3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại điểm a, c khoản 1, điểm b khoản 2 Điều này; 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ vượt thời hạn đối với hành vi vi phạm tại điểm a, c khoản 1 Điều này; b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại điểm a, c khoản 1, điểm b khoản 2 Điều này; c) Buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng đối với hành vi vi phạm tại điểm b khoản 2 Điều này; d) Buộc chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân cho chính xác theo yêu cầu của chủ thể dữ liệu cá nhân hoặc khi phát hiện sai sót đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

   Nghĩa vụ · Thông tin cá nhân, đời tư, trẻ em

8. Điều 41. Vi phạm quy định về xử lý dữ liệu cá nhân gây ảnh hưởng

   đến an ninh trật tự 1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh trật tự sau: a) Xử lý dữ liệu cá nhân để tạo lập, củng cố hoặc lan truyền thông tin bịa đặt, sai sự thật, xuyên tạc, kích động, gây hoang mang hoặc gây ảnh hưởng đến an ninh trật tự; b) Cung cấp, chuyển giao, phát tán hoặc công khai dữ liệu cá nhân biết rõ sẽ được sử dụng vào mục đích xâm phạm an ninh trật tự; c) Chỉnh sửa, làm sai lệch, xóa, hủy, chiếm đoạt hoặc làm gián đoạn xử lý dữ liệu cá nhân nhằm gây ảnh hưởng hoạt động bình thường của cơ quan, tổ chức; d) Thực hiện các hành vi khác gây ảnh hưởng hoặc có nguy cơ gây ảnh hưởng đến an ninh trật tự. 2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1 Điều này. 3. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã bị xử lý nhằm gây ảnh hưởng an ninh trật tự đối với hành vi vi phạm tại khoản 1 Điều này; b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 1 Điều này; c) Buộc gỡ bỏ, thu hồi thông tin và dữ liệu cá nhân đã cung cấp, chuyển giao, công khai trái phép đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

   Xử phạt · Thông tin cá nhân, đời tư, trẻ em · Tin giả, thông tin chưa kiểm chứng

9. Điều 43. Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân

   1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác; b) Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó; c) Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân; d) Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý; đ) Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ; e) Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân; g) Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền; h) Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý. 2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau: a) Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản; b) Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý. 3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại điểm a, c khoản 1, khoản 2 Điều này. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân thu thập, xử lý khi không có sự đồng ý hợp lệ đối với hành vi vi phạm tại điểm a, c khoản 1 và khoản 2 Điều này; b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

   Xử phạt · Thông tin cá nhân, đời tư, trẻ em

10. Điều 44. Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ

    liệu cá nhân 1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi sau: a) Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân; b) Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ chức để thực hiện quyền của chủ thể dữ liệu cá nhân; c) Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại Luật Bảo vệ dữ liệu cá nhân; d) Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ; đ) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân. 2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với Bên xử lý dữ liệu cá nhân, Bên thứ ba đã nhận được yêu cầu hợp lệ từ Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân nhưng không thực hiện đúng thời hạn một trong các yêu cầu sau: a) Không ngừng xử lý dữ liệu cá nhân khi nhận được yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định; b) Không thực hiện chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định; c) Không thực hiện xóa, hủy dữ liệu cá nhân hoặc không hạn chế xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định. 3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi không thực hiện đúng thời hạn yêu cầu của chủ thể dữ liệu cá nhân sau: a) Không thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 20 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày; b) Không thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn 10 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 10 ngày; c) Không thực hiện yêu cầu xóa dữ liệu cá nhân trong thời hạn 20 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 30 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 20 ngày; d) Không thực hiện yêu cầu áp dụng các biện pháp, giải pháp bảo vệ dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày. 4. Bên xử lý dữ liệu cá nhân, bên thứ ba không bị xử phạt theo quy định tại khoản 2 Điều này trong trường hợp pháp luật có quy định khác. 5. Biện pháp khắc phục hậu quả: Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân theo yêu cầu hợp pháp và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này.

    Nghĩa vụ · Thông tin cá nhân, đời tư, trẻ em

11. Điều 45. Vi phạm quy định về quyền rút lại sự đồng ý và quyền hạn

    chế xử lý dữ liệu cá nhân 1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau: a) Sử dụng các cách thức, biện pháp nhằm che giấu, ngăn chặn hoặc cố tình gây cản trở cho việc thực hiện quyền rút lại sự đồng ý, yêu cầu hạn chế của chủ thể dữ liệu cá nhân; b) Không thực hiện ngừng xử lý dữ liệu cá nhân kể từ khi chủ thể dữ liệu cá nhân rút lại sự đồng ý, yêu cầu hạn chế theo đúng thủ tục, trừ trường hợp pháp luật có quy định tiếp tục xử lý không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân; c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân không gửi yêu cầu cho Bên xử lý dữ liệu cá nhân, Bên thứ ba để ngừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý, yêu cầu hạn chế xử lý dữ liệu cá nhân. 2. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân tiếp tục xử lý sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1 Điều này; b) Buộc nộp lại khoản thu có được do tiếp tục khai thác dữ liệu cá nhân sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1 Điều này; c) Buộc thiết lập và cung cấp cho chủ thể dữ liệu cá nhân cơ chế kỹ thuật rõ ràng, dễ tiếp cận để thực hiện quyền rút lại sự đồng ý; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm a khoản 1 Điều này; d) Buộc thực hiện việc gửi yêu cầu đến Bên xử lý dữ liệu cá nhân, Bên thứ ba để dừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý; cung cấp minh chứng thực hiện đối với hành vi vi phạm tại điểm c khoản 1 Điều này.

    Nghĩa vụ · Thông tin cá nhân, đời tư, trẻ em

12. Điều 46. Vi phạm quy định về quyền xem, chỉnh sửa hoặc yêu cầu

    chỉnh sửa dữ liệu cá nhân 1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau: a) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân từ chối, không cho phép chủ thể dữ liệu cá nhân truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình sau khi đã thu thập, trừ trường hợp luật có quy định khác; b) Bên xử lý dữ liệu cá nhân, Bên thứ ba tự ý chỉnh sửa dữ liệu cá nhân của chủ thể dữ liệu cá nhân khi chưa được Bên kiểm soát dữ liệu cá nhân đồng ý bằng văn bản. 2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi cố ý trì hoãn, không thực hiện chỉnh sửa dữ liệu cá nhân sau khi đã xác nhận thông tin là sai sự thật, giả mạo gây ảnh hưởng về danh dự, nhân phẩm, uy tín, quyền và lợi ích hợp pháp cho chủ thể dữ liệu cá nhân. 3. Không xử phạt theo quy định tại Điều này đối với hành vi từ chối hoặc chưa thực hiện chỉnh sửa dữ liệu cá nhân nếu Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có căn cứ hợp lý chứng minh thuộc một trong các trường hợp sau: a) Yêu cầu chỉnh sửa nhằm mục đích gian lận, làm sai lệch thông tin để trốn tránh nghĩa vụ pháp lý hoặc thực hiện hành vi vi phạm pháp luật; b) Việc chỉnh sửa dữ liệu cá nhân theo yêu cầu có thể xâm phạm quyền, lợi ích hợp pháp của tổ chức, cá nhân khác hoặc ảnh hưởng đến thuần phong mỹ tục, đạo đức, lợi ích công cộng; c) Các trường hợp khác theo quy định của pháp luật có liên quan. 4. Biện pháp khắc phục hậu quả: a) Buộc thực hiện chỉnh sửa dữ liệu cá nhân theo yêu cầu hợp pháp của chủ thể dữ liệu cá nhân đối với hành vi vi phạm tại khoản 2 Điều này; b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã tự ý chỉnh sửa trái phép đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

    Nghĩa vụ · Thông tin cá nhân, đời tư, trẻ em

13. Điều 48. Vi phạm quy định về thu thập dữ liệu cá nhân

    1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật. 2. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý. 3. Trường hợp áp dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái quy định của pháp luật thì mức phạt tiền được xác định như sau: a) Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của dưới 500 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của dưới 100 chủ thể dữ liệu; b) Phạt tiền từ 200.000.000 đồng đến 300.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 500 đến dưới 1.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 100 đến dưới 200 chủ thể dữ liệu; c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể dữ liệu; d) Phạt tiền từ 500.000.000 đồng đến 800.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 5.000 chủ thể dữ liệu trở lên hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể dữ liệu trở lên. 4. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi quy định tại khoản 1 Điều này nếu đối tượng của hành vi vi phạm là dữ liệu cá nhân nhạy cảm. 5. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này. 6. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm tại Điều này; b) Buộc nộp lại khoản thu có được từ hoạt động kinh doanh có sử dụng dữ liệu cá nhân thu thập trái phép đối với hành vi vi phạm tại khoản 2 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

14. Điều 49. Vi phạm quy định về cung cấp dữ liệu cá nhân

    1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với hành vi từ chối cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân khi có yêu cầu hợp lệ. 2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác. 3. Phạt tiền bằng 02 lần mức phạt tiền quy định tại khoản 2 và khoản 3 Điều này đối với hành vi cung cấp dữ liệu cá nhân nhạy cảm. 4. Biện pháp khắc phục hậu quả: a) Buộc thực hiện cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân theo yêu cầu hợp lệ đối với hành vi vi phạm tại khoản 1 Điều này; b) Buộc thu hồi dữ liệu cá nhân đã cung cấp sai quy định đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này; c) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

15. Điều 50. Vi phạm quy định về công khai dữ liệu cá nhân

    1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây: a) Công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai theo quy định pháp luật; b) Công khai vượt quá phạm vi, loại dữ liệu cá nhân cần thiết cho mục đích công khai; c) Công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn dữ liệu gốc; d) Không kiểm soát, giám sát chặt chẽ việc công khai dữ liệu cá nhân để bảo đảm tuân thủ đúng mục đích, phạm vi và quy định của pháp luật; đ) Không có biện pháp ngăn chặn việc truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa, hủy hoặc các hành vi xử lý trái phép khác đối với dữ liệu đã công khai. 2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây: a) Công khai dữ liệu cá nhân gây xâm phạm đến quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân; b) Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật cho phép. 3. Biện pháp khắc phục hậu quả: a) Buộc cải chính thông tin đối với hành vi vi phạm tại điểm c khoản 1 Điều này; b) Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai đối với hành vi vi phạm tại khoản 2 Điều này; c) Buộc áp dụng biện pháp kiểm soát, giám sát và bảo mật đối với dữ liệu cá nhân đang công khai; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này; d) Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai không có mục đích cụ thể hoặc vượt quá phạm vi cần thiết đối với hành vi vi phạm tại điểm a, b khoản 1 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

16. Điều 51. Vi phạm quy định về xóa, hủy, khử nhận dạng dữ liệu cá nhân

    1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây: a) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do trong trường hợp không thể thực hiện việc xóa, hủy dữ liệu cá nhân sau khi nhận được yêu cầu; b) Việc xóa, hủy dữ liệu cá nhân không được thực hiện bằng các biện pháp an toàn; c) Không có biện pháp ngăn chặn hoạt động xâm nhập và khôi phục trái phép dữ liệu đã xóa, hủy; d) Khử nhận dạng dữ liệu cá nhân nhưng không kiểm soát, giám sát chặt chẽ; đ) Không có biện pháp ngăn chặn việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu trong quá trình khử nhận dạng. 2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây: a) Không thực hiện xóa, hủy dữ liệu cá nhân tại các trường hợp theo quy định pháp luật; b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba xóa, hủy dữ liệu cá nhân của chủ thể dữ liệu cá nhân theo quy định của pháp luật; c) Bên xử lý dữ liệu cá nhân không thực hiện xóa hoặc trả lại toàn bộ dữ liệu cá nhân cho Bên kiểm soát dữ liệu cá nhân sau khi kết thúc hợp đồng hoặc thỏa thuận xử lý dữ liệu cá nhân; d) Để xảy ra việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu cá nhân trong quá trình khử nhận dạng. 3. Phạt tiền từ 50.000.000 đồng đến 60.000.000 đồng đối với một trong các hành vi sau đây: a) Cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy; b) Tái nhận dạng dữ liệu cá nhân sau khi dữ liệu đó đã được khử nhận dạng, trừ trường hợp pháp luật có quy định khác. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với hành vi vi phạm tại điểm a, b khoản 2 Điều này; b) Buộc thông báo cho chủ thể dữ liệu cá nhân về việc không thể thực hiện xóa, hủy trong trường hợp quy định tại điểm a khoản 1 Điều này; c) Buộc hủy, xóa tới mức không thể khôi phục kết quả tái nhận dạng và dữ liệu cá nhân đã được khôi phục trái phép đối với hành vi vi phạm tại khoản 3 Điều này; d) Buộc áp dụng biện pháp kiểm soát, giám sát và ngăn chặn truy cập trái phép trong quá trình khử nhận dạng; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này.

    Nghĩa vụ · Thông tin cá nhân, đời tư, trẻ em

17. Điều 52. Vi phạm quy định về chuyển giao dữ liệu cá nhân

    1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau: a) Thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân; trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân; trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân; b) Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập, cơ quan, tổ chức không xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân đúng quy định; không có biện pháp phòng, chống việc nhân sự nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba. 2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi chuyển giao dữ liệu cá nhân theo điểm a, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu cá nhân hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu cá nhân nhưng vi phạm các nghĩa vụ sau: a) Không xác định rõ vai trò bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba trong hoạt động chuyển giao dữ liệu cá nhân; b) Không xác định, giới hạn loại dữ liệu cá nhân chuyển giao trong phạm vi mục đích chuyển giao; c) Không xác định thời hạn lưu trữ dữ liệu cá nhân phù hợp với mục đích chuyển giao; không xóa, hủy dữ liệu cá nhân khi hoàn thành mục đích theo quy định pháp luật. 3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi chuyển giao dữ liệu cá nhân nhạy cảm không có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác trong quá trình chuyển giao. 4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 Điều này. 5. Biện pháp khắc phục hậu quả: a) Buộc bổ sung, hoàn thiện thỏa thuận chuyển giao dữ liệu cá nhân theo đúng quy định và cung cấp minh chứng cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này; b) Buộc áp dụng biện pháp bảo mật theo quy định đối với dữ liệu cá nhân nhạy cảm đang được lưu trữ và truyền tải đối với hành vi vi phạm tại khoản 3 Điều này; c) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân nhạy cảm đã chuyển giao trong trường hợp không thể bảo đảm bảo mật theo quy định đối với hành vi vi phạm tại khoản 2, 3 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

18. Điều 53. Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân

    1. Phạt tiền từ 02 lần đến tối đa bằng 10 lần khoản thu đối với một trong các hành vi mua, bán trái phép dữ liệu cá nhân sau: a) Cung cấp, chia sẻ, trao đổi nhằm thu tài sản hoặc lợi ích khác không thuộc các trường hợp quy định tại khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân; b) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác không có thỏa thuận về việc chuyển giao dữ liệu cá nhân; c) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định mục đích chuyển giao dữ liệu cá nhân hoặc không thực hiện theo đúng mục đích trong thỏa thuận chuyển giao dữ liệu cá nhân; d) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân; đ) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà xử lý dữ liệu cá nhân không đúng cho mục đích chuyển giao được chủ thể dữ liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh; e) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu. 2. Trường hợp các hành vi vi phạm quy định tại khoản 1 Điều này không có khoản thu và mức phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm thấp hơn 3.000.000.000 đồng thì mức phạt tiền được xác định đến mức tối đa của khung tiền phạt là 3.000.000.000 đồng. 3. Trường hợp không có khoản thu từ hành vi vi phạm quy định tại khoản 1 Điều này thì mức phạt tiền được xác định như sau: a) Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của dưới 1.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của dưới 200 chủ thể dữ liệu; b) Phạt tiền từ 100.000.000 đồng đến 300.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 2.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của từ 200 đến dưới 400 chủ thể dữ liệu; c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 2.000 đến dưới 10.000 chủ thể dữ liệu hoặc dữ liệu cá nhân nhạy cảm của từ 400 đến 2.000 chủ thể dữ liệu; d) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 10.000 chủ thể dữ liệu trở lên, dữ liệu cá nhân nhạy cảm của từ 2.000 chủ thể dữ liệu trở lên; đ) Mức phạt tiền từ 1.000.000.000 đồng đến tối đa 3.000.000.000 đồng đối với các hành vi mua, bán dữ liệu cá nhân trái phép xâm phạm tới quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân, quyền và lợi ích hợp pháp của tổ chức, cá nhân. 4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại Điều này. 5. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã mua, bán trái phép trên tất cả hệ thống lưu trữ đối với hành vi vi phạm quy định tại Điều này; b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều này; c) Buộc thông báo đến toàn bộ chủ thể dữ liệu cá nhân bị ảnh hưởng về hành vi vi phạm và biện pháp khắc phục đối với hành vi vi phạm quy định tại Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

19. Điều 54. Vi phạm quy định về thông báo vi phạm quy định về bảo vệ

    dữ liệu cá nhân 1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây: a) Bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm nhưng không thông báo kịp thời cho bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu; b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân; c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân thực hiện báo cáo vi phạm sự cố rò rỉ dữ liệu cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân nhưng cố ý che giấu, cung cấp thông tin sai lệch về tính chất sự cố, quy mô, các loại dữ liệu cá nhân và số lượng chủ thể dữ liệu bị ảnh hưởng. 2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với hành vi không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp sau đây: a) Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân; b) Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận; c) Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân. 3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có hành vi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm hơn 72 giờ kể từ khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân gây tổn hại hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân. 4. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong các hành vi sau đây: a) Không thực hiện các biện pháp ngăn chặn hành vi vi phạm, không khắc phục hậu quả xảy ra; b) Không phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong việc xử lý hành vi vi phạm. 5. Biện pháp khắc phục hậu quả: a) Buộc thực hiện đầy đủ nghĩa vụ thông báo vi phạm theo đúng nội dung, hình thức và thời hạn quy định, cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1, khoản 2, khoản 3 Điều này; b) Buộc thực hiện các biện pháp ngăn chặn và khắc phục hậu quả do hành vi vi phạm gây ra theo yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân đối với hành vi vi phạm tại điểm a khoản 4 Điều này.

    Nghĩa vụ

20. Điều 56. Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới

    1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trước hoặc trong thời gian tiến hành chuyển dữ liệu; b) Không nộp 01 bản chính hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu; c) Không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 30 ngày kể từ khi nhận được yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân; d) Không cập nhật định kỳ hoặc không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi có thay đổi theo quy định pháp luật; đ) Không duy trì hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra của cơ quan chuyên trách bảo vệ dữ liệu cá nhân; e) Không thông báo thông tin và chi tiết liên lạc của tổ chức, cá nhân phụ trách bảo vệ dữ liệu cá nhân phía bên nhận dữ liệu sau khi hoàn tất việc chuyển dữ liệu cá nhân xuyên biên giới; g) Không có cơ chế kiểm soát hoặc không yêu cầu bên nhận dữ liệu xuyên biên giới tuân thủ quy trình khi chuyển tiếp dữ liệu cá nhân cho bên thứ ba khác, dẫn đến việc dữ liệu cá nhân của công dân Việt Nam được xử lý ngoài phạm vi đã khai báo trong hồ sơ đánh giá tác động. 2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: a) Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận dữ liệu xuyên biên giới, không xác định rõ trách nhiệm thực hiện quyền của chủ thể dữ liệu cá nhân sau khi dữ liệu được chuyển; b) Không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích chuyển dữ liệu xuyên biên giới hoặc không thông báo cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý; c) Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển dữ liệu cá nhân xuyên biên giới hoặc không có phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển; d) Không phối hợp hoặc cản trở hoạt động kiểm tra hoạt động chuyển dữ liệu xuyên biên giới của cơ quan chuyên trách bảo vệ dữ liệu cá nhân; đ) Tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển dữ liệu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân; e) Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và không yêu cầu bên nhận dữ liệu xuyên biên giới dừng xử lý, ngăn chặn thiệt hại khi phát hiện bên nhận xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu cá nhân. 3. Phạt tiền theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức thực hiện chuyển dữ liệu cá nhân xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai báo sai về dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân, hoặc tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng của cơ quan chuyên trách bảo vệ dữ liệu cá nhân, cụ thể như sau: a) Phạt tiền từ 1% đến 2% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam; b) Phạt tiền từ 2% đến 3% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam; c) Phạt tiền từ 3% đến 5% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia. 4. Trường hợp tổ chức vi phạm quy định tại khoản 3 Điều này không có doanh thu phát sinh tại thị trường Việt Nam trong năm tài chính liền trước hoặc mức phạt tính theo tỷ lệ phần trăm doanh thu tại từng điểm thấp hơn 3.000.000.000 đồng thì áp dụng mức phạt tiền như sau: a) Phạt tiền từ 200.000.000 đồng đến 500.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam; b) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam; c) Phạt tiền từ 1.000.000.000 đồng đến 3.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia. 5. Hình thức xử phạt bổ sung: a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này; b) Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này. 6. Biện pháp khắc phục hậu quả: a) Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới đúng quy định đối với hành vi vi phạm quy định tại khoản 1 Điều này; b) Buộc ngừng việc chuyển dữ liệu cá nhân xuyên biên giới cho đến khi hoàn thành đầy đủ nghĩa vụ hồ sơ và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm quy định tại điểm a, b khoản 1 và điểm a, b khoản 2 Điều này; c) Buộc yêu cầu bên nhận dữ liệu xuyên biên giới hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã chuyển trái quy định; cung cấp bằng chứng bên nhận đã thực hiện việc hủy, xóa cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này; d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

    Điều kiện · Thông tin cá nhân, đời tư, trẻ em

21. Điều 60. Vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em, người

    bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi 1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em; b) Xử lý dữ liệu cá nhân của trẻ em dưới 07 tuổi, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi mà không có sự đồng ý của người đại diện theo pháp luật, trừ trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân; c) Xử lý dữ liệu cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân. 2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: a) Xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật; b) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi khi người đại diện theo pháp luật rút lại sự đồng ý, trừ trường hợp pháp luật có quy định khác; c) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi khi cơ quan có thẩm quyền có đủ căn cứ chứng minh việc xử lý dữ liệu có thể xâm phạm đến quyền, lợi ích hợp pháp của đối tượng được bảo vệ và yêu cầu ngừng xử lý, trừ trường hợp pháp luật có quy định khác. 3. Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi không thực hiện xóa, hủy tới mức không thể khôi phục dữ liệu cá nhân của trẻ em trong các trường hợp: xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý; cha mẹ hoặc người giám hộ rút lại sự đồng ý; theo yêu cầu của cơ quan có thẩm quyền. 4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này. 5. Biện pháp khắc phục hậu quả: a) Buộc ngừng hoạt động xử lý dữ liệu cá nhân và thông báo bằng văn bản cho người đại diện theo pháp luật về việc dừng xử lý đối với hành vi vi phạm quy định tại điểm b, c khoản 2 Điều này; b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã xử lý trái quy định đối với hành vi vi phạm quy định tại khoản 1, khoản 2 và khoản 3 Điều này; c) Buộc gỡ bỏ thông tin về đời sống riêng tư, bí mật cá nhân đã công bố trái quy định và thông báo cho người đại diện theo pháp luật về việc gỡ bỏ đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

22. Điều 61. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển

    dụng, quản lý, sử dụng lao động 1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Yêu cầu người dự tuyển cung cấp dữ liệu cá nhân không phục vụ cho mục đích tuyển dụng hoặc không phù hợp với quy định của pháp luật; b) Sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển; c) Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý; d) Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển. 2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau: a) Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận; b) Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác; c) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động; d) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động. 3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định của pháp luật. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm quy định tại điểm c, d khoản 1, điểm c, d khoản 2 và khoản 3 Điều này; b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

23. Điều 62. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với thông tin

    sức khỏe và trong hoạt động kinh doanh bảo hiểm 1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây: a) Trong quá trình kinh doanh bảo hiểm, tái bảo hiểm, nhượng tái bảo hiểm, tiến hành chuyển giao dữ liệu cá nhân của khách hàng cho đối tác nhưng không quy định rõ ràng, minh bạch trong hợp đồng đã giao kết với khách hàng; b) Trong quá trình phát triển, vận hành các ứng dụng y tế, nền tảng chăm sóc sức khỏe trực tuyến, tiến hành thu thập dữ liệu cá nhân nhạy cảm nhưng không thiết lập quy định phân quyền giới hạn truy cập và các biện pháp bảo mật theo quy định. 2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi cung cấp, chia sẻ dữ liệu cá nhân của bệnh nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe khác hoặc doanh nghiệp kinh doanh bảo hiểm sức khỏe, bảo hiểm nhân thọ khi chưa nhận được yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân. 3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1 Điều này; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này. 4. Biện pháp khắc phục hậu quả: a) Buộc thiết lập và áp dụng biện pháp bảo mật, phân quyền truy cập theo đúng quy định kỹ thuật đối với hệ thống thu thập dữ liệu sức khỏe, sinh trắc học; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này; b) Buộc yêu cầu bên thứ ba hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã tiếp nhận trái phép và cung cấp bằng chứng đã thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này; c) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

24. Điều 63. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh

    dịch vụ quảng cáo 1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Thu thập và sử dụng dữ liệu cá nhân cơ bản để phân phối quảng cáo mà không có sự đồng ý của chủ thể dữ liệu cá nhân; b) Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không cung cấp cơ chế, phương thức kỹ thuật minh bạch, dễ tiếp cận để chủ thể dữ liệu cá nhân thực hiện quyền từ chối nhận quảng cáo hoặc rút lại sự đồng ý chia sẻ dữ liệu cá nhân cho mục đích quảng cáo; c) Thiết lập phương thức mặc định đồng ý cung cấp dữ liệu cá nhân của chủ thể dữ liệu cá nhân cho mạng lưới quảng cáo liên kết; d) Cố ý chia sẻ hồ sơ người dùng cho bên thứ ba với mục đích kinh doanh dịch vụ quảng cáo khi người dùng đã thực hiện thao tác từ chối. 2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau: a) Thu thập và sử dụng dữ liệu cá nhân nhạy cảm để phân phối quảng cáo mà không có sự đồng ý của chủ thể dữ liệu cá nhân; b) Kinh doanh dịch vụ quảng cáo dựa trên dữ liệu cá nhân của trẻ em dưới 16 tuổi khi chưa được sự đồng ý của người đại diện hợp pháp; c) Thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo khi không có sự đồng ý của chủ thể dữ liệu cá nhân; d) Không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo; đ) Cố ý lưu trữ, không xóa hoặc không hủy dữ liệu cá nhân khi dữ liệu đó không còn cần thiết cho mục đích xử lý theo quy định của pháp luật. 3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ quảng cáo liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, sử dụng trái phép để phân phối quảng cáo đối với hành vi vi phạm tại khoản 1 và khoản 2 Điều này; b) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều này; c) Buộc thiết lập và cung cấp cho người dùng cơ chế từ chối nhận quảng cáo, rút lại sự đồng ý chia sẻ dữ liệu theo đúng quy định và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em · Khuyến mại, quà tặng sai quy định, mồi tương tác

25. Điều 64. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hoạt động

    tài chính, ngân hàng, hoạt động thông tin tín dụng 1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi sau: a) Không thông báo hoặc thông báo chậm quá thời hạn 72 giờ cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân kể từ thời điểm phát hiện sự cố lộ, mất dữ liệu cá nhân nhạy cảm; b) Nội dung thông báo sự cố vi phạm bảo vệ dữ liệu cá nhân không bảo đảm đầy đủ các nội dung tối thiểu theo quy định của pháp luật; c) Không tiến hành ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân hoặc không thực hiện đánh giá tuân thủ định kỳ hàng năm theo quy định; d) Không thiết lập giải pháp khôi phục dữ liệu cá nhân khi xảy ra sự cố mất dữ liệu cá nhân; đ) Không áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân theo quy định; e) Nội dung xin sự đồng ý của chủ thể dữ liệu cá nhân không bảo đảm nêu rõ các thông tin theo quy định tại khoản 2, Điều 9 Luật Bảo vệ dữ liệu cá nhân. 2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau: a) Sử dụng dữ liệu cá nhân của chủ thể dữ liệu cá nhân để tiến hành các hoạt động chấm điểm, xếp hạng tín dụng, đánh giá mức độ tín nhiệm về tín dụng khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân trừ trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân; b) Tổ chức thực hiện hoạt động thông tin tín dụng nhưng không triển khai các biện pháp quản lý, kỹ thuật để phòng, chống truy cập, sử dụng, tiết lộ, chỉnh sửa trái phép dữ liệu cá nhân của khách hàng; c) Thu thập dữ liệu cá nhân không đúng phạm vi cần thiết phục vụ hoạt động thông tin tín dụng hoặc thu thập từ nguồn không được pháp luật cho phép. 3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp các dịch vụ thông tin tín dụng, chấm điểm, xếp hạng tín dụng, đánh giá mức độ tín nhiệm về tín dụng từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục kết quả chấm điểm, xếp hạng tín dụng được tạo ra trái phép đối với hành vi vi phạm tại điểm a khoản 2 Điều này; b) Buộc yêu cầu đối tác, bên liên kết hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân nhạy cảm đã được chia sẻ, chuyển giao trái phép đối với hành vi vi phạm tại điểm b khoản 2 Điều này;

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

26. Điều 70. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu

    vị trí cá nhân, dữ liệu sinh trắc học 1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây: a) Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng không thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân; b) Không có biện pháp kỹ thuật ngăn chặn việc thu thập dữ liệu vị trí cá nhân của các bên thứ ba không liên quan hoặc không cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân; c) Thu thập, xử lý dữ liệu sinh trắc học nhưng không thiết lập các biện pháp bảo mật vật lý đối với hệ thống, thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học; d) Không thực hiện hạn chế quyền truy cập hoặc không có hệ thống theo dõi phòng ngừa hành vi xâm phạm đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học; đ) Không thực hiện thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát hiện ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học; e) Thông báo cho chủ thể dữ liệu bị ảnh hưởng không bao gồm các nội dung tối thiểu theo quy định pháp luật; g) Không ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý; không bảo đảm lưu hồ sơ vi phạm trong thời gian tối thiểu 05 năm kể từ ngày khắc phục xong sự cố; h) Không thông báo công khai bằng phương tiện điện tử chính thức của tổ chức qua Trang thông tin điện tử, ứng dụng; không gửi thông báo cho chủ thể dữ liệu cá nhân liên quan khi điều kiện kỹ thuật cho phép trong trường hợp không thể thông báo cho tất cả chủ thể dữ liệu cá nhân bị ảnh hưởng trong thời hạn quy định vì lý do kỹ thuật hoặc khẩn cấp. 2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong các hành vi sau đây: a) Lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác mà không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc không có yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật hoặc pháp luật không có quy định khác; b) Khai thác, sử dụng dữ liệu sinh trắc học của chủ thể dữ liệu cá nhân vượt quá mục đích ban đầu mà chưa có được sự đồng ý. 3. Hình thức xử phạt bổ sung: a) Tịch thu các thiết bị phát sóng, thẻ RFID, thiết bị thu thập và máy chủ lưu trữ sinh trắc học được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 2 Điều này; b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu vị trí cá nhân và dữ liệu sinh trắc học đã bị thu thập, theo dõi trái phép đối với hành vi vi phạm tại khoản 2 Điều này; b) Buộc cung cấp cho người dùng tùy chọn bật/tắt thu thập dữ liệu vị trí cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

27. Điều 71. Vi phạm quy định về bảo vệ dữ liệu cá nhân thu được từ hoạt

    động ghi âm, ghi hình tại nơi công cộng 1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau: a) Lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng, khu vực cung cấp dịch vụ cho khách hàng mà không áp dụng các hình thức thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết để chủ thể dữ liệu cá nhân hiểu được mình đang bị ghi âm, ghi hình; b) Không cung cấp thông tin liên hệ của Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân có yêu cầu truy xuất hình ảnh của mình, trừ trường hợp pháp luật có quy định khác. 2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau: a) Sử dụng dữ liệu cá nhân, hình ảnh, giọng nói thu được từ hệ thống camera giám sát công cộng vào các mục đích thương mại, phân tích hành vi, hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân mà không có sự đồng ý hợp pháp của chủ thể dữ liệu cá nhân; b) Trích xuất, chia sẻ, công khai trái phép dữ liệu ghi âm, ghi hình, trừ trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền. 3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 Điều này. 4. Biện pháp khắc phục hậu quả: a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu âm thanh, hình ảnh thu thập trái quy định đối với hành vi vi phạm tại khoản 1 và khoản 2 Điều này; b) Buộc thiết lập và công khai thông tin liên hệ của Bên kiểm soát dữ liệu cá nhân để chủ thể dữ liệu cá nhân có thể yêu cầu truy xuất hình ảnh; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này. Chương III THẨM QUYỀN LẬP BIÊN BẢN VI PHẠM HÀNH CHÍNH VÀ XỬ PHẠT VI PHẠM HÀNH CHÍNH

    Xử phạt · Thông tin cá nhân, đời tư, trẻ em

Nội dung quảng cáo của bạn có chạm những điều này không? Kiểm tra trước khi đăng