Phạt đến 70 triệu đồng nếu tự ý xử lý dữ liệu cá nhân khi chưa được đồng ý

Chính phủ vừa ban hành Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Theo quy định, hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác, bị phạt tiền từ 30 triệu đồng đến 50 triệu đồng.

Mức phạt này cũng áp dụng đối với một số hành vi như kèm điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu khách hàng không đồng ý xử lý dữ liệu cho những mục đích khác không liên quan đến thỏa thuận cung cấp dịch vụ; thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý.

(Ảnh minh họa)

Ngoài ra, việc xin sự đồng ý không được thể hiện rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về người đồng ý, thời điểm và nội dung đồng ý; không ghi nhận, lưu trữ nhật ký về sự đồng ý hoặc không chứng minh được đã có sự đồng ý khi cơ quan có thẩm quyền yêu cầu cũng bị phạt từ 30-50 triệu đồng.

Đáng chú ý, mức phạt tăng lên 50-70 triệu đồng đối với hành vi cố ý tiếp tục xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản.

Hành vi thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, nhưng tự ý coi sự im lặng là đồng ý, cũng bị phạt từ 50-70 triệu đồng.

Bên cạnh phạt tiền, tùy hành vi, tổ chức, cá nhân vi phạm còn có thể bị tịch thu tang vật, phương tiện vi phạm hành chính; buộc hủy, xóa dữ liệu cá nhân đã thu thập, xử lý khi không có sự đồng ý hợp lệ và buộc nộp lại khoản thu bất hợp pháp có được do vi phạm.

Nghị định cũng quy định phạt từ 20-40 triệu đồng đối với các hành vi như xử lý dữ liệu cá nhân không đúng phạm vi hoặc mục đích đã xác định, không bảo đảm tính chính xác của dữ liệu, lưu trữ dữ liệu vượt quá thời gian cần thiết hoặc không chủ động phòng ngừa, phát hiện và phối hợp xử lý vi phạm. Mức phạt từ 40-60 triệu đồng áp dụng với hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân hoặc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật.

Theo Nghị định, hộ kinh doanh, hộ gia đình, cộng đồng dân cư thực hiện hành vi vi phạm hành chính thuộc phạm vi điều chỉnh sẽ bị áp dụng mức phạt tiền như đối với cá nhân vi phạm hành chính.