Khai thác dữ liệu cá nhân khi chủ thể giữ im lặng hoặc không phản hồi bị phạt tới 70 triệu đồng

VHO - Theo quy định mới, hành vi thu thập, xử lý dữ liệu khi chủ thể giữ im lặng hoặc không phản hồi yêu cầu xin đồng ý nhưng tổ chức, cá nhân tự ý coi sự im lặng đó là đồng ý sẽ bị phạt 50-70 triệu đồng.

Chính phủ ban hành Nghị định số 330/2026/NĐ-CP ngày 19.8.2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Nghị định có hiệu lực thi hành cùng ngày.

Phạt đến 60 triệu đồng đối với hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của tổ chức, cá nhân

Theo Nghị định, hành vi xử lý dữ liệu cá nhân không đúng phạm vi, không phù hợp với mục đích đã xác định hoặc vượt quá mức cần thiết sẽ bị phạt từ 20-40 triệu đồng.

Mức phạt này cũng áp dụng với hành vi không bảo đảm tính chính xác của dữ liệu cá nhân; không kịp thời chỉnh sửa, cập nhật, bổ sung khi phát hiện sai sót; lưu trữ dữ liệu quá thời gian cần thiết hoặc không chủ động phòng ngừa, phát hiện và phối hợp xử lý các hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

Đối với hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân hoặc sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật, mức phạt tăng lên 40-60 triệu đồng.

Ngoài phạt tiền, một số trường hợp còn bị tịch thu tang vật, phương tiện vi phạm. Người vi phạm cũng có thể bị buộc hủy, xóa dữ liệu cá nhân đã xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ quá thời hạn.

Trường hợp thu lợi bất hợp pháp từ hành vi vi phạm, người vi phạm phải nộp lại khoản thu này. Nếu sử dụng dữ liệu cá nhân của người khác để thực hiện hành vi trái pháp luật, còn có thể bị buộc công khai xin lỗi chủ thể dữ liệu trên phương tiện thông tin đại chúng.

Đối với dữ liệu cá nhân không chính xác, tổ chức, cá nhân vi phạm phải chỉnh sửa, cập nhật, bổ sung theo yêu cầu của chủ thể dữ liệu hoặc khi phát hiện sai sót.

Tự ý xử lý dữ liệu cá nhân bị phạt 70 triệu đồng

Nghị định quy định phạt từ 30-50 triệu đồng đối với hành vi xử lý dữ liệu cá nhân sau khi thu thập nhưng chưa có sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác.

Mức phạt này cũng áp dụng với hành vi buộc người sử dụng phải đồng ý xử lý dữ liệu cho những mục đích không liên quan đến dịch vụ; thiết lập phương thức mặc định đồng ý hoặc tạo chỉ dẫn không rõ ràng, gây hiểu lầm giữa việc đồng ý và không đồng ý.

Các hành vi như không bảo đảm việc xin đồng ý rõ ràng, cụ thể và có thể kiểm chứng; không cung cấp đầy đủ thông tin về loại dữ liệu, mục đích xử lý, quyền và nghĩa vụ của chủ thể dữ liệu; không cho phép đồng ý riêng đối với từng mục đích xử lý cũng bị xử phạt trong khung này.

Tổ chức, cá nhân cũng phải ghi nhận, lưu trữ nhật ký về sự đồng ý và có khả năng chứng minh việc chủ thể dữ liệu đã đồng ý khi được yêu cầu. Trường hợp không thông báo cho chủ thể biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý cũng bị phạt.

Đáng chú ý, hành vi cố ý tiếp tục xử lý dữ liệu sau khi chủ thể đã yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản sẽ bị phạt 50-70 triệu đồng.

Mức phạt tương tự áp dụng với hành vi thu thập, xử lý dữ liệu khi chủ thể giữ im lặng hoặc không phản hồi yêu cầu xin đồng ý nhưng tổ chức, cá nhân tự ý coi sự im lặng đó là đồng ý. Ngoài phạt tiền, một số hành vi vi phạm còn có thể bị tịch thu tang vật, phương tiện theo quy định.