Nghị định 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân

NGHỊ ĐỊNH

QUY ĐỊNH XỬ PHẠT VI PHẠM HÀNH CHÍNH TRONG LĨNH VỰC AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15;

Căn cứ Luật Tổ chức chính quyền địa phương số 72/2025/QH15;

Căn cứ Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15 được sửa đổi, bổ sung bởi Luật số 87/2025/QH15;

Căn cứ Luật An ninh mạng số 116/2025/QH15;

Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;

Căn cứ Luật Xử lý vi phạm hành chính số 15/2012/QH13 được sửa đổi, bổ sung bởi Luật số 54/2014/QH13, Luật số 18/2017/QH14, Luật số 67/2020/QH14, Luật số 09/2022/QH15, Luật số 11/2022/QH15, Luật số 56/2024/QH15, Luật số 88/2025/QH15, Luật số 116/2025/QH15 và Luật số 120/2025/QH15;

Căn cứ Luật Chuyển đổi số số 148/2025/QH15;

Căn cứ Luật Giao dịch điện tử số 20/2023/QH15;

Căn cứ Luật Thương mại điện tử số 122/2025/QH15;

Căn cứ Luật Công nghiệp công nghệ số số 71/2025/QH15;

Theo đề nghị của Bộ trưởng Bộ Công an;

Chính phủ ban hành Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Nghị định này quy định về hành vi vi phạm hành chính; hành vi vi phạm hành chính đã kết thúc và hành vi vi phạm hành chính đang thực hiện; hình thức xử phạt, mức xử phạt, biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính; đối tượng bị xử phạt; thẩm quyền xử phạt, mức phạt tiền cụ thể theo từng chức danh và thẩm quyền lập biên bản đối với vi phạm hành chính; việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả trong từng lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

2. Các hành vi vi phạm hành chính khác có liên quan đến lĩnh vực an ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân nhưng không được quy định tại Nghị định này thì áp dụng theo quy định tại các Nghị định đó của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước có liên quan để xử phạt.

3. Trường hợp một hành vi đồng thời vi phạm quy định của Nghị định này và nghị định quy định xử phạt vi phạm hành chính trong các lĩnh vực quản lý nhà nước khác, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi và căn cứ pháp lý để áp dụng để xử phạt. Trường hợp hành vi đồng thời được quy định tại Nghị định này và nghị định xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước khác thì áp dụng Nghị định này nếu hành vi vi phạm trên lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; trường hợp dấu hiệu cấu thành hành vi vi phạm nghĩa vụ, trách nhiệm, điều cấm khác thuộc phạm vi quản lý nhà nước chuyên ngành khác thì áp dụng nghị định của lĩnh vực đó.

Điều 2. Đối tượng, nguyên tắc áp dụng

1. Cá nhân, tổ chức Việt Nam; cá nhân, tổ chức nước ngoài có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của nước Cộng hòa xã hội chủ nghĩa Việt Nam; trên tàu bay mang quốc tịch Việt Nam, tàu biển mang cờ quốc tịch Việt Nam (sau đây gọi là cá nhân, tổ chức), trừ trường hợp điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên có quy định khác.

2. Tổ chức quy định tại khoản 1 Điều này bao gồm:

a) Doanh nghiệp tư nhân, Công ty cổ phần, Công ty trách nhiệm hữu hạn, Công ty hợp danh, các đơn vị phụ thuộc doanh nghiệp;

b) Tổ chức được thành lập theo quy định của Luật Hợp tác xã;

c) Tổ chức được thành lập theo quy định của Luật Đầu tư;

d) Tổ chức chính trị - xã hội, tổ chức xã hội - nghề nghiệp, các tổ chức xã hội khác;

đ) Doanh nghiệp nước ngoài hoặc chi nhánh, văn phòng đại diện, địa điểm kinh doanh của doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, dịch vụ cung cấp nội dung trên không gian mạng, công nghệ thông tin, an ninh mạng, cung cấp dịch vụ xuyên biên giới; cơ quan, tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước;

NGHỊ ĐỊNH

QUY ĐỊNH XỬ PHẠT VI PHẠM HÀNH CHÍNH TRONG LĨNH VỰC AN NINH MẠNG VÀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15;

Căn cứ Luật Tổ chức chính quyền địa phương số 72/2025/QH15;

Căn cứ Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15 được sửa đổi, bổ sung bởi Luật số 87/2025/QH15;

Căn cứ Luật An ninh mạng số 116/2025/QH15;

Căn cứ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15;

Căn cứ Luật Xử lý vi phạm hành chính số 15/2012/QH13 được sửa đổi, bổ sung bởi Luật số 54/2014/QH13, Luật số 18/2017/QH14, Luật số 67/2020/QH14, Luật số 09/2022/QH15, Luật số 11/2022/QH15, Luật số 56/2024/QH15, Luật số 88/2025/QH15, Luật số 116/2025/QH15 và Luật số 120/2025/QH15;

Căn cứ Luật Chuyển đổi số số 148/2025/QH15;

Căn cứ Luật Giao dịch điện tử số 20/2023/QH15;

Căn cứ Luật Thương mại điện tử số 122/2025/QH15;

Căn cứ Luật Công nghiệp công nghệ số số 71/2025/QH15;

Theo đề nghị của Bộ trưởng Bộ Công an;

Chính phủ ban hành Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Nghị định này quy định về hành vi vi phạm hành chính; hành vi vi phạm hành chính đã kết thúc và hành vi vi phạm hành chính đang thực hiện; hình thức xử phạt, mức xử phạt, biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính; đối tượng bị xử phạt; thẩm quyền xử phạt, mức phạt tiền cụ thể theo từng chức danh và thẩm quyền lập biên bản đối với vi phạm hành chính; việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả trong từng lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

2. Các hành vi vi phạm hành chính khác có liên quan đến lĩnh vực an ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân nhưng không được quy định tại Nghị định này thì áp dụng theo quy định tại các Nghị định đó của Chính phủ về xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước có liên quan để xử phạt.

3. Trường hợp một hành vi đồng thời vi phạm quy định của Nghị định này và nghị định quy định xử phạt vi phạm hành chính trong các lĩnh vực quản lý nhà nước khác, cơ quan có thẩm quyền phải xác định đúng bản chất hành vi và căn cứ pháp lý để áp dụng để xử phạt. Trường hợp hành vi đồng thời được quy định tại Nghị định này và nghị định xử phạt vi phạm hành chính trong lĩnh vực quản lý nhà nước khác thì áp dụng Nghị định này nếu hành vi vi phạm trên lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân; trường hợp dấu hiệu cấu thành hành vi vi phạm nghĩa vụ, trách nhiệm, điều cấm khác thuộc phạm vi quản lý nhà nước chuyên ngành khác thì áp dụng nghị định của lĩnh vực đó.

Điều 2. Đối tượng, nguyên tắc áp dụng

1. Cá nhân, tổ chức Việt Nam; cá nhân, tổ chức nước ngoài có hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân trong phạm vi lãnh thổ, vùng nội thủy, lãnh hải, vùng tiếp giáp lãnh hải, vùng đặc quyền kinh tế và thềm lục địa của nước Cộng hòa xã hội chủ nghĩa Việt Nam; trên tàu bay mang quốc tịch Việt Nam, tàu biển mang cờ quốc tịch Việt Nam (sau đây gọi là cá nhân, tổ chức), trừ trường hợp điều ước quốc tế mà nước Cộng hòa xã hội chủ nghĩa Việt Nam là thành viên có quy định khác.

2. Tổ chức quy định tại khoản 1 Điều này bao gồm:

a) Doanh nghiệp tư nhân, Công ty cổ phần, Công ty trách nhiệm hữu hạn, Công ty hợp danh, các đơn vị phụ thuộc doanh nghiệp;

b) Tổ chức được thành lập theo quy định của Luật Hợp tác xã;

c) Tổ chức được thành lập theo quy định của Luật Đầu tư;

d) Tổ chức chính trị - xã hội, tổ chức xã hội - nghề nghiệp, các tổ chức xã hội khác;

đ) Doanh nghiệp nước ngoài hoặc chi nhánh, văn phòng đại diện, địa điểm kinh doanh của doanh nghiệp nước ngoài cung cấp dịch vụ viễn thông, Internet, dịch vụ cung cấp nội dung trên không gian mạng, công nghệ thông tin, an ninh mạng, cung cấp dịch vụ xuyên biên giới; cơ quan, tổ chức nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu cá nhân của công dân Việt Nam và người gốc Việt Nam chưa xác định được quốc tịch đang sinh sống tại Việt Nam đã được cấp giấy chứng nhận căn cước;

e) Điểm cung cấp dịch vụ viễn thông, trò chơi điện tử công cộng, truy nhập Internet công cộng;

g) Doanh nghiệp cung cấp dịch vụ nội dung thông tin trên mạng viễn thông di động và không gian mạng;

h) Đơn vị sự nghiệp, tổ chức xã hội, tổ chức xã hội nghề nghiệp, tổ chức phi chính phủ nước ngoài sử dụng tần số vô tuyến điện;

i) Nhà đăng ký tên miền; tổ chức, doanh nghiệp đăng ký tên miền;

k) Chủ quản hệ thống thông tin và đơn vị vận hành hệ thống thông tin;

l) Tổ chức khác theo quy định của pháp luật.

3. Hộ kinh doanh, hộ gia đình, cộng đồng dân cư thực hiện hành vi vi phạm hành chính quy định tại Nghị định này bị áp dụng mức phạt tiền như đối với cá nhân vi phạm hành chính.

4. Bộ Quốc phòng quản lý về an ninh mạng đối với nhiệm vụ quân sự, quốc phòng; Bộ Công an quản lý về an ninh mạng đối với các đơn vị Quân đội có hoạt động dân sự, kinh tế theo thẩm quyền; đối với các nội dung giao thoa (nếu có), Bộ Công an và Bộ Quốc phòng thống nhất quy chế phối hợp.

Điều 3. Thời hiệu xử phạt vi phạm hành chính

1. Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân là 01 năm.

2. Thời điểm chấm dứt hành vi vi phạm để tính thời hiệu xử phạt là ngày cá nhân, tổ chức thực hiện xong nghĩa vụ theo quy định hoặc ngày hành vi vi phạm đó thực tế kết thúc được cơ quan có thẩm quyền xác nhận.

3. Ngoài quy định tại khoản 2 Điều này, cơ quan, người có thẩm quyền xử phạt vi phạm hành chính căn cứ vào các văn bản quy phạm pháp luật có liên quan, hồ sơ, tài liệu và tình tiết của từng vụ việc cụ thể để xác định hành vi vi phạm đã kết thúc hay hành vi vi phạm đang thực hiện theo quy định tại Nghị định của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Xử lý vi phạm hành chính hiện hành.

Điều 4. Hình thức xử phạt

1. Hình thức xử phạt chính đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và lĩnh vực bảo vệ dữ liệu cá nhân bao gồm:

a) Cảnh cáo;

b) Phạt tiền.

2. Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn có thể bị áp dụng một hoặc nhiều hình thức xử phạt bổ sung sau đây:

a) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn từ 01 tháng đến 24 tháng, bao gồm: Giấy phép cung cấp dịch vụ mạng xã hội; Giấy phép thiết lập trang thông tin điện tử tổng hợp; Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng; Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân; giấy phép kinh doanh, chứng chỉ hành nghề đối với ngành, nghề có vi phạm quy định về xử lý dữ liệu cá nhân;

b) Đình chỉ hoạt động có thời hạn từ 01 tháng đến 24 tháng;

c) Tịch thu tang vật vi phạm hành chính, phương tiện được sử dụng để vi phạm hành chính (sau đây gọi chung là tang vật, phương tiện vi phạm hành chính);

d) Trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.

3. Hình thức xử phạt bổ sung quy định tại khoản 2 Điều này được áp dụng kèm theo hình thức xử phạt chính đối với hành vi vi phạm cụ thể quy định tại Chương II Nghị định này.

4. Trong quá trình xem xét, xử lý vụ việc vi phạm, nếu xét thấy hành vi vi phạm có dấu hiệu tội phạm thì việc chuyển hồ sơ vụ vi phạm để truy cứu trách nhiệm hình sự và việc chuyển hồ sơ vụ vi phạm để xử phạt vi phạm hành chính trong trường hợp không truy cứu trách nhiệm hình sự được thực hiện theo quy định tại Điều 62 và Điều 63 của Luật Xử lý vi phạm hành chính.

Điều 5. Biện pháp khắc phục hậu quả

Cá nhân, tổ chức có hành vi vi phạm hành chính quy định tại Nghị định này bị áp dụng một hoặc nhiều biện pháp khắc phục hậu quả sau đây:

1. Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin.

2. Thu hồi, hoàn trả thông tin, dữ liệu, chương trình, phần mềm, mã độc, tài khoản số, chứng thư số, sản phẩm, thiết bị, dịch vụ, tài nguyên Internet, tên miền, địa chỉ IP, ASN, số thuê bao, kho số viễn thông, công cụ, phương tiện hoặc yếu tố vi phạm pháp luật về an ninh mạng và bảo vệ dữ liệu cá nhân.

3. Buộc thực hiện các biện pháp khắc phục tình trạng mất an ninh mạng, lộ lọt dữ liệu, xung đột thông tin trên mạng hoặc nguy cơ gây thiệt hại cho cơ quan, tổ chức, cá nhân; buộc thu hồi tên miền do thực hiện hành vi vi phạm.

4. Buộc loại bỏ các yếu tố vi phạm trong hoạt động thiết kế, xây dựng, quản lý, vận hành hệ thống thông tin; hoạt động xử lý dữ liệu cá nhân; quy trình kỹ thuật; cơ chế quản lý; hợp đồng cung cấp dịch vụ; hoạt động kết nối, lưu trữ, truyền đưa và chia sẻ dữ liệu.

5. Buộc cải chính thông tin sai sự thật hoặc gây nhầm lẫn; cải chính kết quả thẩm định, đánh giá, kiểm tra, chứng nhận; thông báo, xin lỗi công khai hoặc cung cấp thông tin đầy đủ, minh bạch cho tổ chức, cá nhân bị ảnh hưởng bởi hành vi vi phạm.

6. Buộc áp dụng biện pháp kỹ thuật, quản lý cần thiết để ngăn chặn, khắc phục nguy cơ mất an toàn, an ninh mạng do hành vi vi phạm gây ra; buộc thực hiện các biện pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia.

7. Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân; chỉnh sửa, cập nhật, bổ sung hoặc xóa dữ liệu cá nhân không chính xác, được thu thập, xử lý, sử dụng, công khai hoặc chuyển giao trái pháp luật.

8. Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm hành chính về lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

9. Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật.

10. Buộc kiểm tra an ninh mạng lại đối với các sản phẩm, thiết bị, dịch vụ, phần mềm phục vụ bảo vệ bí mật nhà nước.

Điều 6. Việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả trong từng lĩnh vực quản lý nhà nước

1. Khoản thu có được từ việc thực hiện hành vi vi phạm hành chính về bảo vệ dữ liệu cá nhân theo quy định tại Nghị định này là toàn bộ giá trị bằng vật, tiền, giấy tờ có giá, tài sản hoặc lợi ích vật chất khác mà tổ chức, cá nhân thu được trực tiếp hoặc gián tiếp từ việc thực hiện hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân. Trường hợp tổ chức, cá nhân thực hiện nhiều hành vi vi phạm hành chính hoặc thực hiện hành vi vi phạm hành chính nhiều lần thì khoản thu có được từ hành vi vi phạm được xác định theo từng hành vi vi phạm hành chính, từng lần vi phạm.

2. Khoản thu có được từ việc thực hiện hành vi vi phạm hành chính về bảo vệ dữ liệu cá nhân được xác định như sau:

a) Đối với hành vi mua, bán trái phép dữ liệu cá nhân, khoản thu được xác định là tổng giá trị giao dịch ghi trên hợp đồng, hóa đơn, chứng từ thanh toán, lịch sử tin nhắn, giao dịch điện tử, dữ liệu sao kê tài khoản ngân hàng, ví điện tử hoặc cách thức tương tự khác liên quan trực tiếp đến giao dịch đó, không khấu trừ bất kỳ khoản chi phí nào phát sinh trong quá trình vi phạm;

b) Đối với hành vi thu thập, xử lý, sử dụng, chuyển giao trái phép dữ liệu cá nhân mà không thông qua hành vi mua bán trái phép dữ liệu cá nhân, khoản thu được xác định là toàn bộ doanh thu thực tế mà tổ chức, cá nhân vi phạm thu được từ hoạt động kinh doanh có sử dụng dữ liệu cá nhân được thu thập, xử lý, sử dụng, chuyển giao trái phép, không khấu trừ bất kỳ khoản chi phí nào phát sinh trong quá trình vi phạm.

3. Tổ chức thi hành quyết định xử phạt vi phạm hành chính, quyết định áp dụng biện pháp khắc phục hậu quả:

a) Cá nhân, tổ chức vi phạm có trách nhiệm nghiêm chỉnh chấp hành đầy đủ nội dung quyết định xử phạt vi phạm hành chính, quyết định áp dụng biện pháp khắc phục hậu quả trong thời hạn được ghi trong quyết định;

b) Người có thẩm quyền đã ban hành quyết định xử phạt hoặc cơ quan của người có thẩm quyền xử phạt có trách nhiệm tổ chức thi hành quyết định; hướng dẫn, đôn đốc cá nhân, tổ chức vi phạm thực hiện các nghĩa vụ theo quy định;

c) Việc thi hành hình thức xử phạt và biện pháp khắc phục hậu quả được thực hiện theo quy định của Luật Xử lý vi phạm hành chính và pháp luật có liên quan; bảo đảm đúng trình tự, thủ tục, công khai, khách quan và đúng thời hạn.

4. Đôn đốc, kiểm tra việc chấp hành:

a) Cơ quan, người có thẩm quyền xử phạt có trách nhiệm theo dõi, kiểm tra việc thực hiện quyết định xử phạt, quyết định áp dụng biện pháp khắc phục hậu quả đối với cá nhân, tổ chức vi phạm;

b) Trường hợp cần thiết, cơ quan có thẩm quyền có thể yêu cầu cá nhân, tổ chức vi phạm báo cáo bằng văn bản, cung cấp tài liệu chứng minh việc đã chấp hành xong quyết định xử phạt hoặc biện pháp khắc phục hậu quả;

c) Việc kiểm tra được lập thành biên bản hoặc tài liệu xác nhận kết quả thi hành để lưu hồ sơ xử phạt vi phạm hành chính.

5. Báo cáo kết quả thực hiện:

a) Cá nhân, tổ chức vi phạm có trách nhiệm báo cáo kết quả thực hiện quyết định xử phạt, quyết định áp dụng biện pháp khắc phục hậu quả theo yêu cầu của cơ quan có thẩm quyền;

b) Cơ quan, người có thẩm quyền xử phạt thực hiện chế độ thống kê, tổng hợp, báo cáo kết quả thi hành quyết định xử phạt vi phạm hành chính theo quy định của pháp luật.

6. Xử lý trường hợp không chấp hành:

a) Hết thời hạn thi hành ghi trong quyết định mà cá nhân, tổ chức vi phạm không tự nguyện chấp hành thì bị cưỡng chế thi hành theo quy định của Luật Xử lý vi phạm hành chính;

b) Cá nhân, tổ chức cố tình trì hoãn, trốn tránh, cản trở việc thi hành quyết định xử phạt hoặc quyết định áp dụng biện pháp khắc phục hậu quả thì tùy tính chất, mức độ vi phạm sẽ bị xử lý theo quy định của pháp luật;

c) Chi phí tổ chức thi hành, cưỡng chế thi hành do cá nhân, tổ chức vi phạm chi trả theo quy định của pháp luật.

Điều 7. Quy định về mức phạt tiền, thẩm quyền xử phạt

1. Từ Mục 1 đến Mục 5 Chương II Nghị định này quy định về mức phạt tiền được áp dụng đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng do cá nhân thực hiện. Trường hợp tổ chức có cùng hành vi vi phạm, mức phạt tiền được áp dụng với tổ chức bằng hai lần mức phạt tiền áp dụng đối với cá nhân.

Mục 6 Chương II Nghị định này quy định về mức phạt tiền được áp dụng đối với hành vi vi phạm hành chính trong lĩnh vực bảo vệ dữ liệu cá nhân do tổ chức thực hiện. Trường hợp cá nhân có cùng hành vi vi phạm, mức phạt tiền được áp dụng với cá nhân bằng một phần hai lần mức phạt tiền áp dụng đối với tổ chức.

2. Thẩm quyền xử phạt của các chức danh quy định tại Chương III Nghị định này là thẩm quyền áp dụng đối với một hành vi vi phạm hành chính của tổ chức. Trong trường hợp phạt tiền, thẩm quyền xử phạt đối với cá nhân bằng một phần hai lần thẩm quyền xử phạt đối với tổ chức.

3. Mức phạt tiền tối đa đối với tổ chức trong lĩnh vực an ninh mạng là 200.000.000 đồng đối với tổ chức, 100.000.000 đồng đối với cá nhân.

4. Mức phạt tiền tối đa trong lĩnh vực bảo vệ dữ liệu cá nhân:

a) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với hành vi mua, bán dữ liệu cá nhân là 10 lần khoản thu có được từ hành vi vi phạm; trường hợp không có khoản thu từ hành vi vi phạm hoặc mức phạt tính theo khoản thu có được từ hành vi vi phạm thấp hơn mức phạt tiền tối đa quy định tại điểm c khoản này thì áp dụng mức phạt tiền theo quy định tại điểm c khoản này;

b) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với tổ chức có hành vi vi phạm quy định chuyển dữ liệu cá nhân xuyên biên giới là 5% doanh thu của năm trước liền kề của tổ chức đó; trường hợp không có doanh thu của năm trước liền kề hoặc mức phạt tính theo doanh thu thấp hơn mức phạt tiền tối đa theo quy định tại điểm c khoản này thì áp dụng mức phạt tiền theo quy định tại điểm c khoản này;

c) Mức phạt tiền tối đa trong xử phạt vi phạm hành chính đối với các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân là 03 tỷ đồng;

d) Mức phạt tiền tối đa quy định tại các điểm a, b và c khoản này được áp dụng đối với tổ chức; cá nhân thực hiện cùng hành vi vi phạm thì mức phạt tiền tối đa bằng một phần hai mức phạt tiền đối với tổ chức.

Điều 8. Xử phạt vi phạm hành chính trên môi trường điện tử

1. Chứng cứ chứng minh hành vi vi phạm trên môi trường điện tử:

a) Chứng cứ chứng minh hành vi vi phạm hành chính trên môi trường điện tử bao gồm các hình thức thể hiện của thông điệp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số và các dạng dữ liệu khác được thu thập trực tiếp hoặc trực tuyến trên thiết bị điện tử, hệ thống thông tin của tổ chức, cá nhân vi phạm hoặc thu thập trên thiết bị điện tử, hệ thống thông tin của tổ chức, cá nhân khác;

b) Người có thẩm quyền xử phạt vi phạm hành chính có trách nhiệm kiểm tra, đánh giá độ tin cậy, tính toàn vẹn của chứng cứ điện tử; có quyền yêu cầu tổ chức, cá nhân có liên quan cung cấp dữ liệu, thông tin, hình ảnh, âm thanh, tài liệu số và các dạng dữ liệu khác để chứng minh hành vi vi phạm theo quy định của pháp luật;

c) Chứng cứ điện tử được thu thập theo quy định tại điểm a khoản 1 Điều này có giá trị pháp lý, là căn cứ để xử lý vi phạm hành chính đối với các hành vi vi phạm hành chính quy định tại Nghị định này.

2. Lập biên bản vi phạm hành chính trên môi trường điện tử:

a) Biên bản vi phạm hành chính trên môi trường điện tử là biên bản được lập, ký số, gửi, nhận, lưu trữ và quản lý bằng phương thức điện tử;

b) Việc lập biên bản vi phạm hành chính trên môi trường điện tử phải bảo đảm xác thực được danh tính của người lập biên bản, xác thực được danh tính người vi phạm, đại diện tổ chức vi phạm, người chứng kiến (nếu có), người phiên dịch (nếu có). Thông tin, dữ liệu trong biên bản không bị thay đổi sau khi ký số bởi chữ ký số có hiệu lực pháp luật của người lập biên bản vi phạm hành chính, người vi phạm, đại diện tổ chức vi phạm, người chứng kiến (nếu có), người phiên dịch (nếu có). Đảm bảo tính toàn vẹn, an toàn, bảo mật dữ liệu theo quy định của pháp luật về giao dịch điện tử và an ninh mạng;

c) Biên bản vi phạm hành chính được ký số bởi người có thẩm quyền lập biên bản và người vi phạm hoặc người đại diện hợp pháp của tổ chức vi phạm; trường hợp người vi phạm, đại diện tổ chức vi phạm không sử dụng được chữ ký số trong thủ tục xử phạt điện tử, thì sử dụng phương tiện xác thực yếu tố về sinh trắc học bằng ảnh khuôn mặt hoặc vân tay để xác định danh tính theo quy định của pháp luật và thay thế cho chữ ký số của người vi phạm, đại diện tổ chức vi phạm;

d) Biên bản vi phạm hành chính lập trên môi trường điện tử có giá trị pháp lý như biên bản được lập bằng văn bản giấy, là căn cứ để ra quyết định xử phạt vi phạm hành chính.

3. Ban hành quyết định xử phạt vi phạm hành chính trên môi trường điện tử:

a) Quyết định xử phạt vi phạm hành chính trên môi trường điện tử là quyết định được lập, ký số, gửi, lưu trữ và quản lý bằng phương thức điện tử;

b) Việc ban hành quyết định xử phạt vi phạm hành chính trên môi trường điện tử phải bảo đảm được ký số bởi chữ ký đang có giá trị pháp lý bởi người có thẩm quyền xử phạt; toàn bộ nội dung, dữ liệu của quyết định được lưu trữ an toàn, bảo mật, không bị chỉnh sửa, thay đổi sau khi ban hành; trường hợp người vi phạm, tổ chức vi phạm không có điều kiện tiếp cận hệ thống điện tử, cơ quan có thẩm quyền xử phạt phải bảo đảm việc thông báo quyết định xử phạt bằng tin nhắn, thư điện tử, đồng thời lưu trữ bản điện tử của quyết định trong hệ thống thông tin phát hành quyết định xử phạt;

c) Quyết định xử phạt vi phạm hành chính được ban hành trên môi trường điện tử có giá trị pháp lý như quyết định được ban hành bằng văn bản giấy, là căn cứ để tổ chức thi hành quyết định xử phạt, thực hiện thu, nộp tiền phạt và các biện pháp khắc phục hậu quả theo quy định.

4. Điều kiện thực hiện xử lý vi phạm hành chính trên môi trường điện tử được thực hiện theo quy định tại Nghị định số 118/2021/NĐ-CP ngày 23 tháng 12 năm 2021 của Chính phủ quy định chi tiết một số điều và biện pháp thi hành Luật Xử lý vi phạm hành chính được sửa đổi, bổ sung theo Nghị định số 68/2025/NĐ-CP và Nghị định số 190/2025/NĐ-CP.

Chương II

HÀNH VI VI PHẠM HÀNH CHÍNH, HÌNH THỨC XỬ PHẠT VÀ BIỆN PHÁP KHẮC PHỤC HẬU QUẢ

Mục 1. VI PHẠM QUY ĐỊNH VỀ BẢO VỆ AN NINH QUỐC GIA, BẢO ĐẢM TRẬT TỰ, AN TOÀN XÃ HỘI TRÊN KHÔNG GIAN MẠNG

Điều 9. Cung cấp, chia sẻ thông tin trên không gian mạng có nội dung vi phạm pháp luật, gây ảnh hưởng đến an ninh, trật tự

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với các hành vi sau đây:

a) Cung cấp, chia sẻ thông tin nhằm cổ súy, vận động hoặc dụ dỗ người khác thực hiện hành vi xâm hại an ninh, trật tự xã hội;

b) Cung cấp, chia sẻ thông tin mang tính đe dọa, kích động mâu thuẫn, chia rẽ hoặc gây tác động tiêu cực đến tình hình an ninh, trật tự;

c) Cung cấp, chia sẻ thông tin có nội dung kích động, lôi kéo tụ tập đông người, gây ảnh hưởng đến trật tự, an toàn xã hội và hoạt động của cơ quan, tổ chức;

d) Cung cấp, chia sẻ thông tin chưa kiểm chứng liên quan đến lịch sử, truyền thống cách mạng.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau đây mà chưa đến mức truy cứu trách nhiệm hình sự:

a) Cung cấp, chia sẻ thông tin có nội dung sai sự thật về chủ quyền quốc gia, an ninh, quốc phòng, gây ảnh hưởng đến an ninh, trật tự;

b) Cung cấp, chia sẻ thông tin có nội dung không phù hợp, gây ảnh hưởng đến sự tôn nghiêm của dân tộc, quốc kỳ, quốc huy, quốc ca, vĩ nhân, lãnh tụ, danh nhân, anh hùng dân tộc;

c) Cung cấp, chia sẻ thông tin không phù hợp liên quan đến dân tộc, tín ngưỡng, tôn giáo, giới hoặc chủng tộc, gây tác động tiêu cực trong xã hội;

d) Tạo ra, đăng tải, chia sẻ thông tin giả mạo trên không gian mạng, gây ảnh hưởng đến an ninh, trật tự;

đ) Cung cấp, chia sẻ thông tin có nội dung sai sự thật, xuyên tạc, gây ảnh hưởng đến hoạt động bình thường hoặc uy tín của cơ quan, tổ chức, chính quyền Nhân dân.

3. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin vi phạm đối với hành vi quy định tại khoản 1, 2 Điều này;

b) Buộc cải chính thông tin sai sự thật đối với hành vi quy định tại khoản 1, 2 Điều này.

Điều 10. Làm ra và phát tán thông tin trên không gian mạng có nội dung xâm phạm trật tự quản lý kinh tế

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp, chia sẻ thông tin về sản phẩm, hàng hóa, giấy tờ có giá không bảo đảm tính chính xác theo quy định của pháp luật, ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc trật tự thị trường;

b) Cung cấp, chia sẻ nội dung quảng bá sản phẩm, dịch vụ, thiết bị, hàng hóa chưa được cơ quan có thẩm quyền xác nhận hoặc cho phép sử dụng trong hoạt động khám bệnh, chữa bệnh theo quy định của pháp luật.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây:

a) Đăng tải, phát tán thông tin mua, bán, trao đổi, cho tặng, thu thập, cho thuê, cho mượn, sử dụng trái pháp luật tài khoản số mà chưa đến mức truy cứu trách nhiệm hình sự;

b) Đăng tải, phát tán thông tin mua, bán hàng hóa, dịch vụ bị cấm theo quy định pháp luật mà chưa đến mức truy cứu trách nhiệm hình sự;

c) Đăng tải, phát tán thông tin quảng cáo, mua, bán, trao đổi, cho tặng tiền giả, giấy tờ có giá giả, phương tiện thanh toán giả mà chưa đến mức truy cứu trách nhiệm hình sự.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi thiết lập các trang thông tin điện tử, mạng xã hội hoặc tài khoản, chuyên trang, hội, nhóm trên mạng xã hội, diễn đàn điện tử để đăng tải, phát tán, hướng dẫn thực hiện các hành vi quy định tại khoản 1, 2 Điều này.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với tổ chức thực hiện hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung xâm phạm trật tự quản lý kinh tế đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này;

b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc cải chính thông tin trên không gian mạng có nội dung xâm phạm trật tự quản lý kinh tế đối với hành vi quy định tại khoản 1, 2, 3 Điều này;

d) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành vi quy định tại khoản 1, 2, 3 Điều này.

Điều 11. Làm ra và phát tán thông tin trên không gian mạng có nội dung sai sự thật, chưa được kiểm chứng gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp, chia sẻ thông tin có nội dung không phù hợp với thuần phong, mỹ tục, đạo đức xã hội hoặc có khả năng gây ảnh hưởng không tích cực đến cộng đồng;

b) Cung cấp, chia sẻ thông tin có nội dung khuyến khích hoặc hướng dẫn thực hiện hành vi trái quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Cung cấp, chia sẻ thông tin về phương pháp, liệu pháp, bài thuốc, kỹ thuật khám bệnh, chữa bệnh chưa được cơ quan có thẩm quyền cho phép hoặc chưa được xác nhận theo quy định chuyên ngành;

d) Cung cấp, chia sẻ thông tin khuyến nghị thay đổi, trì hoãn hoặc không áp dụng phương pháp, phác đồ khám bệnh, chữa bệnh đã được cơ quan có thẩm quyền công nhận mà không có khuyến cáo chuyên môn phù hợp.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau đây:

a) Làm ra, phát tán thông tin sai sự thật, chưa được kiểm chứng làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân và môi trường thông tin trên không gian mạng;

b) Làm ra, phát tán thông tin có nội dung không phù hợp với thuần phong, mỹ tục, đạo đức xã hội hoặc có khả năng gây ảnh hưởng không tích cực đến cộng đồng;

c) Làm ra, phát tán thông tin có nội dung khuyến khích hoặc hướng dẫn thực hiện hành vi trái với quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự;

d) Làm ra, phát tán thông tin về phương pháp, liệu pháp, bài thuốc, kỹ thuật khám bệnh, chữa bệnh chưa được cơ quan có thẩm quyền cho phép hoặc chưa được xác nhận theo quy định chuyên ngành;

đ) Làm ra, phát tán thông tin khuyến nghị thay đổi, trì hoãn hoặc không áp dụng phương pháp, phác đồ khám bệnh, chữa bệnh đã được cơ quan có thẩm quyền công nhận mà không có khuyến cáo chuyên môn phù hợp.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi thiết lập, quản trị các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội, diễn đàn điện tử để đăng tải, hướng dẫn thực hiện các hành vi tại khoản 1, 2 Điều này.

4. Các nội dung xử phạt quy định tại điểm d, đ khoản 1 và khoản 2 Điều này không áp dụng đối với trường hợp cá nhân chia sẻ kinh nghiệm, trải nghiệm cá nhân về quá trình khám bệnh, chữa bệnh không vì mục đích quảng cáo, tư vấn chuyên môn, hướng dẫn thay thế điều trị hoặc thu lợi từ việc cung cấp sản phẩm, dịch vụ, phương pháp khám bệnh, chữa bệnh.

5. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này;

b) Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với doanh nghiệp thực hiện hành vi vi phạm quy định tại khoản 3 Điều này.

6. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung bịa đặt, sai sự thật, gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này;

b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc cải chính thông tin trên không gian mạng có nội dung bịa đặt, sai sự thật nhằm gây hoang mang trong Nhân dân, ảnh hưởng tới trật tự xã hội đối với hành vi quy định tại khoản 1, 2, 3 Điều này;

d) Buộc hoàn trả hoặc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1, 2 và 3 Điều này.

Điều 12. Vi phạm quy định về trách nhiệm ngăn chặn, xử lý thông tin trên không gian mạng có nội dung vi phạm pháp luật

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi:

a) Quản lý, điều hành hoặc có khả năng chi phối các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội nhưng không triển khai biện pháp nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật;

b) Không triển khai biện pháp quản lý, kỹ thuật nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi:

a) Quản lý, điều hành hoặc có khả năng chi phối các trang thông tin điện tử, mạng xã hội hoặc tài khoản, hội, nhóm, chuyên trang trên mạng xã hội nhưng không triển khai biện pháp nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ các thông tin có nội dung vi phạm pháp luật khi được yêu cầu của cơ quan chức năng có thẩm quyền;

b) Không cung cấp thông tin, tài liệu về hành vi vi phạm pháp luật được đăng tải, chia sẻ trên hệ thống thông tin, sản phẩm, dịch vụ do tổ chức, cá nhân theo yêu cầu của cơ quan chức năng có thẩm quyền.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Không bố trí cổng kết nối hoặc các điều kiện kỹ thuật cần thiết cho nhiệm vụ bảo đảm an ninh thông tin, an ninh mạng theo yêu cầu của Bộ Công an;

b) Không thực hiện ngăn chặn, ngừng cung cấp dịch vụ viễn thông, Internet đối với trường hợp bạo động, bạo loạn, sử dụng dịch vụ viễn thông xâm phạm an ninh quốc gia, chống lại Nhà nước Cộng hòa xã hội chủ nghĩa Việt Nam;

c) Không triển khai hoặc không duy trì các biện pháp kỹ thuật theo yêu cầu của cơ quan nhà nước có thẩm quyền để ngăn chặn việc truy cập vào các trang thông tin điện tử, ứng dụng, nền tảng, tên miền vi phạm pháp luật, để người sử dụng tại Việt Nam tiếp tục truy cập, sử dụng các dịch vụ, nền tảng, tên miền thuộc diện phải ngăn chặn;

d) Không đầu tư, cập nhật và nâng cấp hệ thống kỹ thuật, công nghệ mạng đáp ứng yêu cầu quản lý nhà nước về an ninh mạng, an ninh dữ liệu; không chủ động rà soát, cập nhật giải pháp công nghệ và phương án kỹ thuật nhằm bảo đảm hiệu quả ngăn chặn, hạn chế tối đa khả năng truy cập đối với các trang thông tin điện tử, ứng dụng, nền tảng, tên miền vi phạm pháp luật theo yêu cầu của cơ quan nhà nước có thẩm quyền;

đ) Không chấp hành quyết định huy động một phần hoặc toàn bộ cơ sở hạ tầng Internet trong trường hợp xử lý tình huống nguy hiểm về an ninh mạng;

e) Không cung cấp thông tin phục vụ bảo vệ an ninh quốc gia theo yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động từ 01 tháng đến 03 tháng đối với doanh nghiệp thực hiện hành vi vi phạm quy định tại khoản 2, 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin trên không gian mạng có nội dung vi phạm pháp luật đối với hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này;

b) Buộc thu hồi hoặc buộc hoàn trả tên miền do thực hiện hành vi vi phạm quy định tại điểm b khoản 2 Điều này.

Điều 13. Vi phạm quy định về bảo vệ thông tin thuộc bí mật cá nhân, bí mật công tác, bí mật kinh doanh, bí mật gia đình và đời sống riêng tư trên không gian mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây:

a) Đưa lên không gian mạng thông tin thuộc bí mật công tác, bí mật kinh doanh, bí mật cá nhân, bí mật gia đình và đời sống riêng tư gây ảnh hưởng đến danh dự, uy tín, nhân phẩm, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân nhưng không bị truy cứu trách nhiệm hình sự;

b) Không thực hiện yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng về phòng, chống gián điệp mạng, bảo vệ thông tin thuộc bí mật nhà nước theo quy định của pháp luật;

c) Thay đổi, hủy bỏ hoặc vô hiệu hóa trái phép các biện pháp kỹ thuật được xây dựng, sử dụng để bảo vệ thông tin thuộc bí mật nhà nước.

2. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại điểm a, c khoản 1 Điều này;

b) Đình chỉ hoạt động có thời hạn từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại điểm b, c khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc xây dựng, áp dụng biện pháp bảo vệ bí mật nhà nước phòng, chống lộ, mất bí mật nhà nước qua các kênh kỹ thuật đối với các hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc tiêu hủy sản phẩm, thiết bị, dịch vụ, phần mềm gây lộ, mất bí mật nhà nước, không bảo đảm an ninh mạng đối với các hành vi vi phạm quy định tại điểm a, c khoản 1 Điều này, trường hợp có liên quan tới tài liệu, vật chứa bí mật nhà nước thì áp dụng theo quy định của Luật Bảo vệ bí mật nhà nước;

c) Buộc kiểm tra an ninh mạng lại đối với các sản phẩm, thiết bị, dịch vụ, phần mềm phục vụ bảo vệ bí mật nhà nước đối với các hành vi vi phạm quy định tại điểm a khoản 1 Điều này;

d) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành vi quy định tại điểm a khoản 1 Điều này.

Điều 14. Vi phạm quy định về phòng, chống hành vi sử dụng không gian mạng, công nghệ thông tin, phương tiện điện tử để xâm phạm trật tự quản lý kinh tế nhưng chưa đến mức truy cứu trách nhiệm hình sự

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với hành vi: bán, cho thuê, cho mượn, tặng cho thông tin tài khoản số của mình, gồm: tài khoản ngân hàng, thẻ ngân hàng, tài khoản ví điện tử, tài khoản tiền di động, tài khoản chứng khoán, tài khoản giao dịch, tài khoản bảo hiểm, tài khoản thuế và tài khoản số khác có chức năng giao dịch tài chính.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Sử dụng danh tính giả, giấy tờ, hồ sơ giả hoặc sử dụng trái phép thông tin của người khác để thành lập doanh nghiệp, thiết lập, đăng ký tài khoản ngân hàng, thẻ ngân hàng, tài khoản ví điện tử, tài khoản tiền di động, tài khoản chứng khoán, tài khoản giao dịch, tài khoản bảo hiểm, tài khoản thuế và tài khoản số khác có chức năng giao dịch tài chính nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Sử dụng tài khoản số có chức năng giao dịch tài chính làm công cụ trung gian để giao dịch, nhận, chuyển tiền và thanh toán cho người thụ hưởng khác, trừ trường hợp được cơ quan có thẩm quyền cấp phép;

c) Thuê, cho thuê, cung cấp, sử dụng dịch vụ nhận tin nhắn, cuộc gọi hoặc hình thức khác để xác thực thông tin, định danh tài khoản số có chức năng giao dịch tài chính, trừ trường hợp được cơ quan có thẩm quyền cấp phép;

d) Sử dụng tài khoản số để mua bán, giao dịch, quy đổi trái phép ngoại tệ.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Thiết lập, sử dụng trang thông tin điện tử, tài khoản số hoặc giao diện điện tử gây nhầm lẫn về chủ thể cung cấp thông tin của cơ quan, tổ chức, cá nhân;

b) Cung cấp, chia sẻ, sử dụng nội dung số không bảo đảm quy định về quyền tác giả, quyền liên quan và sở hữu trí tuệ trên không gian mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Sử dụng thông tin xác thực, thông tin đăng nhập hoặc quyền truy cập tài khoản số không đúng quy định của pháp luật;

d) Thiết lập, vận hành, cung cấp dịch vụ hoặc hỗ trợ hoạt động đối với sàn giao dịch, ứng dụng, nền tảng số không bảo đảm điều kiện cung cấp dịch vụ theo quy định của pháp luật;

đ) Cung cấp thông tin, quảng cáo hoặc thực hiện hoạt động kinh doanh đối với hàng hóa không phù hợp với quy định của pháp luật về thương mại, chất lượng, nguồn gốc, xuất xứ và điều kiện lưu thông hàng hóa nhưng chưa đến mức truy cứu trách nhiệm hình sự.

4. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Cung cấp, thiết lập, vận hành hệ thống thông tin, trang thông tin điện tử, ứng dụng, sàn giao dịch cho vay ngang hàng, tiền ảo, tài sản ảo và các dạng tương tự khi chưa được cấp phép, chấp thuận của cơ quan có thẩm quyền;

b) Cung cấp, thiết lập, vận hành hệ thống thông tin, trang thông tin điện tử, ứng dụng, sàn giao dịch ngoại tệ, kim loại, dầu, đá quý và các dạng tương tự khi chưa được cơ quan có thẩm quyền cấp phép, chấp thuận;

c) Cung cấp, gửi, phát tán tin nhắn, cuộc gọi, thư điện tử sử dụng tên, thông tin nhận diện của cơ quan, tổ chức không đúng quy định của pháp luật.

5. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Sử dụng không gian mạng can thiệp, thay đổi hoặc làm sai lệch thông tin giao dịch, thông tin tài khoản nhận tiền không đúng quy định của pháp luật;

b) Sử dụng không gian mạng để huy động vốn, tiếp nhận hoặc phân phối nguồn tiền theo phương thức không bảo đảm tính minh bạch, không phù hợp với quy định của pháp luật;

c) Tổ chức, thực hiện hoạt động kinh doanh theo phương thức đa cấp trên không gian mạng không đáp ứng điều kiện hoạt động theo quy định của pháp luật;

d) Cung cấp, chia sẻ hoặc thực hiện hoạt động giao dịch chứng khoán trên không gian mạng không đúng quy định của pháp luật;

đ) Sử dụng không gian mạng để vận động, tiếp nhận, quản lý hoặc phân phối nguồn đóng góp, hỗ trợ cộng đồng không bảo đảm công khai, minh bạch theo quy định của pháp luật;

e) Sử dụng thông tin tài khoản số, tài khoản mạng xã hội hoặc tài khoản điện tử của tổ chức, cá nhân không đúng thẩm quyền hoặc không được sự đồng ý của chủ tài khoản.

6. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi vi phạm sau đây:

a) Mở tài khoản số không đúng trình tự, thủ tục theo quy định pháp luật hoặc duy trì tài khoản số có chức năng giao dịch tài chính bằng thông tin định danh giả mạo, không có thông tin trong cơ sở dữ liệu quốc gia về dân cư, cơ sở dữ liệu về tổ chức, doanh nghiệp, gồm: tài khoản ngân hàng, thẻ ngân hàng, tài khoản ví điện tử, tài khoản tiền di động, tài khoản chứng khoán, tài khoản giao dịch và các loại tài khoản số khác có chức năng giao dịch tài chính;

b) Mở tài khoản số cho người trong danh sách bị cấm mở và sử dụng tài khoản số.

7. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện, tiền, trong tài khoản số đối với một trong các hành vi vi phạm quy định tại khoản 1 Điều này.

8. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin đối với các hành vi vi phạm quy định tại điểm b, đ khoản 3 Điều này;

b) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật tại khoản 1, 2, 3, 4, 5, 6 Điều này.

Điều 15. Vi phạm quy định phòng, chống hành vi sử dụng không gian mạng, công nghệ thông tin, phương tiện điện tử xâm phạm trật tự xã hội nhưng chưa đến mức truy cứu trách nhiệm hình sự

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây:

a) Đăng tải, chia sẻ thông tin quảng bá trò chơi đổi thưởng trên không gian mạng trái với quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Sử dụng thông tin, hình thức nhận diện của cơ quan, tổ chức trong hoạt động liên hệ, trao đổi thông tin trên không gian mạng không bảo đảm tính xác thực theo quy định của pháp luật;

c) Đăng tải, chia sẻ thông tin liên quan đến hoạt động tín ngưỡng, tâm linh không phù hợp với quy định của pháp luật trên nền tảng mạng xã hội, ứng dụng nhắn tin;

d) Đăng tải, chia sẻ thông tin cổ vũ hoặc khuyến khích thực hiện hành vi đua xe trái phép trên không gian mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

đ) Đăng tải, quảng bá thông tin về động vật hoang dã không phù hợp với quy định của pháp luật về bảo vệ động vật hoang dã trên không gian mạng;

e) Đăng tải, chia sẻ hình ảnh, video, âm thanh hoặc bài viết có nội dung khiêu dâm, đồi trụy lên các nền tảng mạng xã hội, ứng dụng nhắn tin, trang thông tin điện tử nhưng chưa đến mức truy cứu trách nhiệm hình sự;

g) Phát trực tiếp (livestream) nội dung, hình ảnh hoặc hành vi không phù hợp với chuẩn mực văn hóa, đạo đức xã hội trên không gian mạng;

h) Thiết lập trang thông tin điện tử, nền tảng số để đăng tải thông tin cung cấp dịch vụ không phù hợp với quy định của pháp luật;

i) Đăng tải, chia sẻ tác phẩm điện ảnh, chương trình truyền hình, video, âm nhạc hoặc nội dung số khác khi chưa đáp ứng quy định về quyền tác giả, quyền liên quan;

k) Phát trực tiếp hoặc chia sẻ nội dung các sự kiện thể thao, biểu diễn nghệ thuật, tác phẩm điện ảnh từ nguồn chưa được phép phổ biến theo quy định;

l) Sao chép, cung cấp hoặc phân phối phần mềm, ứng dụng di động không bảo đảm điều kiện sử dụng theo quy định về quyền sở hữu trí tuệ;

m) Sử dụng công nghệ trí tuệ nhân tạo (AI) để tạo sản phẩm số có nội dung tương tự hoặc khai thác tác phẩm gốc mà chưa bảo đảm yêu cầu về quyền sở hữu trí tuệ theo quy định của pháp luật;

n) Sản xuất, cung cấp hoặc chia sẻ phần mềm, công cụ hỗ trợ can thiệp, thay đổi cơ chế quản lý bản quyền phần mềm, hệ điều hành không đúng quy định của pháp luật;

o) Cung cấp thiết bị, phần mềm hỗ trợ tiếp nhận, giải mã tín hiệu truyền hình không đáp ứng điều kiện theo quy định của pháp luật;

p) Hướng dẫn, chia sẻ phương thức truy cập vào các trang mạng, ứng dụng hoặc nền tảng số đã bị giới hạn phạm vi truy cập theo quy định của pháp luật.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Thiết lập, vận hành trang thông tin điện tử, mạng xã hội, hệ thống thông tin hoặc ứng dụng cung cấp trò chơi, chương trình đổi thưởng trên không gian mạng không đáp ứng điều kiện theo quy định của pháp luật;

b) Cung cấp dịch vụ công nghệ thông tin, phần cứng, phần mềm, tên miền, ứng dụng hoặc nền tảng số có nội dung không bảo đảm quy định về quyền tác giả, quyền liên quan và sở hữu công nghiệp nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Thiết lập các trang thông tin điện tử, mạng xã hội, chuyên trang trên mạng xã hội, hệ thống thông tin, ứng dụng có nội dung quảng cáo mại dâm, khiêu dâm, đồi trụy nhưng chưa đến mức truy cứu trách nhiệm hình sự;

d) Tổ chức quay phim, phát hình ảnh trực tuyến có nội dung khiêu dâm, đồi trụy trên hệ thống thông tin, trang thông tin điện tử, mạng xã hội nhưng chưa đến mức truy cứu trách nhiệm hình sự;

đ) Cung cấp dịch vụ công nghệ thông tin, phần cứng, phần mềm, dịch vụ khác hỗ trợ, phục vụ hoạt động quay phim, phát hình ảnh trực tuyến nội dung khiêu dâm, đồi trụy nhưng chưa đến mức truy cứu trách nhiệm hình sự;

e) Không kiểm duyệt, ngăn chặn, loại bỏ nội dung khiêu dâm, đồi trụy, tệ nạn xã hội và các hành vi vi phạm pháp luật khác trên hệ thống thông tin, trang thông tin điện tử, mạng xã hội nhưng chưa đến mức truy cứu trách nhiệm hình sự;

g) Đăng tải, chia sẻ thông tin về hàng hóa, chất hoặc sản phẩm thuộc danh mục cấm kinh doanh, cấm lưu hành theo quy định của pháp luật trên không gian mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

h) Đăng tải, chia sẻ thông tin mua bán mô, bộ phận cơ thể người không phù hợp với quy định của pháp luật trên không gian mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

i) Đăng tải, chia sẻ thông tin hướng dẫn hoặc khuyến khích thực hiện hành vi không phù hợp với quy định của pháp luật;

k) Đăng tải thông tin quảng bá dịch vụ cho vay không phù hợp với quy định của pháp luật về lãi suất và hoạt động cho vay trên không gian mạng;

l) Đăng tải thông tin mua, bán vũ khí, vật liệu nổ, công cụ hỗ trợ, trang phục, cấp hiệu, phù hiệu, số hiệu Công an Nhân dân, Quân đội Nhân dân Việt Nam trên không gian mạng;

m) Cung cấp dịch vụ thanh toán trực tuyến cho các ứng dụng, trang web có hoạt động nội dung khiêu dâm, đồi trụy hoặc mại dâm nhưng chưa đến mức truy cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa thông tin đối với các hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc thu hồi hoặc tiêu hủy sản phẩm, thiết bị, ngừng cung cấp dịch vụ gây hại về an ninh mạng hoặc không đáp ứng điều kiện, tiêu chuẩn, quy chuẩn kỹ thuật theo quy định của pháp luật hoặc không có giấy phép hoặc thực hiện không đúng với giấy phép đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc loại bỏ tính năng, thành phần gây hại về an ninh chương trình, sản phẩm, thiết bị, dịch vụ, phần mềm đối với hành vi vi phạm quy định tại khoản 2 Điều này;

d) Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1, 2 Điều này;

đ) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành vi quy định tại khoản 1, 2 Điều này.

Mục 2. VI PHẠM QUY ĐỊNH VỀ PHÒNG, CHỐNG TẤN CÔNG MẠNG

Điều 16. Vi phạm quy định về phòng, chống tấn công mạng

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp, chia sẻ hoặc sử dụng chương trình tin học gây ảnh hưởng đến an toàn, ổn định hoạt động của hệ thống thông tin, mạng máy tính và phương tiện điện tử;

b) Đưa chương trình, mã lệnh hoặc ứng dụng vào hệ thống thông tin làm ảnh hưởng đến việc quản lý, lưu trữ, khai thác dữ liệu của tổ chức, cá nhân;

c) Can thiệp, tác động làm ảnh hưởng đến hoạt động ổn định hoặc khả năng truyền tải dữ liệu của mạng viễn thông, Internet, mạng máy tính, phương tiện điện tử không đúng quy định của pháp luật;

d) Truy cập, tác động hoặc can thiệp vào dữ liệu được lưu trữ, truyền đưa qua mạng viễn thông, Internet, mạng máy tính, phương tiện điện tử không đúng thẩm quyền hoặc không đúng quy định của pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự;

đ) Khai thác, sử dụng, cung cấp hoặc chia sẻ thông tin, dữ liệu; phát hiện, thử nghiệm hoặc sử dụng điểm yếu, lỗ hổng kỹ thuật của hệ thống thông tin không đúng quy định về an toàn, an ninh mạng;

e) Thực hiện hành vi gây ảnh hưởng đến hoạt động bình thường của mạng viễn thông, Internet, mạng máy tính, phương tiện điện tử;

g) Không cung cấp đầy đủ, kịp thời thông tin, tài liệu liên quan đến tấn công mạng theo yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi sau đây:

a) Sản xuất, mua bán, trao đổi, tặng cho chương trình tin học, phần mềm công nghệ thông tin gây hại cho mạng máy tính, mạng viễn thông, phương tiện điện tử nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng áp dụng các biện pháp để ngăn chặn, loại trừ hành vi tấn công mạng;

c) Cung cấp dịch vụ tấn công mạng trái pháp luật nhưng chưa đến mức truy cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm tại khoản 1, khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thu hồi sản phẩm, thiết bị, ngừng cung cấp dịch vụ gây hại về an ninh mạng đối với hành vi vi phạm quy định tại khoản 1, khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu bị chiếm đoạt, mua bán, trao đổi trái phép đối với hành vi vi phạm quy định tại điểm a, b khoản 1, điểm a khoản 2 Điều này;

c) Buộc hoàn trả địa chỉ IP, ASN, tên miền, các tài khoản số đối với hành vi vi phạm quy định tại điểm a, b, c, d, đ, e, khoản 1, điểm a, c khoản 2 Điều này;

d) Buộc thu hồi số lợi bất hợp pháp có được đối với hành vi vi phạm quy định tại điểm đ khoản 1, điểm a khoản 2 Điều này;

đ) Buộc nộp lại số tiền bằng với giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy trái quy định của pháp luật đối với hành vi quy định tại khoản 1, 2 Điều này.

Điều 17. Vi phạm quy định về phòng, chống khủng bố mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây:

a) Chia sẻ, bình luận hoặc lan truyền thông tin có nội dung ủng hộ, quảng bá hoạt động vi phạm pháp luật về khủng bố trên không gian mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Cung cấp, chia sẻ thông tin có nội dung kêu gọi, vận động hoặc hướng dẫn thực hiện hành vi vi phạm quy định của pháp luật về an ninh, an toàn mạng nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Đăng tải, chia sẻ thông tin có nội dung cổ vũ hành vi bạo lực, cực đoan hoặc gây ảnh hưởng tiêu cực đến an ninh, trật tự và an toàn xã hội nhưng chưa đến mức truy cứu trách nhiệm hình sự.

2. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với các hành vi sau đây:

a) Hỗ trợ, tạo điều kiện cho việc sử dụng không gian mạng nhằm cung cấp, tiếp nhận hoặc vận động nguồn hỗ trợ tài chính trái quy định của pháp luật về phòng, chống khủng bố nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Hỗ trợ tổ chức, cá nhân sử dụng không gian mạng nhằm hạn chế, né tránh hoặc làm giảm hiệu quả các biện pháp bảo đảm an ninh, an toàn mạng của cơ quan có thẩm quyền nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Kêu gọi, vận động huy động nguồn tài chính không đúng quy định của pháp luật về phòng, chống khủng bố trên không gian mạng, nhưng chưa đến mức truy cứu trách nhiệm hình sự;

d) Cung cấp, chia sẻ thông tin không chính xác liên quan đến hoạt động khủng bố, tài trợ khủng bố hoặc thực hiện hành vi gây ảnh hưởng đến hoạt động phòng, chống khủng bố của cơ quan có thẩm quyền nhưng chưa đến mức truy cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm tại khoản 1, 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc gỡ, xóa bỏ chương trình, phần mềm, thu hồi hoặc tiêu hủy sản phẩm, thiết bị, ngừng cung cấp dịch vụ gây hại về an ninh mạng đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Buộc đưa ra khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam hoặc tái xuất hàng hóa, vật phẩm, phương tiện đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu bị chiếm đoạt, mua bán, trao đổi trái phép đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

d) Buộc xóa bỏ và cải chính thông tin sai sự thật hoặc gây nhầm lẫn đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

đ) Buộc thu hồi sản phẩm, thiết bị, dịch vụ, phần mềm không bảo đảm chất lượng đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

e) Buộc thu hồi số thuê bao, đầu số, kho số viễn thông; tài nguyên Internet, tên miền, địa chỉ Internet (IP), số hiệu mạng (ASN); mã số quản lý, số cung cấp dịch vụ đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

g) Buộc hoàn trả địa chỉ IP, ASN, tên miền, các tài khoản số đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

h) Buộc thu hồi số lợi bất hợp pháp có được đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này.

Điều 18. Vi phạm quy định về phòng ngừa, xử lý tình huống nguy hiểm về an ninh mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Không phối hợp ngăn chặn, gỡ, xóa bỏ thông tin có nội dung kích động trên không gian mạng có nguy cơ xảy ra bạo loạn, phá rối an ninh, khủng bố, chậm nhất là 24 giờ kể từ thời điểm có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

b) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phối hợp triển khai các giải pháp kỹ thuật, nghiệp vụ để phòng ngừa, phát hiện, xử lý tình huống nguy hiểm về an ninh mạng;

c) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong phòng ngừa, phát hiện, xử lý tình huống nguy hiểm về an ninh mạng;

d) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong triển khai phương án phòng ngừa, ứng phó khẩn cấp về an ninh mạng, ngăn chặn, loại trừ hoặc giảm nhẹ thiệt hại do tình huống nguy hiểm về an ninh mạng gây ra;

đ) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong phối hợp thu thập thông tin liên quan; theo dõi, giám sát liên tục đối với tình huống nguy hiểm về an ninh mạng;

e) Không thực hiện hoặc chậm trễ phối hợp quá 24 giờ khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong thực hiện ngừng cung cấp thông tin mạng tại khu vực cụ thể hoặc ngắt cổng kết nối mạng quốc tế đối với tình huống nguy hiểm về an ninh mạng;

g) Không bố trí lực lượng, phương tiện ngăn chặn, loại bỏ tình huống nguy hiểm về an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc áp dụng biện pháp kỹ thuật, quản lý cần thiết để ngăn chặn, khắc phục nguy cơ mất an toàn, an ninh mạng do hành vi vi phạm gây ra tại khoản 1 Điều này.

Mục 3. VI PHẠM QUY ĐỊNH VỀ TRIỂN KHAI HOẠT ĐỘNG BẢO VỆ AN NINH MẠNG

Điều 19. Vi phạm quy định về cung cấp, sử dụng trái phép thông tin trên mạng

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Truy cập trái phép vào mạng hoặc thiết bị số của người khác để chiếm quyền điều khiển thiết bị số hoặc thay đổi, xóa bỏ thông tin lưu trữ trên thiết bị số hoặc thay đổi tham số cài đặt thiết bị số hoặc thu thập thông tin của người khác nhưng không bị truy cứu trách nhiệm hình sự;

b) Xâm nhập, sửa đổi, xóa bỏ nội dung thông tin của tổ chức, cá nhân khác trên môi trường mạng;

c) Cản trở hoạt động cung cấp dịch vụ của hệ thống thông tin;

d) Ngăn chặn việc truy nhập đến thông tin của tổ chức, cá nhân khác trên môi trường mạng, trừ trường hợp pháp luật cho phép;

đ) Làm mất an toàn, bí mật thông tin của tổ chức, cá nhân khác được trao đổi, truyền đưa, lưu trữ trên môi trường mạng.

2. Hình thức xử phạt bổ sung: Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm quy định tại các khoản 1 Điều này.

Điều 20. Vi phạm quy định về quản lý gửi thông tin trên mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Gửi thông tin mang tính thương mại vào địa chỉ điện tử của người tiếp nhận khi chưa được người tiếp nhận đồng ý hoặc khi người tiếp nhận đã từ chối;

b) Không có phương thức để người tiếp nhận thông tin từ chối việc tiếp nhận thông tin.

2. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Giả mạo nguồn gốc gửi thông tin trên mạng;

b) Không cung cấp điều kiện kỹ thuật và nghiệp vụ cần thiết khi có yêu cầu của cơ quan nhà nước có thẩm quyền.

3. Phạt tiền từ 50.000.000 đồng đến 75.000.000 đồng đối với hành vi không áp dụng biện pháp ngăn chặn hoặc không xử lý khi nhận được thông báo của tổ chức, cá nhân về việc gửi thông tin vi phạm quy định của pháp luật.

4. Biện pháp khắc phục hậu quả: Buộc loại bỏ thông tin vi phạm pháp luật được gửi, phát tán trên mạng đối với hành vi vi phạm quy định tại điểm a khoản 1 Điều này;

Điều 21. Vi phạm các quy định về ứng cứu sự cố an ninh mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Không công bố thông tin về địa chỉ tiếp nhận sự cố trên Trang thông tin điện tử hoặc Cổng thông tin điện tử;

b) Không khai báo hồ sơ, cung cấp, cập nhật thông tin về đầu mối ứng cứu sự cố, nhân lực kỹ thuật an ninh mạng, ứng cứu sự cố thuộc phạm vi quản lý tới lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

c) Cập nhật thông tin về đầu mối ứng cứu sự cố không đúng thời gian quy định khi có thay đổi;

d) Vi phạm quy chế hoạt động của mạng lưới ứng cứu sự cố an ninh mạng quốc gia hoặc không tuân thủ các yêu cầu điều phối của cơ quan điều phối.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Không báo cáo với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi tiếp nhận thông tin, phát hiện sự cố đối với hệ thống thông tin trong phạm vi quản lý;

b) Không triển khai các hoạt động ứng cứu sự cố và báo cáo theo quy định sau khi phát hiện sự cố hoặc nhận được yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không tổng hợp, báo cáo lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an về diễn biến sự cố khi được yêu cầu;

b) Không thành lập hoặc không chỉ định đơn vị chuyên trách ứng cứu sự cố an ninh mạng hoặc không thành lập Đội ứng cứu sự cố;

c) Không ghi nhận hoặc không tiếp nhận thông báo hoặc không báo cáo sự cố an ninh mạng theo đúng quy trình;

d) Không xây dựng Kế hoạch ứng phó sự cố bảo đảm an ninh mạng;

đ) Thực hiện không đầy đủ các yêu cầu điều phối ứng cứu sự cố của Bộ Công an.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Không cử đầu mối thực hiện các hoạt động phối hợp ứng cứu sự cố hoặc không tham gia mạng lưới ứng cứu sự cố an ninh mạng quốc gia;

b) Không thực hiện các yêu cầu điều phối ứng cứu sự cố của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an;

c) Không bố trí mặt bằng, cổng kết nối và các điều kiện kỹ thuật cần thiết theo yêu cầu của Bộ Công an;

d) Không tổ chức hoạt động ứng cứu sự cố trong lĩnh vực, địa bàn, phạm vi mình quản lý;

đ) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, các nhà cung cấp dịch vụ và các cơ quan chức năng khôi phục một số hoạt động, dữ liệu hoặc kết nối cần thiết nhất để giảm thiểu thiệt hại đối với hệ thống thông tin hoặc gây ảnh hưởng xấu tới xã hội;

e) Không phối hợp trong thời gian chưa khắc phục triệt để sự cố;

g) Không xử lý các hậu quả do sự cố hệ thống thông tin của mình gây ra ảnh hưởng đến người dân, cơ quan, tổ chức khác;

h) Không lưu trữ hoặc không cung cấp thông tin liên quan đến các địa chỉ IP thuê bao, máy chủ, thiết bị IoT, các log file, nhật ký dịch vụ phân giải tên miền DNS trong phạm vi quản lý;

i) Không thiết lập môi trường để lắp đặt thiết bị quan trắc, lấy mẫu và cung cấp luồng dữ liệu mạng;

k) Không thiết lập đầu mối thường trực 24/7 hoặc không bố trí nhân lực, vật lực sẵn sàng phối hợp, triển khai các giải pháp nhằm ứng cứu, khắc phục hậu quả sự cố trong trường hợp nguồn tấn công được xác định xuất phát từ thuê bao thuộc doanh nghiệp mình hoặc khi được yêu cầu của Bộ Công an.

5. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với hành vi vi phạm quy định tại khoản 1, 2, 3, 4 Điều này;

b) Buộc thu hồi, loại bỏ dữ liệu, thông tin hoặc kết nối mạng gây mất an ninh mạng trong trường hợp hành vi vi phạm quy định tại khoản 1, 2, 3, 4 Điều này.

Điều 22. Vi phạm quy định về phòng ngừa, phát hiện, ngăn chặn và xử lý phần mềm độc hại

1. Phạt tiền từ 15.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Không có biện pháp quản lý hoặc phòng ngừa hoặc phát hiện hoặc ngăn chặn phát tán phần mềm độc hại;

b) Không báo cáo cơ quan nhà nước có thẩm quyền về hệ thống lọc phần mềm độc hại trong quá trình gửi, nhận, lưu trữ thông tin trên hệ thống của mình theo quy định của pháp luật.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không có hệ thống lọc phần mềm độc hại trong quá trình gửi hoặc nhận hoặc lưu trữ thông tin trên hệ thống của doanh nghiệp cung cấp dịch vụ thư điện tử, truyền đưa, lưu trữ thông tin;

b) Không thực hiện phòng ngừa hoặc không ngăn chặn hoặc không xử lý việc phát tán phần mềm độc hại theo hướng dẫn, yêu cầu của cơ quan nhà nước có thẩm quyền;

c) Không triển khai hệ thống kỹ thuật nghiệp vụ nhằm phòng ngừa, phát hiện, ngăn chặn và xử lý kịp thời phần mềm độc hại.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép cung cấp dịch vụ mạng xã hội có thời hạn từ 01 tháng đến 03 tháng đối với hành vi tại khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin bị ảnh hưởng bởi phần mềm độc hại đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Buộc thực hiện biện pháp khắc phục tình trạng mất an ninh mạng đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ, tiêu hủy phần mềm độc hại, mã độc hoặc dữ liệu độc hại được phát tán trái pháp luật đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này.

Điều 23. Vi phạm quy định về biện pháp giám sát an toàn, bảo vệ hệ thống thông tin

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi sau:

a) Không ban hành quy định về bảo đảm an ninh mạng trong thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp, hủy bỏ hệ thống thông tin;

b) Không xây dựng hồ sơ đề xuất cấp độ hệ thống thông tin đối với cấp độ 3 đến cấp độ 5;

c) Đưa hệ thống thông tin vào vận hành khi chưa được phê duyệt cấp độ an ninh mạng đối với cấp độ 3 đến cấp độ 5;

d) Không triển khai đầy đủ các biện pháp bảo đảm an ninh mạng như hồ sơ an ninh mạng đã được phê duyệt cấp độ từ cấp độ 3 đến cấp độ 5.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không kiểm tra, giám sát việc tuân thủ quy định về bảo đảm an ninh mạng, lưu trữ nhật ký hệ thống theo quy định hoặc không đánh giá hiệu quả của các biện pháp quản lý và kỹ thuật được áp dụng;

b) Không phối hợp với chủ quản hệ thống thông tin trong việc giám sát an toàn hệ thống thông tin theo yêu cầu của cơ quan nhà nước có thẩm quyền;

c) Không tổ chức thực thi, đôn đốc, kiểm tra, giám sát công tác bảo đảm an ninh mạng;

d) Cản trở hoặc không thực hiện việc trao đổi thông tin, dữ liệu giám sát của hệ thống giữa đơn vị được chủ quản hệ thống thông tin thuê với lực lượng chuyên trách bảo đảm an ninh mạng.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép Thiết lập trang thông tin điện tử tổng hợp có thời hạn từ 01 tháng đến 06 tháng đối với hành vi quy định tại khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với hành vi quy định tại khoản 1,2 Điều này;

b) Buộc thực hiện biện pháp khắc phục tình trạng mất an ninh mạng, nguy cơ mất an ninh mạng đối với hành vi quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ các yếu tố vi phạm về an ninh mạng trong quá trình thiết kế, xây dựng, quản lý, vận hành, sử dụng, nâng cấp hoặc hủy bỏ hệ thống thông tin đối với hành vi quy định tại khoản 1, 2 Điều này.

Điều 24. Vi phạm quy định về bảo đảm an ninh hệ thống thông tin theo cấp độ

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi không lập hồ sơ đề xuất cấp độ hoặc không tổ chức thẩm định, phê duyệt hồ sơ đề xuất cấp độ theo quy định.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi không thực hiện mở rộng hoặc nâng cấp hệ thống thông tin quan trọng quốc gia trước khi đưa vào vận hành, khai thác.

3. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép Thiết lập trang thông tin điện tử tổng hợp có thời hạn từ 01 tháng đến 03 tháng đối với hành vi quy định tại khoản 1, 2 Điều này trong trường hợp tái phạm.

4. Biện pháp khắc phục hậu quả:

a) Buộc khôi phục lại tình trạng ban đầu của hệ thống thông tin đối với các hành vi quy định tại khoản 1, 2 Điều này;

b) Buộc thực hiện biện pháp khắc phục nguy cơ gây mất an ninh mạng, mất an ninh mạng đối với hành vi quy định tại khoản 1, 2 Điều này;

c) Buộc loại bỏ các yếu tố vi phạm về an ninh mạng đối với hành vi quy định tại khoản 1, 2 Điều này.

Điều 25. Vi phạm quy định về ngăn chặn xung đột thông tin trên mạng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Không thông báo và cung cấp không đầy đủ thông tin khi phát hiện có dấu hiệu, hành vi gây xung đột thông tin trên mạng hoặc khi phát hiện thấy thông tin, hệ thống thông tin bị tổn hại;

b) Không tiếp nhận hoặc không xử lý thông tin về xung đột thông tin trên mạng để ứng cứu sự cố và ngăn chặn xung đột thông tin trên mạng;

c) Không phối hợp với các cơ quan nghiệp vụ trong việc xác định chính xác nguồn gốc gây xung đột thông tin trên mạng;

d) Không phối hợp với các cơ quan nghiệp vụ để loại trừ xung đột thông tin trên mạng.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Không thực hiện chặn lọc thông tin theo yêu cầu của các cơ quan nghiệp vụ hoặc yêu cầu hợp lý của bên bị xung đột thông tin trên mạng;

b) Không ngăn chặn thông tin phá hoại xuất phát từ hệ thống thông tin của mình hoặc không hợp tác xác định nguồn, đẩy lùi, khắc phục hậu quả tấn công mạng từ hệ thống thông tin của tổ chức, cá nhân trong nước và nước ngoài;

c) Không xây dựng phương án khắc phục xung đột thông tin trên mạng thuộc phạm vi quản lý;

d) Không tổng hợp, báo cáo kết quả khắc phục xung đột thông tin trên mạng cho cơ quan nghiệp vụ;

đ) Không phối hợp khắc phục xung đột thông tin trên mạng.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi không khắc phục xung đột thông tin trên mạng thuộc phạm vi quản lý.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi không hợp tác xác định nguồn gốc hoặc không khắc phục hậu quả xung đột thông tin trên mạng.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp ngăn chặn, chặn lọc, loại trừ và khắc phục xung đột thông tin trên mạng đối với hành vi vi phạm quy định tại khoản 2, 3, 4 Điều này;

b) Buộc khôi phục hoạt động bình thường của hệ thống thông tin đối với hành vi quy định tại khoản 1, 2, 3, 4 Điều này.

Điều 26. Vi phạm quy định về bảo vệ an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi vi phạm quy định về xác lập hệ thống thông tin quan trọng về an ninh quốc gia sau:

a) Không thực hiện hoặc thực hiện không đầy đủ theo quy định việc rà soát xác lập hệ thống thông tin quan trọng về an ninh quốc gia đối với hệ thống thông tin thuộc phạm vi quản lý;

b) Không rà soát xác lập hệ thống thông tin quan trọng về an ninh quốc gia đối với hệ thống thông tin thuộc phạm vi quản lý sau khi đã có thông báo của lực lượng chuyên trách bảo vệ an ninh mạng;

c) Không gửi Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ theo phân cấp quản lý hồ sơ hệ thống thông tin quan trọng quốc gia đã được Thủ tướng Chính phủ phê duyệt để xác lập Danh mục hệ thống thông tin quan trọng về an ninh quốc gia;

d) Không chuyển cho Bộ Công an, Bộ Quốc phòng, Ban Cơ yếu Chính phủ theo phân cấp quản lý hồ sơ thẩm định về cấp độ an ninh mạng mà xét thấy có đủ căn cứ để đưa vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia để thẩm định hồ sơ đề nghị đưa hệ thống thông tin vào Danh mục hệ thống thông tin quan trọng về an ninh quốc gia.

2. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với một trong các hành vi vi phạm quy định về thẩm định an ninh mạng sau:

a) Không tiến hành thẩm định an ninh mạng làm cơ sở cho việc quyết định xây dựng hệ thống thông tin có đủ tiêu chí là hệ thống thông tin quan trọng về an ninh quốc gia;

b) Không tiến hành thẩm định an ninh mạng làm cơ sở cho việc nâng cấp hệ thống thông tin có đủ tiêu chí là hệ thống thông tin quan trọng về an ninh quốc gia.

3. Phạt tiền từ 40.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi vi phạm về kiểm tra an ninh mạng, giám sát an ninh mạng sau:

a) Không tiến hành đánh giá điều kiện an ninh mạng đối với hệ thống thông tin trước khi đưa vào vận hành, sử dụng;

b) Không xây dựng quy định, quy trình và phương án bảo đảm an ninh mạng; không bố trí nhân sự vận hành, quản trị hệ thống;

c) Không xây dựng phương án ứng phó, khắc phục sự cố an ninh mạng đối với hệ thống thông tin theo quy định pháp luật;

d) Không xây dựng biện pháp kỹ thuật để giám sát, bảo vệ an ninh mạng, biện pháp bảo vệ hệ thống;

đ) Không xây dựng các biện pháp bảo vệ bí mật nhà nước, phòng, chống lộ, mất bí mật nhà nước qua các kênh kỹ thuật;

e) Không có biện pháp bảo đảm an ninh vật lý theo quy định pháp luật;

g) Chủ quản hệ thống thông tin quan trọng về an ninh quốc gia không tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng đối với hệ thống thông tin thuộc phạm vi quản lý theo quy định pháp luật;

h) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng khi tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng theo quy định pháp luật;

i) Không triển khai, không tham gia hoạt động ứng phó, khắc phục sự cố khi sự cố an ninh mạng xảy ra hoặc khi có yêu cầu của lực lượng chủ trì điều phối;

k) Không báo cáo kịp thời cho lực lượng chuyên trách bảo vệ an ninh mạng về sự cố an ninh mạng nghiêm trọng đối với hệ thống thông tin thuộc phạm vi quản lý;

l) Không thực hiện các biện pháp theo hướng dẫn của lực lượng chuyên trách bảo vệ an ninh mạng và các biện pháp phù hợp khác để ngăn chặn, xử lý, khắc phục hậu quả trong thời hạn 24 giờ kể từ thời điểm nhận được thông báo.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Không tiến hành kiểm tra an ninh mạng định kỳ hằng năm;

b) Không tiến hành kiểm tra an ninh mạng, giám sát an ninh mạng khi có yêu cầu quản lý nhà nước về an ninh mạng;

c) Không thông báo kết quả kiểm tra an ninh mạng bằng văn bản cho lực lượng chuyên trách bảo vệ an ninh mạng theo quy định;

d) Quá thời hạn mà không khắc phục điểm yếu, lỗ hổng bảo mật theo khuyến cáo của lực lượng chuyên trách bảo vệ an ninh mạng theo quy định;

đ) Vi phạm quy định, quy trình, phương án bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia;

e) Vi phạm quy định về nhân sự vận hành, quản trị hệ thống, bảo vệ an ninh mạng;

g) Vi phạm quy định về điều kiện bảo đảm an ninh mạng đối với thiết bị, phần cứng, phần mềm là thành phần hệ thống;

h) Vi phạm quy định về biện pháp kỹ thuật, an ninh vật lý để giám sát, bảo vệ an ninh mạng.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia đối với các hành vi vi phạm tại khoản 1, 2, 3, 4 Điều này;

b) Buộc cải chính kết quả thẩm định, đánh giá, kiểm tra, chứng nhận về an ninh mạng đối với các hành vi quy định tại khoản 2, 3, 4 Điều này.

Điều 27. Vi phạm quy định về bảo vệ an ninh mạng đối với hệ thống thông tin không thuộc Danh mục hệ thống thông tin quan trọng về an ninh quốc gia

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng thực hiện biện pháp bảo vệ an ninh mạng khi phát hiện hệ thống thông tin thuộc phạm vi quản lý có liên quan tới hành vi vi phạm quy định của pháp luật về an ninh mạng;

b) Không thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng khi phát hiện hành vi vi phạm pháp luật về an ninh mạng đối với hệ thống thông tin của cơ quan nhà nước, tổ chức chính trị ở trung ương và địa phương;

c) Không thực hiện hoặc thực hiện không đầy đủ yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng về khắc phục điểm yếu, lỗ hổng bảo mật và hành vi vi phạm pháp luật về an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc thực hiện các biện pháp bảo đảm an ninh mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 28. Vi phạm quy định về bảo vệ an ninh mạng đối với cơ sở hạ tầng không gian mạng quốc gia, cổng kết nối mạng quốc tế

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong giám sát an ninh mạng đối với cơ sở hạ tầng không gian mạng quốc gia, cổng kết nối mạng quốc tế;

b) Không phối hợp, cung cấp thông tin, dữ liệu phục vụ điều tra, xử lý hành vi vi phạm pháp luật khi đã có yêu cầu bằng văn bản;

c) Không bố trí mặt bằng, cổng kết nối, điều kiện và biện pháp kỹ thuật, nghiệp vụ cần thiết để lực lượng chuyên trách bảo vệ an ninh mạng thực hiện nhiệm vụ bảo vệ an ninh mạng theo quy định của pháp luật;

d) Không triển khai biện pháp bảo vệ an ninh mạng; không thực hiện các yêu cầu về bảo vệ an ninh mạng của lực lượng chuyên trách bảo vệ an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc thực hiện các biện pháp bảo đảm an ninh mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 29. Vi phạm quy định về bảo đảm an ninh thông tin mạng

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không xác thực thông tin khi người dùng đăng ký tài khoản số;

b) Không bảo mật thông tin, tài khoản của người dùng.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Không ngăn chặn việc chia sẻ thông tin, xóa bỏ thông tin, gỡ bỏ dịch vụ, ứng dụng có nội dung vi phạm quy định của Luật An ninh mạng chậm nhất là 24 giờ kể từ thời điểm có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an và lưu nhật ký hệ thống để phục vụ xác minh, điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng trong thời gian theo quy định của pháp luật; trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia, yêu cầu ngăn chặn, xóa bỏ thông tin chậm nhất là 06 giờ;

b) Cung cấp dịch vụ trên mạng viễn thông, Internet, các dịch vụ gia tăng cho tổ chức, cá nhân đăng tải trên không gian mạng thông tin có nội dung quy định tại các khoản 1, 2 và 3 Điều 13, khoản 1 và khoản 2 Điều 14 của Luật An ninh mạng; không dừng cung cấp các dịch vụ nêu trên khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng hoặc cơ quan chức năng có thẩm quyền;

c) Không áp dụng các biện pháp bảo vệ dữ liệu theo quy định của pháp luật và lưu trữ dữ liệu này tại Việt Nam trong thời gian theo quy định của Chính phủ khi tiến hành thu thập, khai thác, phân tích, xử lý dữ liệu về thông tin cá nhân, dữ liệu về mối quan hệ của người sử dụng dịch vụ, dữ liệu do người sử dụng dịch vụ tại Việt Nam tạo ra;

d) Doanh nghiệp nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet, các dịch vụ gia tăng trên không gian mạng tại Việt Nam không đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam.

3. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh thông tin mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1, 2 Điều này;

b) Buộc ngừng cung cấp dịch vụ viễn thông, Internet hoặc ngừng kết nối viễn thông, Internet tại Việt Nam đối với các hành vi vi phạm quy định tại điểm a khoản 2 Điều này;

c) Buộc xóa khỏi kho ứng dụng số dành cho thị trường Việt Nam đối với các hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

Điều 30. Vi phạm quy định về phối hợp với lực lượng chuyên trách bảo vệ an ninh mạng trong điều tra, xử lý hành vi vi phạm pháp luật

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không cung cấp hoặc kéo dài thời gian cung cấp vượt quá 24 giờ về thông tin người dùng cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an khi có yêu cầu bằng văn bản để phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng mà không có lý do chính đáng;

b) Không thực hiện các yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong việc quản lý, cung cấp dịch vụ trên mạng Internet cho tổ chức, cá nhân có hành vi vi phạm quy định tại các khoản 1, 2, 3 Điều 13 Luật An ninh mạng;

c) Không triển khai biện pháp quản lý nhằm phòng ngừa, phát hiện, ngăn chặn, gỡ, xóa bỏ thông tin có nội dung quy định tại các khoản 1, 2, 3 Điều 13 Luật An ninh mạng trên hệ thống thông tin thuộc phạm vi quản lý khi có yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng.

2. Biện pháp khắc phục hậu quả: Buộc thực hiện các biện pháp bảo đảm an ninh thông tin mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 31. Vi phạm quy định về bảo vệ trẻ em trên không gian mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không triển khai các biện pháp kiểm soát nội dung thông tin trên hệ thống hoặc trên dịch vụ do doanh nghiệp cung cấp gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em;

b) Không ngăn chặn việc chia sẻ và xóa bỏ thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em;

c) Không có dấu hiệu cảnh báo đối với sản phẩm, dịch vụ công nghệ thông tin mang nội dung không có lợi cho trẻ em;

d) Không triển khai các biện pháp phù hợp theo quy định pháp luật của Việt Nam nhằm đảm bảo phát hiện, xác định, ngăn chặn việc trẻ em trực tiếp tạo lập, sử dụng tài khoản dịch vụ bằng thông tin của mình;

đ) Không xây dựng các tính năng theo hướng dẫn của quy định pháp luật nhằm hỗ trợ cha, mẹ, người giám hộ hợp pháp của trẻ em tạo lập tài khoản cho trẻ em dưới thông tin của cha, mẹ, người giám hộ hợp pháp theo pháp luật dân sự và quản lý, giám sát được hoạt động của trẻ em;

e) Không vô hiệu hóa, hủy tài khoản dịch vụ do trẻ em trực tiếp tạo lập, sử dụng đã được cơ quan chức năng xác định, yêu cầu bằng văn bản hoặc hình thức trao đổi phù hợp khác đã được thống nhất.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Đăng tải, phát tán, chia sẻ, lưu trữ, trao đổi, sử dụng thông tin, hình ảnh, âm thanh có nội dung khiêu dâm, đồi trụy, bạo lực liên quan đến trẻ em;

b) Đăng tải, chia sẻ, phát tán thông tin xúc phạm danh dự, uy tín, nhân phẩm, ảnh hưởng về sức khỏe, sự phát triển bình thường về tâm sinh lý của trẻ em nhưng không bị truy cứu trách nhiệm hình sự.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Không phối hợp với cơ quan có thẩm quyền trong bảo đảm quyền của trẻ em trên không gian mạng;

b) Kích động, lôi kéo, dụ dỗ, ép buộc trẻ em theo dõi, chia sẻ, phát tán thông tin có nội dung gây nguy hại cho trẻ em, xâm phạm đến trẻ em, quyền trẻ em hoặc tham gia vào các hoạt động vi phạm pháp luật khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại khoản 2 Điều này;

b) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm quy định tại khoản 2 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo vệ trẻ em trên không gian mạng theo quy định đối với các hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc xóa bỏ, cải chính thông tin đối với các hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc thu hồi số thuê bao, đầu số, kho số viễn thông; tài nguyên Internet, tên miền, địa chỉ Internet (IP), số hiệu mạng (ASN); mã số quản lý, số cung cấp dịch vụ; buộc hoàn trả địa chỉ IP, ASN, tên miền, tài khoản số đối với các hành vi vi phạm quy định tại khoản 2 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện vi phạm hành chính hoặc buộc nộp lại số tiền bằng giá trị tang vật, phương tiện vi phạm hành chính đã bị tiêu thụ, tẩu tán, tiêu hủy đối với các hành vi vi phạm quy định tại khoản 2 Điều này.

Điều 32. Vi phạm quy định về thực hiện các biện pháp bảo vệ an ninh mạng

1. Phạt tiền từ 25.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Các doanh nghiệp cung cấp dịch vụ trên mạng viễn thông, dịch vụ trên mạng Internet, dịch vụ gia tăng trên không gian mạng, chủ quản hệ thống thông tin không xóa bỏ thông tin trái pháp luật hoặc thông tin sai sự thật trên không gian mạng xâm phạm an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân theo quy định sau khi có đề nghị của lực lượng chuyên trách bảo vệ an ninh mạng;

b) Không đình chỉ hoặc yêu cầu ngừng hoạt động của hệ thống thông tin, thu hồi tên miền sau khi có đề nghị của lực lượng chuyên trách bảo vệ an ninh mạng.

2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện các biện pháp bảo đảm an ninh mạng đối với các hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc thu hồi tên miền do thực hiện hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 33. Vi phạm quy định về lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không lưu trữ dữ liệu hoặc lưu trữ dữ liệu nhạy cảm về an ninh quốc gia không đầy đủ theo quy định tại Nghị định quy định chi tiết một số điều của Luật An ninh mạng 2025;

b) Không thực hiện quyết định yêu cầu lưu trữ dữ liệu nhạy cảm về an ninh quốc gia, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam;

c) Không bảo đảm thời gian lưu trữ nhật ký hệ thống để phục vụ điều tra, xử lý hành vi vi phạm pháp luật về an ninh mạng được quy định tại điểm b khoản 2 Điều 25 của Luật An ninh mạng 2025.

2. Hình thức xử phạt bổ sung: Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm quy định tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc lưu trữ dữ liệu, đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam;

b) Buộc ngừng cung cấp dịch vụ viễn thông, Internet hoặc ngừng kết nối viễn thông, Internet tại Việt Nam đối với các hành vi vi phạm quy định tại khoản 1 Điều này.

Mục 4. VI PHẠM QUY ĐỊNH VỀ QUẢN LÝ SẢN PHẨM, DỊCH VỤ AN NINH MẠNG

Điều 34. Vi phạm quy định về xác thực, định danh, bảo mật tài khoản số

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Không xác thực, định danh bằng giấy tờ tùy thân hợp pháp hoặc xác thực, định danh bằng giấy tờ không hợp pháp đối với tài khoản số bắt buộc phải xác thực, định danh theo quy định của pháp luật;

b) Không có biện pháp cảnh báo chủ sở hữu khi tài khoản số phát sinh giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng bằng phương thức điện tử hoặc phương thức khác theo quy định nội bộ đã công bố;

c) Không lưu trữ thông tin thiết bị, địa chỉ IP, thời gian đăng nhập của tài khoản số tối thiểu 90 ngày;

d) Không tạm dừng giao dịch hoặc phong tỏa tài khoản số phục vụ các hoạt động giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng khi phát hiện có sai sót, nhầm lẫn, bị lộ lọt thông tin hoặc khi có thông báo, yêu cầu của lực lượng chuyên trách bảo vệ an ninh mạng;

đ) Định danh bằng phương thức điện tử không chính xác thông tin chủ tài khoản số phục vụ các hoạt động giao dịch tiền tệ, tài chính, chứng khoán hoặc tài sản khác có thể chuyển nhượng trên không gian mạng;

e) Không lưu vết xác thực tài khoản, không lưu nhật ký truy cập, không có cơ chế phát hiện bất thường đối với tài khoản số có chức năng giao dịch tài chính.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Sử dụng giấy tờ tùy thân của người khác để xác thực tài khoản số;

b) Sử dụng giấy tờ tùy thân giả, tạo lập, chỉnh sửa, cắt ghép hình ảnh giấy tờ tùy thân hoặc các thủ đoạn gian dối khác để xác thực tài khoản số;

c) Sử dụng công nghệ trí tuệ nhân tạo (AI), Deepfake hoặc các biện pháp kỹ thuật công nghệ cao để giả mạo dữ liệu sinh trắc học (khuôn mặt, giọng nói) nhằm xác thực tài khoản trái phép.

3. Biện pháp khắc phục hậu quả: Buộc khôi phục lại tình trạng ban đầu đối với hành vi vi phạm quy định tại khoản 1, 2 Điều này.

Điều 35. Vi phạm quy định về kinh doanh trong lĩnh vực an ninh mạng

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Không quản lý hồ sơ, tài liệu về giải pháp kỹ thuật, công nghệ của sản phẩm an ninh mạng;

b) Không lập, lưu trữ và bảo mật thông tin của khách hàng sử dụng sản phẩm, dịch vụ an ninh mạng;

c) Không báo cáo cho Bộ Công an về tình hình kinh doanh, xuất khẩu, nhập khẩu sản phẩm, dịch vụ an ninh mạng theo quy định.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không làm thủ tục cấp đổi Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng trong trường hợp doanh nghiệp thay đổi tên hoặc thay đổi người đại diện theo pháp luật hoặc thay đổi, bổ sung sản phẩm, dịch vụ an ninh mạng do doanh nghiệp cung cấp;

b) Không làm thủ tục cấp lại giấy phép trong trường hợp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng bị mất hoặc bị hư hỏng;

c) Không từ chối cung cấp sản phẩm, dịch vụ an ninh mạng khi phát hiện tổ chức, cá nhân vi phạm pháp luật, vi phạm cam kết đã thỏa thuận về sử dụng sản phẩm, dịch vụ an ninh mạng;

d) Không tạm ngừng hoặc ngừng cung cấp sản phẩm, dịch vụ an ninh mạng theo yêu cầu của cơ quan nhà nước có thẩm quyền;

đ) Không thực hiện việc chứng nhận hợp quy hoặc công bố hợp quy và sử dụng dấu hợp quy theo quy định trước khi đưa sản phẩm an ninh mạng vào lưu thông trên thị trường;

e) Cung cấp dịch vụ an ninh mạng không đúng với nội dung ghi trên Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

3. Phạt tiền từ 50.000.000 đồng đến 75.000.000 đồng đối với một trong các hành vi sau:

a) Không duy trì một trong các điều kiện để được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng;

b) Không phối hợp, tạo điều kiện thực hiện các biện pháp nghiệp vụ khi có yêu cầu của cơ quan nhà nước có thẩm quyền.

4. Phạt tiền từ 75.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Kinh doanh sản phẩm, dịch vụ an ninh mạng nhưng không có giấy phép;

b) Kinh doanh sản phẩm, dịch vụ an ninh mạng gây phương hại đến quốc phòng, an ninh, trật tự nhưng chưa đến mức truy cứu trách nhiệm hình sự;

c) Cung cấp thông tin không chính xác hoặc giả mạo thông tin để được cấp Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng.

5. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn từ 03 tháng đến 06 tháng đối với hành vi tại điểm a, e khoản 2, điểm b khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả: Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại các điểm c, d, đ và e khoản 2 và khoản 4 Điều này.

Điều 36. Vi phạm quy định về nhập khẩu sản phẩm an ninh mạng

1. Phạt tiền từ 75.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Nhập khẩu sản phẩm an ninh mạng thuộc Danh mục nhập khẩu theo giấy phép mà không có giấy phép;

b) Cung cấp thông tin không chính xác hoặc giả mạo thông tin để được cấp Giấy phép nhập khẩu sản phẩm an ninh mạng.

2. Hình thức xử phạt bổ sung: Tước quyền sử dụng Giấy phép kinh doanh sản phẩm, dịch vụ an ninh mạng có thời hạn từ 01 tháng đến 03 tháng đối với hành vi tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc thu hồi sản phẩm an ninh mạng đối với hành vi vi phạm quy định tại khoản 1 Điều này.

Mục 5. VI PHẠM QUY ĐỊNH VỀ CHỐNG TIN NHẮN RÁC, THƯ ĐIỆN TỬ RÁC, CUỘC GỌI RÁC

Điều 37. Vi phạm quy định liên quan tới thư điện tử, tin nhắn cung cấp thông tin về sản phẩm, dịch vụ

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi:

a) Gửi thư điện tử quảng cáo, tin nhắn quảng cáo đến người nhận nhưng chưa được sự đồng ý của người nhận;

b) Gắn nhãn thư điện tử quảng cáo, tin nhắn quảng cáo không đúng hoặc không đầy đủ theo quy định;

c) Gọi điện thoại quảng cáo đến người sử dụng khi chưa được người sử dụng đồng ý một cách rõ ràng;

d) Gọi điện thoại quảng cáo đến người sử dụng không đồng ý nhận cuộc gọi quảng cáo trong hồ sơ thu thập sự đồng ý của khách hàng;

đ) Gửi tin nhắn đăng ký quảng cáo khi người sử dụng đã từ chối hoặc không trả lời nhận tin nhắn đăng ký quảng cáo;

e) Gửi tin nhắn quảng cáo đến người sử dụng đã từ chối nhận tin nhắn quảng cáo.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Không gắn nhãn thư điện tử quảng cáo, tin nhắn quảng cáo theo quy định;

b) Không lưu lại thông tin đăng ký nhận quảng cáo, thông tin yêu cầu từ chối và thông tin xác nhận yêu cầu từ chối thư điện tử quảng cáo, tin nhắn quảng cáo, cuộc gọi quảng cáo tối thiểu 01 năm;

c) Gửi tin nhắn quảng cáo, gọi điện quảng cáo khi chưa được cấp tên định danh hoặc sử dụng số điện thoại để gửi tin nhắn quảng cáo hoặc gọi điện thoại quảng cáo.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không cung cấp miễn phí cho người sử dụng cơ chế tiếp nhận và xử lý các thông báo về thư rác;

b) Không có biện pháp để tránh mất mát và ngăn chặn thư điện tử của người sử dụng dịch vụ;

c) Không phối hợp với các nhà cung cấp dịch vụ Internet trong nước và quốc tế, nhà cung cấp dịch vụ tin nhắn trong và ngoài nước để hạn chế, ngăn chặn thư rác;

d) Không thực hiện việc xác nhận đã nhận được yêu cầu từ chối thư điện tử, tin nhắn theo thời hạn, hình thức hoặc nội dung theo quy định của pháp luật;

đ) Không có biện pháp giới hạn số lượng, tốc độ và tần suất nhắn tin;

e) Không giới hạn tần suất nhắn tin từ mỗi nguồn gửi hoặc không ngăn chặn các tin nhắn có nguy cơ gây mất an toàn, an ninh thông tin theo quy định;

g) Che giấu tên, địa chỉ điện tử của mình khi gửi thư điện tử, tin nhắn;

h) Không phối hợp với các doanh nghiệp viễn thông được cấp phép thiết lập mạng viễn thông di động trong và ngoài nước ngăn chặn tin nhắn rác;

i) Không thực hiện biện pháp ngăn chặn tin nhắn rác theo yêu cầu của cơ quan nhà nước có thẩm quyền;

k) Không ngăn chặn tin nhắn rác giả mạo nguồn gửi trước khi gửi tới người sử dụng dịch vụ;

l) Không ngừng cung cấp dịch vụ nội dung qua tin nhắn khi khách hàng yêu cầu;

m) Thực hiện không đầy đủ các yêu cầu điều phối, ngăn chặn, xử lý tin nhắn rác;

n) Thực hiện quá 03 tin nhắn quảng cáo tới 01 số điện thoại hoặc 03 thư điện tử quảng cáo tới 01 địa chỉ thư điện tử hoặc 01 cuộc gọi quảng cáo tới 01 số điện thoại trong vòng 24 giờ mà không có thỏa thuận khác với người sử dụng;

o) Gửi tin nhắn quảng cáo ngoài khoảng thời gian từ 07 giờ đến 22 giờ mỗi ngày hoặc gọi điện thoại quảng cáo từ 08 giờ đến 17 giờ mỗi ngày mà không có thỏa thuận với người sử dụng;

p) Không có biện pháp kiểm tra việc đã đồng ý trước một cách rõ ràng của người sử dụng khi gửi tin nhắn quảng cáo, thư điện tử quảng cáo, gọi điện thoại quảng cáo;

q) Không cung cấp cho người sử dụng công cụ tra cứu hoặc lưu trữ các thỏa thuận về việc đăng ký, từ chối cuộc gọi quảng cáo, tin nhắn đăng ký quảng cáo để phục vụ việc thanh, kiểm tra và giải quyết khiếu nại, tố cáo;

r) Không hướng dẫn người sử dụng dịch vụ về cách thức chống tin nhắn rác, cuộc gọi rác, thư điện tử rác;

s) Không thực hiện chế độ báo cáo hoặc thực hiện chế độ báo cáo không đúng quy định hoặc báo cáo không trung thực về hoạt động sử dụng tên định danh và/hoặc phòng chống, ngăn chặn tin nhắn rác, cuộc gọi rác theo quy định.

4. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Không tuân thủ các yêu cầu điều phối, ngăn chặn, xử lý tin nhắn rác;

b) Không thực hiện yêu cầu xử lý các thông báo, phản ánh tin nhắn rác của Bộ Công an;

c) Không thực hiện các biện pháp nhằm hạn chế thư điện tử rác theo yêu cầu của cơ quan nhà nước có thẩm quyền;

d) Không cung cấp thông tin và ngăn chặn các nguồn phát tán thư điện tử rác hoặc phần mềm độc hại theo yêu cầu của cơ quan nhà nước có thẩm quyền;

đ) Không thực hiện các biện pháp đánh giá tình trạng tin nhắn rác trên mạng viễn thông di động của nhà cung cấp dịch vụ tin nhắn theo hướng dẫn của Bộ Công an;

e) Cuộc gọi điện thoại quảng cáo không có đầy đủ thông tin về họ tên, chức vụ của người thực hiện cuộc gọi; thông tin tên, địa chỉ đơn vị thực hiện quảng cáo trước khi cung cấp nội dung quảng cáo hoặc không có thông tin về giá cước đối với trường hợp quảng cáo cho các dịch vụ có thu cước.

5. Phạt tiền từ 70.000.000 đồng đến 80.000.000 đồng đối với một trong các hành vi sau:

a) Không có đầy đủ các hình thức từ chối nhận thư điện tử quảng cáo hoặc từ chối nhận tin nhắn quảng cáo;

b) Gửi hoặc phát tán thư điện tử rác, tin nhắn rác, phần mềm độc hại gây hậu quả ít nghiêm trọng; thực hiện cuộc gọi rác;

c) Tạo hàng loạt cuộc gọi nhỡ nhằm dụ dỗ người sử dụng gọi điện thoại, nhắn tin đến các số cung cấp dịch vụ nội dung để trục lợi hoặc để cung cấp thông tin, quảng cáo;

d) Khai thác, sử dụng các số dịch vụ, số thuê bao viễn thông không đúng mục đích;

đ) Số dịch vụ gọi tự do, số dịch vụ gọi giá cao được mở chiều gọi đi hoặc để gửi tin nhắn hoặc nhận tin nhắn;

e) Gửi tin nhắn đăng ký quảng cáo không đúng quy định của Bộ Công an;

g) Gửi bất kỳ tin nhắn đăng ký quảng cáo nào đến các số điện thoại nằm trong Danh sách không quảng cáo;

h) Không lưu trữ hoặc lưu trữ không đầy đủ thông tin nhật ký cuộc gọi quảng cáo (bao gồm cả bản ghi âm nội dung cuộc gọi quảng cáo) theo quy định để phục vụ thanh tra, kiểm tra, giám sát và giải quyết khiếu nại, tố cáo.

6. Phạt tiền từ 80.000.000 đồng đến 90.000.000 đồng đối với một trong các hành vi sau:

a) Quảng cáo bằng thư điện tử hoặc quảng cáo bằng tin nhắn hoặc quảng cáo bằng cuộc gọi hoặc cung cấp dịch vụ nhắn tin, gọi điện thoại qua mạng Internet nhưng không có hệ thống tiếp nhận, xử lý yêu cầu từ chối của người nhận;

b) Gửi tin nhắn quảng cáo, gọi điện thoại quảng cáo đến các số điện thoại nằm trong Danh sách không quảng cáo.

7. Phạt tiền từ 90.000.000 đồng đến 100.000.000 đồng đối với hành vi không ngăn chặn, thu hồi số thuê bao được dùng để phát tán tin nhắn rác, cuộc gọi rác.

8. Hình thức xử phạt bổ sung:

a) Đình chỉ việc cung cấp dịch vụ đối với khách hàng mới từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại các điểm c, d, e và h khoản 3, các khoản 5 và 6 Điều này;

b) Đình chỉ quyền sử dụng tên định danh từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại các điểm a và b khoản 2, các điểm d, g, h, i và o khoản 3, các điểm a và b khoản 5 Điều này.

9. Biện pháp khắc phục hậu quả:

a) Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại các điểm d và đ khoản 5 Điều này;

b) Buộc thu hồi đầu số, kho số viễn thông do thực hiện hành vi vi phạm tại các điểm b và c khoản 4 và khoản 5 Điều này;

c) Buộc thu hồi số điện thoại do thực hiện hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 38. Vi phạm quy định về cung cấp dịch vụ thư điện tử, tin nhắn quảng cáo, cuộc gọi quảng cáo, dịch vụ nội dung qua tin nhắn

1. Phạt tiền từ 5.000.000 đồng đến 10.000.000 đồng đối với một trong các hành vi sau:

a) Không có trang thông tin điện tử sử dụng tên miền quốc gia Việt Nam khi cung cấp dịch vụ gửi thư điện tử quảng cáo hoặc dịch vụ nhắn tin qua mạng Internet hoặc dịch vụ nội dung qua tin nhắn;

b) Cung cấp không đầy đủ hoặc không rõ ràng thông tin về các dịch vụ trên trang thông tin điện tử trước khi cung cấp dịch vụ gồm có: tên dịch vụ, mã lệnh tương ứng, mô tả dịch vụ, cách thức sử dụng, giá cước dịch vụ tương ứng, hướng dẫn hủy dịch vụ, số điện thoại hỗ trợ khách hàng, cam kết đồng ý sử dụng dịch vụ;

c) Không cung cấp công cụ, ứng dụng cho phép người sử dụng tự chủ động ngăn chặn thư điện tử rác và phản ánh về thư điện tử rác;

d) Không có biện pháp chặn, lọc, cập nhật danh sách các nguồn phát tán thư điện tử rác hoặc không có giải pháp để tránh mất mát và ngăn chặn nhầm thư điện tử của người sử dụng;

đ) Không giám sát, kiểm soát, rà quét hệ thống máy chủ thư điện tử của mình để đảm bảo không trở thành nguồn phát tán thư điện tử rác;

e) Không báo cáo, thống kê định kỳ theo quy định của cơ quan nhà nước có thẩm quyền.

2. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Không cung cấp thông tin về giá cước trước khi tính cước khi người sử dụng gọi điện tới tổng đài dịch vụ gọi giá cao, dịch vụ giải đáp thông tin;

b) Không hướng dẫn thuê bao gửi thông báo tin nhắn rác và phản hồi các thông báo về tin nhắn rác tiếp nhận được;

c) Lưu trữ dữ liệu cung cấp dịch vụ nội dung qua tin nhắn không đầy đủ theo quy định;

d) Không xây dựng, cập nhật, cung cấp và chia sẻ danh sách đến địa chỉ IP/tên miền phát tán thư điện tử rác dùng chung cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) và các doanh nghiệp viễn thông, Internet khác.

3. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Cung cấp thông tin về sản phẩm, dịch vụ bằng thư điện tử mà máy chủ gửi thư điện tử không đặt tại Việt Nam;

b) Cung cấp dịch vụ nhắn tin qua mạng Internet có máy chủ dịch vụ gửi tin nhắn không đặt tại Việt Nam;

c) Cung cấp thông tin về sản phẩm, dịch vụ bằng tin nhắn không sử dụng số gửi tin nhắn được cấp theo quy định;

d) Cung cấp dịch vụ quảng cáo bằng thư điện tử, quảng cáo bằng tin nhắn không có hệ thống tiếp nhận, xử lý yêu cầu từ chối nhận thư điện tử quảng cáo, tin nhắn quảng cáo;

đ) Không cung cấp miễn phí chức năng tiếp nhận thông báo về tin nhắn rác hoặc thư điện tử rác từ người sử dụng;

e) Không triển khai hệ thống ngăn chặn tin nhắn rác có khả năng ngăn chặn tin nhắn rác theo nguồn gửi hoặc từ khóa trong nội dung tin nhắn gửi;

g) Không cho phép doanh nghiệp đã được cấp mã số quản lý kết nối kỹ thuật với hệ thống của mình, để cung cấp dịch vụ;

h) Không lưu trữ dữ liệu cung cấp dịch vụ nội dung qua tin nhắn theo quy định;

i) Không cung cấp cho người sử dụng các công cụ, ứng dụng để phản ánh tin nhắn rác, cuộc gọi rác và cho phép người sử dụng chủ động ngăn chặn tin nhắn rác, cuộc gọi rác;

k) Không cung cấp, cập nhật và chia sẻ các mẫu tin nhắn rác dùng chung cho Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) và các doanh nghiệp viễn thông khác;

l) Không chặn lọc các địa chỉ IP/tên miền phát tán hoặc bị lạm dụng phát tán thư điện tử rác thuộc quyền quản lý của mình;

m) Không thực hiện các biện pháp đánh giá tình trạng tin nhắn rác, cuộc gọi rác trên mạng viễn thông của mình;

n) Sử dụng các tên định danh không phải do Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) cấp hoặc đã được Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) cấp cho tổ chức, cá nhân khác hoặc sử dụng tên định danh sau khi bị thu hồi;

o) Sử dụng tên định danh để gửi tin nhắn rác hoặc gọi cuộc gọi rác hoặc cung cấp các dịch vụ vi phạm các quy định của pháp luật theo kết luận của cơ quan nhà nước.

4. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Thu cước dịch vụ đối với các tin nhắn lỗi hoặc tin nhắn không được cung cấp dịch vụ hoặc tin nhắn đã được cung cấp dịch vụ nhưng có nội dung khác với mã lệnh mà doanh nghiệp công bố hoặc tin nhắn do người dùng bị lừa đảo;

b) Không thực hiện các biện pháp ngăn chặn tin nhắn quảng cáo, cuộc gọi quảng cáo đến Danh sách không quảng cáo;

c) Không ngăn chặn, thu hồi địa chỉ điện tử được dùng để phát tán tin nhắn rác, thư điện tử rác, cuộc gọi rác theo yêu cầu của cơ quan nhà nước có thẩm quyền;

d) Không xây dựng, vận hành hệ thống kỹ thuật để phòng chống, ngăn chặn tin nhắn rác, thư điện tử rác, cuộc gọi rác;

đ) Không xây dựng, kết nối hệ thống kỹ thuật quản lý tên định danh của mình tới Hệ thống quản lý tên định danh quốc gia;

e) Không thực hiện các nhiệm vụ điều phối ngăn chặn, xử lý thư điện tử rác, cuộc gọi rác và các biện pháp nghiệp vụ khác theo yêu cầu của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao).

5. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với doanh nghiệp viễn thông cung cấp dịch vụ thoại qua mạng Internet (VoIP), SIP Trunk khi thực hiện một trong các hành vi sau đây:

a) Không triển khai hoặc không duy trì cơ chế kỹ thuật tự động chặn toàn bộ lưu lượng SIP Trunk, VoIP phát sinh cuộc gọi ra mạng viễn thông công cộng nhưng không gắn tên định danh (Voice Brandname) hợp lệ theo quy định;

b) Không giám sát, phân tích, phát hiện lưu lượng cuộc gọi bất thường theo tiêu chí kỹ thuật do cơ quan nhà nước có thẩm quyền ban hành hoặc hướng dẫn;

c) Không thực hiện hoặc thực hiện không đầy đủ biện pháp cảnh báo, hạn chế, tạm dừng hoặc chấm dứt cung cấp dịch vụ đối với khách hàng có dấu hiệu phát sinh cuộc gọi rác, cuộc gọi lừa đảo, mạo danh theo yêu cầu của cơ quan có thẩm quyền hoặc theo kết quả giám sát nội bộ;

d) Không lưu trữ, không cung cấp kịp thời nhật ký, dữ liệu kỹ thuật, thông tin định danh liên quan đến lưu lượng SIP Trunk, VoIP phục vụ công tác thanh tra, kiểm tra, điều tra, xác minh theo quy định của pháp luật.

6. Hình thức xử phạt bổ sung:

a) Đình chỉ hoạt động cung cấp dịch vụ với khách hàng mới từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 4 Điều này;

b) Đình chỉ cung cấp dịch vụ SIP Trunk, VoIP từ 01 tháng đến 03 tháng đối với doanh nghiệp viễn thông vi phạm quy định tại khoản 5 Điều này.

7. Biện pháp khắc phục hậu quả: Buộc thu hồi tên định danh do thực hiện hành vi vi phạm quy định tại khoản 4 Điều này.

Mục 6. VI PHẠM QUY ĐỊNH VỀ BẢO VỆ DỮ LIỆU CÁ NHÂN

Điều 39. Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với các hành vi sau:

a) Xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích xử lý dữ liệu cá nhân đã được xác định, xin sự đồng ý, thỏa thuận hoặc vượt quá mức cần thiết để thực hiện mục đích đó;

b) Không bảo đảm tính chính xác của dữ liệu cá nhân hoặc không thực hiện chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót hoặc khi cần thiết;

c) Lưu trữ dữ liệu cá nhân vượt quá khoảng thời gian cần thiết phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật quy định khác;

d) Không chủ động phòng ngừa, phát hiện, phối hợp kịp thời với các cơ quan có thẩm quyền trong xử lý mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với các hành vi sau:

a) Có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân;

b) Sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái quy định của pháp luật.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại điểm a, c khoản 1, điểm b khoản 2 Điều này;

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ vượt thời hạn đối với hành vi vi phạm tại điểm a, c khoản 1 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại điểm a, c khoản 1, điểm b khoản 2 Điều này;

c) Buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng đối với hành vi vi phạm tại điểm b khoản 2 Điều này;

d) Buộc chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân cho chính xác theo yêu cầu của chủ thể dữ liệu cá nhân hoặc khi phát hiện sai sót đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 40. Vi phạm quy định về lợi dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi vi phạm pháp luật

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi lợi dụng hoạt động bảo vệ dữ liệu cá nhân sau:

a) Sử dụng danh nghĩa hoạt động bảo vệ dữ liệu cá nhân để che giấu, hợp thức hóa hoặc tạo điều kiện cho hành vi vi phạm pháp luật;

b) Lợi dụng việc sử dụng lực lượng, phương tiện, biện pháp để phòng chống hoạt động xâm phạm dữ liệu cá nhân nhằm chiếm đoạt, làm sai lệch hoặc xử lý dữ liệu cá nhân trái quy định;

c) Sử dụng hoạt động bảo vệ dữ liệu cá nhân để thực hiện hành vi lừa đảo, xâm phạm quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã chiếm đoạt, xử lý trái phép đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 1 Điều này;

c) Buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng đối với hành vi vi phạm tại điểm b, c khoản 1 Điều này.

Điều 41. Vi phạm quy định về xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh trật tự

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi xử lý dữ liệu cá nhân gây ảnh hưởng đến an ninh trật tự sau:

a) Xử lý dữ liệu cá nhân để tạo lập, củng cố hoặc lan truyền thông tin bịa đặt, sai sự thật, xuyên tạc, kích động, gây hoang mang hoặc gây ảnh hưởng đến an ninh trật tự;

b) Cung cấp, chuyển giao, phát tán hoặc công khai dữ liệu cá nhân biết rõ sẽ được sử dụng vào mục đích xâm phạm an ninh trật tự;

c) Chỉnh sửa, làm sai lệch, xóa, hủy, chiếm đoạt hoặc làm gián đoạn xử lý dữ liệu cá nhân nhằm gây ảnh hưởng hoạt động bình thường của cơ quan, tổ chức;

d) Thực hiện các hành vi khác gây ảnh hưởng hoặc có nguy cơ gây ảnh hưởng đến an ninh trật tự.

2. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã bị xử lý nhằm gây ảnh hưởng an ninh trật tự đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 1 Điều này;

c) Buộc gỡ bỏ, thu hồi thông tin và dữ liệu cá nhân đã cung cấp, chuyển giao, công khai trái phép đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 42. Vi phạm nghĩa vụ bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Cố ý làm lộ, làm mất dữ liệu cá nhân của bản thân gây ảnh hưởng đến trật tự, an toàn xã hội hoặc gây thiệt hại cho cơ quan, tổ chức, cá nhân có liên quan;

b) Cố ý cho người khác sử dụng dữ liệu cá nhân của mình để thực hiện hành vi trái quy định của pháp luật;

c) Cố ý cung cấp dữ liệu cá nhân giả mạo, sai sự thật nhằm mục đích lừa đảo, gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;

d) Cố ý tạo lập tình huống giả mạo về việc lộ, mất dữ liệu cá nhân của bản thân nhằm trốn tránh trách nhiệm, yêu cầu đền bù hoặc trục lợi gây ảnh hưởng đến uy tín, tài sản của tổ chức, cá nhân khác;

đ) Cố ý không cung cấp đầy đủ, chính xác dữ liệu cá nhân của mình theo quy định bắt buộc của pháp luật hoặc theo hợp đồng đã ký kết, gây rủi ro về nhận diện pháp lý hoặc thiệt hại tài chính cho bên kiểm soát và xử lý dữ liệu.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cá nhân có một trong các hành vi sau:

a) Thu thập, sử dụng, tiết lộ, sửa đổi, làm sai lệch, hủy hoại hoặc truy cập trái phép dữ liệu cá nhân của người khác gây thiệt hại đến quyền, lợi ích hợp pháp của người đó;

b) Cố ý cung cấp dữ liệu cá nhân của người khác nhằm mục đích lừa đảo, gây nhầm lẫn cho cơ quan, tổ chức, cá nhân có liên quan;

c) Lợi dụng việc thực hiện quyền chủ thể dữ liệu cá nhân vượt quá phạm vi cần thiết hoặc không phù hợp với mục đích thực hiện quyền, gây khó khăn hoặc cản trở hoạt động kinh doanh hợp pháp của cơ quan, tổ chức;

d) Từ chối tham gia phối hợp phòng, chống hoạt động xâm phạm dữ liệu cá nhân khi có yêu cầu chính thức của cơ quan nhà nước có thẩm quyền.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại khoản 2, khoản 3 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập trái phép của người khác đối với hành vi vi phạm tại điểm a khoản 2 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại điểm b, c khoản 2 Điều này;

c) Buộc cung cấp lại thông tin dữ liệu cá nhân chính xác, đầy đủ theo quy định pháp luật hoặc theo hợp đồng đối với hành vi vi phạm tại điểm đ khoản 1 Điều này;

d) Buộc chấm dứt hành vi cản trở việc thực hiện quyền và nghĩa vụ xử lý dữ liệu cá nhân hợp pháp đối với hành vi vi phạm tại điểm c khoản 2 Điều này.

Điều 43. Vi phạm quy định về sự đồng ý của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Xử lý dữ liệu cá nhân sau khi thu thập mà chưa có được sự đồng ý của chủ thể dữ liệu cá nhân, trừ các trường hợp pháp luật có quy định khác;

b) Kèm theo điều kiện bắt buộc, từ chối cung cấp dịch vụ nếu chủ thể dữ liệu cá nhân không đồng ý xử lý dữ liệu cá nhân vào các mục đích khác không liên quan đến nội dung thỏa thuận cung cấp dịch vụ đó;

c) Thiết lập phương thức mặc định đồng ý, tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu cá nhân;

d) Việc xin sự đồng ý không được thể hiện bằng phương thức rõ ràng, cụ thể, không bảo đảm khả năng kiểm chứng về việc xác định chủ thể dữ liệu cá nhân đã thực hiện sự đồng ý, thời điểm và nội dung được đồng ý;

đ) Không cung cấp cho chủ thể dữ liệu cá nhân các thông tin minh bạch về loại dữ liệu cá nhân được xử lý, mục đích xử lý dữ liệu cá nhân, các quyền, nghĩa vụ của chủ thể dữ liệu cá nhân, Bên kiểm soát hoặc Bên kiểm soát và xử lý dữ liệu cá nhân dẫn đến sự đồng ý không dựa trên cơ sở tự nguyện và biết rõ;

e) Hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu cá nhân được đồng ý với từng mục đích xử lý dữ liệu cá nhân;

g) Không ghi nhận, không lưu trữ nhật ký về sự đồng ý của chủ thể dữ liệu cá nhân, không chứng minh được đã có sự đồng ý khi có yêu cầu của chủ thể dữ liệu cá nhân hoặc yêu cầu thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền;

h) Không thông báo cho chủ thể dữ liệu cá nhân biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Cố ý tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu cá nhân đã có yêu cầu ngừng, hạn chế xử lý hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản;

b) Thực hiện thu thập, xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân giữ im lặng hoặc không phản hồi trước yêu cầu xin sự đồng ý, tự ý coi sự im lặng là đồng ý.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại điểm a, c khoản 1, khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân thu thập, xử lý khi không có sự đồng ý hợp lệ đối với hành vi vi phạm tại điểm a, c khoản 1 và khoản 2 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

Điều 44. Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi sau:

a) Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân;

b) Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ chức để thực hiện quyền của chủ thể dữ liệu cá nhân;

c) Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại Luật Bảo vệ dữ liệu cá nhân;

d) Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ;

đ) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với Bên xử lý dữ liệu cá nhân, Bên thứ ba đã nhận được yêu cầu hợp lệ từ Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân nhưng không thực hiện đúng thời hạn một trong các yêu cầu sau:

a) Không ngừng xử lý dữ liệu cá nhân khi nhận được yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;

b) Không thực hiện chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;

c) Không thực hiện xóa, hủy dữ liệu cá nhân hoặc không hạn chế xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định.

3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi không thực hiện đúng thời hạn yêu cầu của chủ thể dữ liệu cá nhân sau:

a) Không thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 20 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày;

b) Không thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn 10 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 10 ngày;

c) Không thực hiện yêu cầu xóa dữ liệu cá nhân trong thời hạn 20 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 30 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 20 ngày;

d) Không thực hiện yêu cầu áp dụng các biện pháp, giải pháp bảo vệ dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày.

4. Bên xử lý dữ liệu cá nhân, bên thứ ba không bị xử phạt theo quy định tại khoản 2 Điều này trong trường hợp pháp luật có quy định khác.

5. Biện pháp khắc phục hậu quả: Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân theo yêu cầu hợp pháp và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này.

Điều 45. Vi phạm quy định về quyền rút lại sự đồng ý và quyền hạn chế xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Sử dụng các cách thức, biện pháp nhằm che giấu, ngăn chặn hoặc cố tình gây cản trở cho việc thực hiện quyền rút lại sự đồng ý, yêu cầu hạn chế của chủ thể dữ liệu cá nhân;

b) Không thực hiện ngừng xử lý dữ liệu cá nhân kể từ khi chủ thể dữ liệu cá nhân rút lại sự đồng ý, yêu cầu hạn chế theo đúng thủ tục, trừ trường hợp pháp luật có quy định tiếp tục xử lý không cần sự đồng ý theo Điều 19 Luật Bảo vệ dữ liệu cá nhân;

c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân không gửi yêu cầu cho Bên xử lý dữ liệu cá nhân, Bên thứ ba để ngừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý, yêu cầu hạn chế xử lý dữ liệu cá nhân.

2. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân tiếp tục xử lý sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1 Điều này;

b) Buộc nộp lại khoản thu có được do tiếp tục khai thác dữ liệu cá nhân sau khi chủ thể đã rút lại sự đồng ý đối với hành vi vi phạm tại điểm b khoản 1 Điều này;

c) Buộc thiết lập và cung cấp cho chủ thể dữ liệu cá nhân cơ chế kỹ thuật rõ ràng, dễ tiếp cận để thực hiện quyền rút lại sự đồng ý; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm a khoản 1 Điều này;

d) Buộc thực hiện việc gửi yêu cầu đến Bên xử lý dữ liệu cá nhân, Bên thứ ba để dừng xử lý dữ liệu cá nhân của chủ thể đã rút lại sự đồng ý; cung cấp minh chứng thực hiện đối với hành vi vi phạm tại điểm c khoản 1 Điều này.

Điều 46. Vi phạm quy định về quyền xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân từ chối, không cho phép chủ thể dữ liệu cá nhân truy cập để xem, chỉnh sửa hoặc yêu cầu chỉnh sửa dữ liệu cá nhân của mình sau khi đã thu thập, trừ trường hợp luật có quy định khác;

b) Bên xử lý dữ liệu cá nhân, Bên thứ ba tự ý chỉnh sửa dữ liệu cá nhân của chủ thể dữ liệu cá nhân khi chưa được Bên kiểm soát dữ liệu cá nhân đồng ý bằng văn bản.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi cố ý trì hoãn, không thực hiện chỉnh sửa dữ liệu cá nhân sau khi đã xác nhận thông tin là sai sự thật, giả mạo gây ảnh hưởng về danh dự, nhân phẩm, uy tín, quyền và lợi ích hợp pháp cho chủ thể dữ liệu cá nhân.

3. Không xử phạt theo quy định tại Điều này đối với hành vi từ chối hoặc chưa thực hiện chỉnh sửa dữ liệu cá nhân nếu Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có căn cứ hợp lý chứng minh thuộc một trong các trường hợp sau:

a) Yêu cầu chỉnh sửa nhằm mục đích gian lận, làm sai lệch thông tin để trốn tránh nghĩa vụ pháp lý hoặc thực hiện hành vi vi phạm pháp luật;

b) Việc chỉnh sửa dữ liệu cá nhân theo yêu cầu có thể xâm phạm quyền, lợi ích hợp pháp của tổ chức, cá nhân khác hoặc ảnh hưởng đến thuần phong mỹ tục, đạo đức, lợi ích công cộng;

c) Các trường hợp khác theo quy định của pháp luật có liên quan.

4. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện chỉnh sửa dữ liệu cá nhân theo yêu cầu hợp pháp của chủ thể dữ liệu cá nhân đối với hành vi vi phạm tại khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã tự ý chỉnh sửa trái phép đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 47. Vi phạm quy định về xử lý dữ liệu cá nhân trong trường hợp không cần sự đồng ý của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với các hành vi sau:

a) Không thiết lập quy trình, quy định xử lý dữ liệu cá nhân và xác định trách nhiệm của cơ quan, tổ chức, cá nhân trong quá trình xử lý dữ liệu cá nhân;

b) Không thực hiện kiểm tra, đánh giá định kỳ việc tuân thủ quy định của pháp luật, quy trình, quy định xử lý dữ liệu cá nhân;

c) Không có cơ chế tiếp nhận và xử lý phản ánh, kiến nghị từ cơ quan, tổ chức, cá nhân có liên quan.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Không triển khai các biện pháp bảo vệ dữ liệu cá nhân phù hợp làm lộ, mất dữ liệu cá nhân được thu thập;

b) Không thực hiện đánh giá rủi ro có thể xảy ra trong quá trình xử lý dữ liệu cá nhân.

3. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với các hành vi sau:

a) Lợi dụng các trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân để thu thập, xử lý dữ liệu cá nhân vượt quá mục đích, phạm vi cần thiết so với căn cứ theo quy định pháp luật;

b) Không chứng minh được trường hợp theo quy định pháp luật của việc xử lý dữ liệu cá nhân không cần sự đồng ý khi có yêu cầu kiểm tra của cơ quan nhà nước có thẩm quyền.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai quy trình, quy định xử lý dữ liệu cá nhân; biện pháp bảo vệ dữ liệu cá nhân; cơ chế tiếp nhận phản ánh, kiến nghị theo đúng quy định, cung cấp minh chứng đã thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân được thực hiện dựa trên căn cứ miễn đồng ý không đúng quy định hoặc vượt quá mục đích, phạm vi căn cứ đó cho phép đối với hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý vượt quá mục đích, phạm vi quy định hoặc không có căn cứ hợp pháp đối với hành vi vi phạm quy định tại điểm a khoản 3 Điều này;

d) Buộc lập, lưu trữ và cung cấp tài liệu chứng minh căn cứ hợp pháp của việc xử lý dữ liệu cá nhân không cần sự đồng ý khi có yêu cầu của cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 3 Điều này;

đ) Buộc triển khai biện pháp bảo vệ dữ liệu cá nhân phù hợp và thực hiện đánh giá rủi ro trong quá trình xử lý dữ liệu cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này.

Điều 48. Vi phạm quy định về thu thập dữ liệu cá nhân

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật.

2. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý.

3. Trường hợp áp dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái quy định của pháp luật thì mức phạt tiền được xác định như sau:

a) Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của dưới 500 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của dưới 100 chủ thể dữ liệu;

b) Phạt tiền từ 200.000.000 đồng đến 300.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 500 đến dưới 1.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 100 đến dưới 200 chủ thể dữ liệu;

c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể dữ liệu;

d) Phạt tiền từ 500.000.000 đồng đến 800.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 5.000 chủ thể dữ liệu trở lên hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể dữ liệu trở lên.

4. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi quy định tại khoản 1 Điều này nếu đối tượng của hành vi vi phạm là dữ liệu cá nhân nhạy cảm.

5. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này.

6. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm tại Điều này;

b) Buộc nộp lại khoản thu có được từ hoạt động kinh doanh có sử dụng dữ liệu cá nhân thu thập trái phép đối với hành vi vi phạm tại khoản 2 Điều này.

Điều 49. Vi phạm quy định về cung cấp dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với hành vi từ chối cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân khi có yêu cầu hợp lệ.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với hành vi cung cấp dữ liệu cá nhân cho cơ quan, tổ chức, cá nhân khác khi chưa được chủ thể dữ liệu cá nhân đồng ý, trừ trường hợp pháp luật có quy định khác.

3. Phạt tiền bằng 02 lần mức phạt tiền quy định tại khoản 2 và khoản 3 Điều này đối với hành vi cung cấp dữ liệu cá nhân nhạy cảm.

4. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân theo yêu cầu hợp lệ đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc thu hồi dữ liệu cá nhân đã cung cấp sai quy định đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này;

c) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

Điều 50. Vi phạm quy định về công khai dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Công khai dữ liệu cá nhân không có mục đích cụ thể, không thuộc trường hợp được phép công khai theo quy định pháp luật;

b) Công khai vượt quá phạm vi, loại dữ liệu cá nhân cần thiết cho mục đích công khai;

c) Công khai dữ liệu cá nhân nhưng không phản ánh đúng dữ liệu từ nguồn dữ liệu gốc;

d) Không kiểm soát, giám sát chặt chẽ việc công khai dữ liệu cá nhân để bảo đảm tuân thủ đúng mục đích, phạm vi và quy định của pháp luật;

đ) Không có biện pháp ngăn chặn việc truy cập, sử dụng, tiết lộ, sao chép, sửa đổi, xóa, hủy hoặc các hành vi xử lý trái phép khác đối với dữ liệu đã công khai.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Công khai dữ liệu cá nhân gây xâm phạm đến quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;

b) Công khai dữ liệu cá nhân khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân, trừ trường hợp pháp luật cho phép.

3. Biện pháp khắc phục hậu quả:

a) Buộc cải chính thông tin đối với hành vi vi phạm tại điểm c khoản 1 Điều này;

b) Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai đối với hành vi vi phạm tại khoản 2 Điều này;

c) Buộc áp dụng biện pháp kiểm soát, giám sát và bảo mật đối với dữ liệu cá nhân đang công khai; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này;

d) Buộc gỡ bỏ, thu hồi dữ liệu cá nhân đã công khai không có mục đích cụ thể hoặc vượt quá phạm vi cần thiết đối với hành vi vi phạm tại điểm a, b khoản 1 Điều này.

Điều 51. Vi phạm quy định về xóa, hủy, khử nhận dạng dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thông báo cho chủ thể dữ liệu cá nhân biết lý do trong trường hợp không thể thực hiện việc xóa, hủy dữ liệu cá nhân sau khi nhận được yêu cầu;

b) Việc xóa, hủy dữ liệu cá nhân không được thực hiện bằng các biện pháp an toàn;

c) Không có biện pháp ngăn chặn hoạt động xâm nhập và khôi phục trái phép dữ liệu đã xóa, hủy;

d) Khử nhận dạng dữ liệu cá nhân nhưng không kiểm soát, giám sát chặt chẽ;

đ) Không có biện pháp ngăn chặn việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu trong quá trình khử nhận dạng.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thực hiện xóa, hủy dữ liệu cá nhân tại các trường hợp theo quy định pháp luật;

b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không yêu cầu bên xử lý dữ liệu cá nhân, bên thứ ba xóa, hủy dữ liệu cá nhân của chủ thể dữ liệu cá nhân theo quy định của pháp luật;

c) Bên xử lý dữ liệu cá nhân không thực hiện xóa hoặc trả lại toàn bộ dữ liệu cá nhân cho Bên kiểm soát dữ liệu cá nhân sau khi kết thúc hợp đồng hoặc thỏa thuận xử lý dữ liệu cá nhân;

d) Để xảy ra việc truy cập trái phép, sao chép, chiếm đoạt, làm lộ, làm mất dữ liệu cá nhân trong quá trình khử nhận dạng.

3. Phạt tiền từ 50.000.000 đồng đến 60.000.000 đồng đối với một trong các hành vi sau đây:

a) Cố ý khôi phục trái phép dữ liệu cá nhân đã bị xóa, hủy;

b) Tái nhận dạng dữ liệu cá nhân sau khi dữ liệu đó đã được khử nhận dạng, trừ trường hợp pháp luật có quy định khác.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với hành vi vi phạm tại điểm a, b khoản 2 Điều này;

b) Buộc thông báo cho chủ thể dữ liệu cá nhân về việc không thể thực hiện xóa, hủy trong trường hợp quy định tại điểm a khoản 1 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục kết quả tái nhận dạng và dữ liệu cá nhân đã được khôi phục trái phép đối với hành vi vi phạm tại khoản 3 Điều này;

d) Buộc áp dụng biện pháp kiểm soát, giám sát và ngăn chặn truy cập trái phép trong quá trình khử nhận dạng; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm d, đ khoản 1 Điều này.

Điều 52. Vi phạm quy định về chuyển giao dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau:

a) Thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân; trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân; trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân;

b) Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập, cơ quan, tổ chức không xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân đúng quy định; không có biện pháp phòng, chống việc nhân sự nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi chuyển giao dữ liệu cá nhân theo điểm a, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu cá nhân hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu cá nhân nhưng vi phạm các nghĩa vụ sau:

a) Không xác định rõ vai trò bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba trong hoạt động chuyển giao dữ liệu cá nhân;

b) Không xác định, giới hạn loại dữ liệu cá nhân chuyển giao trong phạm vi mục đích chuyển giao;

c) Không xác định thời hạn lưu trữ dữ liệu cá nhân phù hợp với mục đích chuyển giao; không xóa, hủy dữ liệu cá nhân khi hoàn thành mục đích theo quy định pháp luật.

3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi chuyển giao dữ liệu cá nhân nhạy cảm không có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác trong quá trình chuyển giao.

4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc bổ sung, hoàn thiện thỏa thuận chuyển giao dữ liệu cá nhân theo đúng quy định và cung cấp minh chứng cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật theo quy định đối với dữ liệu cá nhân nhạy cảm đang được lưu trữ và truyền tải đối với hành vi vi phạm tại khoản 3 Điều này;

c) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân nhạy cảm đã chuyển giao trong trường hợp không thể bảo đảm bảo mật theo quy định đối với hành vi vi phạm tại khoản 2, 3 Điều này.

Điều 53. Vi phạm quy định về mua, bán trái phép dữ liệu cá nhân

1. Phạt tiền từ 02 lần đến tối đa bằng 10 lần khoản thu đối với một trong các hành vi mua, bán trái phép dữ liệu cá nhân sau:

a) Cung cấp, chia sẻ, trao đổi nhằm thu tài sản hoặc lợi ích khác không thuộc các trường hợp quy định tại khoản 1 Điều 17 Luật Bảo vệ dữ liệu cá nhân;

b) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác không có thỏa thuận về việc chuyển giao dữ liệu cá nhân;

c) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà thỏa thuận về việc chuyển giao dữ liệu cá nhân không xác định mục đích chuyển giao dữ liệu cá nhân hoặc không thực hiện theo đúng mục đích trong thỏa thuận chuyển giao dữ liệu cá nhân;

d) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân;

đ) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà xử lý dữ liệu cá nhân không đúng cho mục đích chuyển giao được chủ thể dữ liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;

e) Chuyển giao dữ liệu cá nhân có thu phí hoặc lợi ích vật chất khác mà không khử nhận dạng dữ liệu cá nhân khi giao dịch trên sàn dữ liệu.

2. Trường hợp các hành vi vi phạm quy định tại khoản 1 Điều này không có khoản thu và mức phạt tiền tối đa bằng 10 lần khoản thu có được từ hành vi vi phạm thấp hơn 3.000.000.000 đồng thì mức phạt tiền được xác định đến mức tối đa của khung tiền phạt là 3.000.000.000 đồng.

3. Trường hợp không có khoản thu từ hành vi vi phạm quy định tại khoản 1 Điều này thì mức phạt tiền được xác định như sau:

a) Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của dưới 1.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của dưới 200 chủ thể dữ liệu;

b) Phạt tiền từ 100.000.000 đồng đến 300.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 2.000 chủ thể dữ liệu hoặc mua bán dữ liệu cá nhân nhạy cảm của từ 200 đến dưới 400 chủ thể dữ liệu;

c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 2.000 đến dưới 10.000 chủ thể dữ liệu hoặc dữ liệu cá nhân nhạy cảm của từ 400 đến 2.000 chủ thể dữ liệu;

d) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi mua, bán dữ liệu cá nhân cơ bản của từ 10.000 chủ thể dữ liệu trở lên, dữ liệu cá nhân nhạy cảm của từ 2.000 chủ thể dữ liệu trở lên;

đ) Mức phạt tiền từ 1.000.000.000 đồng đến tối đa 3.000.000.000 đồng đối với các hành vi mua, bán dữ liệu cá nhân trái phép xâm phạm tới quốc phòng, an ninh trật tự, đối ngoại, kinh tế vĩ mô, tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân, quyền và lợi ích hợp pháp của tổ chức, cá nhân.

4. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã mua, bán trái phép trên tất cả hệ thống lưu trữ đối với hành vi vi phạm quy định tại Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều này;

c) Buộc thông báo đến toàn bộ chủ thể dữ liệu cá nhân bị ảnh hưởng về hành vi vi phạm và biện pháp khắc phục đối với hành vi vi phạm quy định tại Điều này.

Điều 54. Vi phạm quy định về thông báo vi phạm quy định về bảo vệ dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau đây:

a) Bên xử lý dữ liệu cá nhân phát hiện hành vi vi phạm nhưng không thông báo kịp thời cho bên kiểm soát dữ liệu hoặc bên kiểm soát và xử lý dữ liệu;

b) Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;

c) Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân, Bên xử lý dữ liệu cá nhân thực hiện báo cáo vi phạm sự cố rò rỉ dữ liệu cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân nhưng cố ý che giấu, cung cấp thông tin sai lệch về tính chất sự cố, quy mô, các loại dữ liệu cá nhân và số lượng chủ thể dữ liệu bị ảnh hưởng.

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với hành vi không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp sau đây:

a) Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;

b) Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận;

c) Không bảo đảm quyền hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân.

3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân, bên thứ ba có hành vi thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm hơn 72 giờ kể từ khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân gây tổn hại hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân.

4. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thực hiện các biện pháp ngăn chặn hành vi vi phạm, không khắc phục hậu quả xảy ra;

b) Không phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong việc xử lý hành vi vi phạm.

5. Biện pháp khắc phục hậu quả:

a) Buộc thực hiện đầy đủ nghĩa vụ thông báo vi phạm theo đúng nội dung, hình thức và thời hạn quy định, cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1, khoản 2, khoản 3 Điều này;

b) Buộc thực hiện các biện pháp ngăn chặn và khắc phục hậu quả do hành vi vi phạm gây ra theo yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân đối với hành vi vi phạm tại điểm a khoản 4 Điều này.

Điều 55. Vi phạm quy định về đánh giá tác động xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với các hành vi sau:

a) Bắt đầu các hoạt động xử lý dữ liệu cá nhân nhưng không lập, không duy trì Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân tại trụ sở doanh nghiệp theo quy định tại Điều 21 Luật Bảo vệ dữ liệu cá nhân;

b) Không gửi 01 bản chính Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (theo mẫu quy định tại Phụ lục Nghị định 356/2025/NĐ-CP) cho Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) trong thời gian 60 ngày kể từ ngày đầu tiên tiến hành xử lý dữ liệu cá nhân;

c) Cố ý không hoàn thiện hồ sơ đánh giá tác động theo yêu cầu của cơ quan chuyên trách trong trường hợp hồ sơ chưa đầy đủ, đúng quy định;

d) Không cập nhật định kỳ 06 tháng đối với hồ sơ đánh giá tác động xử lý dữ liệu cá nhân khi có sự thay đổi theo quy định pháp luật;

đ) Không cập nhật hồ sơ trong thời hạn 10 ngày khi thuộc một trong các trường hợp phải cập nhật theo quy định của pháp luật.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi cố tình làm giả số liệu, cung cấp sai lệch thông tin trong Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân, hoặc từ chối chỉnh sửa, hoàn thiện hồ sơ khi có văn bản yêu cầu khắc phục từ Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an).

3. Biện pháp khắc phục hậu quả:

a) Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân theo đúng quy định, cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân cho đến khi hoàn thành đầy đủ nghĩa vụ nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm tại điểm a khoản 1 Điều này.

Điều 56. Vi phạm quy định về chuyển dữ liệu cá nhân xuyên biên giới

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không lập hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trước hoặc trong thời gian tiến hành chuyển dữ liệu;

b) Không nộp 01 bản chính hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong thời hạn 60 ngày kể từ ngày đầu tiên tiến hành chuyển dữ liệu;

c) Không hoàn thiện hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới trong thời hạn 30 ngày kể từ khi nhận được yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;

d) Không cập nhật định kỳ hoặc không cập nhật hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới khi có thay đổi theo quy định pháp luật;

đ) Không duy trì hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới ở trạng thái sẵn sàng phục vụ hoạt động kiểm tra của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;

e) Không thông báo thông tin và chi tiết liên lạc của tổ chức, cá nhân phụ trách bảo vệ dữ liệu cá nhân phía bên nhận dữ liệu sau khi hoàn tất việc chuyển dữ liệu cá nhân xuyên biên giới;

g) Không có cơ chế kiểm soát hoặc không yêu cầu bên nhận dữ liệu xuyên biên giới tuân thủ quy trình khi chuyển tiếp dữ liệu cá nhân cho bên thứ ba khác, dẫn đến việc dữ liệu cá nhân của công dân Việt Nam được xử lý ngoài phạm vi đã khai báo trong hồ sơ đánh giá tác động.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Không xác lập hợp đồng hoặc văn bản chuyển giao ràng buộc trách nhiệm bảo vệ dữ liệu cá nhân giữa bên chuyển và bên nhận dữ liệu xuyên biên giới, không xác định rõ trách nhiệm thực hiện quyền của chủ thể dữ liệu cá nhân sau khi dữ liệu được chuyển;

b) Không bảo đảm sự đồng ý của chủ thể dữ liệu cá nhân đối với mục đích chuyển dữ liệu xuyên biên giới hoặc không thông báo cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được chuyển ra nước ngoài, tổ chức nhận dữ liệu và mục đích xử lý;

c) Không áp dụng biện pháp bảo mật phù hợp trong quá trình chuyển dữ liệu cá nhân xuyên biên giới hoặc không có phương án bảo đảm an toàn dữ liệu cá nhân sau khi chuyển;

d) Không phối hợp hoặc cản trở hoạt động kiểm tra hoạt động chuyển dữ liệu xuyên biên giới của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;

đ) Tiếp tục chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển dữ liệu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân;

e) Không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và không yêu cầu bên nhận dữ liệu xuyên biên giới dừng xử lý, ngăn chặn thiệt hại khi phát hiện bên nhận xảy ra vi phạm quy định bảo vệ dữ liệu cá nhân hoặc sự cố lộ, mất dữ liệu cá nhân.

3. Phạt tiền theo tỷ lệ phần trăm tổng doanh thu năm tài chính liền trước tại thị trường Việt Nam đối với tổ chức thực hiện chuyển dữ liệu cá nhân xuyên biên giới mà không lập hồ sơ đánh giá tác động, che giấu hoặc khai báo sai về dòng dữ liệu dẫn đến lộ, mất dữ liệu cá nhân, hoặc tiếp tục chuyển dữ liệu sau khi có quyết định yêu cầu ngừng của cơ quan chuyên trách bảo vệ dữ liệu cá nhân, cụ thể như sau:

a) Phạt tiền từ 1 % đến 2% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;

b) Phạt tiền từ 2% đến 3% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;

c) Phạt tiền từ 3% đến 5% doanh thu đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

4. Trường hợp tổ chức vi phạm quy định tại khoản 3 Điều này không có doanh thu phát sinh tại thị trường Việt Nam trong năm tài chính liền trước hoặc mức phạt tính theo tỷ lệ phần trăm doanh thu tại từng điểm thấp hơn 3.000.000.000 đồng thì áp dụng mức phạt tiền như sau:

a) Phạt tiền từ 200.000.000 đồng đến 500.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 10.000 đến dưới 100.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;

b) Phạt tiền từ 500.000.000 đồng đến 1.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 100.000 đến dưới 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam;

c) Phạt tiền từ 1.000.000.000 đồng đến 3.000.000.000 đồng đối với hành vi dẫn đến lộ, mất dữ liệu cá nhân của từ 1.000.000 chủ thể dữ liệu cá nhân là công dân Việt Nam trở lên, hoặc hành vi chuyển dữ liệu cá nhân xuyên biên giới sau khi có quyết định yêu cầu ngừng chuyển của cơ quan chuyên trách bảo vệ dữ liệu cá nhân gây tổn hại đến quốc phòng, an ninh quốc gia.

5. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ có thời hạn hoạt động chuyển dữ liệu cá nhân xuyên biên giới từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

6. Biện pháp khắc phục hậu quả:

a) Buộc lập, hoàn thiện và nộp hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới đúng quy định đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc ngừng việc chuyển dữ liệu cá nhân xuyên biên giới cho đến khi hoàn thành đầy đủ nghĩa vụ hồ sơ và được cơ quan chuyên trách bảo vệ dữ liệu cá nhân xác nhận đối với hành vi vi phạm quy định tại điểm a, b khoản 1 và điểm a, b khoản 2 Điều này;

c) Buộc yêu cầu bên nhận dữ liệu xuyên biên giới hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã chuyển trái quy định; cung cấp bằng chứng bên nhận đã thực hiện việc hủy, xóa cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Điều 57. Vi phạm quy định về chỉ định nhân sự, bộ phận bảo vệ dữ liệu cá nhân

1. Phạt cảnh cáo hoặc phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với cơ quan, tổ chức có một trong các hành vi sau:

a) Không ký thỏa thuận trách nhiệm bảo mật với nhân sự bảo vệ dữ liệu cá nhân;

b) Không tổ chức đào tạo, bồi dưỡng kiến thức và kỹ năng về bảo vệ dữ liệu cá nhân cho nhân sự bảo vệ dữ liệu cá nhân;

c) Văn bản chính thức chỉ định nhân sự bảo vệ dữ liệu cá nhân, quyết định thành lập bộ phận bảo vệ dữ liệu cá nhân không nêu rõ chức năng, nhiệm vụ, quyền hạn và các yêu cầu về công tác bảo vệ dữ liệu cá nhân theo quy định pháp luật.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với cơ quan, tổ chức có một trong các hành vi sau:

a) Chỉ định nhân sự bảo vệ dữ liệu cá nhân không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 02 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, công nghệ thông tin, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ, quản lý nhân sự;

b) Chỉ định nhân sự bảo vệ dữ liệu cá nhân chưa được đào tạo, bồi dưỡng kiến thức pháp luật và kỹ năng chuyên môn về bảo vệ dữ liệu cá nhân;

c) Không ban hành văn bản chính thức chỉ định nhân sự bảo vệ dữ liệu cá nhân hoặc không ban hành quyết định thành lập bộ phận bảo vệ dữ liệu cá nhân.

3. Biện pháp khắc phục hậu quả:

a) Buộc thay thế bằng nhân sự đáp ứng đủ điều kiện theo quy định pháp luật và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này;

b) Buộc ban hành văn bản chỉ định, xây dựng đầy đủ chức năng nhiệm vụ theo quy định và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1 Điều này.

Điều 58. Vi phạm quy định về cung cấp dịch vụ bảo vệ dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với cá nhân cung cấp dịch vụ bảo vệ dữ liệu cá nhân có một trong các hành vi sau:

a) Không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc chưa được đào tạo, bồi dưỡng chuyên sâu về bảo vệ dữ liệu cá nhân nhưng vẫn thực hiện cung cấp dịch vụ;

b) Thực hiện dịch vụ vượt quá phạm vi và nhiệm vụ đã thỏa thuận trong hợp đồng;

c) Không thực hiện xóa, hủy dữ liệu cá nhân đã xử lý trong quá trình cung cấp dịch vụ sau khi hoàn thành hợp đồng.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức cung cấp dịch vụ bảo vệ dữ liệu cá nhân có một trong các hành vi sau:

a) Không xây dựng hoặc cung cấp hồ sơ năng lực không đầy đủ các nội dung theo quy định;

b) Không có tối thiểu 03 nhân sự đáp ứng đủ điều kiện năng lực theo quy định;

c) Không giao kết hợp đồng sử dụng dịch vụ và thỏa thuận xử lý dữ liệu cá nhân với cơ quan, tổ chức sử dụng dịch vụ trước khi thực hiện cung cấp dịch vụ;

d) Không công khai thông tin về tổ chức cung cấp dịch vụ cho chủ thể dữ liệu cá nhân và các bên liên quan được biết.

3. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với hành vi lợi dụng việc cung cấp dịch vụ để truy cập, thu thập, sử dụng, tiết lộ hoặc xử lý dữ liệu cá nhân ngoài phạm vi hợp đồng hoặc thực hiện các hành vi vi phạm pháp luật khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 3 Điều này;

b) Đình chỉ có thời hạn hoạt động cung cấp dịch vụ bảo vệ dữ liệu cá nhân từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm a, b khoản 2 và khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái phép trong quá trình cung cấp dịch vụ đối với hành vi vi phạm quy định tại điểm c khoản 1 và khoản 3 Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này;

c) Buộc thông báo cho cơ quan, tổ chức đang sử dụng dịch vụ về việc tổ chức, cá nhân cung cấp dịch vụ không còn đáp ứng điều kiện theo quy định, để cơ quan, tổ chức đó kịp thời thực hiện biện pháp thay thế bảo đảm hoạt động bảo vệ dữ liệu cá nhân liên tục đối với hành vi vi phạm quy định tại điểm a, b khoản 2 Điều này.

Điều 59. Vi phạm quy định về kinh doanh dịch vụ xử lý dữ liệu cá nhân

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân đã được cấp Giấy chứng nhận có một trong các hành vi sau:

a) Không xây dựng khung quản trị rủi ro về bảo vệ dữ liệu cá nhân phù hợp với dịch vụ cung cấp;

b) Không xây dựng quy định về trách nhiệm và quyền hạn của tổ chức trong xử lý dữ liệu cá nhân;

c) Không áp dụng tiêu chuẩn, quy chuẩn liên quan đến an ninh dữ liệu, bảo vệ dữ liệu cá nhân, an ninh mạng;

d) Không thực hiện xác thực danh tính tổ chức theo quy định pháp luật về định danh và xác thực điện tử.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân đã được cấp Giấy chứng nhận có một trong các hành vi sau:

a) Trường hợp là bên xử lý dữ liệu cá nhân, tổ chức không yêu cầu bên kiểm soát dữ liệu cá nhân xin sự đồng ý của chủ thể dữ liệu cá nhân trước khi cung cấp dịch vụ, không bảo đảm chủ thể dữ liệu cá nhân được biết về loại dữ liệu được xử lý, mục đích xử lý và tổ chức cung cấp dịch vụ;

b) Không bảo đảm xử lý dữ liệu cá nhân đúng mục đích, không giới hạn việc thu thập, chuyển giao, lưu trữ phù hợp theo quy định, hoặc không có biện pháp ngăn chặn truy cập, thu thập, sử dụng, tiết lộ trái phép dữ liệu cá nhân trong hoạt động cung cấp dịch vụ;

c) Không thực hiện đánh giá hiện trạng tuân thủ và mức độ tín nhiệm về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

3. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với tổ chức kinh doanh dịch vụ xử lý dữ liệu cá nhân có một trong các hành vi sau:

a) Thực hiện hoạt động kinh doanh dịch vụ xử lý dữ liệu cá nhân khi chưa được cấp Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân;

b) Bố trí nhân sự bảo vệ dữ liệu cá nhân không đáp ứng điều kiện về trình độ học vấn từ cao đẳng trở lên hoặc không có ít nhất 03 năm kinh nghiệm công tác liên quan đến một trong các lĩnh vực pháp chế, xử lý dữ liệu cá nhân, an ninh mạng, an ninh dữ liệu, quản trị rủi ro, kiểm soát tuân thủ hoặc chưa được đào tạo, bồi dưỡng chuyên sâu về bảo vệ dữ liệu cá nhân;

c) Không có tối thiểu 03 nhân sự đáp ứng điều kiện năng lực theo quy định.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với hành vi tiếp tục kinh doanh dịch vụ xử lý dữ liệu cá nhân sau khi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ xử lý dữ liệu cá nhân đã bị thu hồi.

5. Biện pháp khắc phục hậu quả:

a) Buộc xây dựng, ban hành và thực hiện khung quản trị rủi ro, quy định trách nhiệm, tiêu chuẩn kỹ thuật, cơ chế xác thực danh tính theo quy định; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 1 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân thu thập, xử lý trái phép trong quá trình cung cấp dịch vụ đối với hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

c) Buộc nộp lại khoản thu có được từ hành vi vi phạm tại khoản 3 Điều này.

Điều 60. Vi phạm quy định về bảo vệ dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Không thực hiện quy trình xác minh tuổi của trẻ em trước khi xử lý dữ liệu cá nhân của trẻ em;

b) Xử lý dữ liệu cá nhân của trẻ em dưới 07 tuổi, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi mà không có sự đồng ý của người đại diện theo pháp luật, trừ trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân;

c) Xử lý dữ liệu cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật, trừ trường hợp quy định tại khoản 1 Điều 19 Luật Bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Xử lý dữ liệu cá nhân của trẻ em nhằm công bố, tiết lộ thông tin về đời sống riêng tư, bí mật cá nhân của trẻ em từ đủ 07 tuổi trở lên mà không có đồng thời sự đồng ý của trẻ em và người đại diện theo pháp luật;

b) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi khi người đại diện theo pháp luật rút lại sự đồng ý, trừ trường hợp pháp luật có quy định khác;

c) Không ngừng xử lý dữ liệu cá nhân của trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi khi cơ quan có thẩm quyền có đủ căn cứ chứng minh việc xử lý dữ liệu có thể xâm phạm đến quyền, lợi ích hợp pháp của đối tượng được bảo vệ và yêu cầu ngừng xử lý, trừ trường hợp pháp luật có quy định khác.

3. Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi không thực hiện xóa, hủy tới mức không thể khôi phục dữ liệu cá nhân của trẻ em trong các trường hợp: xử lý dữ liệu không đúng mục đích hoặc đã hoàn thành mục đích xử lý; cha mẹ hoặc người giám hộ rút lại sự đồng ý; theo yêu cầu của cơ quan có thẩm quyền.

4. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc ngừng hoạt động xử lý dữ liệu cá nhân và thông báo bằng văn bản cho người đại diện theo pháp luật về việc dừng xử lý đối với hành vi vi phạm quy định tại điểm b, c khoản 2 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã xử lý trái quy định đối với hành vi vi phạm quy định tại khoản 1, khoản 2 và khoản 3 Điều này;

c) Buộc gỡ bỏ thông tin về đời sống riêng tư, bí mật cá nhân đã công bố trái quy định và thông báo cho người đại diện theo pháp luật về việc gỡ bỏ đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

Điều 61. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong tuyển dụng, quản lý, sử dụng lao động

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Yêu cầu người dự tuyển cung cấp dữ liệu cá nhân không phục vụ cho mục đích tuyển dụng hoặc không phù hợp với quy định của pháp luật;

b) Sử dụng dữ liệu cá nhân của người dự tuyển vào mục đích khác ngoài mục đích tuyển dụng khi không có thỏa thuận với người dự tuyển;

c) Xử lý dữ liệu cá nhân của người dự tuyển khi chưa có sự đồng ý hoặc xử lý vượt quá phạm vi, mục đích đã được người dự tuyển đồng ý;

d) Không thực hiện xóa, hủy dữ liệu cá nhân của người dự tuyển trong trường hợp không tuyển dụng, trừ trường hợp có thỏa thuận khác với người dự tuyển.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Lưu trữ dữ liệu cá nhân của người lao động vượt quá thời hạn quy định của pháp luật hoặc vượt quá thời hạn đã thỏa thuận;

b) Không thực hiện xóa, hủy dữ liệu cá nhân của người lao động khi chấm dứt hợp đồng lao động, trừ trường hợp theo thỏa thuận hoặc pháp luật có quy định khác;

c) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động mà không bảo đảm người lao động biết rõ về biện pháp đó, bao gồm hành vi lắp đặt phần mềm theo dõi thiết bị, camera giám sát hoặc thiết bị thu thập dữ liệu khác tại môi trường làm việc mà không thông báo cho người lao động;

d) Áp dụng biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân của người lao động không phù hợp với quy định của pháp luật hoặc không bảo đảm quyền, lợi ích hợp pháp của người lao động.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi xử lý, sử dụng dữ liệu cá nhân của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái quy định của pháp luật.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm quy định tại điểm c, d khoản 1, điểm c, d khoản 2 và khoản 3 Điều này;

b) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Điều 62. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với thông tin sức khỏe và trong hoạt động kinh doanh bảo hiểm

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Trong quá trình kinh doanh bảo hiểm, tái bảo hiểm, nhượng tái bảo hiểm, tiến hành chuyển giao dữ liệu cá nhân của khách hàng cho đối tác nhưng không quy định rõ ràng, minh bạch trong hợp đồng đã giao kết với khách hàng;

b) Trong quá trình phát triển, vận hành các ứng dụng y tế, nền tảng chăm sóc sức khỏe trực tuyến, tiến hành thu thập dữ liệu cá nhân nhạy cảm nhưng không thiết lập quy định phân quyền giới hạn truy cập và các biện pháp bảo mật theo quy định.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi cung cấp, chia sẻ dữ liệu cá nhân của bệnh nhân cho bên thứ ba là tổ chức cung cấp dịch vụ chăm sóc sức khỏe khác hoặc doanh nghiệp kinh doanh bảo hiểm sức khỏe, bảo hiểm nhân thọ khi chưa nhận được yêu cầu bằng văn bản của chủ thể dữ liệu cá nhân.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động xử lý dữ liệu cá nhân liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1 Điều này; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập và áp dụng biện pháp bảo mật, phân quyền truy cập theo đúng quy định kỹ thuật đối với hệ thống thu thập dữ liệu sức khỏe, sinh trắc học; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này;

b) Buộc yêu cầu bên thứ ba hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã tiếp nhận trái phép và cung cấp bằng chứng đã thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 Điều này;

c) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại khoản 2 Điều này.

Điều 63. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Thu thập và sử dụng dữ liệu cá nhân cơ bản để phân phối quảng cáo mà không có sự đồng ý của chủ thể dữ liệu cá nhân;

b) Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không cung cấp cơ chế, phương thức kỹ thuật minh bạch, dễ tiếp cận để chủ thể dữ liệu cá nhân thực hiện quyền từ chối nhận quảng cáo hoặc rút lại sự đồng ý chia sẻ dữ liệu cá nhân cho mục đích quảng cáo;

c) Thiết lập phương thức mặc định đồng ý cung cấp dữ liệu cá nhân của chủ thể dữ liệu cá nhân cho mạng lưới quảng cáo liên kết;

d) Cố ý chia sẻ hồ sơ người dùng cho bên thứ ba với mục đích kinh doanh dịch vụ quảng cáo khi người dùng đã thực hiện thao tác từ chối.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

a) Thu thập và sử dụng dữ liệu cá nhân nhạy cảm để phân phối quảng cáo mà không có sự đồng ý của chủ thể dữ liệu cá nhân;

b) Kinh doanh dịch vụ quảng cáo dựa trên dữ liệu cá nhân của trẻ em dưới 16 tuổi khi chưa được sự đồng ý của người đại diện hợp pháp;

c) Thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo khi không có sự đồng ý của chủ thể dữ liệu cá nhân;

d) Không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo;

đ) Cố ý lưu trữ, không xóa hoặc không hủy dữ liệu cá nhân khi dữ liệu đó không còn cần thiết cho mục đích xử lý theo quy định của pháp luật.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ quảng cáo liên quan trực tiếp đến hành vi vi phạm từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã thu thập, sử dụng trái phép để phân phối quảng cáo đối với hành vi vi phạm tại khoản 1 và khoản 2 Điều này;

b) Buộc nộp lại khoản thu có được do thực hiện hành vi vi phạm quy định tại khoản 1 và khoản 2 Điều này;

c) Buộc thiết lập và cung cấp cho người dùng cơ chế từ chối nhận quảng cáo, rút lại sự đồng ý chia sẻ dữ liệu theo đúng quy định và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 64. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hoạt động tài chính, ngân hàng, hoạt động thông tin tín dụng

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với hành vi sau:

a) Không thông báo hoặc thông báo chậm quá thời hạn 72 giờ cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu cá nhân kể từ thời điểm phát hiện sự cố lộ, mất dữ liệu cá nhân nhạy cảm;

b) Nội dung thông báo sự cố vi phạm bảo vệ dữ liệu cá nhân không bảo đảm đầy đủ các nội dung tối thiểu theo quy định của pháp luật;

c) Không tiến hành ghi lại nhật ký toàn bộ hoạt động xử lý dữ liệu cá nhân hoặc không thực hiện đánh giá tuân thủ định kỳ hàng năm theo quy định;

d) Không thiết lập giải pháp khôi phục dữ liệu cá nhân khi xảy ra sự cố mất dữ liệu cá nhân;

đ) Không áp dụng tiêu chuẩn, quy chuẩn kỹ thuật bảo vệ dữ liệu cá nhân; quy chuẩn kỹ thuật khử nhận dạng dữ liệu cá nhân, ẩn danh dữ liệu cá nhân theo quy định;

e) Nội dung xin sự đồng ý của chủ thể dữ liệu cá nhân không bảo đảm nêu rõ các thông tin theo quy định tại khoản 2, Điều 9 Luật Bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau:

a) Sử dụng dữ liệu cá nhân của chủ thể dữ liệu cá nhân để tiến hành các hoạt động chấm điểm, xếp hạng tín dụng, đánh giá mức độ tín nhiệm về tín dụng khi chưa có sự đồng ý của chủ thể dữ liệu cá nhân trừ trường hợp xử lý dữ liệu cá nhân không cần sự đồng ý của chủ thể dữ liệu cá nhân;

b) Tổ chức thực hiện hoạt động thông tin tín dụng nhưng không triển khai các biện pháp quản lý, kỹ thuật để phòng, chống truy cập, sử dụng, tiết lộ, chỉnh sửa trái phép dữ liệu cá nhân của khách hàng;

c) Thu thập dữ liệu cá nhân không đúng phạm vi cần thiết phục vụ hoạt động thông tin tín dụng hoặc thu thập từ nguồn không được pháp luật cho phép.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp các dịch vụ thông tin tín dụng, chấm điểm, xếp hạng tín dụng, đánh giá mức độ tín nhiệm về tín dụng từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục kết quả chấm điểm, xếp hạng tín dụng được tạo ra trái phép đối với hành vi vi phạm tại điểm a khoản 2 Điều này;

b) Buộc yêu cầu đối tác, bên liên kết hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân nhạy cảm đã được chia sẻ, chuyển giao trái phép đối với hành vi vi phạm tại điểm b khoản 2 Điều này;

Điều 65. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với các nền tảng mạng xã hội, dịch vụ truyền thông trực tuyến

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với tổ chức cung cấp dịch vụ mạng xã hội, dịch vụ truyền thông trực tuyến, nền tảng nội dung số có một trong các hành vi sau:

a) Không thông báo rõ ràng nội dung dữ liệu cá nhân thu thập khi chủ thể dữ liệu cá nhân cài đặt và sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến;

b) Không cung cấp lựa chọn cho phép người dùng từ chối thu thập và chia sẻ tệp dữ liệu (gọi là cookies);

c) Không cung cấp lựa chọn “không theo dõi” hoặc chỉ được theo dõi hoạt động sử dụng mạng xã hội, dịch vụ truyền thông trực tuyến khi có sự đồng ý của người sử dụng;

d) Không công khai chính sách bảo mật một cách minh bạch hoặc không giải thích rõ ràng, dễ hiểu về cách thức thu thập, sử dụng, lưu trữ và chia sẻ dữ liệu cá nhân;

đ) Không cung cấp cho người dùng cơ chế để truy cập, chỉnh sửa, xóa dữ liệu cá nhân; tự thiết lập các quyền riêng tư đối với tài khoản cá nhân của mình và báo cáo vi phạm về bảo mật và quyền riêng tư;

e) Không thông báo rõ ràng về các nội dung dữ liệu cá nhân sẽ bị thu thập khi chủ thể dữ liệu tiến hành cài đặt và sử dụng ứng dụng.

2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong các hành vi sau:

a) Bắt buộc người dùng cung cấp hình ảnh, video chứa nội dung đầy đủ hoặc một phần giấy tờ tùy thân làm điều kiện bắt buộc để xác thực tài khoản sử dụng thông thường trong các trường hợp pháp luật chuyên ngành không có yêu cầu định danh;

b) Các ứng dụng OTT, mạng xã hội sử dụng các tính năng công nghệ không công khai để nghe trộm, ghi âm cuộc gọi, đọc tin nhắn văn bản hoặc tự động trích xuất danh bạ, tệp tin phương tiện thiết bị khi không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc trường hợp pháp luật không có quy định khác;

c) Thu thập trái phép dữ liệu cá nhân vượt ra ngoài phạm vi đã thỏa thuận với người dùng khi cài đặt dịch vụ.

3. Hình thức xử phạt bổ sung: Đình chỉ hoạt động cung cấp dịch vụ của ứng dụng, nền tảng số tại Việt Nam từ 01 tháng đến 03 tháng đối với hành vi vi phạm quy định tại khoản 1; từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập và cung cấp cho người dùng tính năng từ chối theo dõi và từ chối chia sẻ cookies; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b, c khoản 1 Điều này;

b) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân, giấy tờ tùy thân, danh bạ, tệp tin đã bị thu thập, trích xuất trái phép đối với hành vi vi phạm tại khoản 2 Điều này.

Điều 66. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong xử lý dữ liệu lớn

1. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với một trong các hành vi sau đây:

a) Xử lý dữ liệu lớn có chứa dữ liệu cá nhân nhưng không xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp, đúng quy định của pháp luật;

b) Không có thỏa thuận bằng văn bản với bên thứ ba, đối tác và nhà cung cấp dịch vụ nhằm bảo đảm tuân thủ đầy đủ các quy định về bảo vệ dữ liệu cá nhân;

c) Không tổ chức đào tạo, phổ biến và nâng cao nhận thức định kỳ về bảo mật dữ liệu cá nhân cho nhân sự, đặc biệt là nhân sự trực tiếp xử lý dữ liệu.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Không có cơ chế thông báo hoặc không giải thích phù hợp cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được đưa vào hệ thống phân tích dữ liệu lớn;

b) Không sử dụng phương thức xác thực mạnh (tối thiểu xác thực đa yếu tố) hoặc không phân quyền truy cập để bảo đảm chỉ những người có quyền mới được truy cập dữ liệu;

c) Không thực hiện giám sát liên tục hoặc không sử dụng các công cụ giám sát để theo dõi hoạt động truy cập và phát hiện các hành vi bất thường;

d) Không thực hiện kiểm tra, đánh giá định kỳ về an ninh mạng và bảo mật dữ liệu để phát hiện, ngăn chặn và khắc phục lỗ hổng bảo mật;

đ) Không thực hiện mã hóa, ẩn danh dữ liệu cá nhân trong quá trình chuyển giao, cung cấp dữ liệu, trừ trường hợp pháp luật chuyên ngành có quy định khác.

3. Phạt tiền từ 50.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau đây:

a) Vận hành hệ thống dữ liệu lớn đưa ra các quyết định tự động gây ảnh hưởng đến an ninh trật tự, quyền, lợi ích hợp pháp của tổ chức, cá nhân nhưng không thiết lập cơ chế giám sát hoặc không cho phép yêu cầu sự đánh giá lại từ con người;

b) Sử dụng, phát triển các hệ thống dữ liệu lớn có xử lý dữ liệu cá nhân nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng phân tích dữ liệu lớn có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai chính sách lưu trữ, xóa, hủy dữ liệu cá nhân và biện pháp bảo vệ dữ liệu cá nhân trong tổ chức theo đúng quy định pháp luật; buộc bổ sung, điều chỉnh thỏa thuận với bên thứ ba, đối tác và nhà cung cấp dịch vụ bảo đảm tuân thủ quy định về bảo vệ dữ liệu cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm xác thực đa yếu tố, phân quyền truy cập, mã hóa và ẩn danh dữ liệu cá nhân trong quá trình chuyển giao, cung cấp dữ liệu; buộc cung cấp đầy đủ thông tin minh bạch cho chủ thể dữ liệu cá nhân về việc dữ liệu của họ được đưa vào hệ thống phân tích dữ liệu lớn; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép; buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân bao gồm quyền yêu cầu đánh giá lại quyết định tự động;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Điều 67. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với hành vi xử lý dữ liệu cá nhân trong hệ thống trí tuệ nhân tạo, vũ trụ ảo nhưng không thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thông báo hoặc không giải thích nguyên tắc hoạt động của thuật toán tự động và ảnh hưởng của nó đối với quyền, lợi ích hợp pháp của chủ thể dữ liệu cá nhân;

b) Không cung cấp công cụ, cơ chế để chủ thể dữ liệu cá nhân có quyền từ chối tham gia quá trình xử lý dữ liệu tự động;

c) Không bảo đảm cho chủ thể dữ liệu cá nhân quyền chỉnh sửa, ẩn danh hoặc xóa hồ sơ nhận dạng;

d) Không phân loại hệ thống trí tuệ nhân tạo theo các mức độ rủi ro để thiết lập các biện pháp bảo vệ dữ liệu cá nhân phù hợp;

đ) Không áp dụng các biện pháp bảo vệ dữ liệu cá nhân khi sử dụng kết quả suy luận của trí tuệ nhân tạo để xác định hoặc giúp xác định một con người cụ thể;

e) Phát triển, triển khai hệ thống trí tuệ nhân tạo, vũ trụ ảo nhưng không xây dựng hệ thống đáp ứng tiêu chuẩn an ninh mạng và bảo vệ dữ liệu toàn diện, hoặc không thiết lập hệ thống giám sát và cảnh báo sớm nguy cơ an ninh mạng;

g) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không phân quyền truy cập để xử lý dữ liệu cá nhân trong hệ thống.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với một trong các hành vi sau đây:

a) Không thiết lập cơ chế kiểm soát, ngăn chặn việc lợi dụng trí tuệ nhân tạo, vũ trụ ảo vào các hoạt động xâm phạm an ninh quốc gia, trật tự an toàn xã hội;

b) Phát triển, vận hành hệ thống trí tuệ nhân tạo, vũ trụ ảo đưa ra các quyết định tự động gây ảnh hưởng đến an ninh trật tự, quyền, lợi ích hợp pháp của tổ chức, cá nhân nhưng không thiết lập cơ chế giám sát hoặc không cho phép yêu cầu sự đánh giá lại từ con người;

c) Sử dụng, phát triển hệ thống trí tuệ nhân tạo, vũ trụ ảo nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính bao gồm được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng trí tuệ nhân tạo, vũ trụ ảo có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và thực hiện đầy đủ cơ chế thông báo, giải thích nguyên tắc hoạt động của thuật toán cho chủ thể dữ liệu cá nhân; buộc cung cấp công cụ, cơ chế để chủ thể dữ liệu cá nhân thực hiện quyền từ chối xử lý tự động, quyền chỉnh sửa, ẩn danh và xóa hồ sơ nhận dạng; buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm phân loại rủi ro, xác thực định danh, phân quyền truy cập và bảo vệ kết quả suy luận nhận dạng cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

b) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép; buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân bao gồm quyền yêu cầu đánh giá lại quyết định tự động;

c) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Điều 68. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong công nghệ chuỗi khối

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với hành vi xử lý dữ liệu cá nhân trong công nghệ chuỗi khối nhưng không thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Không áp dụng các thuật toán mã hóa, thuật toán băm, thuật toán ký số bảo đảm an toàn khi xử lý dữ liệu cá nhân trên chuỗi khối;

b) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không phân quyền truy cập để xử lý dữ liệu cá nhân.

3. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với hành vi sử dụng công nghệ chuỗi khối để lưu trữ trực tiếp dữ liệu cá nhân (bản rõ) trên mạng lưới chuỗi khối mà không thực hiện các quy trình khử nhận dạng hoặc không sử dụng thuật toán băm dữ liệu.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng chuỗi khối có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm áp dụng thuật toán mã hóa, băm, ký số bảo đảm an toàn; thiết lập phương thức xác thực định danh và phân quyền truy cập theo đúng quy định; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

b) Buộc dừng hoạt động lưu trữ dữ liệu cá nhân dạng bản rõ trên mạng lưới chuỗi khối cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận;

c) Buộc áp dụng biện pháp kỹ thuật để loại bỏ dữ liệu cá nhân đã lưu trữ nguyên bản trái phép trên chuỗi khối đến mức không thể nhận dạng cá nhân;

d) Buộc nộp lại khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Điều 69. Vi phạm quy định về bảo vệ dữ liệu cá nhân trong điện toán đám mây

1. Phạt tiền từ 20.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp dịch vụ điện toán đám mây nhưng không cung cấp thông tin về bộ phận, nhân sự bảo vệ dữ liệu cá nhân cho đối tác và các bên liên quan;

b) Tổ chức sử dụng dịch vụ điện toán đám mây không xác định rõ luồng xử lý dữ liệu cá nhân, vai trò và trách nhiệm của các bên trong hợp đồng với nhà cung cấp dịch vụ hoặc không có yêu cầu về biện pháp bảo mật kỹ thuật, tổ chức trong hợp đồng;

c) Nhà cung cấp dịch vụ điện toán đám mây không đề nghị, ràng buộc nhà thầu phụ thực hiện các quy định và nghĩa vụ bảo vệ dữ liệu cá nhân;

d) Không xây dựng chính sách lưu trữ, xóa, hủy dữ liệu cá nhân phù hợp;

đ) Tổ chức cung cấp dịch vụ điện toán đám mây không thực hiện đánh giá tuân thủ các quy định về bảo vệ dữ liệu cá nhân định kỳ 01 năm/lần.

2. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp hoặc sử dụng dịch vụ điện toán đám mây nhưng không áp dụng các biện pháp kỹ thuật và tổ chức để ngăn chặn dữ liệu cá nhân bị truy cập trái phép;

b) Cung cấp hoặc sử dụng dịch vụ điện toán đám mây nhưng không thực hiện mã hóa dữ liệu cá nhân của khách hàng ở trạng thái nghỉ (lưu trữ) và trong quá trình truyền tải;

c) Không áp dụng phương thức xác thực, định danh phù hợp hoặc không phân quyền truy cập nghiêm ngặt để xử lý dữ liệu cá nhân trên điện toán đám mây;

d) Tổ chức sử dụng dịch vụ điện toán đám mây không thông báo cho các bên liên quan khi có thay đổi hệ thống, hạ tầng có thể ảnh hưởng đến an toàn dữ liệu cá nhân.

3. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với hành vi sử dụng, phát triển hệ thống điện toán đám mây nhằm mục đích gây tổn hại đến an ninh trật tự hoặc xâm phạm đến danh dự, nhân phẩm, tài sản của cá nhân khác.

4. Hình thức xử phạt bổ sung:

a) Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng trực tiếp để thực hiện hành vi vi phạm quy định tại khoản 2 và khoản 3 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng điện toán đám mây có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả:

a) Buộc thiết lập, ban hành và công khai chính sách lưu trữ, xóa, hủy dữ liệu cá nhân theo đúng quy định pháp luật; buộc bổ sung, điều chỉnh hợp đồng với nhà cung cấp dịch vụ điện toán đám mây và yêu cầu nhà thầu phụ thực hiện đầy đủ các quy định, nghĩa vụ bảo vệ dữ liệu cá nhân theo quy định pháp luật; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 1 Điều này;

b) Buộc áp dụng biện pháp bảo mật kỹ thuật và tổ chức phù hợp bao gồm mã hóa dữ liệu cá nhân ở trạng thái nghỉ và trong quá trình truyền tải, xác thực định danh, phân quyền truy cập nghiêm ngặt và các biện pháp ngăn chặn truy cập trái phép; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc dừng hoạt động xử lý dữ liệu cá nhân trái quy định cho đến khi vi phạm được khắc phục và được cơ quan có thẩm quyền xác nhận; buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý trái phép;

d) Buộc nộp khoản thu có được từ hành vi vi phạm quy định tại khoản 3 Điều này.

Điều 70. Vi phạm quy định về bảo vệ dữ liệu cá nhân đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau đây:

a) Cung cấp nền tảng, ứng dụng di động thu thập dữ liệu vị trí cá nhân nhưng không thông báo cho người sử dụng về việc sử dụng dữ liệu vị trí cá nhân;

b) Không có biện pháp kỹ thuật ngăn chặn việc thu thập dữ liệu vị trí cá nhân của các bên thứ ba không liên quan hoặc không cung cấp cho người sử dụng các tùy chọn theo dõi vị trí cá nhân;

c) Thu thập, xử lý dữ liệu sinh trắc học nhưng không thiết lập các biện pháp bảo mật vật lý đối với hệ thống, thiết bị lưu trữ và truyền tải dữ liệu sinh trắc học;

d) Không thực hiện hạn chế quyền truy cập hoặc không có hệ thống theo dõi phòng ngừa hành vi xâm phạm đối với dữ liệu vị trí cá nhân, dữ liệu sinh trắc học;

đ) Không thực hiện thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ thời điểm phát hiện ra sự cố vi phạm dữ liệu cá nhân liên quan đến dữ liệu vị trí hoặc dữ liệu sinh trắc học;

e) Thông báo cho chủ thể dữ liệu bị ảnh hưởng không bao gồm các nội dung tối thiểu theo quy định pháp luật;

g) Không ghi nhận, lưu trữ và cập nhật hồ sơ vi phạm phục vụ công tác thanh tra, kiểm tra và xử lý; không bảo đảm lưu hồ sơ vi phạm trong thời gian tối thiểu 05 năm kể từ ngày khắc phục xong sự cố;

h) Không thông báo công khai bằng phương tiện điện tử chính thức của tổ chức qua Trang thông tin điện tử, ứng dụng; không gửi thông báo cho chủ thể dữ liệu cá nhân liên quan khi điều kiện kỹ thuật cho phép trong trường hợp không thể thông báo cho tất cả chủ thể dữ liệu cá nhân bị ảnh hưởng trong thời hạn quy định vì lý do kỹ thuật hoặc khẩn cấp.

2. Phạt tiền từ 70.000.000 đồng đến 150.000.000 đồng đối với một trong các hành vi sau đây:

a) Lắp đặt, sử dụng các công nghệ theo dõi định vị qua thẻ nhận dạng tần số vô tuyến và các công nghệ khác mà không có sự đồng ý của chủ thể dữ liệu cá nhân hoặc không có yêu cầu của cơ quan có thẩm quyền theo quy định của pháp luật hoặc pháp luật không có quy định khác;

b) Khai thác, sử dụng dữ liệu sinh trắc học của chủ thể dữ liệu cá nhân vượt quá mục đích ban đầu mà chưa có được sự đồng ý.

3. Hình thức xử phạt bổ sung:

a) Tịch thu các thiết bị phát sóng, thẻ RFID, thiết bị thu thập và máy chủ lưu trữ sinh trắc học được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 2 Điều này;

b) Đình chỉ hoạt động vận hành hệ thống, nền tảng ứng dụng theo dõi vị trí có liên quan đến xử lý dữ liệu cá nhân từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu vị trí cá nhân và dữ liệu sinh trắc học đã bị thu thập, theo dõi trái phép đối với hành vi vi phạm tại khoản 2 Điều này;

b) Buộc cung cấp cho người dùng tùy chọn bật/tắt thu thập dữ liệu vị trí cá nhân; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Điều 71. Vi phạm quy định về bảo vệ dữ liệu cá nhân thu được từ hoạt động ghi âm, ghi hình tại nơi công cộng

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong các hành vi sau:

a) Lắp đặt, sử dụng thiết bị ghi âm, ghi hình tại không gian công cộng, khu vực cung cấp dịch vụ cho khách hàng mà không áp dụng các hình thức thông báo, cảnh báo bằng biển báo vật lý hoặc phương tiện điện tử ở vị trí dễ nhận biết để chủ thể dữ liệu cá nhân hiểu được mình đang bị ghi âm, ghi hình;

b) Không cung cấp thông tin liên hệ của Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân khi chủ thể dữ liệu cá nhân có yêu cầu truy xuất hình ảnh của mình, trừ trường hợp pháp luật có quy định khác.

2. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với một trong các hành vi sau:

a) Sử dụng dữ liệu cá nhân, hình ảnh, giọng nói thu được từ hệ thống camera giám sát công cộng vào các mục đích thương mại, phân tích hành vi, hoặc nhận diện khuôn mặt tự động để lập hồ sơ cá nhân mà không có sự đồng ý hợp pháp của chủ thể dữ liệu cá nhân;

b) Trích xuất, chia sẻ, công khai trái phép dữ liệu ghi âm, ghi hình, trừ trường hợp cung cấp theo yêu cầu bằng văn bản của cơ quan có thẩm quyền.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu âm thanh, hình ảnh thu thập trái quy định đối với hành vi vi phạm tại khoản 1 và khoản 2 Điều này;

b) Buộc thiết lập và công khai thông tin liên hệ của Bên kiểm soát dữ liệu cá nhân để chủ thể dữ liệu cá nhân có thể yêu cầu truy xuất hình ảnh; cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại điểm b khoản 1 Điều này.

Chương III

THẨM QUYỀN LẬP BIÊN BẢN VI PHẠM HÀNH CHÍNH VÀ XỬ PHẠT VI PHẠM HÀNH CHÍNH

Điều 72. Thẩm quyền xử phạt vi phạm hành chính của Công an nhân dân

1. Chiến sĩ Công an nhân dân đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Trưởng Công an cấp xã có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

3. Trưởng phòng nghiệp vụ thuộc Cục An ninh đối ngoại, Cục An ninh nội địa, Cục An ninh chính trị nội bộ, Cục An ninh kinh tế, Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Cục Quản lý xuất nhập cảnh, Văn phòng Cơ quan cảnh sát điều tra, Cục Cảnh sát điều tra tội phạm về trật tự xã hội, Cục Cảnh sát Quản lý hành chính về trật tự an toàn xã hội, Cục Cảnh sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu, Trung tâm dữ liệu quốc gia; Trưởng phòng Công an cấp tỉnh gồm: Trưởng phòng An ninh đối ngoại, Trưởng phòng An ninh nội địa, Trưởng phòng An ninh chính trị nội bộ, Trưởng phòng An ninh kinh tế, Trưởng phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao, Chánh Văn phòng cơ quan cảnh sát điều tra, Trưởng phòng Cảnh sát điều tra tội phạm về trật tự xã hội, Trưởng phòng Cảnh sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu, Trưởng phòng Cảnh sát Quản lý hành chính về trật tự an toàn xã hội, Trưởng phòng Cảnh sát Hình sự có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

4. Trưởng phòng Quản lý xuất nhập cảnh thuộc Công an cấp tỉnh có thẩm quyền xử phạt theo quy định tại khoản 3 Điều này và có quyền quyết định áp dụng hình thức xử phạt trục xuất.

5. Giám đốc Công an cấp tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng hình thức xử phạt trục xuất;

e) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

6. Cục trưởng Cục An ninh đối ngoại; Cục trưởng Cục An ninh nội địa; Cục trưởng Cục An ninh chính trị nội bộ; Cục trưởng Cục An ninh kinh tế; Cục trưởng Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao; Chánh Văn phòng Cơ quan cảnh sát điều tra; Cục trưởng Cục Cảnh sát điều tra tội phạm về trật tự xã hội; Cục trưởng Cục Cảnh sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu; Cục trưởng Cục Cảnh sát Quản lý hành chính về trật tự an toàn xã hội; Cục trưởng Cục Cảnh sát Hình sự; Giám đốc Trung tâm dữ liệu quốc gia có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả tại Điều 5 Nghị định này.

7. Cục trưởng Cục Quản lý xuất nhập cảnh có thẩm quyền xử phạt theo quy định tại khoản 6 Điều này và quyết định áp dụng hình thức xử phạt trục xuất.

Điều 73. Thẩm quyền xử phạt vi phạm hành chính của Chủ tịch Ủy ban nhân dân các cấp

1. Chủ tịch Ủy ban nhân dân cấp xã có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

2. Chủ tịch Ủy ban nhân dân cấp tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 74. Thẩm quyền xử phạt hành chính của Thanh tra

1. Thanh tra viên các bộ: Bộ Quốc phòng, Bộ Công an có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Trưởng đoàn thanh tra cấp quân khu, Bộ Tư lệnh Thủ đô Hà Nội, Công an tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

3. Chánh Thanh tra quốc phòng quân khu; Chánh Thanh tra quốc phòng Bộ Tư lệnh Thủ đô Hà Nội, Chánh Thanh tra Công an cấp tỉnh được giao thực hiện nhiệm vụ thanh tra, kiểm tra trong phạm vi quản lý nhà nước của bộ, cơ quan ngang bộ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

4. Chánh Thanh tra Bộ Quốc phòng, Bộ Công an, Ngân hàng Nhà nước Việt Nam; Trưởng đoàn thanh tra do Chánh Thanh tra Bộ Quốc phòng, Bộ Công an thành lập có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân được quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng các biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 75. Thẩm quyền xử phạt hành chính của Bộ đội Biên phòng

1. Chiến sĩ Bộ đội Biên phòng đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 10.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 5% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Trạm trưởng, Đội trưởng Bộ đội Biên phòng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại các điểm a và e khoản 1 Điều 28 của Luật Xử lý vi phạm hành chính.

3. Đội trưởng Đội đặc nhiệm phòng chống ma túy và tội phạm thuộc Đoàn đặc nhiệm phòng chống ma túy và tội phạm có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 30.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 15% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại các điểm a và e khoản 1 Điều 28 của Luật Xử lý vi phạm hành chính.

4. Đồn trưởng Đồn biên phòng, Hải đội trưởng Hải đội biên phòng, Chỉ huy trưởng Ban Chỉ huy Biên phòng Cửa khẩu cảng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 60.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 30% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

5. Đoàn trưởng Đoàn đặc nhiệm phòng chống ma túy và tội phạm thuộc Cục Phòng chống ma túy và tội phạm thuộc Bộ Tư lệnh Bộ đội Biên phòng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

6. Chỉ huy trưởng Ban Chỉ huy Bộ đội Biên phòng; Hải đoàn trưởng Hải đoàn biên phòng; Cục trưởng Cục Phòng chống ma túy và tội phạm thuộc Bộ Tư lệnh Bộ đội Biên phòng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 76. Thẩm quyền xử phạt hành chính của Cảnh sát biển

1. Cảnh sát viên Cảnh sát biển đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 10.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 5% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

2. Tổ trưởng Tổ nghiệp vụ Cảnh sát biển có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 20.000.000 đồng đối với các hành vi vi phạm hành chính trên lĩnh vực an ninh mạng và đến 10% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này.

3. Đội trưởng Đội nghiệp vụ Cảnh sát biển, Trạm trưởng Trạm Cảnh sát biển có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 40.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 20% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại các điểm a và e khoản 1 Điều 28 của Luật Xử lý vi phạm hành chính.

4. Hải đội trưởng Hải đội Cảnh sát biển có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 60.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 30% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt được quy định tại điểm b khoản này;

d) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

5. Hải đoàn trưởng Hải đoàn Cảnh sát biển; Đoàn trưởng Đoàn trinh sát, Đoàn trưởng Đoàn đặc nhiệm phòng chống tội phạm ma túy thuộc Cảnh sát biển Việt Nam có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 50% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả tại Điều 5 Nghị định này.

6. Tư lệnh Vùng Cảnh sát biển, Cục trưởng Cục Nghiệp vụ và Pháp luật thuộc Cảnh sát biển Việt Nam có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

7. Tư lệnh Cảnh sát biển Việt Nam có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 77. Thẩm quyền của các cơ quan thực hiện nhiệm vụ quản lý nhà nước theo chuyên ngành, lĩnh vực và một số chức danh khác

1. Giám đốc Sở Văn hóa, Thể thao và Du lịch; Giám đốc Sở Khoa học và Công nghệ; Giám đốc Sở Công Thương; Trưởng đoàn kiểm tra do Cục trưởng Cục Phát thanh, truyền hình và thông tin điện tử thành lập có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 160.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến 80% mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

2. Chánh Văn phòng Bộ Khoa học và Công nghệ; Trưởng đoàn kiểm tra do Bộ trưởng Bộ Khoa học và Công nghệ; Chánh Văn phòng Bộ Văn hóa, Thể thao và Du lịch; Chánh Văn phòng Bộ Công Thương; Cục trưởng Cục Viễn thông; Cục trưởng Cục Thương mại điện tử và Kinh tế số; Cục trưởng Cục Báo chí; Cục trưởng Cục Phát thanh, truyền hình và thông tin điện tử có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 200.000.000 đồng đối với các hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và đến mức tiền phạt tối đa đối với lĩnh vực bảo vệ dữ liệu cá nhân quy định tại Chương II;

c) Tước quyền sử dụng giấy phép có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại Điều 5 Nghị định này.

Điều 78. Phân định thẩm quyền xử phạt

1. Người có thẩm quyền xử phạt của Công an nhân dân có thẩm quyền xử phạt vi phạm hành chính và áp dụng các biện pháp khắc phục hậu quả đối với các hành vi vi phạm hành chính quy định tại Chương II Nghị định này theo thẩm quyền quy định tại Điều 72, 74 Nghị định này và chức năng, nhiệm vụ, quyền hạn được giao thuộc lĩnh vực, địa bàn mình quản lý.

2. Chủ tịch Ủy ban nhân dân các cấp có thẩm quyền xử phạt vi phạm hành chính và áp dụng các biện pháp khắc phục hậu quả đối với các hành vi vi phạm hành chính quy định tại Chương II Nghị định này theo thẩm quyền quy định tại Điều 73 Nghị định này và chức năng, nhiệm vụ, quyền hạn được giao thuộc lĩnh vực, địa bàn mình quản lý.

3. Thanh tra Quốc phòng, Thanh tra Ngân hàng Nhà nước Việt Nam; Bộ Tư lệnh Bộ đội Biên phòng; Bộ Tư lệnh Cảnh sát biển có thẩm quyền xử phạt vi phạm hành chính và áp dụng các biện pháp khắc phục hậu quả đối với các hành vi vi phạm hành chính quy định tại Chương II Nghị định này trong phạm vi nhiệm vụ, công vụ được giao theo thẩm quyền quy định tại Điều 74, 75, 76 Nghị định này và chức năng, nhiệm vụ, quyền hạn được giao thuộc lĩnh vực, địa bàn mình quản lý.

4. Thủ trưởng cơ quan thực hiện nhiệm vụ quản lý nhà nước theo chuyên ngành, lĩnh vực có thẩm quyền xử phạt vi phạm hành chính và áp dụng các biện pháp khắc phục hậu quả đối với các hành vi vi phạm hành chính quy định tại Chương II Nghị định này theo thẩm quyền quy định tại Điều 77 Nghị định này và chức năng, nhiệm vụ, quyền hạn được giao thuộc lĩnh vực, địa bàn mình quản lý.

Điều 79. Thẩm quyền lập biên bản vi phạm hành chính

1. Người có thẩm quyền xử phạt vi phạm hành chính được quy định tại Điều 72, 73, 74, 75, 76, 77 Nghị định này.

2. Thanh tra viên khi thực hiện chức năng thanh tra về các lĩnh vực thuộc phạm vi điều chỉnh của Nghị định này; công chức, viên chức, người thuộc lực lượng Quân đội nhân dân, Công an nhân dân, cơ quan thực hiện nhiệm vụ quản lý nhà nước tại Điều 77 Nghị định này đang thi hành công vụ, nhiệm vụ thuộc lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân có thẩm quyền lập biên bản vi phạm hành chính đối với vi phạm hành chính theo chức năng, nhiệm vụ, quyền hạn được giao.

Chương IV

ĐIỀU KHOẢN THI HÀNH

Điều 80. Hiệu lực thi hành

Nghị định này có hiệu lực thi hành kể từ ngày 19 tháng 8 năm 2026.

Điều 81. Điều khoản chuyển tiếp

1. Đối với hành vi vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân xảy ra trước ngày Nghị định này có hiệu lực thi hành mà sau đó mới bị phát hiện hoặc đang được xem xét, giải quyết thì áp dụng quy định của các nghị định của Chính phủ về xử phạt vi phạm hành chính có hiệu lực tại thời điểm thực hiện hành vi vi phạm; trường hợp Nghị định này không quy định trách nhiệm pháp lý hoặc quy định trách nhiệm pháp lý nhẹ hơn đối với hành vi đó thì áp dụng quy định của Nghị định này.

2. Đối với hành vi vi phạm hành chính đã được lập biên bản vi phạm hành chính trước ngày Nghị định này có hiệu lực thi hành mà chưa ban hành quyết định xử phạt thì xử lý như sau:

a) Trường hợp còn thời hạn ra quyết định xử phạt thì việc xử phạt và áp dụng biện pháp khắc phục hậu quả thực hiện theo nguyên tắc quy định tại khoản 1 Điều này;

b) Trường hợp hết thời hiệu xử phạt vi phạm hành chính hoặc hết thời hạn ra quyết định xử phạt theo quy định tại điểm c khoản 1 Điều 65 của Luật Xử lý vi phạm hành chính, thì không ra quyết định xử phạt nhưng người có thẩm quyền phải ra quyết định tịch thu tang vật, phương tiện vi phạm hành chính nếu tang vật, phương tiện vi phạm hành chính thuộc loại cấm tàng trữ, cấm lưu hành hoặc tang vật, phương tiện mà pháp luật có quy định hình thức xử phạt tịch thu và áp dụng biện pháp khắc phục hậu quả được quy định đối với hành vi vi phạm hành chính đó; việc áp dụng hình thức xử phạt tịch thu tang vật, phương tiện vi phạm hành chính và áp dụng biện pháp khắc phục hậu quả thực hiện theo nguyên tắc quy định tại khoản 1 Điều này.

3. Đối với quyết định xử phạt vi phạm hành chính đã được ban hành trước ngày Nghị định này có hiệu lực thi hành mà chưa thi hành xong thì tiếp tục thi hành theo quyết định đã ban hành.

4. Đối với quyết định xử phạt vi phạm hành chính đã được ban hành hoặc đã được thi hành xong trước ngày Nghị định này có hiệu lực thi hành mà cá nhân, tổ chức bị xử phạt còn khiếu nại thì áp dụng quy định của Luật Xử lý vi phạm hành chính, các nghị định của Chính phủ về xử phạt vi phạm hành chính và các văn bản quy phạm pháp luật có liên quan có hiệu lực tại thời điểm ban hành quyết định xử phạt để giải quyết.

5. Việc xác định thẩm quyền xử phạt đối với vụ việc chuyển tiếp được thực hiện như sau:

a) Vụ việc vi phạm hành chính đang được người có thẩm quyền thụ lý, giải quyết trước ngày Nghị định này có hiệu lực thi hành mà người đó vẫn có thẩm quyền xử phạt theo quy định của Nghị định này thì tiếp tục giải quyết; trường hợp người đang thụ lý không còn thẩm quyền hoặc vụ việc vượt quá thẩm quyền xử phạt theo quy định của Nghị định này thì chuyển hồ sơ vụ việc đến người có thẩm quyền xử phạt theo quy định của Nghị định này để giải quyết. Biên bản vi phạm hành chính, kết quả xác minh, tài liệu, chứng cứ đã được lập, thu thập theo đúng quy định của pháp luật trước đó tiếp tục có giá trị pháp lý;

b) Trường hợp cơ quan, chức danh có thẩm quyền xử phạt quy định tại Nghị định này có sự thay đổi về tên gọi, chức năng, nhiệm vụ, quyền hạn do sắp xếp tổ chức bộ máy thì cơ quan, chức danh tiếp nhận chức năng, nhiệm vụ, quyền hạn tương ứng thực hiện thẩm quyền xử phạt theo quy định của Nghị định này.

Điều 82. Trách nhiệm thi hành

1. Bộ trưởng Bộ Công an có trách nhiệm theo dõi, hướng dẫn và tổ chức thi hành Nghị định này.

2. Các Bộ trưởng, Thủ trưởng cơ quan ngang bộ, Chủ tịch Ủy ban nhân dân tỉnh, thành phố trực thuộc trung ương và các tổ chức, cá nhân có liên quan chịu trách nhiệm thi hành Nghị định này