Trách nhiệm Bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo của doanh nghiệp

Trong kỷ nguyên số, việc khai thác dữ liệu hành vi, sở thích và thông tin nền tảng của khách hàng là chìa khóa cốt lõi giúp các doanh nghiệp tối ưu hóa chiến dịch quảng cáo. Tuy nhiên, đi kèm với lợi ích thương mại là những rào cản pháp lý ngày càng nghiêm ngặt về quyền riêng tư.

Bài viết này VDPC sẽ đi sâu phân tích các nghĩa vụ bắt buộc và chế tài xử phạt hành chính liên quan đến công tác bảo vệ dữ liệu cá nhân trong dịch vụ quảng cáo cho doanh nghiệp theo quy định của pháp luật.

1. Chủ thể 

Cá nhân, khách hàng sử dụng sản phẩm, dịch vụ hoặc tiếp cận với sản phẩm, dịch vụ

2. Dữ liệu cá nhân và phân loại dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo của doanh nghiệp

Trong hoạt động kinh doanh dịch vụ quảng cáo hiện nay các doanh nghiệp tiến hành thu thập rất nhiều loại dữ liệu đối với mỗi cá nhân để có thể tiến hành tiếp thị sản phẩm, dịch vụ các dữ liệu đó bao gồm:

Dữ liệu cá nhân cơ bản gồm các thông tin cá nhân (Họ và tên, ngày tháng năm sinh, giới tính, địa chỉ, số điện thoại,…)

Dữ liệu cá nhân nhạy cảm gồm các dữ liệu hành vi: lịch sử mua hàng, sử dụng dịch vụ, lích sử tương tác, duyệt web,…; các dữ liệu tâm lý: thông tin về sở thích, lối sống,…

3. Các quy định chung về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo của doanh nghiệp

1. Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo chỉ được sử dụng dữ liệu cá nhân của khách hàng được bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao theo thỏa thuận hoặc thu thập qua hoạt động kinh doanh của mình để kinh doanh dịch vụ quảng cáo. Việc thu thập, sử dụng, chuyển giao dữ liệu cá nhân phải bảo đảm quyền của chủ thể dữ liệu cá nhân quy định tại Điều 4 của Luật này.
2. Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chỉ được chuyển dữ liệu cá nhân cho tổ chức, cá nhân kinh doanh dịch vụ quảng cáo theo quy định của pháp luật.
3. Việc xử lý dữ liệu cá nhân của khách hàng để kinh doanh dịch vụ quảng cáo phải được sự đồng ý của khách hàng, trên cơ sở khách hàng biết rõ nội dung, phương thức, hình thức, tần suất giới thiệu sản phẩm; cung cấp phương thức cho khách hàng để có thể từ chối nhận các thông tin quảng cáo.
4. Việc sử dụng dữ liệu cá nhân để quảng cáo phải phù hợp với quy định của pháp luật về phòng, chống tin nhắn rác, thư điện tử rác, cuộc gọi rác và quy định của pháp luật về quảng cáo.
5. Chủ thể dữ liệu cá nhân có quyền yêu cầu ngừng nhận thông tin từ dịch vụ quảng cáo. Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo phải cung cấp cơ chế và ngừng quảng cáo theo yêu cầu của chủ thể dữ liệu cá nhân.
6. Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không được thuê lại hoặc thỏa thuận để tổ chức, cá nhân khác thay mặt mình thực hiện toàn bộ dịch vụ quảng cáo có sử dụng dữ liệu cá nhân.
7. Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo có trách nhiệm chứng minh việc sử dụng dữ liệu cá nhân của khách hàng để quảng cáo; tuân thủ quy định tại các khoản 1, 2, 3, 4 Điều này và quy định của pháp luật về quảng cáo.
8. Tổ chức, cá nhân khi sử dụng dữ liệu cá nhân để quảng cáo theo hành vi hoặc có mục tiêu cụ thể hoặc cá nhân hóa quảng cáo phải tuân thủ quy định tại Điều này và các quy định sau đây:
9. Chỉ được thu thập dữ liệu cá nhân thông qua việc theo dõi trang thông tin điện tử, cổng thông tin điện tử, ứng dụng khi có sự đồng ý của chủ thể dữ liệu cá nhân;
10. Phải thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu; xác định thời gian lưu trữ; xóa, hủy dữ liệu khi không còn cần thiết.

4. Trách nhiệm chung của các bên khi tiến hành thu thập thông tin quảng cáo

Căn cứ pháp lý:

• Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025
• Điều 13, 14 Nghị định số 356/2025/NĐ-CP

Tuân thủ các nguyên tắc về bảo vệ dữ liệu cá nhân, bao gồm:

1. Tuân thủ quy định của Hiến pháp, quy định của Luật này và quy định khác của pháp luật có liên quan.
2. Chỉ được thu thập, xử lý dữ liệu cá nhân đúng phạm vi, mục đích cụ thể, rõ ràng, bảo đảm tuân thủ quy định của pháp luật.
3. Bảo đảm tính chính xác của dữ liệu cá nhân và được chỉnh sửa, cập nhật, bổ sung khi cần thiết; được lưu trữ trong khoảng thời gian phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật có quy định khác.
4. Thực hiện đồng bộ có hiệu quả các biện pháp, giải pháp về thể chế, kỹ thuật, con người phù hợp để bảo vệ dữ liệu cá nhân.
5. Chủ động phòng ngừa, phát hiện, ngăn chặn, đấu tranh, xử lý kịp thời, nghiêm minh mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.
6. Bảo vệ dữ liệu cá nhân gắn với bảo vệ lợi ích quốc gia, dân tộc, phục vụ phát triển kinh tế – xã hội, bảo đảm quốc phòng, an ninh và đối ngoại; bảo đảm hài hòa giữa bảo vệ dữ liệu cá nhân với bảo vệ quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân.

Ngoài ra, các doanh nghiệp, cơ quan phải có trách nhiệm đảm bảo đầy đủ các điều kiện của nhân sự bảo vệ dữ liệu cá nhân, bộ phận bảo vệ dữ liệu cá nhân

Đảm bảo các nhiệm vụ của bộ phận bảo vệ dữ liệu cá nhân, nhân sự bảo vệ dữ liệu cá nhân trong cơ quan, tổ chức được thực hiện một cách đầy đủ và hiệu quả

Bên kiểm soát, xử lý, kiểm soát và xử lý dữ liệu cá nhân khi tiến hành xử lý dữ liệu cá nhân đều phải lập đánh giá tác động xử lý dữ liệu cá nhân (DPIA)

5. Trách nhiệm của bên kiểm soát dữ liệu

Căn cứ pháp lý: Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025

Bên kiểm soát dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích và phương tiện xử lý dữ liệu cá nhân

Bên này bao gồm: các doanh nghiệp trực tiếp kinh doanh sản phẩm hoặc các nhãn hàng

Bên kiểm soát dữ liệu cá nhân phải có trách nhiệm: 

1. Nêu rõ trách nhiệm, quyền và nghĩa vụ phải tuân thủ của các bên trong thỏa thuận, hợp đồng có liên quan đến xử lý dữ liệu cá nhân theo quy định của Luật này và quy định khác của pháp luật có liên quan;
2. Quyết định mục đích và phương tiện xử lý dữ liệu cá nhân tại các văn bản, thỏa thuận với chủ thể dữ liệu cá nhân, bảo đảm đúng nguyên tắc và nội dung theo quy định của Luật này;
3. Thực hiện biện pháp quản lý, kỹ thuật phù hợp để bảo vệ dữ liệu cá nhân theo quy định của pháp luật, rà soát và cập nhật các biện pháp này khi cần thiết;
4. Thông báo hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân theo quy định tại Điều 23 của Luật này;
5. Lựa chọn bên xử lý dữ liệu cá nhân phù hợp để xử lý dữ liệu cá nhân;
6. Bảo đảm các quyền của chủ thể dữ liệu cá nhân theo quy định tại Điều 4 của Luật này;
7. Chịu trách nhiệm trước chủ thể dữ liệu cá nhân về các thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
8. Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
9. Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
10. Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

6. Trách nhiệm của bên xử lý dữ liệu

Căn cứ pháp lý: Điều 37 Luật Bảo vệ dữ liệu cá nhân năm 2025

Bên xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân thực hiện việc xử lý dữ liệu cá nhân theo yêu cầu của bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân thông qua hợp đồng

Bên này bao gồm: Các doanh nghiệp marketing, quảng cáo,…

Bên này có trách nhiệm:

1. Chỉ được tiếp nhận dữ liệu cá nhân sau khi có thỏa thuận, hợp đồng về xử lý dữ liệu cá nhân với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
2. Xử lý dữ liệu cá nhân theo đúng thỏa thuận, hợp đồng ký kết với bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân;
3. Thực hiện đầy đủ các biện pháp bảo vệ dữ liệu cá nhân theo quy định của Luật này và các quy định khác của pháp luật có liên quan;
4. Chịu trách nhiệm trước bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân về thiệt hại do quá trình xử lý dữ liệu cá nhân gây ra;
5. Ngăn chặn hoạt động thu thập dữ liệu cá nhân trái phép từ hệ thống, trang thiết bị, dịch vụ của mình;
6. Phối hợp với Bộ Công an, cơ quan nhà nước có thẩm quyền trong bảo vệ dữ liệu cá nhân, cung cấp thông tin phục vụ điều tra, xử lý hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân;
7. Thực hiện các trách nhiệm khác theo quy định của Luật này và quy định khác của pháp luật có liên quan.

7. Trách nhiệm của bên kiểm soát và xử lý dữ liệu

Bên kiểm soát và xử lý dữ liệu cá nhân là cơ quan, tổ chức, cá nhân quyết định mục đích, phương tiện và trực tiếp xử lý dữ liệu cá nhân.

Bên này bao gồm: các nền tảng quảng cáo, các sàn thương mại điện tử

Bên này có trách nhiệm bao gồm cả trách nhiệm của bên kiểm soát và xử lý dữ liệu

8. Trách nhiệm của bên chuyển giao dữ liệu

Căn cứ pháp lý: Điều 7 Nghị định số 356/2025/NĐ-CP

Bên chuyển giao phải có trách nhiệm thực hiện đúng các yêu cầu sau:

1. Tổ chức, cá nhân chuyển giao dữ liệu cá nhân theo điểm a, điểm c, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân phải xác lập thỏa thuận về việc chuyển giao dữ liệu cá nhân với bên nhận dữ liệu cá nhân, trong đó nêu rõ các nội dung sau:

1. Mục đích chuyển giao dữ liệu cá nhân;
2. Đối tượng chủ thể dữ liệu cá nhân và loại dữ liệu cá nhân được chuyển giao phù hợp với mục đích chuyển giao;
3. Thời hạn xử lý dữ liệu cá nhân, yêu cầu về xóa, hủy dữ liệu cá nhân sau khi hoàn thành mục đích chuyển giao;
4. Cơ sở pháp lý của việc chuyển giao dữ liệu cá nhân;
5. Trách nhiệm bảo vệ dữ liệu cá nhân trong quá trình chuyển giao, xử lý dữ liệu cá nhân;
6. Trách nhiệm thực hiện các quyền của chủ thể dữ liệu cá nhân;
7. Trách nhiệm phối hợp và tuân thủ của các bên trong trường hợp phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân.

2. Việc chuyển giao dữ liệu cá nhân nhạy cảm phải có biện pháp bảo mật vật lý đối với thiết bị lưu trữ và truyền tải, biện pháp mã hóa, ẩn danh dữ liệu cá nhân và các biện pháp bảo mật khác trong quá trình chuyển giao.

3. Trường hợp chuyển giao dữ liệu cá nhân theo điểm a, điểm d khoản 1 Điều 17 của Luật Bảo vệ dữ liệu cá nhân có thu phí để cung cấp dịch vụ cho chủ thể dữ liệu cá nhân hoặc để phục vụ lợi ích hợp pháp của chủ thể dữ liệu cá nhân, tổ chức, cá nhân tuân thủ các quy định như sau:

1. Phải thiết lập hệ thống kỹ thuật, cơ chế minh bạch để chủ thể dữ liệu cá nhân đồng ý chính xác, rõ ràng theo từng lần chuyển giao, trên cơ sở được biết chính xác mục đích chuyển giao, tổ chức, cá nhân tiếp nhận và xử lý dữ liệu cá nhân;
2. Chỉ được xử lý dữ liệu cá nhân đúng cho mục đích chuyển giao được chủ thể dữ liệu cá nhân đồng ý, phù hợp với ngành, nghề đăng ký kinh doanh;
3. Loại dữ liệu cá nhân chuyển giao phải giới hạn trong phạm vi mục đích chuyển giao;
4. Không được thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý;
5. Xác định rõ vai trò bên kiểm soát dữ liệu cá nhân, bên xử lý dữ liệu cá nhân, bên thứ ba trong hoạt động chuyển giao dữ liệu cá nhân;
6. Phải có thỏa thuận chuyển giao, xử lý dữ liệu cá nhân trước khi chuyển và cam kết trách nhiệm, nghĩa vụ với chủ thể dữ liệu cá nhân.

4. Trường hợp chia sẻ dữ liệu cá nhân giữa các bộ phận trong cùng một cơ quan, tổ chức để xử lý dữ liệu cá nhân phù hợp với mục đích xử lý đã xác lập, cơ quan, tổ chức phải xây dựng quy trình kiểm soát việc chia sẻ, sử dụng dữ liệu cá nhân đúng quy định; có biện pháp phòng, chống việc nhân sự nội bộ cơ quan, tổ chức chia sẻ trái phép dữ liệu cá nhân với bên thứ ba

9. Trách nhiệm của các doanh nghiệp kinh doanh dịch vụ quảng cáo về việc xin sự đồng ý của chủ thể dữ liệu cá nhân

Căn cứ pháp lý:

• Điều 4, 9 Luật Bảo vệ dữ liệu cá nhân năm 2025
• Điều 6 Nghị định số 356/2025/NĐ-CP

Sự đồng ý là 1 quyền cơ bản của chủ thể dữ liệu cá nhân.

Ngoài ra sự đồng ý của chủ thể dữ liệu cá nhân còn được đảm bảo phương thức thể hiện 

Vậy nên doanh nghiệp kinh doanh dịch vụ quảng cáo phải có trách nhiệm tuân thủ các nguyên tắc sau:

1. Thể hiện sự đồng ý đối với từng mục đích;
2. Không được kèm theo điều kiện bắt buộc phải đồng ý với các mục đích khác với nội dung thỏa thuận;
3. Sự đồng ý có hiệu lực cho đến khi chủ thể dữ liệu cá nhân thay đổi sự đồng ý đó hoặc theo quy định của pháp luật;
4. Sự im lặng hoặc không phản hồi không được coi là sự đồng ý.

Ngoài ra: 

Bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân không được thiết lập phương thức mặc định đồng ý hoặc tạo ra các chỉ dẫn không rõ ràng, gây hiểu lầm giữa đồng ý và không đồng ý cho chủ thể dữ liệu. Các thiết lập mặc định sẵn có phải đảm bảo nguyên tắc bảo vệ dữ liệu cá nhân, tôn trọng các quyền của chủ thể dữ liệu cá nhân.

Đối với việc xin sự đồng ý xử lý dữ liệu cá nhân nhạy cảm, chủ thể dữ liệu phải được thông báo rằng dữ liệu cần xử lý là dữ liệu cá nhân nhạy cảm.

Đặc biệt với các quảng cáo trên mạng hiện nay Việc thiết kế các ô đánh dấu sẵn (mặc định là đã đồng ý) trên website, app hay landing page hiện bị coi là vi phạm pháp luật. Khách hàng phải tự tay tick chọn.

Biết rõ “Tần suất” quảng cáo: Theo khoản 3 Điều 28, doanh nghiệp chỉ được xử lý dữ liệu để quảng cáo khi khách hàng đồng ý rõ ràng trên cơ sở biết rõ nội dung, phương thức và tần suất giới thiệu sản phẩm. (Ví dụ: Form đăng ký phải ghi rõ “Đồng ý nhận email ưu đãi tối đa 2 lần/tuần”).

⇒ Tiêu chuẩn của sự đồng ý hiện nay được nâng lên rất cao trong luật bảo vệ dữ liệu cá nhân hiện hành.

10. Trách nhiệm của của các doanh nghiệp kinh doanh dịch vụ quảng cáo về xây dựng biểu mẫu, chính sách, quy trình xử lý DLCN

Xây dựng biểu mẫu, chính sách, quy trình xử lý DLCN là trách nhiệm của bộ phận bảo vệ dữ liệu cá nhân ở mỗi doanh nghiệp cụ thể:

Trách nhiệm chi tiết trong việc xây dựng hệ thống quản lý DLCN:

• Xây dựng chính sách bảo vệ DLCN:
  • Phải công khai chính sách xử lý dữ liệu, nêu rõ mục đích, phạm vi, loại dữ liệu thu thập (đặc biệt là dữ liệu sức khỏe, tài chính) và quyền của chủ thể dữ liệu.
  • Doanh nghiệp phải ban hành quy định nội bộ về bảo vệ dữ liệu.
• Biểu mẫu và Quy trình thu thập sự đồng ý:
  • Xây dựng biểu mẫu mẫu DLCN-HC-07 để kiểm soát hồ sơ.
  • Sự đồng ý của khách hàng phải rõ ràng, có thể kiểm chứng, không được thiết lập mặc định (opt-out).
  • Đảm bảo chủ thể dữ liệu biết rõ họ đang đồng ý với nội dung gì trước khi cung cấp thông tin.
• Đánh giá và lưu trữ hồ sơ:
  • Lập hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (DPIA) và lưu trữ để phục vụ thanh tra.
  • Cập nhật hồ sơ định kỳ 6 tháng hoặc ngay khi có thay đổi.

11. Nộp hồ sơ đánh giá tác động xử lý dữ liệu cá nhân

Căn cứ pháp lý: Phụ lục Nghị định 356/2025/NĐ-CP

Đối với cá nhân và tổ chức: 

• Thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (dành cho tổ chức) – 01 (một) bản chính  (Theo Mẫu 2a – Phụ lục Nghị định 356/2025/NĐ-CP)
• Thông báo gửi Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (dành cho cá nhân) – 01 (một) bản chính  (Theo Mẫu 2a – Phụ lục Nghị định 356/2025/NĐ-CP)

Đồng thời bao gồm: 

• Báo cáo đánh giá tác động xử lý dữ liệu cá nhân – 01 (một) bản chính (Theo Mẫu 10 – Phụ lục Nghị định 356/2025/NĐ-CP)
• Quyết định hoặc giấy tờ liên quan đến phân công của bộ phận, nhân sự bảo vệ dữ liệu của chủ hồ sơ – 01 (một) bản sao
• Hợp đồng sử dụng dịch vụ bảo vệ dữ liệu cá nhân (nếu có) – 01 (một) bản sao
• Hợp đồng hoặc thỏa thuận về việc xử lý dữ liệu cá nhân với các bên – 01 (một) bản sao
• Giấy tờ khác (Giấy tờ chứng minh năng lực của nhân sự bảo vệ dữ liệu cá nhân, chính sách, quy trình, quy định, biểu mẫu và các tài liệu khác) – (bản sao)

Được nộp tại Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (A05), Bộ Công an

12. Xử phạt vi phạm hành chính

Lưu ý: Mức phạt nêu tại Mục này áp dụng cho cá nhân, mức phạt đối với tổ chức gấp 02 lần cá nhân

Đối với hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo như sau:

1. Phạt tiền từ 50 – 70 triệu đồng đối với các hành vi: Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo sử dụng dữ liệu cá nhân ngoài khách hàng được bên kiểm soát dữ liệu cá nhân, bên kiểm soát và xử lý dữ liệu cá nhân chuyển giao theo thỏa thuận hoặc thu thập qua hoạt động kinh doanh của mình để kinh doanh dịch vụ quảng cáo; Tổ chức, cá nhân kinh doanh dịch vụ quảng cáo không thiết lập phương thức cho phép chủ thể dữ liệu cá nhân từ chối chia sẻ dữ liệu; xác định thời gian lưu trữ; xóa, hủy dữ liệu khi không còn cần thiết.

2. Phạt tiền tới 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi nêu trên vi phạm từ lần 2 trở lên.

3. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh ngành nghề có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng đối với các hành vi vi phạm quy định tại khoản 1 Điều này;
2. Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại khoản 1 Điều này.
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng đối với các hành vi vi phạm quy định tại khoản 1 Điều này.

4. Biện pháp khắc phục hậu quả:

1. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với các hành vi vi phạm quy định tại khoản 1 Điều này.
2. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1 Điều này;
3. Công khai xin lỗi trên các phương tiện thông tin đại chúng đối với hành vi vi phạm quy định tại khoản 1 Điều này;
4. Buộc sửa đổi thông tin của sản phẩm, thiết bị, dịch vụ, phần mềm phù hợp với nguyên tắc xử lý dữ liệu cá nhân đối với các hành vi vi phạm quy định tại điểm b, c khoản 1 Điều này.

Đối với việc xin sự đồng ý

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với một trong các hành vi sau:

1. Việc xử lý dữ liệu cá nhân không được sự đồng ý của chủ thể dữ liệu, trừ trường hợp pháp luật có quy định khác;
2. Chủ thể dữ liệu bị bắt buộc phải đồng ý cho xử lý dữ liệu cá nhân với các mục đích khác với nội dung thỏa thuận;
3. Sự đồng ý của chủ thể dữ liệu cá nhân không được thể hiện bằng phương thức rõ ràng, cụ thể, có thể in, sao chép bằng văn bản, bao gồm cả dưới dạng điện tử hoặc định dạng kiểm chứng được.

2. Phạt tiền từ 70.000.000 đồng đến 100.000.000 đồng đối với các hành vi:

1. Tiếp tục thực hiện xử lý dữ liệu cá nhân sau khi chủ thể dữ liệu có quyết định khác hoặc khi cơ quan nhà nước có thẩm quyền yêu cầu bằng văn bản;
2. Xử lý dữ liệu cá nhân khi chủ thể dữ liệu im lặng hoặc không phản hồi trước yêu cầu đồng ý;
3. Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không chứng minh hoặc không nhận chứng minh rằng chủ thể dữ liệu đã đồng ý cho xử lý dữ liệu cá nhân.

3. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh ngành nghề có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng đối với các hành vi vi phạm quy định khi tổ chức, cá nhân vi phạm đối với các quy định tại điểm a, c khoản 1, khoản 2 Điều này;
2. Tịch thu tang vật, phương tiện vi phạm hành chính đối với các hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này.
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng đối với các hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả:

1. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đối với các hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này.
2. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a, c khoản 1, khoản 2 Điều này;
3. Công khai xin lỗi trên các phương tiện thông tin đại chúng đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

Đối với việc không thực hiện đánh giá tác động xử lý DLCN

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với các hành vi:

• – Bên Kiểm soát dữ liệu cá nhân, Bên Kiểm soát và xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của mình kể từ thời điểm bắt đầu xử lý dữ liệu cá nhân;
• – Bên Xử lý dữ liệu cá nhân không lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong trường hợp thực hiện hợp đồng với Bên Kiểm soát dữ liệu cá nhân.

2. Phạt tiền gấp 02 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 100.000 công dân Việt Nam tới dưới 1.000.000 công dân Việt Nam.

3. Phạt tiền gấp 05 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam.

4. Phạt tiền bằng 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi để lộ, mất dữ liệu cá nhân của 5.000.000 công dân Việt Nam trở lên.

5. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng;
2. Tịch thu tang vật, phương tiện xử lý dữ liệu cá nhân;
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng.

6. Biện pháp khắc phục hậu quả:

1. Buộc lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân;
2. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân;
3. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm;
4. Công khai xin lỗi trên các phương tiện thông tin đại chúng.

Đối với việc không thực hiện thủ tục thông báo đánh giá tác động xử lý DLCN

1. Phạt tiền từ 50.000.000 đồng đến 70.000.000 đồng đối với các hành vi:

• Không gửi Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao) 01 bản chính Thông báo gửi hồ sơ đánh giá tác động xử lý dữ liệu cá nhân trong thời gian 60 ngày kể từ ngày tiến hành xử lý dữ liệu cá nhân;
• Không chấp hành yêu cầu chỉnh sửa, hoàn thiện Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân của Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao).

2. Phạt tiền gấp 02 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 100.000 công dân Việt Nam tới dưới 1.000.000 công dân Việt Nam.

3. Phạt tiền gấp 05 lần quy định tại khoản 1 Điều này đối với hành vi để lộ, mất dữ liệu cá nhân của 1.000.000 công dân Việt Nam trở lên tới dưới 5.000.000 công dân Việt Nam.

4. Phạt tiền bằng 5% tổng doanh thu năm tài chính liền trước tại Việt Nam đối với hành vi để lộ, mất dữ liệu cá nhân của 5.000.000 công dân Việt Nam trở lên.

5. Hình thức xử phạt bổ sung:

1. Tước quyền sử dụng giấy phép kinh doanh có vi phạm xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng;
2. Tịch thu tang vật, phương tiện xử lý dữ liệu cá nhân;
3. Đình chỉ có thời hạn xử lý dữ liệu cá nhân từ 01 tháng đến 03 tháng.

6. Biện pháp khắc phục hậu quả:

1. Buộc lập hoặc không lưu giữ Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân;
2. Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân;
3. Buộc hoàn trả hoặc buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm;
4. Công khai xin lỗi trên các phương tiện thông tin đại chúng

Kết luận

Tựu trung lại, việc tuân thủ các quy định về bảo vệ dữ liệu cá nhân trong dịch vụ quảng cáo không còn là một lựa chọn, mà là điều kiện bắt buộc để doanh nghiệp duy trì hoạt động kinh doanh hợp pháp và bảo vệ uy tín thương hiệu trên thị trường.

Trên đây là Trách nhiệm Bảo vệ dữ liệu cá nhân trong kinh doanh dịch vụ quảng cáo của doanh nghiệp. Nếu bạn còn thắc mắc liên quan đến vấn đề này. Hãy liên hệ với VDPC để được tư vấn, hỗ trợ một cách chính xác nhất.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Trên đây là nội dung tổng hợp, phân tích quy định pháp luật trên cơ sở góc nhìn của Nhà tư vấn mang tính chất tham khảo, nội dung này không áp dụng cho bất kỳ trường hợp cụ thể nào trên thực tế mà VDPC không chịu trách nhiệm với việc áp dụng của người đọc trên cơ sở các nội dung trên mà không thông qua tham vấn chuyên môn từ chuyên gia. Bạn đọc vui lòng liên hệ để được tư vấn chính xác cho trường hợp mình đang quan tâm. Trân trọng!

Xem thêm: