Hành vi không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân theo Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 về xử phạt trong lĩnh vực bảo vệ dữ liệu cá nhân

Chính phủ ban hành Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Trong đó, đáng chú ý là hành vi Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân có thể bị phạt lên tới 20 triệu đồng.

Theo điểm a khoản 1 Điều 44 Nghị định số 330/2026/NĐ-CP ngày 19/8/2026 về xử phạt trong lĩnh vực bảo vệ dữ liệu cá nhân, quy định như sau:

Điều 44. Vi phạm quy định về thủ tục thực hiện quyền của chủ thể dữ liệu cá nhân

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi sau:

1. Không thiết lập quy trình, thủ tục, biểu mẫu rõ ràng để thực hiện các quyền của chủ thể dữ liệu cá nhân;
2. Không phân định rõ trách nhiệm của các bộ phận có liên quan trong tổ chức để thực hiện quyền của chủ thể dữ liệu cá nhân;
3. Không cung cấp thông tin hoặc không bảo đảm chủ thể dữ liệu cá nhân được biết về thủ tục thực hiện các quyền quy định tại Luật Bảo vệ dữ liệu cá nhân;
4. Không phản hồi cho chủ thể dữ liệu cá nhân hoặc cung cấp không đầy đủ thông tin về thủ tục khi nhận được yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân quá thời hạn 02 ngày làm việc kể từ khi nhận được yêu cầu hợp lệ;
5. Không thông báo cho chủ thể dữ liệu cá nhân biết lý do chính đáng trong trường hợp không thể thực hiện hoặc cần gia hạn đối với yêu cầu xem, chỉnh sửa, cung cấp, xóa, rút lại sự đồng ý, hạn chế, phản đối xử lý dữ liệu cá nhân, thực hiện các biện pháp, giải pháp bảo vệ dữ liệu cá nhân của chủ thể dữ liệu cá nhân.

2. Phạt tiền từ 20.000.000 đồng đến 30.000.000 đồng đối với Bên xử lý dữ liệu cá nhân, Bên thứ ba đã nhận được yêu cầu hợp lệ từ Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân nhưng không thực hiện đúng thời hạn một trong các yêu cầu sau:

1. Không ngừng xử lý dữ liệu cá nhân khi nhận được yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;
2. Không thực hiện chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định;
3. Không thực hiện xóa, hủy dữ liệu cá nhân hoặc không hạn chế xử lý dữ liệu cá nhân trong thời hạn do Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân xác định.

3. Phạt tiền từ 30.000.000 đồng đến 40.000.000 đồng đối với Bên kiểm soát dữ liệu cá nhân, Bên kiểm soát và xử lý dữ liệu cá nhân có một trong các hành vi không thực hiện đúng thời hạn yêu cầu của chủ thể dữ liệu cá nhân sau:

1. Không thực hiện yêu cầu rút lại sự đồng ý, hạn chế xử lý hoặc phản đối xử lý dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 20 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày;
2. Không thực hiện yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu cá nhân trong thời hạn 10 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 10 ngày;
3. Không thực hiện yêu cầu xóa dữ liệu cá nhân trong thời hạn 20 ngày; trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân, Bên thứ ba thực hiện thì không bảo đảm trong thời hạn 30 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 20 ngày;
4. Không thực hiện yêu cầu áp dụng các biện pháp, giải pháp bảo vệ dữ liệu cá nhân trong thời hạn 15 ngày; trường hợp đã gia hạn thì không bảo đảm trong thời hạn gia hạn tối đa 15 ngày.

4. Bên xử lý dữ liệu cá nhân, bên thứ ba không bị xử phạt theo quy định tại khoản 2 Điều này trong trường hợp pháp luật có quy định khác.

5. Biện pháp khắc phục hậu quả: Buộc thực hiện đầy đủ quyền của chủ thể dữ liệu cá nhân theo yêu cầu hợp pháp và cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền đối với hành vi vi phạm tại khoản 2 và khoản 3 Điều này.

Sự ra đời của Nghị định số 330/2026/NĐ-CP đã đánh dấu một bước chuyển biến quan trọng trong việc siết chặt quản lý nhà nước đối với lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân. Các hành vi tưởng chừng đơn giản nay đều có thể đối mặt với mức phạt tiền nặng nề, kèm theo các biện pháp khắc phục hậu quả nghiêm khắc. Do đó, doanh nghiệp cần nắm chắc quy định để phòng ngừa rủi ro pháp lý.

Trân trọng cảm ơn!

Zalo: 098.159.5243

Xem thêm: