CẢNH BÁO: RỦI RO PHÁP LÝ VÀ CHẾ TÀI XỬ LÝ VI PHẠM TRONG BẢO VỆ DỮ LIỆU CÁ NHÂN
Nhằm nâng cao tinh thần tuân thủ pháp luật, căn cứ theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP, cơ quan quản lý đưa ra cảnh báo về các rủi ro, trách nhiệm pháp lý và hình thức chế tài nghiêm khắc đối với các hành vi vi phạm.
I. CÁC HÀNH VI BỊ CẤM VÀ CÁC ĐIỂM DỄ VI PHẠM DO THIẾU HIỂU BIẾT
Các cơ quan, tổ chức, doanh nghiệp và cá nhân cần nhận diện rõ các hành vi bị nghiêm cấm theo Điều 7 Luật Bảo vệ dữ liệu cá nhân:
- Thu thập, xử lý DLCN trái quy định hoặc sai mục đích: Xử lý DLCN khi chưa có sự đồng ý tự nguyện của chủ thể, hoặc tự ý sử dụng dữ liệu cho mục đích khác ngoài thỏa thuận ban đầu.
- Mua, bán, chiếm đoạt DLCN: Mọi hành vi mua, bán, giao dịch DLCN dưới mọi hình thức (trừ trường hợp luật có quy định khác) đều là vi phạm pháp luật nghiêm trọng. (Lưu ý: Việc chuyển giao DLCN có thu phí dịch vụ không được xác định là mua bán nếu tuân thủ đúng điều kiện pháp luật).
- Thu thập trái phép trên mạng xã hội & nền tảng số: Yêu cầu người dùng cung cấp hình ảnh/video giấy tờ tùy thân để xác thực tài khoản; nghe lén, nghe trộm, ghi âm cuộc gọi, đọc tin nhắn khi không được cho phép; hoặc ép buộc đồng ý các điều khoản bằng việc thiết lập phương thức mặc định.
- Lưu trữ, chuyển giao sai quy định: Lưu trữ trực tiếp DLCN trên hệ thống chuỗi khối (blockchain) mà chưa qua khử nhận dạng/mã hóa băm; không mã hóa DLCN bí mật nhà nước; tự ý khôi phục trái phép dữ liệu đã xóa, hủy.
II. CHẾ TÀI XỬ LÝ VI PHẠM NGHIÊM KHẮC
Theo quy định tại Điều 8 Luật Bảo vệ dữ liệu cá nhân, tùy theo tính chất, mức độ và hậu quả, tổ chức/cá nhân vi phạm sẽ bị xử lý kỷ luật, phạt hành chính, truy cứu trách nhiệm hình sự và bồi thường thiệt hại. Khung tiền phạt hành chính tối đa áp dụng như sau:
- Hành vi mua, bán dữ liệu cá nhân:
+ Mức phạt tiền tối đa đối với Tổ chức: 10 lần khoản thu có được từ hành vi vi phạm (Nếu không có khoản thu hoặc thấp hơn 3 tỷ, áp dụng mức phạt cố định tối đa 3 tỷ đồng).
+ Mức phạt tiền tối đa đối với Cá nhân: 1/2 mức phạt tiền của tổ chức.
- Vi phạm quy định chuyển DLCN xuyên biên giới:
+ Mức phạt tiền tối đa đối với Tổ chức: 5% doanh thu của năm trước liền kề. (Nếu không có doanh thu hoặc thấp hơn 3 tỷ, áp dụng mức phạt cố định tối đa 3 tỷ đồng).
+ Mức phạt tiền tối đa đối với Cá nhân: 1/2 mức phạt tiền của tổ chức.
- Các hành vi vi phạm khác trong lĩnh vực bảo vệ DLCN:
+ Mức phạt tiền tối đa đối với Tổ chức: Tối đa 03 tỷ đồng.
+ Mức phạt tiền tối đa đối với Cá nhân: Tối đa 1,5 tỷ đồng (bằng 1/2 tổ chức).
Ngoài ra, trường hợp tổ chức/cá nhân chuyển DLCN xuyên biên giới bị phát hiện sử dụng vào mục đích gây tổn hại đến quốc phòng, an ninh quốc gia sẽ bị cơ quan chuyên trách yêu cầu ngừng chuyển dữ liệu ngay lập tức.
III. NGHĨA VỤ PHÁP LÝ BẮT BUỘC ĐỂ TRÁNH RỦI RO VI PHẠM
Để không rơi vào nguy cơ vi phạm pháp luật do thiếu sót thủ tục, các tổ chức, doanh nghiệp cần chú ý thực hiện đầy đủ các quy định bắt buộc sau:
1. Lập và gửi Hồ sơ đánh giá tác động:
Đánh giá tác động xử lý DLCN: Phải lập hồ sơ và gửi 01 bản chính về Cơ quan chuyên trách bảo vệ DLCN trong vòng 60 ngày kể từ ngày bắt đầu xử lý.
Đánh giá tác động chuyển DLCN xuyên biên giới: Lập và gửi hồ sơ trong vòng 60 ngày kể từ ngày đầu tiên chuyển dữ liệu.
Hậu quả: Việc không hoàn thiện hồ sơ theo yêu cầu của cơ quan chức năng trong thời hạn 30 ngày sẽ bị xem xét xử phạt hành chính.
2. Cập nhật hồ sơ đúng thời hạn: Định kỳ 06 tháng/lần khi có thay đổi mục đích/đối tượng, hoặc cập nhật ngay trong vòng 10 ngày nếu có tổ chức lại bộ máy, thay đổi dịch vụ kinh doanh liên quan.
3. Chỉ định nhân sự / Bộ phận bảo vệ DLCN: Cơ quan, tổ chức phải chỉ định nhân sự/bộ phận đáp ứng đủ điều kiện chuyên môn (hoặc thuê tổ chức, cá nhân cung cấp dịch vụ bên ngoài) để vận hành công tác bảo vệ dữ liệu. (Doanh nghiệp siêu nhỏ, hộ kinh doanh hoặc doanh nghiệp nhỏ/khởi nghiệp được áp dụng cơ chế nới lỏng/miễn trừ theo lộ trình quy định tại Điều 38).
4. Trách nhiệm thông báo sự cố vi phạm: Khi phát hiện hành vi vi phạm pháp luật về DLCN có thể gây tổn hại nghiêm trọng, Bên kiểm soát/xử lý dữ liệu phải báo cáo cho Cơ quan chuyên trách bảo vệ DLCN trong thời hạn chậm nhất 72 giờ kể từ khi phát hiện.
Việc chủ động cập nhật kiến thức pháp luật và tuân thủ các quy trình bảo vệ dữ liệu cá nhân không chỉ giúp cá nhân, doanh nghiệp tránh được các chế tài xử phạt nặng nề mà còn bảo vệ uy tín, thương hiệu và quyền lợi hợp pháp trong môi trường số.
Phòng Văn hoá - Xã hội
Chi tiết xem dưới đây!
