Điều 39. Vi phạm quy định về nguyên tắc bảo vệ dữ liệu cá nhân và các hành vi bị nghiêm cấm

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với các hành vi sau:

a) Xử lý dữ liệu cá nhân không đúng phạm vi hoặc không phù hợp với mục đích xử lý dữ liệu cá nhân đã được xác định, xin sự đồng ý, thỏa thuận hoặc vượt quá mức cần thiết để thực hiện mục đích đó;

b) Không bảo đảm tính chính xác của dữ liệu cá nhân hoặc không thực hiện chỉnh sửa, cập nhật, bổ sung kịp thời khi phát hiện sai sót hoặc khi cần thiết;

c) Lưu trữ dữ liệu cá nhân vượt quá khoảng thời gian cần thiết phù hợp với mục đích xử lý dữ liệu cá nhân, trừ trường hợp pháp luật quy định khác;

d) Không chủ động phòng ngừa, phát hiện, phối hợp kịp thời với các cơ quan có thẩm quyền trong xử lý mọi hành vi vi phạm pháp luật về bảo vệ dữ liệu cá nhân.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với các hành vi sau:

a) Có hành vi chống đối, cản trở hoạt động bảo vệ dữ liệu cá nhân của cơ quan, tổ chức, cá nhân;

b) Sử dụng dữ liệu cá nhân của người khác để thực hiện các hành vi trái quy định của pháp luật.

3. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi quy định tại điểm a, c khoản 1, điểm b khoản 2 Điều này;

4. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục dữ liệu cá nhân đã xử lý không đúng phạm vi, không đúng mục đích hoặc lưu trữ vượt thời hạn đối với hành vi vi phạm tại điểm a, c khoản 1 Điều này;

b) Buộc nộp lại khoản thu bất hợp pháp có được do thực hiện hành vi vi phạm tại điểm a, c khoản 1, điểm b khoản 2 Điều này;

c) Buộc công khai xin lỗi chủ thể dữ liệu cá nhân trên phương tiện thông tin đại chúng đối với hành vi vi phạm tại điểm b khoản 2 Điều này;

d) Buộc chỉnh sửa, cập nhật, bổ sung dữ liệu cá nhân cho chính xác theo yêu cầu của chủ thể dữ liệu cá nhân hoặc khi phát hiện sai sót đối với hành vi vi phạm tại điểm b khoản 1 Điều này.