Điều 48. Vi phạm quy định về thu thập dữ liệu cá nhân

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân không đúng phạm vi, mục đích cụ thể, rõ ràng hoặc không có sự đồng ý của chủ thể dữ liệu cá nhân trước khi thu thập theo quy định của pháp luật.

2. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với thu thập, lưu trữ, hình thành kho dữ liệu cá nhân từ hoạt động chuyển giao dữ liệu cá nhân để sử dụng cho các mục đích khác ngoài các mục đích đã được chủ thể dữ liệu cá nhân đồng ý.

3. Trường hợp áp dụng các biện pháp công nghệ, kỹ thuật để thu thập dữ liệu cá nhân trái quy định của pháp luật thì mức phạt tiền được xác định như sau:

a) Phạt tiền từ 100.000.000 đồng đến 200.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của dưới 500 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của dưới 100 chủ thể dữ liệu;

b) Phạt tiền từ 200.000.000 đồng đến 300.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 500 đến dưới 1.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 100 đến dưới 200 chủ thể dữ liệu;

c) Phạt tiền từ 300.000.000 đồng đến 500.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 1.000 đến dưới 5.000 chủ thể dữ liệu hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 200 đến 1.000 chủ thể dữ liệu;

d) Phạt tiền từ 500.000.000 đồng đến 800.000.000 đồng đối với hành vi thu thập dữ liệu cá nhân cơ bản của từ 5.000 chủ thể dữ liệu trở lên hoặc thu thập dữ liệu cá nhân nhạy cảm của từ 1.000 chủ thể dữ liệu trở lên.

4. Phạt tiền từ 50.000.000 đồng đến 80.000.000 đồng đối với hành vi quy định tại khoản 1 Điều này nếu đối tượng của hành vi vi phạm là dữ liệu cá nhân nhạy cảm.

5. Hình thức xử phạt bổ sung: Tịch thu tang vật, phương tiện vi phạm hành chính được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 1, 2, 3 Điều này.

6. Biện pháp khắc phục hậu quả:

a) Buộc hủy, xóa tới mức không thể khôi phục toàn bộ dữ liệu cá nhân đã thu thập, xử lý trái quy định đối với hành vi vi phạm tại Điều này;

b) Buộc nộp lại khoản thu có được từ hoạt động kinh doanh có sử dụng dữ liệu cá nhân thu thập trái phép đối với hành vi vi phạm tại khoản 2 Điều này.