Không thông báo sự cố dữ liệu cá nhân cho cơ quan chuyên trách bị phạt thế nào?

1. Không thông báo sự cố dữ liệu cá nhân cho cơ quan chuyên trách bị phạt thế nào?

Theo khoản 2 Điều 54 và khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, tổ chức bị phạt từ 20 triệu đồng đến 40 triệu đồng; cá nhân bị phạt từ 10 triệu đồng đến 20 triệu đồng đối với hành vi không thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong các trường hợp sau:

• Phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân;
• Dữ liệu cá nhân bị xử lý sai mục đích, không đúng thỏa thuận;
• Không bảo đảm hoặc thực hiện không đúng quyền của chủ thể dữ liệu cá nhân.

Ngoài mức phạt tiền, theo điểm a khoản 5 Điều 54, người vi phạm còn bị buộc thực hiện đầy đủ nghĩa vụ thông báo và cung cấp minh chứng về việc thực hiện cho cơ quan có thẩm quyền.

2. Cố ý che giấu hoặc báo cáo sai quy mô sự cố rò rỉ dữ liệu cá nhân bị phạt bao nhiêu?

Điểm c khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP quy định tổ chức bị phạt từ 10–20 triệu đồng đối với hành vi báo cáo vi phạm sự cố rò rỉ dữ liệu cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân nhưng cố ý che giấu, cung cấp thông tin sai lệch.

Quy định này áp dụng đối với các chủ thể:

• Bên kiểm soát dữ liệu cá nhân;
• Bên kiểm soát và xử lý dữ liệu cá nhân;
• Bên xử lý dữ liệu cá nhân.

Các thông tin bị cố ý che giấu hoặc cung cấp sai lệch gồm tính chất sự cố, quy mô, các loại dữ liệu cá nhân và số lượng chủ thể dữ liệu bị ảnh hưởng.

Theo khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, cá nhân thực hiện cùng hành vi bị phạt từ 05-10 triệu đồng.

Ngoài tiền phạt, điểm a khoản 5 Điều 54, người vi phạm còn bị buộc thực hiện đầy đủ nghĩa vụ thông báo vi phạm theo đúng nội dung, hình thức và thời hạn quy định; đồng thời cung cấp minh chứng về việc thực hiện cho cơ quan có thẩm quyền.

3. Thông báo cho cơ quan chuyên trách chậm hơn 72 giờ bị phạt thế nào?

Khoản 3 Điều 54 Nghị định 330/2026/NĐ-CP quy định mức phạt đối với tổ chức thông báo chậm trong trường hợp được quy định là từ 40–60 triệu đồng. Căn cứ khoản 1 Điều 7 Nghị định này, cá nhân thực hiện cùng hành vi bị phạt từ 20–30 triệu đồng.

3.1. Chủ thể và thời điểm xác định thông báo chậm

Căn cứ khoản 3 Điều 54 Nghị định 330/2026/NĐ-CP, các chủ thể bị xử phạt gồm:

• Bên kiểm soát dữ liệu cá nhân;
• Bên kiểm soát và xử lý dữ liệu cá nhân;
• Bên thứ ba.

Hành vi bị xử phạt là thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân chậm hơn 72 giờ kể từ khi phát hiện vi phạm quy định về bảo vệ dữ liệu cá nhân, với tính chất vi phạm được nêu tại khoản này.

3.2. Tính chất vi phạm thuộc trường hợp bị xử phạt

Theo khoản 3 Điều 54 Nghị định 330/2026/NĐ-CP, việc thông báo chậm hơn 72 giờ bị áp dụng khung phạt trên khi vi phạm quy định về bảo vệ dữ liệu cá nhân:

• Gây tổn hại hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội; hoặc
• Xâm phạm đến tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu cá nhân.

Đối với hành vi này, điểm a khoản 5 Điều 54 Nghị định 330/2026/NĐ-CP cũng quy định biện pháp buộc thực hiện đầy đủ nghĩa vụ thông báo vi phạm theo đúng nội dung, hình thức và thời hạn quy định, đồng thời cung cấp minh chứng thực hiện cho cơ quan có thẩm quyền.

4. Không thông báo kịp thời hoặc không lập biên bản vi phạm bị phạt bao nhiêu?

Theo khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP, bên xử lý dữ liệu phải kịp thời thông báo khi phát hiện vi phạm; còn bên kiểm soát dữ liệu có trách nhiệm lập biên bản xác nhận việc xảy ra vi phạm. Không thực hiện các nghĩa vụ này có thể bị xử phạt.

4.1. Bên xử lý dữ liệu không thông báo kịp thời khi phát hiện vi phạm

Theo điểm a khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP, khi phát hiện hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân, bên xử lý dữ liệu cá nhân phải kịp thời thông báo cho bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.

Nếu không thông báo kịp thời, mức phạt đối với tổ chức là từ 10-20 triệu đồng.

Trường hợp cá nhân thực hiện cùng hành vi vi phạm, mức phạt bằng 1/2 mức phạt đối với tổ chức, tương ứng từ 05-10 triệu đồng.

4.2. Không lập biên bản xác nhận việc xảy ra vi phạm

Theo quy định tại điểm b khoản 1 Điều 54 Nghị định 330/2026/NĐ-CP, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân không lập biên bản xác nhận về việc xảy ra hành vi vi phạm quy định về bảo vệ dữ liệu cá nhân sẽ bị phạt từ 10–20 triệu đồng nếu chủ thể vi phạm là tổ chức. Đối với cá nhân, mức phạt cho cùng hành vi là từ 05–10 triệu đồng.

Ngoài tiền phạt, theo điểm a khoản 5 Điều 54 Nghị định 330/2026/NĐ-CP, đối với hành vi vi phạm nêu trên, tổ chức, cá nhân vi phạm còn bị buộc thông báo về hành vi vi phạm theo quy định.

5. Không ngăn chặn, khắc phục hoặc phối hợp xử lý vi phạm bị phạt thế nào?

Theo khoản 4 Điều 54 Nghị định 330/2026/NĐ-CP, tổ chức bị phạt từ 60-80 triệu đồng đối với một trong các hành vi:

• Không thực hiện các biện pháp ngăn chặn hành vi vi phạm, không khắc phục hậu quả xảy ra.
• Không phối hợp với cơ quan chuyên trách bảo vệ dữ liệu cá nhân trong việc xử lý hành vi vi phạm.

Căn cứ khoản 1 Điều 7 Nghị định 330/2026/NĐ-CP, cá nhân thực hiện cùng hành vi bị phạt từ 30-40 triệu đồng.

Đồng thời, tổ chức, cá nhân vi phạm buộc thực hiện các biện pháp ngăn chặn và khắc phục hậu quả do hành vi vi phạm gây ra theo yêu cầu của cơ quan chuyên trách bảo vệ dữ liệu cá nhân.

Trên đây là thông tin về “Không thông báo sự cố dữ liệu cá nhân cho cơ quan chuyên trách bị phạt thế nào?”. Vui lòng xem chi tiết Nghị định 330/2026/NĐ-CP trên LuatVietnam.vn và các tính năng liên quan như: Tình trạng hiệu lực, Lược đồ...