Sử dụng dữ liệu sinh trắc học vượt mục đích ban đầu bị phạt đến 150 triệu đồng

Đây là nội dung tại Nghị định 330/2026/NĐ-CP của Chính phủ quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Theo điểm b khoản 2 Điều 70 Nghị định 330/2026/NĐ-CP, tổ chức khai thác, sử dụng dữ liệu sinh trắc học của cá nhân vượt quá mục đích ban đầu mà chưa được đồng ý có thể bị phạt từ 70-150 triệu đồng.

Như vậy, sự đồng ý của chủ thể dữ liệu là căn cứ quan trọng khi tổ chức muốn khai thác, sử dụng dữ liệu sinh trắc học cho mục đích khác với mục đích ban đầu. Nếu chưa có sự đồng ý mà vẫn tiếp tục khai thác, sử dụng thì tổ chức thuộc trường hợp bị xử phạt.

Bên cạnh đó, khoản 1 Điều 70 còn quy định phạt từ 50-70 triệu đồng nếu tổ chức thu thập, xử lý dữ liệu sinh trắc học nhưng không thiết lập biện pháp bảo mật vật lý đối với hệ thống, thiết bị lưu trữ và truyền tải dữ liệu.

Mức phạt này cũng áp dụng khi không hạn chế quyền truy cập hoặc không có hệ thống theo dõi để phòng ngừa hành vi xâm phạm dữ liệu vị trí cá nhân, dữ liệu sinh trắc học.

Nếu xảy ra sự cố vi phạm liên quan đến dữ liệu sinh trắc học, tổ chức phải thông báo cho cơ quan chuyên trách bảo vệ dữ liệu cá nhân và chủ thể dữ liệu bị ảnh hưởng trong thời hạn 72 giờ kể từ khi phát hiện.

Theo khoản 3 Điều 70, hành vi sử dụng dữ liệu sinh trắc học vượt mục đích ban đầu khi chưa được đồng ý còn có thể bị tịch thu thiết bị thu thập, máy chủ lưu trữ sinh trắc học được sử dụng để thực hiện vi phạm.

Hoạt động vận hành hệ thống, nền tảng ứng dụng có liên quan cũng có thể bị đình chỉ từ 03–06 tháng.

Ngoài ra, tổ chức vi phạm bị buộc hủy, xóa đến mức không thể khôi phục dữ liệu sinh trắc học đã bị thu thập, theo dõi trái phép theo điểm a khoản 4 Điều 70.

Mức phạt tại Điều 70 áp dụng đối với tổ chức; cá nhân có cùng hành vi bị phạt bằng một nửa.