Nghị định 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính lĩnh vực dữ liệu

NGHỊ ĐỊNH

Quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu

Căn cứ Luật Tổ chức Chính phủ số 63/2025/QH15;

Căn cứ Luật Tổ chức chính quyền địa phương số 72/2025/QH15;

Căn cứ Luật Ban hành văn bản quy phạm pháp luật số 64/2025/QH15 được sửa đổi, bổ sung bởi Luật số 87/2025/QH15;

Căn cứ Luật Dữ liệu số 60/2024/QH15;

Căn cứ Luật Xử lý vi phạm hành chính số 15/2012/QH13 được sửa đổi, bổ sung bởi Luật số 67/2020/QH14, Luật số 56/2024/QH15 và Luật số 88/2025/QH15;

Theo đề nghị của Bộ trưởng Bộ Công an;

Chính phủ ban hành Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu.

Chương I

QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

1. Nghị định này quy định về hành vi vi phạm hành chính, hình thức xử phạt, mức xử phạt, việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả đối với từng hành vi vi phạm hành chính, đối tượng bị xử phạt, thẩm quyền lập biên bản, thẩm quyền xử phạt, áp dụng biện pháp khắc phục hậu quả, mức phạt tiền cụ thể theo từng chức danh đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu.

2. Nghị định này không điều chỉnh các hành vi vi phạm hành chính thuộc phạm vi điều chỉnh của Nghị định quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân.

Điều 2. Đối tượng áp dụng

1. Cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam và cơ quan, tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động dữ liệu tại Việt Nam có hành vi vi phạm hành chính quy định tại Nghị định này.

2. Tổ chức bị xử phạt vi phạm hành chính theo quy định tại Nghị định này bao gồm:

a) Cơ quan nhà nước có hành vi vi phạm mà hành vi đó không thuộc nhiệm vụ quản lý nhà nước được giao;

b) Tổ chức được thành lập theo quy định của Luật Doanh nghiệp, Luật Hợp tác xã;

c) Tổ chức được thành lập theo quy định của Luật Các tổ chức tín dụng, Luật Đầu tư;

d) Đơn vị sự nghiệp công lập;

đ) Các tổ chức khác được thành lập theo quy định của pháp luật.

3. Hộ kinh doanh, hộ gia đình, cộng đồng dân cư vi phạm hành chính bị áp dụng mức phạt tiền đối với cá nhân vi phạm hành chính. Người đại diện của hộ kinh doanh, chủ hộ của hộ gia đình, người đứng đầu của cộng đồng dân cư chịu trách nhiệm thực hiện các quyết định xử phạt vi phạm hành chính theo quy định của pháp luật.

4. Cơ quan, người có thẩm quyền lập biên bản vi phạm hành chính, người có thẩm quyền xử phạt vi phạm hành chính và áp dụng biện pháp khắc phục hậu quả trong lĩnh vực dữ liệu theo quy định tại Nghị định này.

5. Cán bộ, công chức, viên chức, người thuộc lực lượng Quân đội nhân dân, Công an nhân dân và người làm công tác cơ yếu thực hiện hành vi vi phạm khi đang thi hành công vụ, nhiệm vụ và hành vi vi phạm đó thuộc công vụ, nhiệm vụ thì không bị xử phạt theo quy định của pháp luật về xử lý vi phạm hành chính mà bị xử lý theo quy định của pháp luật có liên quan.

Cơ quan nhà nước thực hiện hành vi vi phạm thuộc nhiệm vụ quản lý nhà nước thì không bị xử phạt theo quy định của pháp luật về xử lý vi phạm hành chính mà bị xử lý theo quy định của pháp luật có liên quan.

Điều 3. Thời hiệu xử phạt vi phạm hành chính

1. Thời hiệu xử phạt vi phạm hành chính trong lĩnh vực dữ liệu là 01 năm.

2. Thời điểm để tính thời hiệu xử phạt vi phạm hành chính quy định tại khoản 1 Điều này thực hiện theo quy định tại Luật Xử lý vi phạm hành chính và các văn bản quy định chi tiết hướng dẫn thi hành.

3. Thời điểm chấm dứt hành vi vi phạm để tính thời hiệu xử phạt:

a) Đối với hành vi vi phạm quy định về hoạt động cung cấp sản phẩm, dịch vụ về dữ liệu thì thời điểm chấm dứt hành vi vi phạm để tính thời hiệu xử phạt là ngày các bên hoàn thành nghĩa vụ;

b) Đối với hành vi đăng ký, thông báo, thực hiện thủ tục hành chính không đúng quy định pháp luật thì thời điểm chấm dứt hành vi vi phạm để tính thời hiệu xử phạt là ngày đăng ký, thông báo, thực hiện thủ tục hành chính.

4. Ngoài hành vi vi phạm hành chính tại khoản 3 Điều này, cơ quan, người có thẩm quyền xử phạt vi phạm hành chính căn cứ vào các văn bản quy phạm pháp luật có liên quan, hồ sơ, tài liệu và tình tiết của từng vụ việc cụ thể để xác định hành vi vi phạm đã kết thúc hay hành vi vi phạm đang thực hiện theo quy định của pháp luật về xử lý vi phạm hành chính.

5. Trong thời hạn được quy định tại khoản 1 Điều này mà cá nhân, tổ chức cố tình trốn tránh, cản trở việc xử phạt thì thời hiệu xử phạt vi phạm hành chính được tính lại kể từ thời điểm chấm dứt hành vi trốn tránh, cản trở việc xử phạt.

Điều 4. Hình thức xử phạt, biện pháp khắc phục hậu quả

1. Hình thức xử phạt chính trong lĩnh vực dữ liệu bao gồm:

a) Cảnh cáo;

b) Phạt tiền.

2. Tùy theo tính chất, mức độ vi phạm, tổ chức, cá nhân có hành vi vi phạm hành chính còn bị áp dụng các hình thức xử phạt bổ sung sau đây:

a) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn, bao gồm Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu, Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu, Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát;

b) Tịch thu tang vật, phương tiện, công cụ, phần mềm, dữ liệu được sử dụng trực tiếp để thực hiện hành vi vi phạm hành chính (sau đây gọi chung là tang vật, phương tiện vi phạm hành chính);

c) Đình chỉ hoạt động cung cấp, tiếp nhận, công khai, chuyển, xử lý, kết nối, chia sẻ, khai thác, sử dụng, phân tích, tổng hợp, xác nhận, xác thực dữ liệu có thời hạn;

d) Đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu, sàn dữ liệu, hoạt động thử nghiệm có kiểm soát có thời hạn;

đ) Đình chỉ hoạt động tham gia chương trình, dự án do Quỹ phát triển dữ liệu hỗ trợ có thời hạn;

e) Trục xuất đối với người nước ngoài có hành vi vi phạm hành chính.

3. Biện pháp khắc phục hậu quả

Cá nhân, tổ chức có hành vi vi phạm hành chính quy định tại Nghị định này có thể bị áp dụng một hoặc một số biện pháp khắc phục hậu quả sau đây:

a) Buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu hoặc buộc khôi phục hệ thống giám sát dữ liệu, khắc phục các lỗ hổng bảo mật hoặc buộc khôi phục dữ liệu do mã hóa, cấu hình mã hóa hoặc khóa bảo mật về trạng thái đúng theo quy định hoặc buộc khôi phục, đính chính dữ liệu, lịch sử dữ liệu bị xóa bỏ, sửa đổi, làm sai lệch hoặc bị làm mất hoặc buộc khôi phục dữ liệu bị tẩy xóa, sửa chữa, làm sai lệch trong quá trình xác nhận, xác thực;

b) Buộc khôi phục, bổ sung, cập nhật đầy đủ hồ sơ, hợp đồng điện tử, thông tin, nhật ký và lịch sử giao dịch;

c) Buộc áp dụng biện pháp kỹ thuật, biện pháp quản lý để bảo đảm an toàn dữ liệu hoặc buộc áp dụng biện pháp bảo vệ dữ liệu, an toàn dữ liệu hoặc buộc áp dụng biện pháp bảo đảm an toàn dữ liệu, bảo mật dữ liệu hoặc buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu và an toàn hoạt động của sàn dữ liệu, hoạt động trung gian dữ liệu hoặc buộc áp dụng biện pháp bảo mật, thu hồi hoặc xóa thông tin, dữ liệu đã tiết lộ, sử dụng trái phép;

d) Buộc thông báo về sự cố dữ liệu, hậu quả xảy ra và kết quả khắc phục hoặc buộc thông báo về kết quả xác nhận, xác thực sai đã cung cấp đến tổ chức, cá nhân có liên quan hoặc buộc thông báo về việc chuyển, xử lý dữ liệu trái phép hoặc buộc thông báo về việc chuyển giao dữ liệu đến tổ chức, cá nhân bị ảnh hưởng;

đ) Buộc gỡ bỏ ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm hoặc buộc gỡ bỏ, thu hồi hoặc vô hiệu hóa ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm hoặc buộc gỡ bỏ, thu hồi hoặc vô hiệu hóa dữ liệu, thông tin, nội dung số được công khai trái pháp luật trên môi trường mạng hoặc hệ thống thông tin;

e) Buộc ban hành quy trình thu thập, tạo lập dữ liệu hoặc buộc ban hành quy trình kỹ thuật về lưu trữ dữ liệu, bảo vệ dữ liệu hoặc buộc xây dựng, hoàn thiện quy trình, chuẩn kỹ thuật, phương thức xác nhận, xác thực theo quy định của pháp luật;

g) Buộc xóa, tiêu hủy dữ liệu đã hết thời hạn lưu trữ hoặc buộc xóa, tiêu hủy dữ liệu đã thu thập, tạo lập, sao chép, trích xuất, chuyển giao, xử lý, lưu trữ, khai thác, chia sẻ, mua bán, giao dịch hoặc sử dụng trái phép hoặc buộc xóa, tiêu hủy dữ liệu đã xác nhận, xác thực trái quy định hoặc buộc xóa, tiêu hủy dữ liệu hoặc kết quả phân tích, tổng hợp dữ liệu được tạo lập, sử dụng trái pháp luật hoặc buộc xóa, tiêu hủy kết quả, dữ liệu đã thu thập, xử lý trái quy định trong quá trình thử nghiệm;

h) Buộc đính chính, hiệu chỉnh, cập nhật dữ liệu được tạo lập sai lệch, giả mạo hoặc buộc cung cấp bổ sung, đính chính, hiệu chỉnh, cập nhật dữ liệu đã chia sẻ, cung cấp sai, thiếu hoặc bị làm sai lệch hoặc buộc cung cấp dữ liệu hoặc bổ sung, cập nhật dữ liệu đã cung cấp sai, thiếu hoặc bị làm sai lệch hoặc buộc cung cấp, công khai dữ liệu mở hoặc bổ sung, cập nhật dữ liệu đã công khai sai, thiếu hoặc bị làm sai lệch hoặc buộc cung cấp bổ sung, đính chính thông tin, tài liệu hoặc buộc cung cấp, bổ sung, đính chính, hiệu chỉnh, cập nhật dữ liệu, hồ sơ, báo cáo hoặc buộc công khai đầy đủ, chính xác phạm vi, phương thức, giá dịch vụ, tư cách tham gia giao dịch và quyền, lợi ích có liên quan hoặc buộc cung cấp đầy đủ, chính xác kết quả kiểm tra, đánh giá, thẩm định, thông tin, tài liệu, hồ sơ và kết quả cung cấp dịch vụ;

i) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm;

k) Buộc thực hiện phân loại dữ liệu hoặc cập nhật, duy trì, rà soát, điều chỉnh kết quả phân loại dữ liệu theo đúng quy định hoặc buộc thực hiện lưu trữ dữ liệu theo đúng tiêu chuẩn, quy chuẩn kỹ thuật;

l) Buộc phân quyền truy cập, truy xuất dữ liệu theo đúng phạm vi, đối tượng, trình tự, thủ tục theo quy định của pháp luật hoặc buộc thực hiện kết nối, chia sẻ, đồng bộ dữ liệu hoặc cung cấp quyền truy cập dữ liệu theo đúng phạm vi, đối tượng, trình tự, thủ tục quy định của pháp luật hoặc theo yêu cầu của cơ quan có thẩm quyền hoặc buộc kết nối, liên thông, cập nhật đầy đủ dữ liệu giao dịch và thông tin về Văn bản xác nhận quyền khai thác, sử dụng dữ liệu với Sàn dữ liệu quốc gia;

m) Buộc thu hồi, khóa hoặc vô hiệu hóa tài khoản truy cập, mã truy cập, khóa giải mã, chứng thư số, quyền quản trị hệ thống hoặc quyền khai thác dữ liệu đã được cấp, sử dụng trái quy định hoặc buộc thu hồi, hủy bỏ hoặc vô hiệu hóa kết quả xác thực, xác nhận bị sửa đổi, làm sai lệch hoặc buộc hủy bỏ kết quả kiểm tra, đánh giá, thẩm định không bảo đảm tính độc lập, khách quan, chính xác, trung thực;

n) Buộc thu hồi và hủy bỏ tài liệu giả mạo, tài liệu sai sự thật;

o) Buộc lưu giữ, cung cấp đầy đủ nhật ký hệ thống, lịch sử truy cập, lịch sử xử lý dữ liệu, hồ sơ, tài liệu và dữ liệu có liên quan hoặc buộc lưu giữ, cung cấp đầy đủ nhật ký hệ thống, lịch sử xử lý dữ liệu và tài liệu liên quan đến việc bàn giao, tiếp nhận, điều chỉnh, sao chép, truyền đưa, chuyển giao, thu hồi, xóa hoặc hủy dữ liệu;

p) Buộc thực hiện đánh giá mức độ kết nối, chia sẻ dữ liệu; công bố kết quả xếp hạng cơ sở dữ liệu hoặc gửi báo cáo đánh giá, xếp hạng cơ sở dữ liệu theo quy định hoặc buộc thực hiện đánh giá rủi ro, đánh giá an toàn dữ liệu theo quy định hoặc buộc thực hiện diễn tập khẩn cấp theo quy định hoặc buộc xây dựng kế hoạch ứng phó khẩn cấp theo quy định;

q) Buộc hủy niêm yết hoặc chấm dứt giao dịch đối với dữ liệu, sản phẩm, dịch vụ về dữ liệu không đủ điều kiện giao dịch hoặc buộc thực hiện biện pháp cô lập, ngăn chặn, kiểm soát nguồn dữ liệu, hệ thống thông tin, tài khoản hoặc thiết bị có nguy cơ tiếp tục thực hiện giao dịch dữ liệu trái pháp luật;

r) Buộc nộp lại Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu, Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu;

s) Buộc hoàn trả cho Quỹ khoản vốn hỗ trợ, đầu tư đã sử dụng không đúng mục đích, không đúng nội dung được cơ quan có thẩm quyền phê duyệt hoặc đã chuyển giao, cho mượn, cho thuê, sử dụng trái quy định.

4. Trường hợp đình chỉ hoạt động đối với cơ quan, tổ chức trực tiếp quản lý, vận hành cơ sở dữ liệu phục vụ quản lý nhà nước, cung cấp dịch vụ công hoặc thực hiện nhiệm vụ công vụ thiết yếu quy định tại điểm c, điểm d và điểm đ khoản 2 Điều này thì cơ quan, tổ chức, cá nhân vi phạm phải bảo đảm duy trì các hoạt động quản lý nhà nước, cung cấp dịch vụ công và các hoạt động thiết yếu không liên quan trực tiếp đến hành vi vi phạm.

Điều 5. Việc thi hành các hình thức xử phạt vi phạm hành chính, các biện pháp khắc phục hậu quả

1. Việc tịch thu phần mềm, dữ liệu vi phạm hành chính chỉ áp dụng đối với phần mềm, dữ liệu là tang vật, phương tiện được sử dụng trực tiếp để thực hiện hành vi vi phạm hành chính hoặc là sản phẩm, kết quả trực tiếp của hành vi vi phạm hành chính, được quy định cụ thể tại từng điều, khoản của Nghị định này.

2. Trường hợp phần mềm, dữ liệu vi phạm được lưu trữ trên thiết bị, hệ thống thông tin, tài khoản, kho dữ liệu, dịch vụ lưu trữ hoặc môi trường điện tử của cá nhân, tổ chức vi phạm, người có thẩm quyền xử phạt quyết định tịch thu phần mềm, dữ liệu vi phạm theo quy định của pháp luật về xử lý vi phạm hành chính; đồng thời áp dụng biện pháp buộc xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng đối với phần mềm, dữ liệu vi phạm còn lưu trữ trên thiết bị, hệ thống thông tin, tài khoản, kho dữ liệu, dịch vụ lưu trữ hoặc môi trường điện tử đó.

3. Việc xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng phần mềm, dữ liệu vi phạm phải được thực hiện trong phạm vi cần thiết, tương ứng với tính chất, mức độ vi phạm; không làm mất, hư hỏng, thay đổi hoặc cản trở việc khai thác, sử dụng dữ liệu, phần mềm, hệ thống thông tin hợp pháp của cá nhân, tổ chức, trừ trường hợp dữ liệu, phần mềm, hệ thống đó không thể tách rời khỏi phần vi phạm hoặc pháp luật có quy định khác.

4. Trước khi xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng phần mềm, dữ liệu vi phạm, người có thẩm quyền phải lập biên bản, ghi nhận rõ tên, loại, dung lượng, định dạng, vị trí lưu trữ, mã định danh, mã băm hoặc thông tin kỹ thuật cần thiết khác để xác định phần mềm, dữ liệu vi phạm; trường hợp cần thiết thì sao lưu, niêm phong hoặc trích xuất bản sao phục vụ xác minh, xử lý vi phạm, giải quyết khiếu nại, tố cáo, tranh chấp hoặc yêu cầu của cơ quan có thẩm quyền.

5. Trường hợp phần mềm, dữ liệu vi phạm được lưu trữ, sao chép, phân tán trên nhiều thiết bị, hệ thống thông tin, tài khoản, kho dữ liệu, dịch vụ lưu trữ hoặc môi trường điện tử khác nhau, cá nhân, tổ chức vi phạm có trách nhiệm cung cấp thông tin, quyền truy cập cần thiết và phối hợp với cơ quan có thẩm quyền để thực hiện việc xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng đối với toàn bộ phần mềm, dữ liệu vi phạm.

6. Việc tịch thu, xóa, tiêu hủy hoặc làm mất khả năng truy cập, sử dụng phần mềm, dữ liệu vi phạm phải bảo đảm an ninh dữ liệu, bảo vệ bí mật nhà nước, bí mật kinh doanh, dữ liệu cá nhân và quyền, lợi ích hợp pháp của cơ quan, tổ chức, cá nhân có liên quan.

7. Việc phát hiện, lập biên bản vi phạm hành chính, xác minh tình tiết của vụ việc, ban hành, gửi, nhận, tổ chức thi hành quyết định xử phạt vi phạm hành chính và thực hiện các thủ tục khác trong xử phạt vi phạm hành chính trong lĩnh vực dữ liệu trên môi trường điện tử được thực hiện theo quy định tại Luật Xử lý vi phạm hành chính và các văn bản quy định chi tiết hướng dẫn thi hành và các quy định của pháp luật có liên quan.

Điều 6. Mức phạt tiền vi phạm hành chính

1. Mức phạt tiền tối đa đối với hành vi vi phạm hành chính trong lĩnh vực dữ liệu đối với cá nhân là 100.000.000 đồng.

2. Mức phạt tiền quy định tại Chương II Nghị định này là mức phạt được áp dụng đối với hành vi vi phạm hành chính của cá nhân, trừ trường hợp quy định tại điểm b khoản 1 Điều 8, Điều 9, Điều 10, khoản 2 Điều 13 và khoản 4 Điều 16 của Nghị định này là mức phạt đối với tổ chức. Mức phạt tiền đối với tổ chức bằng 02 lần mức phạt tiền đối với cá nhân.

3. Việc xác định mức phạt cụ thể căn cứ vào mức phạt tiền đã được quy định đối với từng hành vi tại Nghị định này và các tình tiết tăng nặng, giảm nhẹ theo quy định tại Luật Xử lý vi phạm hành chính và các văn bản quy định chi tiết hướng dẫn thi hành.

Chương II

HÀNH VI VI PHẠM HÀNH CHÍNH, HÌNH THỨC XỬ PHẠT
VÀ BIỆN PHÁP KHẮC PHỤC HẬU QUẢ

Điều 7. Vi phạm quy định về các hành vi bị nghiêm cấm trong lĩnh vực dữ liệu

1. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Giả mạo, cố ý làm sai lệch, làm mất, làm hư hỏng dữ liệu trong cơ sở dữ liệu của cơ quan Đảng, Nhà nước, Ủy ban Mặt trận Tổ quốc Việt Nam nhưng chưa đến mức truy cứu trách nhiệm hình sự;

b) Cố ý cung cấp dữ liệu sai lệch hoặc không cung cấp dữ liệu theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền; trừ trường hợp quy định tại Điều 16 Nghị định này.

2. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Cản trở hoặc ngăn chặn trái pháp luật quá trình xử lý dữ liệu, quản trị dữ liệu của cơ quan, tổ chức, người có thẩm quyền theo quy định của pháp luật;

b) Tấn công, chiếm đoạt, phá hoại cơ sở dữ liệu, hệ thống thông tin phục vụ quản lý, xử lý, quản trị, bảo vệ dữ liệu nhưng chưa đến mức truy cứu trách nhiệm hình sự.

3. Hình thức xử phạt bổ sung

Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả

a) Buộc khôi phục dữ liệu, cơ sở dữ liệu hoặc tình trạng ban đầu của dữ liệu đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm b khoản 2 Điều này;

b) Buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu theo quy định của pháp luật đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này;

c) Buộc thông báo về sự cố dữ liệu, hậu quả xảy ra và kết quả khắc phục đến chủ thể dữ liệu và tổ chức, cá nhân khác có liên quan đối với hành vi vi phạm quy định tại điểm b khoản 2 Điều này;

d) Buộc gỡ bỏ ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm quy định tại khoản 2 Điều này.

Điều 8. Vi phạm quy định về thu thập, tạo lập dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Thu thập, tạo lập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu hoặc chủ sở hữu dữ liệu theo quy định của pháp luật;

b) Không ban hành quy trình thu thập, tạo lập dữ liệu hoặc không thực hiện việc đánh giá, áp dụng các biện pháp bảo vệ dữ liệu trước khi tiến hành thu thập, tạo lập dữ liệu;

c) Không thực hiện việc kiểm tra tính xác thực, bảo đảm chất lượng dữ liệu trong quá trình thu thập, tạo lập dữ liệu.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý thu thập, tạo lập dữ liệu không đúng với dữ liệu gốc;

b) Cố ý thu thập, tạo lập dữ liệu giả mạo;

c) Thu thập, tạo lập dữ liệu vượt quá phạm vi, mục đích đã thông báo;

d) Hành vi vi phạm tại khoản 1 Điều này mà dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng quốc gia;

đ) Hành vi vi phạm tại khoản 1 Điều này làm rò rỉ thông tin nhạy cảm, làm ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc an ninh quốc gia.

3. Hình thức xử phạt bổ sung

a) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm a, điểm b, điểm c khoản 2 Điều này;

b) Đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 06 tháng đến 09 tháng đối với hành vi vi phạm quy định tại điểm d, điểm đ khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả

a) Buộc ban hành quy trình thu thập, tạo lập dữ liệu đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

b) Buộc xóa, tiêu hủy dữ liệu đã được thu thập, tạo lập trái quy định đối với hành vi vi phạm quy định tại điểm a khoản 1 và điểm a, điểm b, điểm c khoản 2 Điều này;

c) Buộc đính chính, hiệu chỉnh, cập nhật dữ liệu được tạo lập sai lệch, giả mạo đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 2 Điều này;

d) Buộc áp dụng biện pháp bảo vệ dữ liệu, an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

đ) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a khoản 1 và điểm a, điểm b, điểm c khoản 2 Điều này.

Điều 9. Vi phạm quy định về phân loại dữ liệu

1. Phạt tiền từ 30.000.000 đồng đến 50.000.000 đồng đối với cơ quan, tổ chức quy định tại khoản 2 Điều 2 Nghị định này khi thực hiện một trong những hành vi sau đây:

a) Không thực hiện phân loại dữ liệu theo quy định của pháp luật;

b) Không cập nhật, duy trì kết quả phân loại dữ liệu theo quy định hoặc không rà soát, điều chỉnh kết quả phân loại khi thay đổi mục đích xử lý, phạm vi khai thác hoặc tính chất của dữ liệu.

2. Biện pháp khắc phục hậu quả

Buộc thực hiện phân loại dữ liệu hoặc cập nhật, duy trì, rà soát, điều chỉnh kết quả phân loại dữ liệu theo đúng quy định đối với hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 10. Vi phạm quy định về lưu trữ dữ liệu

1. Phạt tiền từ 10.000.000 đồng đến 30.000.000 đồng đối với cơ quan, tổ chức quy định tại khoản 2 Điều 2 Nghị định này khi thực hiện một trong những hành vi sau đây:

a) Không ban hành quy trình kỹ thuật về lưu trữ dữ liệu thuộc phạm vi quản lý;

b) Lưu trữ dữ liệu không bảo đảm an toàn, không tuân thủ tiêu chuẩn, quy chuẩn kỹ thuật về bảo vệ dữ liệu của cơ quan có thẩm quyền.

2. Phạt tiền từ 30.000.000 đồng đến 70.000.000 đồng đối với cơ quan, tổ chức quy định tại khoản 2 Điều 2 Nghị định này khi thực hiện một trong những hành vi sau đây:

a) Hành vi vi phạm quy định tại khoản 1 Điều này mà dữ liệu là dữ liệu cốt lõi hoặc dữ liệu quan trọng;

b) Tự ý di chuyển, sao chép, chuyển giao hoặc lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng sang hệ thống khác mà không được sự đồng ý của chủ sở hữu dữ liệu hoặc cơ quan có thẩm quyền;

c) Lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng tại hệ thống hoặc nền tảng đặt ngoài lãnh thổ Việt Nam hoặc do tổ chức, cá nhân nước ngoài quản lý trái quy định của pháp luật.

3. Biện pháp khắc phục hậu quả

a) Buộc thực hiện lưu trữ dữ liệu theo đúng tiêu chuẩn, quy chuẩn kỹ thuật đối với hành vi vi phạm quy định tại điểm b khoản 1 và khoản 2 Điều này;

b) Buộc xóa, tiêu hủy dữ liệu được sao chép, chuyển giao, lưu trữ trái quy định đối với hành vi vi phạm quy định tại điểm b và điểm c khoản 2 Điều này;

c) Buộc ban hành quy trình kỹ thuật về lưu trữ dữ liệu đối với hành vi vi phạm quy định tại điểm a khoản 1 Điều này.

Điều 11. Vi phạm quy định về quản trị, quản lý dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý khai thác hoặc sử dụng dữ liệu ngoài phạm vi được giao gây ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc ảnh hưởng đến hoạt động quản lý nhà nước;

b) Che giấu, xóa bỏ, làm sai lệch lịch sử dữ liệu, sửa đổi làm sai lệch hoặc làm mất dữ liệu.

2. Hình thức xử phạt bổ sung

Đình chỉ hoạt động khai thác, sử dụng dữ liệu từ 03 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm a khoản 1 Điều này.

3. Biện pháp khắc phục hậu quả

a) Buộc khôi phục, đính chính dữ liệu, lịch sử dữ liệu bị xóa bỏ, sửa đổi, làm sai lệch hoặc bị làm mất đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

b) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1 Điều này.

Điều 12. Vi phạm quy định về truy cập, truy xuất dữ liệu

1. Phạt cảnh cáo đối với một trong những hành vi sau đây:

a) Phân quyền truy cập, truy xuất dữ liệu không đúng quy trình, không có phê duyệt của cấp có thẩm quyền;

b) Không thực hiện ghi nhật ký truy cập, truy xuất dữ liệu theo yêu cầu của pháp luật về dữ liệu;

c) Không thực hiện kiểm tra định kỳ việc phân quyền truy cập, truy xuất dữ liệu và nhật ký truy cập, truy xuất dữ liệu theo quy định.

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Cấp quyền truy cập, truy xuất dữ liệu ngoài đối tượng, phạm vi, mục đích được cấp quyền;

b) Sử dụng tài khoản, chứng thư số, khóa truy cập của người khác để truy cập, truy xuất dữ liệu;

c) Cho người khác sử dụng tài khoản, chứng thư số, khóa truy cập thuộc quyền quản lý, sử dụng để truy cập, truy xuất dữ liệu;

d) Xóa, sửa, làm sai lệch nhật ký truy cập, truy xuất dữ liệu.

3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý truy cập, truy xuất dữ liệu ngoài phạm vi được cấp quyền;

b) Từ chối, cản trở hoặc cố ý trì hoãn việc truy cập, truy xuất dữ liệu hợp pháp của cơ quan nhà nước có thẩm quyền;

c) Truy cập, truy xuất trái phép dữ liệu cốt lõi, dữ liệu quan trọng;

d) Sử dụng công cụ tự động, phần mềm truy cập, truy xuất dữ liệu, công cụ khai thác, dò quét, can thiệp trái phép vào hệ thống để thu thập, truy xuất dữ liệu.

4. Hình thức xử phạt bổ sung

Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm d khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc phân quyền truy cập, truy xuất dữ liệu theo đúng phạm vi, đối tượng, trình tự, thủ tục theo quy định của pháp luật đối với hành vi vi phạm quy định tại điểm a khoản 1 Điều này;

b) Buộc thu hồi, khóa hoặc vô hiệu hóa tài khoản truy cập, mã truy cập, khóa giải mã, chứng thư số, quyền quản trị hệ thống hoặc quyền khai thác dữ liệu đã được cấp, sử dụng trái quy định đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm c khoản 2 và điểm a, điểm c khoản 3 Điều này;

c) Buộc gỡ bỏ, thu hồi hoặc vô hiệu hóa ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm quy định tại điểm d khoản 3 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2, khoản 3 Điều này.

Điều 13. Vi phạm quy định về kết nối, chia sẻ, điều phối dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Kết nối, chia sẻ dữ liệu thuộc trường hợp phải được cơ quan có thẩm quyền phê duyệt với tổ chức, cá nhân khi chưa được phê duyệt hoặc thực hiện không đúng nội dung, điều kiện, quy trình đã được phê duyệt;

b) Chia sẻ, cung cấp dữ liệu ngoài phạm vi, mục đích được phép theo hợp đồng, văn bản thỏa thuận hoặc phạm vi được phân quyền.

2. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với cơ quan quy định tại khoản 2 Điều 2 Nghị định này khi thực hiện một trong những hành vi sau đây:

a) Không thực hiện, trì hoãn hoặc cản trở việc kết nối, chia sẻ dữ liệu bắt buộc trong hệ thống chính trị đối với các cơ sở dữ liệu thuộc phạm vi chia sẻ bắt buộc;

b) Chia sẻ, cung cấp dữ liệu sai định dạng chuẩn, sai mô hình dữ liệu, sai chuẩn Từ điển dữ liệu dùng chung gây sai lệch hoặc cản trở tích hợp, đồng bộ dữ liệu;

c) Chia sẻ, cung cấp dữ liệu thông qua các kênh không an toàn, không mã hóa, không kiểm soát hoặc không đảm bảo các biện pháp bảo vệ dữ liệu theo chuẩn quốc gia.

3. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Chia sẻ, cung cấp dữ liệu cốt lõi, dữ liệu quan trọng hoặc dữ liệu quốc gia khi chưa được phép hoặc ngoài mục đích được cấp quyền;

b) Cố ý sửa đổi, làm sai lệch hoặc che giấu dữ liệu trong quá trình chia sẻ, cung cấp dữ liệu;

c) Sử dụng kết nối dữ liệu, giao diện lập trình ứng dụng (API) dữ liệu, nền tảng chia sẻ dữ liệu để thu thập, sao chép, trích xuất dữ liệu trái phép.

4. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu từ 01 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 1, điểm c khoản 2 và khoản 3 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 1 và khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc thực hiện kết nối, chia sẻ dữ liệu hoặc cung cấp quyền truy cập dữ liệu theo đúng phạm vi, đối tượng, trình tự, thủ tục quy định của pháp luật hoặc theo yêu cầu của cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này;

b) Buộc cung cấp bổ sung, đính chính, hiệu chỉnh, cập nhật dữ liệu đã chia sẻ, cung cấp sai, thiếu hoặc bị làm sai lệch đối với hành vi vi phạm quy định tại điểm b khoản 2 và điểm b khoản 3 Điều này;

c) Buộc xóa, tiêu hủy dữ liệu đã thu thập, sao chép, trích xuất trái phép đối với hành vi vi phạm quy định tại điểm c khoản 3 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 1 và khoản 3 Điều này.

Điều 14. Vi phạm quy định về phân tích, tổng hợp dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Phân tích, tổng hợp dữ liệu từ nguồn dữ liệu không được phép truy cập, truy xuất, sử dụng;

b) Phân tích, tổng hợp dữ liệu đối với dữ liệu thuộc trường hợp pháp luật quy định phải được cơ quan có thẩm quyền phê duyệt nhưng chưa được phê duyệt hoặc sai mục đích đã được phê duyệt;

c) Phân tích, tổng hợp dữ liệu vượt phạm vi, khối lượng dữ liệu được phép theo phân quyền hoặc hợp đồng.

2. Phạt tiền từ 40.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Phân tích, tổng hợp dữ liệu có kết nối với cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành nhưng không tuân thủ chuẩn kết nối, chuẩn API, chuẩn tích hợp, chuẩn siêu dữ liệu theo quy định;

b) Sử dụng kết quả phân tích, tổng hợp dữ liệu để chia sẻ, cung cấp cho bên thứ ba trái với nội dung đã được phê duyệt hoặc chưa được cơ quan có thẩm quyền phê duyệt đối với dữ liệu thuộc trường hợp pháp luật quy định phải được cơ quan có thẩm quyền phê duyệt;

c) Không thực hiện biện pháp bảo đảm an toàn dữ liệu, bảo mật dữ liệu, ẩn danh hóa, mã hóa hoặc không ghi nhật ký xử lý đối với dữ liệu cốt lõi, dữ liệu quan trọng trong quá trình phân tích, tổng hợp.

3. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý phân tích, tổng hợp dữ liệu từ nguồn bất hợp pháp, dữ liệu bị rò rỉ, dữ liệu không được phép xử lý;

b) Phân tích, tổng hợp dữ liệu cốt lõi, dữ liệu quan trọng khi chưa được phê duyệt hoặc vượt phạm vi được phép;

c) Sửa đổi, giả mạo, làm sai lệch mô hình, thuật toán, công thức hoặc kết quả phân tích, tổng hợp dữ liệu.

4. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động phân tích, tổng hợp dữ liệu từ 01 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 2 và điểm a, điểm b, điểm c khoản 3 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a, điểm c khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc xóa, tiêu hủy dữ liệu hoặc kết quả phân tích, tổng hợp dữ liệu được tạo lập, sử dụng trái pháp luật đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm c khoản 1, điểm b khoản 2 và khoản 3 Điều này;

b) Buộc áp dụng biện pháp bảo đảm an toàn dữ liệu, bảo mật dữ liệu đối với hành vi vi phạm quy định tại điểm c khoản 2 Điều này;

c) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại Điều này.

Điều 15. Vi phạm quy định về xác nhận, xác thực dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thực hiện xác nhận, xác thực dữ liệu khi có yêu cầu hợp pháp của tổ chức, cá nhân có thẩm quyền;

b) Xác nhận, xác thực dữ liệu khi không được phân quyền, không được giao nhiệm vụ hoặc vượt quá phạm vi được giao.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý xác nhận, xác thực dữ liệu sai sự thật, sai bản chất dữ liệu, sai thời điểm;

b) Sử dụng kết quả xác nhận, xác thực dữ liệu không đúng mục đích, không đúng phạm vi hoặc trái quy định của pháp luật.

3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Giả mạo kết quả xác nhận, xác thực dữ liệu; tẩy xóa, sửa chữa, can thiệp vào dữ liệu đã được xác nhận, xác thực;

b) Sử dụng công cụ, phần mềm, hệ thống để tạo ra kết quả xác thực giả, vượt qua hoặc phá vỡ cơ chế xác thực hợp pháp;

c) Lợi dụng hoạt động xác nhận, xác thực dữ liệu để che giấu sai phạm, tạo lập thông tin sai lệch hoặc phục vụ hành vi trục lợi;

d) Cung cấp dịch vụ xác nhận, xác thực dữ liệu khi không đáp ứng điều kiện theo quy định của pháp luật.

4. Hình thức xử phạt bổ sung

a) Tước quyền sử dụng giấy phép đủ điều kiện kinh doanh hoạt động xác nhận, xác thực dữ liệu từ 03 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm c khoản 3 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm b, điểm c khoản 3 Điều này;

c) Đình chỉ hoạt động xác nhận, xác thực dữ liệu từ 01 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 2 và điểm a, điểm b, điểm d khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc xóa, tiêu hủy hoặc vô hiệu hóa kết quả xác nhận, xác thực dữ liệu được tạo lập trái quy định đối với hành vi vi phạm quy định tại điểm b khoản 1, điểm a khoản 2 và điểm a, điểm b, điểm d khoản 3 Điều này;

b) Buộc thu hồi, hủy bỏ hoặc vô hiệu hóa kết quả xác thực, xác nhận bị sửa đổi, làm sai lệch đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này;

c) Buộc khôi phục dữ liệu bị tẩy xóa, sửa chữa, làm sai lệch trong quá trình xác nhận, xác thực đối với hành vi vi phạm quy định tại điểm a khoản 3 Điều này;

d) Buộc thông báo về kết quả xác nhận, xác thực sai đã cung cấp đến tổ chức, cá nhân có liên quan đối với hành vi vi phạm quy định tại điểm a khoản 2 và điểm a, điểm b, điểm c khoản 3 Điều này;

đ) Buộc xây dựng, hoàn thiện quy trình, chuẩn kỹ thuật, phương thức xác nhận, xác thực theo quy định của pháp luật đối với hành vi vi phạm quy định tại điểm d khoản 3 Điều này;

e) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2, khoản 3 Điều này.

Điều 16. Vi phạm quy định về cung cấp dữ liệu cho cơ quan nhà nước

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Cung cấp dữ liệu không đúng thời hạn theo yêu cầu hợp pháp của cơ quan nhà nước;

b) Tự ý trì hoãn, kéo dài thời gian cung cấp dữ liệu khi không có lý do chính đáng.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý cung cấp dữ liệu sai lệch, không chính xác, đã bị chỉnh sửa, dữ liệu không đầy đủ, không đúng loại dữ liệu, mức độ chi tiết, khối lượng, tần suất hoặc phương thức theo yêu cầu hợp pháp;

b) Không thông báo cho cơ quan nhà nước về tình trạng dữ liệu không còn tồn tại, bị hư hỏng hoặc bị thay đổi mà không xuất phát từ yêu cầu của cơ quan nhà nước;

c) Cung cấp dữ liệu mà không có sự đồng ý của chủ thể dữ liệu trong trường hợp pháp luật không cho phép cung cấp bắt buộc;

d) Không cung cấp dữ liệu cho cơ quan nhà nước có thẩm quyền trong các trường hợp bắt buộc theo quy định của pháp luật về dữ liệu.

3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Cung cấp dữ liệu giả mạo, sai nguồn gốc, sai bản chất;

b) Lợi dụng việc cung cấp dữ liệu hoặc không cung cấp dữ liệu để gây cản trở hoạt động của cơ quan nhà nước hoặc để trục lợi;

c) Tự ý chia sẻ hoặc tiết lộ yêu cầu cung cấp dữ liệu của cơ quan nhà nước trong trường hợp yêu cầu đó thuộc bí mật công tác hoặc bí mật nhà nước.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với cơ quan, tổ chức quy định tại khoản 2 Điều 2 Nghị định này trong quá trình tiếp nhận dữ liệu thực hiện một trong những hành vi sau đây:

a) Không bảo đảm an toàn dữ liệu, để xảy ra lộ lọt, mất mát, truy cập trái phép trong quá trình tiếp nhận và sử dụng dữ liệu;

b) Không xóa, hủy dữ liệu khi hết thời hạn lưu trữ theo quy định của pháp luật hoặc theo thời hạn lưu trữ đã xác định, trừ trường hợp pháp luật có quy định khác.

5. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động cung cấp dữ liệu hoặc tiếp nhận dữ liệu từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 4 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a khoản 2, điểm a khoản 3, điểm b khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc cung cấp dữ liệu hoặc bổ sung, cập nhật dữ liệu đã cung cấp sai, thiếu hoặc bị làm sai lệch đối với hành vi vi phạm quy định tại khoản 1, điểm a, điểm d khoản 2 và điểm a khoản 3 Điều này;

b) Buộc xóa, tiêu hủy dữ liệu đã hết thời hạn lưu trữ đối với hành vi vi phạm quy định tại điểm b khoản 4 Điều này;

c) Buộc áp dụng biện pháp kỹ thuật cần thiết để bảo đảm an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm a khoản 4 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a khoản 2, khoản 3 Điều này.

Điều 17. Vi phạm quy định về công khai dữ liệu

1. Phạt cảnh cáo đối với một trong những hành vi sau đây:

a) Không công khai dữ liệu mở hoặc công khai dữ liệu mở nhưng chậm thời hạn, không đúng tần suất hoặc không đúng hình thức quy định;

b) Công khai dữ liệu không bảo đảm khả năng truy cập, khai thác, sử dụng hoặc không đúng định dạng dữ liệu mở theo chuẩn kỹ thuật.

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Công khai dữ liệu không phản ánh đúng dữ liệu gốc;

b) Công khai dữ liệu không được phép công khai theo quy định của pháp luật.

3. Phạt tiền từ 40.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Lợi dụng việc công khai dữ liệu để phát tán, lan truyền thông tin sai sự thật, làm sai lệch bản chất dữ liệu, xâm phạm quyền và lợi ích hợp pháp của tổ chức, cá nhân;

b) Cố ý công khai dữ liệu không đúng nhằm gây nhầm lẫn, cản trở hoạt động của tổ chức, cá nhân khác;

c) Không thực hiện phân tích, đánh giá tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng trước khi công khai dữ liệu.

4. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động công khai dữ liệu từ 01 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm b khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc gỡ bỏ, thu hồi hoặc vô hiệu hóa dữ liệu, thông tin, nội dung số được công khai trái pháp luật trên môi trường mạng hoặc hệ thống thông tin đối với hành vi vi phạm quy định tại khoản 2 và điểm a, điểm b khoản 3 Điều này;

b) Buộc cung cấp, công khai dữ liệu mở hoặc bổ sung, cập nhật dữ liệu đã công khai sai, thiếu hoặc bị làm sai lệch đối với hành vi vi phạm quy định tại khoản 1, điểm a khoản 2 và điểm a, điểm b khoản 3 Điều này;

c) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2, điểm a, điểm b khoản 3 Điều này.

Điều 18. Vi phạm quy định về mã hóa, giải mã dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thực hiện mã hóa, không áp dụng biện pháp mã hóa, giải mã dữ liệu khi truyền tải, lưu trữ hoặc chia sẻ dữ liệu trong trường hợp pháp luật quy định phải mã hóa, giải mã;

b) Không thực hiện kiểm tra, đánh giá, xác thực người thực hiện giải mã hoặc cấp quyền truy cập dữ liệu đã mã hóa theo quy định.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Mã hóa, giải mã dữ liệu không đúng thẩm quyền, phạm vi được giao hoặc không tuân thủ quy trình kỹ thuật;

b) Giải mã dữ liệu mà không được chủ sở hữu dữ liệu, chủ quản dữ liệu hoặc cơ quan có thẩm quyền đồng ý;

c) Không bảo đảm an toàn thông tin, an ninh dữ liệu trong quá trình mã hóa, giải mã làm lộ lọt dữ liệu, mất mát dữ liệu hoặc mất an toàn dữ liệu.

3. Phạt tiền từ 60.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Công khai, phát tán, trao đổi hoặc mua bán công cụ, phần mềm hỗ trợ giải mã trái phép;

b) Ngăn cản, trì hoãn hoặc cản trở cơ quan nhà nước trong việc thực hiện giải mã dữ liệu thuộc các trường hợp quy định tại khoản 4 Điều 22 Luật Dữ liệu;

c) Mã hóa dữ liệu thuộc danh mục bí mật nhà nước nhưng không sử dụng mật mã cơ yếu theo quy định.

4. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm b, điểm c khoản 3 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc khôi phục dữ liệu do mã hóa, cấu hình mã hóa hoặc khóa bảo mật về trạng thái đúng theo quy định đối với hành vi vi phạm quy định tại khoản 2, điểm c khoản 3 Điều này;

b) Buộc gỡ bỏ, thu hồi hoặc vô hiệu hóa ứng dụng, phần mềm được sử dụng để thực hiện hành vi vi phạm quy định tại điểm a khoản 3 Điều này;

c) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2, điểm a, điểm b khoản 3 Điều này.

Điều 19. Vi phạm quy định về chuyển, xử lý dữ liệu xuyên biên giới

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không gửi hồ sơ đánh giá tác động theo thời hạn quy định đối với trường hợp chuyển, xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới;

b) Không sửa đổi, bổ sung hồ sơ đánh giá tác động khi có thay đổi về mục đích, phương pháp, phạm vi, loại dữ liệu chuyển, xử lý; thay đổi mục đích hoặc phương pháp xử lý dữ liệu ảnh hưởng đến an ninh, an toàn dữ liệu; kéo dài thời gian lưu trữ dữ liệu cốt lõi, dữ liệu quan trọng; thay đổi chính sách, quy định bảo vệ dữ liệu và môi trường an ninh mạng; thay đổi quyền kiểm soát thực tế của bên chuyển dữ liệu hoặc bên nhận dữ liệu;

c) Không lưu trữ, bảo quản hồ sơ đánh giá tác động theo quy định;

d) Không gửi báo cáo đánh giá tác động trong thời hạn quy định đối với trường hợp chuyển dữ liệu theo cơ chế ngoại lệ;

đ) Không lập văn bản giao kết giữa bên chuyển dữ liệu và bên nhận dữ liệu theo nội dung bắt buộc.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Chuyển hoặc xử lý dữ liệu vượt phạm vi, loại dữ liệu, khối lượng dữ liệu, tần suất hoặc thời hạn đã khai báo, đánh giá hoặc được chấp thuận;

b) Không tuân thủ quy định về định lượng dữ liệu quan trọng khi chuyển hoặc xử lý dữ liệu xuyên biên giới;

c) Không thực hiện nghĩa vụ phối hợp, cung cấp thông tin hoặc giải trình khi cơ quan có thẩm quyền yêu cầu;

d) Không áp dụng biện pháp kỹ thuật, biện pháp quản lý để bảo đảm an toàn dữ liệu trong quá trình chuyển, xử lý dữ liệu xuyên biên giới.

3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau:

a) Chuyển hoặc xử lý dữ liệu cốt lõi xuyên biên giới khi chưa thực hiện đánh giá tác động theo quy định;

b) Chuyển dữ liệu cốt lõi khi chưa có văn bản chấp thuận của cơ quan có thẩm quyền theo quy định của pháp luật;

c) Cung cấp hồ sơ đánh giá tác động không đúng sự thật, tẩy xóa, sửa chữa tài liệu làm sai lệch hồ sơ;

d) Không chấp hành yêu cầu tạm dừng hoạt động chuyển hoặc xử lý dữ liệu xuyên biên giới của cơ quan có thẩm quyền.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau:

a) Chuyển hoặc xử lý dữ liệu cốt lõi, dữ liệu quan trọng xuyên biên giới gây ảnh hưởng hoặc có nguy cơ gây ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, lợi ích quốc gia, lợi ích công cộng hoặc quyền, lợi ích hợp pháp của chủ thể dữ liệu;

b) Lợi dụng hoạt động chuyển, xử lý dữ liệu xuyên biên giới để che giấu hoạt động chuyển dữ liệu trái phép hoặc thực hiện hành vi trái quy định của pháp luật khác.

5. Hình thức xử phạt bổ sung

a) Đình chỉ hoạt động chuyển, xử lý dữ liệu xuyên biên giới từ 03 tháng đến 12 tháng đối với hành vi vi phạm quy định tại khoản 3, khoản 4 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a, điểm b khoản 3 và điểm a, điểm b khoản 4 Điều này;

c) Trục xuất khỏi lãnh thổ nước Cộng hòa xã hội chủ nghĩa Việt Nam đối với người nước ngoài có hành vi vi phạm tại khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc xóa, tiêu hủy dữ liệu chuyển, xử lý trái quy định đối với hành vi vi phạm quy định tại điểm a khoản 2, điểm a, điểm b khoản 3 và điểm a khoản 4 Điều này;

b) Buộc thông báo về việc chuyển, xử lý dữ liệu trái phép đến chủ thể dữ liệu, tổ chức, cá nhân có liên quan đối với hành vi vi phạm quy định tại khoản 4 Điều này;

c) Buộc áp dụng biện pháp kỹ thuật, biện pháp quản lý để bảo đảm an toàn dữ liệu đối với hành vi vi phạm quy định tại điểm d khoản 2 và khoản 4 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2, khoản 3, khoản 4 Điều này.

Điều 20. Vi phạm quy định về kiểm toán dữ liệu và xếp hạng cơ sở dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau:

a) Không phối hợp, gây cản trở hoạt động kiểm toán dữ liệu;

b) Không thực hiện việc tự kiểm toán, tự đánh giá dữ liệu theo yêu cầu của cơ quan có thẩm quyền;

c) Không thực hiện rà soát, cập nhật, chuẩn hóa dữ liệu theo kết luận kiểm toán;

d) Không báo cáo kết quả thực hiện kiến nghị kiểm toán dữ liệu theo thời hạn quy định.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau:

a) Không cung cấp đầy đủ hồ sơ, tài liệu, báo cáo, dữ liệu phục vụ kiểm toán dữ liệu theo yêu cầu của cơ quan có thẩm quyền;

b) Cung cấp thông tin, dữ liệu, hồ sơ không chính xác, sai sự thật hoặc che giấu dữ liệu trong quá trình kiểm toán dữ liệu;

c) Không thực hiện đánh giá mức độ kết nối, chia sẻ dữ liệu theo Bộ chỉ số xếp hạng do Bộ Công an ban hành;

d) Không công bố kết quả xếp hạng cơ sở dữ liệu thuộc phạm vi quản lý theo quy định;

đ) Không gửi báo cáo đánh giá, xếp hạng cơ sở dữ liệu về Bộ Công an theo quy định.

3. Phạt tiền từ 60.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau:

a) Không chấp hành quyết định kiểm toán dữ liệu đột xuất của cơ quan có thẩm quyền;

b) Không thực hiện việc kết nối, chia sẻ dữ liệu bắt buộc theo kết luận kiểm toán;

c) Làm sai lệch hoặc cố ý thay đổi các chỉ số đánh giá, chỉ số xếp hạng cơ sở dữ liệu.

4. Hình thức xử phạt bổ sung

Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm c khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc lưu giữ, cung cấp đầy đủ nhật ký hệ thống, lịch sử truy cập, lịch sử xử lý dữ liệu, hồ sơ, tài liệu và dữ liệu phục vụ kiểm toán đối với hành vi vi phạm quy định tại điểm a khoản 1, điểm a, điểm b khoản 2 và điểm a khoản 3 Điều này;

b) Buộc cung cấp, bổ sung, đính chính, hiệu chỉnh, cập nhật dữ liệu, hồ sơ, báo cáo đối với hành vi vi phạm quy định tại điểm d khoản 1 và điểm a, điểm b, điểm đ khoản 2 Điều này;

c) Buộc thực hiện đánh giá mức độ kết nối, chia sẻ dữ liệu; công bố kết quả xếp hạng cơ sở dữ liệu hoặc gửi báo cáo đánh giá, xếp hạng cơ sở dữ liệu theo quy định đối với hành vi vi phạm quy định tại điểm c, điểm d, điểm đ khoản 2 Điều này;

d) Buộc thực hiện kết nối, chia sẻ, đồng bộ dữ liệu theo đúng yêu cầu của cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại điểm b khoản 3 Điều này;

đ) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a khoản 2, điểm c khoản 3 Điều này.

Điều 21. Vi phạm quy định về các hoạt động khác trong xử lý dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thiết lập, không thực hiện việc điều chỉnh, cập nhật, không thực hiện quy trình thu hồi, xóa, hủy dữ liệu theo quy định của pháp luật;

b) Không thông báo cho tổ chức, cá nhân bị ảnh hưởng về việc chuyển giao dữ liệu khi tổ chức lại, giải thể hoặc phá sản;

c) Không lập hoặc không lưu trữ biên bản bàn giao, tiếp nhận, điều chỉnh, sao chép, truyền đưa, chuyển giao hoặc hủy dữ liệu theo quy định;

d) Không quy định đầy đủ phạm vi, thời hạn, nghĩa vụ bảo mật và trách nhiệm của các bên tại hợp đồng, thỏa thuận ủy thác theo quy định.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Chuyển dữ liệu khi tổ chức lại, giải thể hoặc phá sản mà không có kế hoạch chuyển dữ liệu theo quy định;

b) Không xác minh năng lực bảo đảm an toàn dữ liệu của bên được ủy thác khi ủy thác xử lý dữ liệu cốt lõi, dữ liệu quan trọng;

c) Không có hợp đồng hoặc thỏa thuận ủy thác khi giao tổ chức, cá nhân khác xử lý dữ liệu;

d) Không áp dụng biện pháp bảo đảm an toàn dữ liệu.

3. Phạt tiền từ 60.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Thu hồi, xóa, hủy dữ liệu cốt lõi, dữ liệu quan trọng không đúng quy trình, không bảo đảm dữ liệu không thể khôi phục;

b) Không lập hồ sơ, tài liệu chứng minh việc xóa, hủy dữ liệu cốt lõi, dữ liệu quan trọng;

c) Không thực hiện biện pháp ngăn ngừa lạm dụng, rò rỉ, sử dụng sai mục đích trong quá trình ủy thác xử lý dữ liệu.

4. Hình thức xử phạt bổ sung

Đình chỉ hoạt động xử lý dữ liệu từ 01 tháng đến 06 tháng đối với hành vi vi phạm quy định tại khoản 3 Điều này.

5. Biện pháp khắc phục hậu quả

a) Buộc lưu giữ, cung cấp đầy đủ nhật ký hệ thống, lịch sử xử lý dữ liệu và tài liệu liên quan đến việc bàn giao, tiếp nhận, điều chỉnh, sao chép, truyền đưa, chuyển giao, thu hồi, xóa hoặc hủy dữ liệu đối với hành vi vi phạm quy định tại điểm c khoản 1 và điểm b khoản 3 Điều này;

b) Buộc thông báo về việc chuyển giao dữ liệu đến tổ chức, cá nhân bị ảnh hưởng đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

c) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 2 Điều này.

Điều 22. Vi phạm quy định về xác định, quản lý rủi ro, bảo vệ dữ liệu và giám sát hoạt động xử lý dữ liệu

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thiết lập cơ chế xác định, đánh giá, cảnh báo sớm rủi ro trong xử lý dữ liệu theo quy định;

b) Không ghi nhật ký hoạt động xử lý dữ liệu và lưu trữ trong thời hạn ít nhất 06 tháng đối với dữ liệu quan trọng, dữ liệu cốt lõi;

c) Không thông báo sự cố dữ liệu cho tổ chức, cá nhân liên quan khi sự cố gây thiệt hại.

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi:

a) Không đánh giá rủi ro đối với dữ liệu cốt lõi, dữ liệu quan trọng theo định kỳ trừ trường hợp đã lập hồ sơ đánh giá tác động chuyển, xử lý dữ liệu xuyên biên giới theo quy định của pháp luật;

b) Không thông báo đánh giá rủi ro hoặc nguy cơ rủi ro cho Bộ Công an, Bộ Quốc phòng theo quy định;

c) Không xây dựng kế hoạch ứng phó khẩn cấp sự cố dữ liệu;

d) Không thực hiện diễn tập kế hoạch dự phòng đối với các sự cố an toàn dữ liệu cốt lõi, dữ liệu quan trọng định kỳ theo quy định của pháp luật;

đ) Không ban hành quy trình kỹ thuật, quy chế bảo vệ dữ liệu hoặc không áp dụng các biện pháp bảo vệ dữ liệu phù hợp khi cung cấp dữ liệu ra bên ngoài.

3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi:

a) Không thực hiện giám sát hoạt động xử lý dữ liệu trong kết nối, chia sẻ dữ liệu theo quy định của pháp luật;

b) Không bảo đảm khả năng truy vết, minh bạch hoạt động xử lý dữ liệu theo yêu cầu giám sát;

c) Không cung cấp thông tin, nhật ký hệ thống, báo cáo giám sát khi cơ quan có thẩm quyền yêu cầu;

d) Ngăn cản, trì hoãn hoặc làm sai lệch hoạt động giám sát dữ liệu của cơ quan có thẩm quyền;

đ) Không triển khai biện pháp giảm thiểu sau cảnh báo sớm rủi ro dẫn đến lộ lọt, rò rỉ, mất an toàn dữ liệu.

4. Phạt tiền từ 60.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi:

a) Không thông báo sự cố dữ liệu cốt lõi, dữ liệu quan trọng cho Bộ Công an hoặc Bộ Quốc phòng theo yêu cầu;

b) Không chấp hành yêu cầu khắc phục, tạm dừng, đình chỉ hoạt động xử lý dữ liệu từ cơ quan có thẩm quyền;

c) Không tuân thủ tiêu chuẩn, quy chuẩn kỹ thuật, bảo vệ dữ liệu trong quá trình kết nối, chia sẻ dữ liệu;

d) Cố ý che giấu, làm sai lệch dữ liệu giám sát, nhật ký hệ thống, báo cáo đánh giá rủi ro;

đ) Không thiết lập hệ thống quản lý việc bảo vệ dữ liệu, sao lưu dữ liệu trong quá trình xử lý dữ liệu.

5. Hình thức xử phạt bổ sung

Đình chỉ hoạt động xử lý dữ liệu, kết nối, chia sẻ dữ liệu từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm b, điểm c, điểm d, điểm đ khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc khôi phục hệ thống giám sát dữ liệu, khắc phục các lỗ hổng bảo mật đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm d khoản 3 và điểm c, điểm đ khoản 4 Điều này;

b) Buộc thực hiện đánh giá rủi ro, đánh giá an toàn dữ liệu theo quy định đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này;

c) Buộc xây dựng kế hoạch ứng phó khẩn cấp theo quy định đối với hành vi vi phạm quy định tại điểm c khoản 2 Điều này;

d) Buộc thực hiện diễn tập khẩn cấp theo quy định đối với hành vi vi phạm quy định tại điểm d khoản 2 Điều này;

đ) Buộc thông báo về sự cố dữ liệu, hậu quả xảy ra và kết quả khắc phục cho chủ thể dữ liệu hoặc các tổ chức, cá nhân có liên quan đối với hành vi vi phạm quy định tại điểm c khoản 1, điểm b khoản 2 và điểm a khoản 4 Điều này;

e) Buộc ban hành quy trình kỹ thuật về bảo vệ dữ liệu đối với hành vi vi phạm quy định tại điểm đ khoản 2 Điều này;

g) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm đ khoản 4 Điều này.

Điều 23. Vi phạm quy định về hoạt động sàn dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không xây dựng hoặc không duy trì đầy đủ phương án, quy trình, quy chế hoạt động sàn dữ liệu, phương án kỹ thuật, phương án lưu trữ, bảo đảm tính toàn vẹn dữ liệu theo hồ sơ đã được phê duyệt;

b) Không thiết lập hoặc không bảo đảm kênh tiếp nhận thông tin và việc sử dụng dịch vụ sàn dữ liệu liên tục 24 giờ trong ngày và 07 ngày trong tuần, trừ trường hợp bất khả kháng nhưng không có thông báo và biện pháp khắc phục;

c) Không thực hiện việc kiểm tra, đánh giá điều kiện tham gia sàn dữ liệu của các chủ thể có liên quan, tính hợp pháp và điều kiện tham gia giao dịch của sản phẩm, dịch vụ dữ liệu theo quy định;

d) Không xây dựng hoặc không công khai bộ chỉ số, bộ thông số kỹ thuật phục vụ đánh giá, quản lý chất lượng sản phẩm, dịch vụ dữ liệu, hệ thống chỉ số đánh giá tài sản dữ liệu, hỗ trợ định giá sản phẩm, dịch vụ dữ liệu;

đ) Không gửi báo cáo định kỳ, báo cáo đột xuất về hoạt động sàn dữ liệu cho cơ quan có thẩm quyền theo mẫu, thời hạn quy định;

e) Không công khai hoặc không cập nhật kịp thời Quy chế hoạt động của sàn dữ liệu, giá dịch vụ, danh sách tổ chức cung ứng dịch vụ trung gian thanh toán, tổ chức cung ứng dịch vụ thanh toán và các thông tin khác phải công khai theo quy định;

g) Không xây dựng, vận hành hoặc cập nhật thường xuyên hệ thống phân tích, tổng hợp dữ liệu thị trường phục vụ cung cấp thông tin giá thị trường; không niêm yết hoặc không cập nhật danh sách doanh nghiệp thẩm định giá đủ điều kiện kinh doanh dịch vụ thẩm định giá trên hệ thống của sàn dữ liệu;

h) Không xây dựng, vận hành hệ thống tiếp nhận, xử lý, lưu trữ, công khai thông tin đánh giá, phản hồi của người sử dụng; không bảo đảm tính xác thực, toàn vẹn của thông tin đánh giá hoặc không cho phép Bên bán phản hồi đối với đánh giá, báo cáo sự cố liên quan đến sản phẩm, dịch vụ về dữ liệu;

i) Không thiết lập, duy trì hoặc công khai phương thức tiếp nhận yêu cầu hỗ trợ xử lý vấn đề phát sinh trong giao dịch trên sàn dữ liệu;

k) Không thông báo việc tiếp nhận, biện pháp hỗ trợ, thời hạn xử lý dự kiến; không thông báo, yêu cầu bổ sung thông tin, tài liệu; không xử lý yêu cầu hỗ trợ hoặc không thông báo việc gia hạn xử lý yêu cầu trong thời hạn quy định.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Không bảo đảm điều kiện về nhân sự, cơ sở vật chất, trang thiết bị kỹ thuật, quy trình quản lý, phương án bảo đảm an ninh, trật tự theo quy định;

b) Không bảo đảm việc tiếp nhận, lưu trữ, xử lý, truy xuất dữ liệu trên sàn theo tiêu chuẩn, quy chuẩn kỹ thuật, yêu cầu về an ninh mạng, an ninh dữ liệu;

c) Không thực hiện đầy đủ trách nhiệm giám sát hoạt động trên sàn dữ liệu, không kịp thời tạm ngừng giao dịch, tạm ngừng hoặc hủy niêm yết dữ liệu, sản phẩm, dịch vụ về dữ liệu thuộc trường hợp phải tạm ngừng giao dịch, tạm ngừng hoặc hủy niêm yết theo quy định;

d) Không tổ chức thực hiện kế hoạch ứng phó khẩn cấp, sao lưu, khôi phục thảm họa, diễn tập khẩn cấp về an toàn dữ liệu theo quy định;

đ) Không hướng dẫn, không yêu cầu các bên tham gia sàn thực hiện biện pháp bảo vệ dữ liệu, bí mật thương mại và dữ liệu quan trọng;

e) Không thực hiện xác thực danh tính, năng lực pháp lý của các chủ thể tham gia giao dịch dữ liệu trên sàn theo quy định của pháp luật về định danh và xác thực điện tử;

g) Không thiết lập hệ thống bảo đảm an toàn giao dịch dữ liệu hoặc không hướng dẫn các bên tham gia giao dịch dữ liệu thực hiện các biện pháp bảo đảm an toàn;

h) Không bảo đảm mức độ an toàn hệ thống thông tin từ cấp độ 3 trở lên;

i) Không thực hiện kết nối, chia sẻ dữ liệu giữa sàn dữ liệu khác với Sàn dữ liệu quốc gia thông qua Nền tảng chia sẻ, điều phối dữ liệu; không tuân thủ yêu cầu kỹ thuật về kết nối, liên thông theo quy định;

k) Không kiểm duyệt nội dung chào mua, chào bán; không xác minh tư cách pháp lý, Giấy chứng nhận đủ điều kiện kinh doanh hoặc tính đầy đủ, hợp lệ của thông tin dịch vụ được đăng tải trên sàn dữ liệu;

l) Niêm yết dữ liệu, sản phẩm, dịch vụ về dữ liệu khi chưa có quyết định phê duyệt niêm yết; niêm yết nội dung không phù hợp với hồ sơ đã được phê duyệt;

m) Khi tạm ngừng hoặc hủy niêm yết, không thông báo cho Bên bán, các bên có liên quan; không công khai trạng thái của dữ liệu, sản phẩm, dịch vụ về dữ liệu; không thực hiện biện pháp bảo vệ quyền, lợi ích hợp pháp của Bên mua hoặc không lưu trữ hồ sơ, tài liệu có liên quan;

n) Không ghi nhận, lưu trữ đầy đủ thông điệp dữ liệu, thời điểm gửi, nhận và thao tác xác nhận của các bên trong quá trình đề nghị, chấp nhận, sửa đổi, rút lại, hủy bỏ hoặc chấm dứt đề nghị giao dịch;

o) Không thực hiện việc tạm ngừng giao dịch trong thời hạn 24 giờ kể từ thời điểm phát hiện hoặc nhận được thông tin có căn cứ về trường hợp phải tạm ngừng giao dịch; không xem xét, xác minh hoặc quyết định xử lý giao dịch đã tạm ngừng trong thời hạn quy định;

p) Không thiết lập, vận hành hệ thống kỹ thuật bảo đảm định danh đúng chủ thể, xác thực sự chấp thuận của các bên, ghi nhận và gắn dấu thời gian đối với hợp đồng điện tử, phụ lục hợp đồng điện tử hoặc văn bản sửa đổi, bổ sung hợp đồng điện tử;

q) Không lưu trữ hợp đồng điện tử, thông tin xác nhận của các bên hoặc hồ sơ giao dịch; không bảo đảm tính toàn vẹn hoặc khả năng truy xuất, tra cứu hợp đồng điện tử trong thời hạn lưu trữ theo quy định;

r) Không xây dựng, thực hiện chính sách, quy trình xác định, đánh giá, cảnh báo sớm, xử lý rủi ro; không định kỳ rà soát, đánh giá rủi ro hoặc không thiết lập cơ chế kiểm soát rủi ro đối với sản phẩm, dịch vụ về dữ liệu được tạo ra từ hoạt động phân tích, tổng hợp dữ liệu.

3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Kinh doanh dịch vụ sàn dữ liệu mà không có Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu theo quy định hoặc hoạt động khi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu đã hết hiệu lực;

b) Tiếp tục cung cấp dịch vụ sàn dữ liệu khi đã bị cơ quan có thẩm quyền quyết định đình chỉ hoạt động hoặc thu hồi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu;

c) Sử dụng sai mục đích, phạm vi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu đã được cấp; tổ chức cung cấp dịch vụ sàn dữ liệu ngoài phạm vi, loại hình, đối tượng, sản phẩm, dịch vụ đã được phê duyệt;

d) Cố ý lập hồ sơ đề nghị cấp, cấp lại, cấp đổi Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu bằng tài liệu giả mạo, tài liệu sai sự thật nhưng chưa đến mức bị truy cứu trách nhiệm hình sự;

đ) Không nộp lại Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu cho cơ quan có thẩm quyền sau khi có quyết định thu hồi;

e) Tổ chức đấu giá dữ liệu, sản phẩm, dịch vụ về dữ liệu khi không đáp ứng điều kiện tổ chức đấu giá theo quy định của pháp luật về đấu giá tài sản hoặc ký hợp đồng dịch vụ với tổ chức không đủ điều kiện hành nghề đấu giá tài sản;

g) Không thiết lập, vận hành hệ thống kỹ thuật phục vụ đấu giá đáp ứng yêu cầu ghi nhận chính xác, trung thực thời điểm gửi giá, mức giá; bảo đảm an toàn, bảo mật thông tin; lưu trữ lịch sử diễn biến cuộc đấu giá hoặc yêu cầu kỹ thuật đối với trang thông tin đấu giá trực tuyến;

h) Không từ chối tổ chức đấu giá đối với dữ liệu, sản phẩm, dịch vụ chưa được phép giao dịch;

i) Không thiết kế, vận hành môi trường thử nghiệm tách biệt với hệ thống vận hành chính thức của sàn dữ liệu và hệ thống thông tin bên ngoài; không cung cấp công cụ kỹ thuật để kiểm soát luồng dữ liệu, phòng ngừa, phát hiện, ngăn chặn việc truy cập, sao chép, trích xuất trái phép dữ liệu ra khỏi môi trường thử nghiệm;

k) Không tự động chấm dứt quyền truy cập hoặc không xóa dữ liệu thử nghiệm, bản sao, dữ liệu làm việc trong thời hạn 24 giờ kể từ thời điểm hết thời hạn thử nghiệm;

l) Không thực hiện kiểm tra kỹ thuật đối với kết quả đầu ra trước khi cho phép trích xuất ra khỏi môi trường thử nghiệm; không lưu trữ nhật ký hoạt động kỹ thuật của môi trường thử nghiệm hoặc không cung cấp nhật ký theo yêu cầu của cơ quan có thẩm quyền;

m) Không ghi nhận, lưu trữ đầy đủ thông tin giao dịch ngay sau khi hoàn thành việc giao dữ liệu, sản phẩm, dịch vụ về dữ liệu; không thiết lập, duy trì, vận hành hệ thống ghi nhận, lưu trữ, truy vết giao dịch hoặc không lưu trữ thông tin, hồ sơ, nhật ký phục vụ truy vết giao dịch trong thời hạn tối thiểu 10 năm;

n) Không cấp Văn bản xác nhận quyền khai thác, sử dụng dữ liệu cho Bên mua; không duy trì hệ thống tra cứu tập trung về tình trạng giao dịch và quyền sử dụng dữ liệu; không kết nối, liên thông dữ liệu giao dịch và thông tin về Văn bản xác nhận quyền khai thác, sử dụng dữ liệu với Sàn dữ liệu quốc gia.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Tổ chức giao dịch, mua bán, trao đổi trên sàn dữ liệu đối với dữ liệu không được phép giao dịch, bao gồm: dữ liệu thuộc danh mục dữ liệu cốt lõi, dữ liệu quan trọng; dữ liệu không được chủ thể dữ liệu đồng ý, trừ trường hợp pháp luật có quy định khác; dữ liệu khác bị cấm giao dịch theo quy định của pháp luật;

b) Lợi dụng hoạt động sàn dữ liệu để mua bán, chuyển giao trái phép dữ liệu, che giấu nguồn gốc dữ liệu hoặc hợp thức hóa dữ liệu thu thập, xử lý trái pháp luật;

c) Không tạm ngừng giao dịch, không hủy niêm yết hoặc không áp dụng biện pháp kỹ thuật cần thiết khi phát hiện việc cung cấp dịch vụ sàn dữ liệu, niêm yết hoặc giao dịch dữ liệu có nguy cơ ảnh hưởng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm quyền, lợi ích hợp pháp của tổ chức, cá nhân;

d) Tiếp tục tổ chức giao dịch dữ liệu, duy trì niêm yết sản phẩm, dịch vụ dữ liệu vi phạm sau khi đã có yêu cầu tạm dừng, đình chỉ, hủy niêm yết, chấm dứt giao dịch của cơ quan có thẩm quyền;

đ) Niêm yết, chào mua, chào bán, đấu giá hoặc tổ chức giao dịch dữ liệu, sản phẩm, dịch vụ về dữ liệu được hình thành từ cơ sở dữ liệu quốc gia, cơ sở dữ liệu chuyên ngành khi không có tài liệu chứng minh quyền cung cấp, khai thác, sử dụng, giao dịch hoặc không được cơ quan, tổ chức, người có thẩm quyền cho phép;

e) Cho phép Bên tham gia thử nghiệm tải về, sao chép hoặc trích xuất dữ liệu gốc ra khỏi môi trường thử nghiệm; cho phép trích xuất kết quả đầu ra có chứa dữ liệu gốc của Bên bán.

5. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với Bên bán, Bên mua thực hiện một trong những hành vi sau đây:

a) Cung cấp thông tin đăng ký tài khoản giao dịch không đầy đủ, không chính xác hoặc không hợp pháp;

b) Thực hiện giao dịch dữ liệu, sản phẩm, dịch vụ về dữ liệu không thông qua tài khoản giao dịch và tài khoản thanh toán đã đăng ký trên sàn dữ liệu;

c) Cung cấp thông tin, tài liệu trong hồ sơ đề nghị niêm yết không chính xác, không trung thực, không đầy đủ hoặc không toàn vẹn;

d) Không cập nhật, bổ sung kịp thời thông tin, tài liệu khi có thay đổi trong thời gian dữ liệu, sản phẩm, dịch vụ về dữ liệu được niêm yết;

đ) Tự kiểm tra, đánh giá, thẩm định dữ liệu, sản phẩm, dịch vụ về dữ liệu do chính Bên bán cung cấp hoặc đối với giao dịch mà Bên bán có quyền, lợi ích liên quan;

e) Không chứng minh được nguồn gốc hợp pháp, quyền sở hữu, quyền cung cấp, khai thác, sử dụng, chuyển giao hoặc quyền giao dịch đối với dữ liệu, sản phẩm, dịch vụ về dữ liệu;

g) Khai thác, sử dụng dữ liệu, sản phẩm về dữ liệu không đúng phạm vi, mục đích, thời hạn hoặc điều kiện đã thỏa thuận; chuyển giao lại, sao chép hoặc sử dụng dữ liệu vượt phạm vi quyền khai thác, sử dụng được chuyển giao.

6. Hình thức xử phạt bổ sung:

a) Tước quyền sử dụng Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm c khoản 3 và khoản 4 Điều này;

b) Đình chỉ hoạt động quản trị, vận hành sàn dữ liệu từ 12 tháng đến 18 tháng đối với hành vi vi phạm quy định tại khoản 2; điểm g, điểm h, điểm i, điểm k, điểm l, điểm m và điểm n khoản 3 Điều này;

c) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm d, điểm đ và điểm e khoản 4 Điều này.

7. Biện pháp khắc phục hậu quả:

a) Buộc xóa, tiêu hủy dữ liệu đã thu thập, xử lý, mua bán, giao dịch, chia sẻ hoặc sử dụng trái phép qua sàn dữ liệu đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm d, điểm đ và điểm e khoản 4 và điểm g khoản 5 Điều này;

b) Buộc nộp lại Giấy chứng nhận đủ điều kiện kinh doanh dịch vụ sàn dữ liệu đối với hành vi vi phạm quy định tại điểm đ khoản 3 Điều này;

c) Buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu và an toàn hoạt động của sàn dữ liệu đối với hành vi vi phạm quy định tại điểm b, điểm g, điểm p, điểm q và điểm r khoản 2 Điều này;

d) Buộc thực hiện biện pháp cô lập, ngăn chặn, kiểm soát nguồn dữ liệu, hệ thống thông tin, tài khoản hoặc thiết bị có nguy cơ tiếp tục thực hiện giao dịch dữ liệu trái pháp luật đối với hành vi vi phạm quy định tại điểm a, điểm b, điểm c khoản 3, khoản 4 và điểm g khoản 5 Điều này;

đ) Buộc lưu giữ, cung cấp đầy đủ nhật ký hệ thống, lịch sử giao dịch, lịch sử truy cập, lịch sử xử lý dữ liệu và tài liệu liên quan theo yêu cầu của cơ quan có thẩm quyền đối với hành vi vi phạm quy định tại điểm n, điểm q khoản 2, điểm g, điểm l, điểm m, điểm n khoản 3 và khoản 4 Điều này;

e) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 3, khoản 4 và khoản 5 Điều này;

g) Buộc thu hồi và hủy bỏ tài liệu giả mạo, tài liệu sai sự thật đối với hành vi vi phạm quy định tại điểm d khoản 3 Điều này;

h) Buộc hủy niêm yết hoặc chấm dứt giao dịch đối với dữ liệu, sản phẩm, dịch vụ về dữ liệu không đủ điều kiện giao dịch đối với hành vi vi phạm quy định tại điểm c, điểm k, điểm l khoản 2, điểm h khoản 3 và điểm a, điểm b, điểm c, điểm d, điểm đ khoản 4 Điều này;

i) Buộc kết nối, liên thông, cập nhật đầy đủ dữ liệu giao dịch và thông tin về Văn bản xác nhận quyền khai thác, sử dụng dữ liệu với Sàn dữ liệu quốc gia đối với hành vi vi phạm quy định tại điểm i khoản 2 và điểm n khoản 3 Điều này;

k) Buộc khôi phục, bổ sung, cập nhật đầy đủ hồ sơ, hợp đồng điện tử, thông tin, nhật ký và lịch sử giao dịch đối với hành vi vi phạm quy định tại điểm n, điểm q khoản 2 và điểm m, điểm n khoản 3 Điều này.

Điều 24. Vi phạm quy định về hoạt động trung gian dữ liệu

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Không thiết lập, không thực hiện hoặc không duy trì biện pháp bảo vệ dữ liệu theo phương án đã được cơ quan có thẩm quyền thẩm định;

b) Không lưu trữ hồ sơ dịch vụ, nhật ký hoạt động trung gian dữ liệu theo quy định;

c) Không thực hiện nghĩa vụ xác thực danh tính người dùng theo quy định của pháp luật về định danh và xác thực điện tử;

d) Không công bố hoặc công bố không đầy đủ, công bố không chính xác phạm vi, phương thức cung cấp và giá dịch vụ trung gian dữ liệu trên sàn dữ liệu;

đ) Không cung cấp hoặc cung cấp không đầy đủ kết quả kiểm tra, đánh giá, thẩm định dữ liệu, sản phẩm, dịch vụ về dữ liệu cho Bên bán, tổ chức kinh doanh dịch vụ sàn dữ liệu hoặc cơ quan có thẩm quyền theo quy định;

e) Không công khai tư cách Bên bán khi đồng thời tham gia sàn dữ liệu với tư cách Bên bán;

g) Không công khai đầy đủ quyền, lợi ích có liên quan đến một trong các bên tham gia giao dịch trước khi cung cấp dịch vụ trung gian dữ liệu;

h) Không cung cấp thông tin, tài liệu, hồ sơ hoặc kết quả cung cấp dịch vụ theo yêu cầu của tổ chức kinh doanh dịch vụ sàn dữ liệu hoặc cơ quan có thẩm quyền.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Cung cấp dịch vụ trung gian dữ liệu khi chưa đáp ứng điều kiện về nhân sự, trang thiết bị, cơ sở vật chất, phương án bảo mật, phương án kỹ thuật theo quy định của pháp luật;

b) Không bảo đảm việc truy cập dữ liệu đúng đối tượng, đúng mục đích, đúng phạm vi theo hợp đồng cung cấp dịch vụ;

c) Không kiểm soát, không giám sát, không phát hiện hoặc không ngăn chặn các truy cập hoặc hoạt động xử lý dữ liệu trái phép trên nền tảng trung gian dữ liệu;

d) Không thực hiện hoặc thực hiện không đầy đủ việc hỗ trợ, kiểm tra, đánh giá, thẩm định hồ sơ và dữ liệu, sản phẩm, dịch vụ về dữ liệu theo phạm vi dịch vụ đã thỏa thuận;

đ) Lưu trữ dữ liệu quá thời hạn cần thiết hoặc xử lý dữ liệu ngoài phạm vi được phép;

e) Không thông báo vi phạm dữ liệu cho tổ chức, cá nhân bị ảnh hưởng theo quy định khi xảy ra sự cố rò rỉ, mất mát dữ liệu;

g) Không bảo đảm tính độc lập, khách quan, chính xác, trung thực hoặc minh bạch trong quá trình kiểm tra, đánh giá, thẩm định dữ liệu, sản phẩm, dịch vụ về dữ liệu;

h) Cung cấp kết quả kiểm tra, đánh giá, thẩm định không chính xác, không trung thực, không khách quan hoặc không phù hợp với thông tin, tài liệu được sử dụng để kiểm tra, đánh giá, thẩm định;

i) Kiểm tra, đánh giá, thẩm định dữ liệu, sản phẩm, dịch vụ về dữ liệu do tổ chức cung cấp dịch vụ trung gian dữ liệu trực tiếp cung cấp với tư cách Bên bán hoặc đối với giao dịch mà tổ chức đó có quyền, lợi ích liên quan;

k) Không bảo mật dữ liệu, dữ liệu cá nhân, bí mật kinh doanh hoặc thông tin khác của khách hàng trong quá trình cung cấp dịch vụ trung gian dữ liệu.

3. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Cung cấp dịch vụ trung gian dữ liệu khi chưa được cấp Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu theo quy định;

b) Tiếp tục cung cấp dịch vụ trung gian dữ liệu khi Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu đã bị thu hồi hoặc hết hiệu lực;

c) Sử dụng sai mục đích, sai phạm vi Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu đã được cấp;

d) Cung cấp hồ sơ giả mạo, tài liệu sai sự thật trong hồ sơ đề nghị cấp, cấp lại, cấp đổi Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu nhưng chưa đến mức bị truy cứu trách nhiệm hình sự;

đ) Không chấp hành yêu cầu tạm dừng, đình chỉ hoặc yêu cầu khắc phục vi phạm của cơ quan nhà nước có thẩm quyền;

e) Chuyển dữ liệu cốt lõi, dữ liệu quan trọng cho bên thứ ba khi chưa có sự đồng ý của chủ thể dữ liệu hoặc chưa đáp ứng các điều kiện theo quy định của pháp luật;

g) Lợi dụng hoạt động trung gian dữ liệu để tạo lợi thế cạnh tranh không bình đẳng, tác động trái pháp luật đến kết quả giao dịch hoặc xâm phạm quyền, lợi ích hợp pháp của các bên tham gia giao dịch.

4. Phạt tiền từ 80.000.000 đồng đến 100.000.000 đồng đối với một trong những hành vi sau đây:

a) Lợi dụng hoạt động trung gian dữ liệu để thu thập, mua bán, chia sẻ, trao đổi dữ liệu trái phép;

b) Cung cấp dịch vụ trung gian dữ liệu gây ảnh hưởng hoặc có nguy cơ ảnh hưởng nghiêm trọng đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, đạo đức xã hội, sức khỏe cộng đồng;

c) Hợp thức hóa dữ liệu thu thập trái phép, che giấu nguồn gốc dữ liệu hoặc tạo lập chứng cứ giả trong hoạt động trung gian dữ liệu.

5. Hình thức xử phạt bổ sung

a) Tước quyền sử dụng Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu từ 06 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm c, điểm d, điểm e, điểm g khoản 3 và khoản 4 Điều này;

b) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm d khoản 3 và điểm a, điểm b, điểm c khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc xóa, tiêu hủy dữ liệu đã thu thập, xử lý, khai thác, chia sẻ, mua bán, giao dịch hoặc sử dụng trái phép đối với hành vi vi phạm quy định tại điểm e khoản 3 và điểm a, điểm c khoản 4 Điều này;

b) Buộc nộp lại Giấy chứng nhận đủ điều kiện kinh doanh sản phẩm, dịch vụ trung gian, phân tích, tổng hợp dữ liệu đối với hành vi vi phạm quy định tại điểm b, điểm d khoản 3 Điều này;

c) Buộc áp dụng biện pháp kỹ thuật để bảo đảm an toàn, an ninh dữ liệu và an toàn hoạt động trung gian dữ liệu đối với hành vi vi phạm quy định tại điểm b và điểm c khoản 2 Điều này;

d) Buộc thực hiện biện pháp cô lập, ngăn chặn, kiểm soát nguồn dữ liệu, hệ thống thông tin, tài khoản hoặc thiết bị có nguy cơ tiếp tục thực hiện giao dịch dữ liệu trái pháp luật đối với hành vi vi phạm quy định tại điểm b, điểm c, điểm d khoản 2, điểm đ khoản 3 và điểm a, điểm c khoản 4 Điều này;

đ) Buộc thông báo sự cố dữ liệu, hậu quả xảy ra và kết quả khắc phục đến chủ thể dữ liệu và tổ chức, cá nhân khác có liên quan đối với hành vi quy định tại điểm e khoản 2 Điều này;

e) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại khoản 3 và khoản 4 Điều này;

g) Buộc thu hồi và hủy bỏ tài liệu giả mạo, tài liệu sai sự thật đối với hành vi vi phạm quy định tại điểm d khoản 3 Điều này;

h) Buộc công khai đầy đủ, chính xác phạm vi, phương thức, giá dịch vụ, tư cách tham gia giao dịch và quyền, lợi ích có liên quan đối với hành vi vi phạm quy định tại điểm d, điểm e và điểm g khoản 1 Điều này;

i) Buộc cung cấp đầy đủ, chính xác kết quả kiểm tra, đánh giá, thẩm định, thông tin, tài liệu, hồ sơ và kết quả cung cấp dịch vụ đối với hành vi vi phạm quy định tại điểm đ, điểm h khoản 1 và điểm h khoản 2 Điều này;

k) Buộc hủy bỏ kết quả kiểm tra, đánh giá, thẩm định không bảo đảm tính độc lập, khách quan, chính xác, trung thực đối với hành vi vi phạm quy định tại điểm g, điểm h và điểm i khoản 2 Điều này;

l) Buộc áp dụng biện pháp bảo mật, thu hồi hoặc xóa thông tin, dữ liệu đã tiết lộ, sử dụng trái phép đối với hành vi vi phạm quy định tại điểm k khoản 2 Điều này.

Điều 25. Vi phạm quy định về Quỹ Phát triển dữ liệu quốc gia

1. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với tổ chức, cá nhân nhận vốn vay, hỗ trợ, đầu tư của Quỹ Phát triển dữ liệu quốc gia thực hiện một trong những hành vi sau đây:

a) Không cung cấp hoặc cung cấp không đầy đủ, không đúng thời hạn thông tin, tài liệu liên quan đến việc vay vốn, sử dụng vốn hỗ trợ, đầu tư của Quỹ Phát triển dữ liệu quốc gia theo yêu cầu hợp pháp của cơ quan, người có thẩm quyền;

b) Cung cấp thông tin, tài liệu liên quan đến việc vay vốn, sử dụng vốn hỗ trợ, đầu tư của Quỹ Phát triển dữ liệu quốc gia không chính xác, không trung thực hoặc không hợp pháp;

c) Không thực hiện hoặc thực hiện không đầy đủ cam kết, nghĩa vụ theo thỏa thuận đã ký kết với Quỹ Phát triển dữ liệu quốc gia và các bên có liên quan, trừ hành vi quy định tại khoản 2 Điều này.

2. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với tổ chức, cá nhân nhận vốn vay, hỗ trợ, đầu tư của Quỹ Phát triển dữ liệu quốc gia thực hiện một trong những hành vi sau đây:

a) Sử dụng vốn vay, hỗ trợ, đầu tư không đúng mục đích hoặc không đúng nội dung đã được cơ quan có thẩm quyền phê duyệt;

b) Chuyển giao, cho mượn, cho thuê hoặc sử dụng vốn hỗ trợ, đầu tư của Quỹ Phát triển dữ liệu quốc gia cho tổ chức, cá nhân khác trái quy định của pháp luật hoặc trái nội dung được cơ quan có thẩm quyền phê duyệt.

3. Hình thức xử phạt bổ sung

Đình chỉ hoạt động tham gia chương trình, dự án do Quỹ Phát triển dữ liệu quốc gia hỗ trợ từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm a khoản 2 Điều này.

4. Biện pháp khắc phục hậu quả

a) Buộc cung cấp bổ sung, đính chính thông tin, tài liệu đối với hành vi vi phạm quy định tại điểm a và điểm b khoản 1 Điều này;

b) Buộc hoàn trả cho Quỹ Phát triển dữ liệu quốc gia khoản vốn hỗ trợ, đầu tư đã sử dụng không đúng mục đích, không đúng thỏa thuận đối với hành vi vi phạm quy định tại khoản 2 Điều này;

c) Buộc thu hồi, hủy bỏ tài liệu giả mạo, tài liệu sai sự thật đối với hành vi vi phạm quy định tại điểm b khoản 1 Điều này;

d) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi quy định tại khoản 2 Điều này.

Điều 26. Vi phạm quy định về hoạt động thử nghiệm có kiểm soát trong xây dựng, phát triển, bảo vệ, quản trị, xử lý, sử dụng dữ liệu

1. Phạt tiền từ 10.000.000 đồng đến 20.000.000 đồng đối với một trong những hành vi sau đây:

a) Không xây dựng, ban hành hoặc không lưu giữ đầy đủ phương án thử nghiệm có kiểm soát theo quy định;

b) Không thực hiện hoặc thực hiện không đầy đủ chế độ báo cáo định kỳ, báo cáo đột xuất, cung cấp thông tin về quá trình thử nghiệm cho cơ quan đã cấp Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát;

c) Không thực hiện đánh giá rủi ro định kỳ theo phương án thử nghiệm đã được phê duyệt;

d) Không công bố hoặc công bố không đầy đủ, không chính xác các thông tin bắt buộc để bảo vệ người sử dụng sản phẩm, dịch vụ trong quá trình thử nghiệm;

đ) Không thực hiện đúng thời hạn báo cáo sự cố, rủi ro nghiêm trọng phát sinh trong quá trình thử nghiệm theo quy định.

2. Phạt tiền từ 20.000.000 đồng đến 40.000.000 đồng đối với một trong những hành vi sau đây:

a) Triển khai hoạt động thử nghiệm có kiểm soát khi chưa được cấp Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát theo quy định;

b) Thực hiện thử nghiệm vượt quá phạm vi không gian, thời gian, quy mô, đối tượng đã được phê duyệt trong Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát mà chưa được cơ quan có thẩm quyền chấp thuận điều chỉnh;

c) Không lập hồ sơ đề nghị điều chỉnh phương án thử nghiệm có kiểm soát khi điều chỉnh nội dung phương án thử nghiệm theo quy định;

d) Không tổ chức tiếp nhận, giải quyết khiếu nại, phản ánh của người sử dụng theo quy định tại phương án thử nghiệm hoặc theo yêu cầu của cơ quan có thẩm quyền;

đ) Không thực hiện biện pháp bảo đảm an toàn dữ liệu, bảo vệ quyền và lợi ích hợp pháp của người sử dụng sản phẩm, dịch vụ trong quá trình thử nghiệm.

3. Phạt tiền từ 40.000.000 đồng đến 60.000.000 đồng đối với một trong những hành vi sau đây:

a) Cố ý lập, cung cấp thông tin sai sự thật, che giấu, tẩy xóa nội dung trong hồ sơ đề nghị cấp, điều chỉnh, gia hạn hoặc kết thúc hoạt động thử nghiệm có kiểm soát;

b) Tiếp tục triển khai thử nghiệm khi đã hết thời hạn thử nghiệm, hết thời hạn gia hạn mà không được cơ quan có thẩm quyền chấp thuận;

c) Không chấp hành yêu cầu tạm dừng, đình chỉ, thu hồi Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát của cơ quan có thẩm quyền;

d) Lạm dụng phạm vi miễn áp dụng một số quy định của pháp luật trong hoạt động thử nghiệm để thực hiện các hoạt động kinh doanh, cung cấp sản phẩm, dịch vụ không được phép hoặc trái với phương án thử nghiệm đã được phê duyệt;

đ) Để xảy ra sự cố trong hoạt động thử nghiệm gây thiệt hại đáng kể đến quyền, lợi ích hợp pháp của người sử dụng hoặc làm gián đoạn nghiêm trọng hoạt động của hệ thống thông tin mà chưa đến mức bị truy cứu trách nhiệm hình sự.

4. Phạt tiền từ 60.000.000 đồng đến 80.000.000 đồng đối với một trong những hành vi sau đây:

a) Sử dụng sản phẩm, dịch vụ thử nghiệm để xử lý dữ liệu cốt lõi, dữ liệu quan trọng không đúng phạm vi, mục đích, điều kiện đã được phê duyệt;

b) Lợi dụng hoạt động thử nghiệm có kiểm soát để che giấu, tiếp tay cho hành vi xâm phạm an ninh dữ liệu, an toàn thông tin mạng, quyền và lợi ích hợp pháp của chủ thể dữ liệu;

c) Không chấp hành yêu cầu áp dụng biện pháp bảo đảm an toàn dữ liệu, khôi phục hệ thống hoặc khắc phục hậu quả theo yêu cầu của cơ quan có thẩm quyền sau khi xảy ra sự cố nghiêm trọng trong hoạt động thử nghiệm.

5. Hình thức xử phạt bổ sung

a) Tước quyền sử dụng Giấy chứng nhận tham gia hoạt động thử nghiệm có kiểm soát từ 03 tháng đến 12 tháng đối với hành vi vi phạm quy định tại điểm b khoản 3 và điểm a, điểm b khoản 4 Điều này;

b) Đình chỉ hoạt động kết nối, chia sẻ, khai thác, sử dụng dữ liệu từ 03 tháng đến 06 tháng đối với hành vi vi phạm quy định tại điểm đ khoản 2, điểm d, điểm đ khoản 3 và khoản 4 Điều này;

c) Đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu từ 06 tháng đến 09 tháng đối với hành vi vi phạm quy định tại khoản 4 Điều này;

d) Tịch thu tang vật, phương tiện vi phạm hành chính đối với hành vi vi phạm quy định tại điểm a, điểm d khoản 3 và điểm a, điểm b khoản 4 Điều này.

6. Biện pháp khắc phục hậu quả

a) Buộc xóa, tiêu hủy kết quả, dữ liệu đã thu thập, xử lý trái quy định trong quá trình thử nghiệm đối với hành vi vi phạm quy định tại điểm a khoản 4 Điều này;

b) Buộc nộp lại số lợi bất hợp pháp có được do thực hiện hành vi vi phạm quy định tại điểm a và điểm b khoản 4 Điều này.

Chương III

THẨM QUYỀN XỬ PHẠT VI PHẠM HÀNH CHÍNH

Điều 27. Thẩm quyền xử phạt vi phạm hành chính của Chủ tịch Ủy ban nhân dân

1. Chủ tịch Ủy ban nhân dân cấp xã có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 50.000.000 đồng đối với cá nhân và đến 100.000.000 đồng đối với tổ chức;

c) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại khoản 3 Điều 4 Nghị định này.

2. Chủ tịch Ủy ban nhân dân cấp tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với cá nhân và đến 200.000.000 đồng đối với tổ chức;

c) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại khoản 3 Điều 4 Nghị định này.

Điều 28. Thẩm quyền xử phạt vi phạm hành chính của Công an nhân dân

1. Chiến sĩ Công an nhân dân đang thi hành công vụ có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 10.000.000 đồng đối với cá nhân và đến 20.000.000 đồng đối với tổ chức;

c) Tịch thu tang vật, phương tiện vi phạm hành chính có giá trị không vượt quá 02 lần mức tiền phạt quy định tại điểm b khoản này.

2. Trưởng Công an cấp xã có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 50.000.000 đồng đối với cá nhân và đến 100.000.000 đồng đối với tổ chức;

c) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại khoản 3 Điều 4 Nghị định này.

3. Trưởng phòng nghiệp vụ thuộc Trung tâm Dữ liệu Quốc gia gồm: Trưởng phòng Tham mưu tổng hợp, Trưởng phòng Quản trị ứng dụng, Trưởng phòng Quản trị dữ liệu, Trưởng phòng An ninh, an toàn hệ thống, Trưởng phòng Quản trị, vận hành hệ thống công nghệ thông tin, Trưởng phòng Quản trị, vận hành vỏ trạm trung tâm dữ liệu; Trưởng phòng Công an cấp tỉnh gồm: Trưởng phòng Cảnh sát quản lý hành chính về trật tự xã hội, Trưởng phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 80.000.000 đồng đối với cá nhân và đến 160.000.000 đồng đối với tổ chức;

c) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng biện pháp khắc phục hậu quả quy định tại khoản 3 Điều 4 Nghị định này.

4. Trưởng phòng Quản lý xuất nhập cảnh thuộc Công an cấp tỉnh có thẩm quyền xử phạt theo quy định tại khoản 3 Điều này và có quyền quyết định áp dụng hình thức xử phạt trục xuất.

5. Giám đốc Công an cấp tỉnh có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với cá nhân và đến 200.000.000 đồng đối với tổ chức;

c) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;

đ) Áp dụng hình thức xử phạt trục xuất;

e) Áp dụng biện pháp khắc phục hậu quả quy định tại khoản 3 Điều 4 Nghị định này.

6. Giám đốc Trung tâm dữ liệu quốc gia, Cục trưởng Cục Cảnh sát quản lý hành chính về trật tự xã hội, Cục trưởng Cục An ninh mạng có quyền:

a) Phạt cảnh cáo;

b) Phạt tiền đến 100.000.000 đồng đối với cá nhân và đến 200.000.000 đồng đối với tổ chức;

c) Tước quyền sử dụng giấy phép, chứng chỉ hành nghề có thời hạn hoặc đình chỉ hoạt động có thời hạn;

d) Tịch thu tang vật, phương tiện vi phạm hành chính;