Quyền tiếp cận dữ liệu cá nhân: Không thể bị khước từ vô căn cứ

Trong kỷ nguyên số, dữ liệu cá nhân đã trở thành tài sản quý giá và quyền kiểm soát thông tin cá nhân là một trong những quyền cơ bản của mỗi công dân. Tuy nhiên, thực tế không ít tổ chức, doanh nghiệp vẫn còn lúng túng hoặc cố tình gây khó khăn khi chủ thể dữ liệu yêu cầu tiếp cận thông tin của chính mình. Để siết chặt kỷ cương và bảo vệ quyền lợi hợp pháp của người dân, Chính phủ đã ban hành Nghị định 330/2026/NĐ-CP với những chế tài xử phạt nghiêm khắc đối với các hành vi vi phạm về cung cấp dữ liệu cá nhân.

1. Mức phạt đối với hành vi từ chối cung cấp dữ liệu cá nhân cho chính chủ

Hành vi từ chối cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu khi có yêu cầu hợp lệ được coi là vi phạm nghiêm trọng quyền của chủ thể dữ liệu. Theo quy định tại khoản 1 Điều 49 Nghị định 330/2026/NĐ-CP, mức phạt tiền đối với hành vi này dao động từ 10.000.000 đồng đến 20.000.000 đồng áp dụng cho tổ chức.

Cần lưu ý rằng, theo nguyên tắc chung tại Điều 7 Nghị định 330/2026/NĐ-CP, mức phạt đối với cá nhân sẽ bằng 1/2 mức phạt đối với tổ chức. Cụ thể mức phạt cho từng đối tượng như sau:

2. Xử phạt hành vi chậm phản hồi hoặc không thực hiện đúng thời hạn

Không chỉ hành vi từ chối thẳng thừng, việc im lặng hoặc kéo dài thời gian cung cấp dữ liệu cũng bị pháp luật xử lý nghiêm minh nhằm đảm bảo tính kịp thời của thông tin.

2.1. Chậm phản hồi về thủ tục cung cấp dữ liệu

Khi nhận được yêu cầu hợp lệ, Bên kiểm soát dữ liệu cá nhân phải có trách nhiệm phản hồi nhanh chóng. Nếu quá thời hạn 02 ngày làm việc mà không phản hồi hoặc cung cấp không đầy đủ thông tin về thủ tục, tổ chức có thể bị phạt từ 10 - 20 triệu đồng theo quy định tại điểm d khoản 1 Điều 44 Nghị định 330/2026/NĐ-CP.

2.2. Vi phạm thời hạn cung cấp dữ liệu thực tế

Theo điểm b khoản 3 Điều 44 Nghị định 330/2026/NĐ-CP, mức phạt sẽ nặng hơn nếu không thực hiện yêu cầu cung cấp dữ liệu trong thời hạn quy định:

• Thời hạn 10 ngày: Đối với yêu cầu xem, chỉnh sửa hoặc cung cấp dữ liệu thông thường.
• Thời hạn 15 ngày: Trường hợp cần yêu cầu Bên xử lý dữ liệu cá nhân hoặc Bên thứ ba thực hiện.
• Mức phạt: Từ 30.000.000 đồng đến 40.000.000 đồng đối với tổ chức (cá nhân phạt từ 15 - 20 triệu đồng).

2.3. Trách nhiệm của Bên xử lý dữ liệu và Bên thứ ba

Pháp luật cũng quy định trách nhiệm liên đới đối với các đơn vị trung gian. Nếu Bên xử lý dữ liệu hoặc Bên thứ ba đã nhận yêu cầu hợp lệ nhưng không thực hiện đúng thời hạn do Bên kiểm soát dữ liệu xác định, mức phạt áp dụng sẽ từ 20 - 30 triệu đồng đối với tổ chức.

3. Biện pháp khắc phục hậu quả: Không chỉ dừng lại ở việc nộp phạt

Nộp phạt tiền chỉ là hình thức xử lý về mặt hành chính. Để bảo vệ triệt để quyền lợi của chủ thể dữ liệu, điểm a khoản 4 Điều 49 Nghị định 330/2026/NĐ-CP quy định biện pháp khắc phục hậu quả bắt buộc:

"Buộc thực hiện cung cấp dữ liệu cá nhân cho chính chủ thể dữ liệu cá nhân theo yêu cầu hợp lệ."

Điều này đồng nghĩa với việc dù đã nộp phạt, tổ chức vi phạm vẫn phải thực hiện nghĩa vụ cung cấp dữ liệu cho người dân. Đây là quy định nhằm đảm bảo tính thực thi của pháp luật và quyền làm chủ thông tin của mỗi cá nhân.

Lời khuyên pháp lý

Các tổ chức, doanh nghiệp cần chủ động xây dựng quy trình tiếp nhận và xử lý yêu cầu của chủ thể dữ liệu một cách khoa học, minh bạch. Việc đào tạo nhân sự hiểu rõ các mốc thời gian (02 ngày, 10 ngày, 15 ngày) là vô cùng cần thiết để tránh những rủi ro pháp lý và thiệt hại về tài chính không đáng có trong bối cảnh các quy định về an ninh mạng ngày càng được thắt chặt.

Hy vọng bài viết đã cung cấp cái nhìn chi tiết về mức phạt từ chối cung cấp dữ liệu cá nhân. Để tra cứu toàn văn và các quy định liên quan, quý độc giả có thể xem tại Nghị định 330/2026/NĐ-CP trên hệ thống của chúng tôi.