Dự thảo Luật An ninh dữ liệu thiết lập khung pháp lý bảo vệ chủ quyền dữ liệu quốc gia

Những nội dung cơ bản

Dự thảo Luật An ninh dữ liệu (Dự thảo Luật) gồm 9 chương, 58 điều, quy định tương đối toàn diện về nguyên tắc, chính sách và các biện pháp bảo đảm an ninh dữ liệu theo cấp độ rủi ro và xuyên suốt toàn bộ vòng đời dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân; quản lý hoạt động lưu chuyển dữ liệu xuyên biên giới; giám sát, phòng ngừa, ứng phó sự cố; phát triển nguồn nhân lực, công nghệ và hợp tác quốc tế về an ninh dữ liệu.

Cụ thể, Chương I quy định những vấn đề chung, gồm phạm vi điều chỉnh, đối tượng áp dụng, giải thích từ ngữ, nguyên tắc, chính sách của Nhà nước, phân loại dữ liệu theo cấp độ rủi ro, các hành vi bị nghiêm cấm và biện pháp bảo đảm an ninh dữ liệu.

Chương II quy định hệ thống bảo đảm an ninh theo cấp độ và trong toàn bộ vòng đời dữ liệu, bao gồm đánh giá rủi ro, chứng nhận hợp quy, kiểm kê và lập bản đồ dữ liệu, đánh giá tác động an ninh dữ liệu; bảo đảm an ninh trong quá trình thu thập, khởi tạo, lưu trữ, truyền dẫn, xử lý, chia sẻ, cung cấp, giao dịch và tiêu hủy dữ liệu; đồng thời xác lập chế độ bảo vệ tương ứng đối với dữ liệu Thông thường, dữ liệu Nội bộ, dữ liệu Quan trọng và dữ liệu Cốt lõi.

Chương III quy định về bảo đảm an ninh dữ liệu trong phát triển kinh tế số và Chính phủ số. Nội dung của Chương tập trung vào an ninh dữ liệu đối với hạ tầng số, dịch vụ viễn thông và Internet; thẩm định an ninh hệ thống, hoạt động đầu tư, chuyển giao công nghệ; bảo vệ dữ liệu trong Chính phủ số và các lĩnh vực trọng yếu; bảo đảm an ninh dữ liệu dài hạn; quản trị thuật toán và hệ thống trí tuệ nhân tạo; cơ chế thử nghiệm có kiểm soát; lưu trữ, giao dịch, kinh doanh dịch vụ dữ liệu; bảo hộ tài sản dữ liệu và bảo đảm an ninh trong chuỗi cung ứng.

Chương IV quy định về lưu chuyển dữ liệu xuyên biên giới và hợp tác quốc tế, trong đó xác lập nguyên tắc phân luồng theo mức độ rủi ro; điều kiện chuyển dữ liệu Quan trọng, dữ liệu Cốt lõi và bí mật kinh doanh ra nước ngoài; cơ chế hậu kiểm; tương trợ tư pháp; chia sẻ chứng cứ điện tử; truy vết và phối hợp ứng cứu sự cố an ninh dữ liệu xuyên biên giới.

Chương V quy định về giám sát, phòng ngừa và ứng phó sự cố an ninh dữ liệu, bao gồm hệ thống giám sát tập trung và cảnh báo sớm rủi ro quốc gia; các biện pháp kỹ thuật khẩn cấp; xây dựng phương án, kịch bản ứng phó; trách nhiệm báo cáo, thông báo sự cố; điều phối quốc gia; truy vết, điều tra hành vi vi phạm; phục hồi dữ liệu, diễn tập và bảo hiểm rủi ro an ninh dữ liệu.

Chương VI quy định về phát triển nguồn nhân lực, công nghệ và lực lượng an ninh dữ liệu; xác định thành phần lực lượng bảo vệ an ninh dữ liệu quốc gia; tiêu chuẩn, chứng nhận chuyên môn; chính sách thu hút, đãi ngộ nhân tài; quản lý hoạt động của tổ chức, cá nhân nước ngoài và huy động nguồn lực xã hội phục vụ bảo đảm an ninh dữ liệu.

Chương VII quy định về quản lý nhà nước đối với an ninh dữ liệu; phân định trách nhiệm của Chính phủ, Bộ Công an, Bộ Quốc phòng, Bộ Khoa học và Công nghệ, Ban Cơ yếu Chính phủ, các bộ, cơ quan ngang bộ, cơ quan thuộc Chính phủ, Ủy ban nhân dân các cấp và chủ quản dữ liệu.

Chương VIII quy định về thanh tra, kiểm tra và xử lý vi phạm pháp luật về an ninh dữ liệu. Đáng chú ý, dự thảo đề xuất áp dụng mức phạt tiền tối đa không quá 5% tổng doanh thu đối với tổ chức có hành vi vi phạm đặc biệt nghiêm trọng quy định về bảo vệ dữ liệu Quan trọng, dữ liệu Cốt lõi.

Chương IX quy định về hiệu lực thi hành, điều khoản chuyển tiếp và tính tương thích của Luật với các khung pháp lý quốc tế. Theo dự thảo, Luật dự kiến có hiệu lực từ ngày 01/12/2027; đồng thời đặt ra lộ trình đến ngày 01/01/2035 đối với việc chuyển đổi các hệ thống xử lý dữ liệu Quan trọng, dữ liệu Cốt lõi trong những lĩnh vực nhất định sang sử dụng giải pháp mật mã kháng lượng tử.

Dự thảo Luật An ninh dữ liệu đang được Bộ Công an lấy ý kiến từ ngày 17/7/2026 đến ngày 05/8/2026.

Yêu cầu cấp thiết bảo vệ tài nguyên dữ liệu quốc gia

Trong tiến trình chuyển đổi số, dữ liệu không chỉ là đầu vào của hoạt động quản lý, sản xuất, kinh doanh mà ngày càng trở thành tài nguyên chiến lược, có khả năng quyết định năng lực cạnh tranh, trình độ quản trị và mức độ tự chủ của mỗi quốc gia. Sự phát triển mạnh mẽ của trí tuệ nhân tạo, dữ liệu lớn, điện toán đám mây và Internet kết nối vạn vật đã làm gia tăng nhanh chóng khối lượng, tốc độ và phạm vi lưu chuyển dữ liệu, đồng thời đặt ra những thách thức chưa từng có đối với an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Tờ trình dự án Luật An ninh dữ liệu chỉ rõ, hệ thống pháp luật hiện hành đã có các quy định về an ninh mạng, an toàn thông tin mạng, dữ liệu và bảo vệ dữ liệu cá nhân, nhưng chưa hình thành một khuôn khổ pháp lý thống nhất điều chỉnh việc bảo đảm an ninh đối với thực thể dữ liệu trong toàn bộ vòng đời. Các quy định còn phân tán; tiêu chí phân loại và chế độ bảo vệ dữ liệu chưa đồng bộ; cơ chế kiểm soát dữ liệu tích tụ quy mô lớn, dữ liệu huấn luyện trí tuệ nhân tạo, chuỗi cung ứng dữ liệu và lưu chuyển dữ liệu xuyên biên giới còn thiếu hoặc chưa cụ thể.

Trong khi đó, hoạt động tấn công mạng, gián điệp mạng, mã hóa dữ liệu để tống tiền, chiếm đoạt và mua bán dữ liệu trái phép ngày càng diễn biến phức tạp. Một sự cố dữ liệu không chỉ gây thiệt hại kinh tế cho doanh nghiệp mà còn có thể làm gián đoạn dịch vụ công, ảnh hưởng hoạt động của các lĩnh vực tài chính - ngân hàng, năng lượng, viễn thông, giao thông, y tế, giáo dục và đe dọa trực tiếp đến an ninh quốc gia.

Việc xây dựng Luật An ninh dữ liệu vì vậy nhằm cụ thể hóa các chủ trương lớn của Đảng, nhất là yêu cầu của Nghị quyết số 57-NQ/TW về bảo đảm chủ quyền quốc gia trên không gian mạng, an ninh mạng, an ninh dữ liệu và an toàn thông tin; đồng thời đáp ứng yêu cầu của Nghị quyết số 66-NQ/TW về xây dựng hành lang pháp lý cho trí tuệ nhân tạo, chuyển đổi số, khai thác nguồn lực dữ liệu và các mô hình kinh tế mới.

Dự thảo Luật được xây dựng trên ba trụ cột cơ bản: thống nhất quản lý nhà nước về an ninh dữ liệu; phân loại dữ liệu để áp dụng biện pháp bảo vệ tương ứng; nâng cao năng lực tự chủ về công nghệ, mật mã và hạ tầng dữ liệu. Mục tiêu xuyên suốt là hình thành “niềm tin số”, bảo vệ chủ quyền dữ liệu quốc gia nhưng không cản trở trái pháp luật dòng chảy dữ liệu hợp pháp, hoạt động đổi mới sáng tạo và các cam kết quốc tế về thương mại số.

Thiết lập hệ thống bảo đảm an ninh theo bốn cấp độ rủi ro

Một trong những nội dung mới nổi bật của dự thảo Luật là xác lập khái niệm “chủ quyền dữ liệu quốc gia”. Theo đó, đây là quyền lực tối cao, độc lập và toàn vẹn của Nhà nước Việt Nam trong quản lý, kiểm soát, bảo vệ dữ liệu phát sinh trên lãnh thổ Việt Nam hoặc liên quan đến lợi ích hợp pháp của quốc gia.

Tuy nhiên, việc thực hiện chủ quyền dữ liệu không đồng nghĩa với Nhà nước sở hữu toàn bộ dữ liệu phát sinh trên lãnh thổ. Quyền sở hữu, quyền khai thác dữ liệu do tổ chức, cá nhân hợp pháp tạo lập, thu thập bằng nguồn lực của mình vẫn được công nhận và bảo hộ theo pháp luật dân sự, sở hữu trí tuệ và pháp luật có liên quan. Nhà nước chỉ thực hiện quyền quản lý, kiểm soát về an ninh trong phạm vi cần thiết nhằm phòng ngừa vi phạm hoặc ứng phó sự cố nghiêm trọng. Cách tiếp cận này góp phần phân định giữa quyền lực quản lý công với quyền tài sản, quyền kinh doanh hợp pháp của các chủ thể.

Dự thảo Luật phân loại dữ liệu thành bốn cấp độ rủi ro, gồm: dữ liệu Thông thường - cấp độ 1; dữ liệu Nội bộ - cấp độ 2; dữ liệu Quan trọng - cấp độ 3; dữ liệu Cốt lõi - cấp độ 4. Cấp độ rủi ro càng cao thì yêu cầu quản lý và biện pháp kỹ thuật càng nghiêm ngặt.

Đáng chú ý, việc phân loại không chỉ căn cứ vào tính chất của từng dữ liệu mà còn tính đến quy mô tích tụ và mức độ tác động. Dữ liệu ban đầu thuộc cấp độ thấp nhưng khi được tích tụ với quy mô lớn, làm thay đổi bản chất rủi ro, sẽ phải áp dụng cấp độ bảo vệ cao hơn. Chủ quản hệ thống phải thiết lập công nghệ tự động giám sát, cảnh báo ngưỡng tích tụ và khai báo biến động đối với dữ liệu Quan trọng, dữ liệu Cốt lõi. Dữ liệu Quan trọng phải được lưu trữ, xử lý trong hệ thống đáp ứng tiêu chuẩn tối thiểu từ cấp độ 3; áp dụng xác thực đa yếu tố, phân quyền truy cập tối thiểu, mã hóa khi lưu trữ và truyền dẫn; lưu giữ nhật ký hệ thống tối thiểu sáu tháng. Cơ quan, tổ chức xử lý loại dữ liệu này phải bố trí nhân sự hoặc bộ phận chuyên trách về an ninh dữ liệu.

Đối với dữ liệu Cốt lõi, yêu cầu bảo vệ được đặt ở mức cao nhất. Dữ liệu phải được lưu trữ, xử lý trong hệ thống thông tin cấp độ 4 hoặc cấp độ 5; dữ liệu liên quan đến quốc phòng, an ninh và hạ tầng trọng yếu phải được cách ly vật lý hoặc phân vùng an ninh đặc biệt với mạng Internet công cộng. Việc chuyển dữ liệu Cốt lõi ra nước ngoài chỉ được thực hiện trong trường hợp đặc biệt phục vụ lợi ích tối cao của quốc gia và phải được Thủ tướng Chính phủ quyết định bằng văn bản. Cùng với bảo vệ theo cấp độ, dự thảo Luật tiếp cận an ninh dữ liệu theo toàn bộ vòng đời, từ thu thập, khởi tạo, lưu trữ, truyền dẫn, xử lý, chia sẻ, giao dịch đến xóa bỏ, tiêu hủy. Nguyên tắc “an ninh ngay từ thiết kế và theo mặc định” được đặt ra đối với hệ thống thông tin, phần mềm, thiết bị và ứng dụng công nghệ. Tổ chức, cá nhân chỉ được thu thập những trường thông tin thực sự cần thiết cho mục đích đã tuyên bố.

Chủ quản dữ liệu còn phải thực hiện kiểm kê, lập bản đồ đối với dữ liệu Quan trọng, dữ liệu Cốt lõi; đánh giá rủi ro và đánh giá tác động an ninh trước khi triển khai hệ thống mới, thay đổi kiến trúc, sử dụng công nghệ mới hoặc chuyển dữ liệu ra ngoài phạm vi quản lý. Để tránh phát sinh hồ sơ trùng lặp, kết quả kiểm kê và đánh giá rủi ro có thể được sử dụng trong hồ sơ đánh giá tác động đối với cùng một hệ thống.

Những cơ chế mới đối với AI, dữ liệu xuyên biên giới và ứng phó sự cố

Trước sự phát triển nhanh chóng của trí tuệ nhân tạo, dự thảo Luật dành quy định riêng về quản trị thuật toán và hệ thống AI. Tổ chức, doanh nghiệp phát triển, vận hành AI, đặc biệt là AI tạo sinh, phải kiểm chứng, làm sạch dữ liệu đào tạo; bảo đảm nguồn gốc dữ liệu hợp pháp, không xâm phạm quyền sở hữu trí tuệ; gắn nhãn kỹ thuật số đối với nội dung do AI tạo ra và xây dựng bộ lọc ngăn chặn thông tin sai lệch gây phương hại đến an ninh quốc gia, trật tự, an toàn xã hội.

Khi hệ thống AI đưa ra thông tin sai lệch về chủ quyền, lịch sử, biên giới, văn hóa hoặc chính trị Việt Nam, cơ quan có thẩm quyền được yêu cầu doanh nghiệp giải trình về tính minh bạch của thuật toán và nguồn dữ liệu đào tạo. Trường hợp vi phạm nghiêm trọng, gây hậu quả đặc biệt lớn, hệ thống có thể bị tạm ngừng cung cấp dịch vụ hoặc áp dụng biện pháp ngăn chặn kỹ thuật. Song song với quản lý rủi ro, dự thảo thiết lập cơ chế thử nghiệm có kiểm soát đối với AI, chuỗi khối, dữ liệu lớn và các giải pháp an ninh dữ liệu mới, tạo không gian pháp lý cho đổi mới sáng tạo.

Hoạt động lưu chuyển dữ liệu xuyên biên giới được quản lý theo nguyên tắc phân luồng rủi ro. Việc chuyển dữ liệu Quan trọng hoặc dữ liệu Cốt lõi ra nước ngoài phải được thẩm định, chấp thuận về an ninh trước khi thực hiện. Đối với bí mật kinh doanh, dự thảo áp dụng cơ chế linh hoạt hơn: không phải thẩm định trước nếu quốc gia tiếp nhận có mức độ bảo vệ tương đương, các bên sử dụng hợp đồng tiêu chuẩn hoặc chủ thể chuyển giao đã được chứng nhận hợp quy. Chủ thể chuyển giao phải tự đánh giá tác động, báo cáo định kỳ và chịu hậu kiểm. Đối với chuỗi cung ứng, tổ chức xử lý dữ liệu phải đánh giá rủi ro của các nhà cung cấp điện toán đám mây, AI, trung tâm dữ liệu, đơn vị môi giới hoặc nhận thuê ngoài. Việc cho bên thứ ba tiếp cận dữ liệu phải được ràng buộc bằng hợp đồng an ninh dữ liệu, trong đó xác định rõ phạm vi xử lý, giới hạn truy cập, trách nhiệm bảo vệ, bồi thường và nghĩa vụ thông báo sự cố trong thời hạn không quá 24 giờ.

Dự thảo Luật cũng thiết lập Hệ thống giám sát an ninh dữ liệu tập trung quốc gia và Trung tâm Quản trị an ninh dữ liệu quốc gia thuộc Bộ Công an. Hoạt động giám sát chủ yếu được thực hiện trên nhật ký hệ thống và thông tin cảnh báo; việc trích xuất nội dung dữ liệu cụ thể chỉ được tiến hành trong trường hợp khẩn cấp về an ninh quốc gia hoặc phục vụ điều tra hình sự theo trình tự pháp luật.

Cơ chế báo cáo sự cố được quy định theo thời hạn cụ thể: sự cố liên quan đến dữ liệu Cốt lõi phải được đánh giá, báo cáo trong vòng 2 giờ; sự cố đối với dữ liệu khác phải thông báo ban đầu trong 24 giờ; báo cáo đầy đủ trong 72 giờ và báo cáo tổng kết trong 30 ngày kể từ khi khắc phục. Khi có tình huống đe dọa trực tiếp chủ quyền dữ liệu hoặc an ninh quốc gia, cơ quan có thẩm quyền được áp dụng biện pháp kỹ thuật khẩn cấp, phong tỏa luồng dữ liệu hoặc trưng dụng có thời hạn hạ tầng, tài sản theo quy định pháp luật.

Về chế tài, dự thảo quy định mức phạt tiền tối đa không quá 5% tổng doanh thu tại Việt Nam của tổ chức trong năm tài chính liền kề trước đó đối với vi phạm đặc biệt nghiêm trọng liên quan đến dữ liệu Quan trọng, dữ liệu Cốt lõi. Trong trường hợp doanh thu tại Việt Nam của thành viên tập đoàn đa quốc gia không tương xứng với quy mô vi phạm, mức phạt có thể được xem xét trên cơ sở doanh thu toàn cầu nhưng không vượt quá 5%.

Với cách tiếp cận quản trị dựa trên rủi ro, bảo vệ theo vòng đời và kết hợp giữa an ninh với phát triển, dự thảo Luật An ninh dữ liệu hướng tới xây dựng một hệ sinh thái dữ liệu an toàn, tin cậy và có khả năng chống chịu cao. Đây không chỉ là công cụ phòng ngừa, xử lý hành vi xâm phạm dữ liệu mà còn là nền tảng pháp lý để khai thác hiệu quả tài nguyên dữ liệu, củng cố chủ quyền số và nâng cao năng lực tự chủ của Việt Nam trong kỷ nguyên số.

QUANG PHÚC

Ảnh minh họa tạo bằng AI - KHẢI HOÀN/TCTA.