Dự thảo Luật An ninh dữ liệu: Hoàn thiện thể chế bảo vệ dữ liệu, quản lý theo rủi ro, thúc đẩy phát triển kinh tế số

AN NINH DỮ LIỆU TRONG YÊU CẦU HOÀN THIỆN THỂ CHẾ SỐ

Dữ liệu ngày càng trở thành nguồn lực quan trọng của nền kinh tế số, tham gia sâu vào hoạt động quản lý nhà nước, sản xuất, kinh doanh, nghiên cứu khoa học và cung cấp dịch vụ công. Khả năng thu thập, phân tích, kết nối và khai thác dữ liệu có thể nâng cao năng suất, cải thiện chất lượng ra quyết định và mở ra các mô hình kinh doanh mới. Tuy nhiên, giá trị của dữ liệu chỉ được phát huy bền vững khi đi cùng năng lực bảo vệ trước nguy cơ truy cập trái phép, chiếm đoạt, làm sai lệch, thất thoát hoặc gián đoạn khả năng sử dụng.

Theo Tờ trình số 654/TTr-CP của Chính phủ được thông tin tại Quốc hội ngày 24/9/2026, trong năm 2025, Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng; 5.230 cơ quan, doanh nghiệp bị tổn hại. Cơ quan chức năng phát hiện khoảng 300 vụ rao bán trái phép dữ liệu cá nhân với hơn 1,7 triệu bản ghi; trong đó có vụ việc liên quan đến hơn 160 triệu bản ghi thông tin khách hàng của một tổ chức tín dụng. Các số liệu cho thấy quy mô của thách thức an ninh mạng và dữ liệu, song cần hiểu đúng phạm vi: số cuộc tấn công mạng không đồng nghĩa tất cả đều dẫn đến sự cố lộ, mất hoặc bị chiếm đoạt dữ liệu.

An ninh dữ liệu là nền tảng quan trọng để bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân và thúc đẩy phát triển kinh tế số.

Trong bối cảnh đó, dự án Luật An ninh dữ liệu được xây dựng nhằm bổ sung khuôn khổ pháp lý tập trung cho việc bảo vệ an ninh của bản thân dữ liệu trong toàn bộ vòng đời. Theo thông tin chính thức của Quốc hội, dự thảo sau chỉnh lý gồm 6 chương, 29 điều và dự kiến có hiệu lực từ ngày 1/7/2027. Đây vẫn là dự thảo đang được Quốc hội xem xét; vì vậy, các quy định được đề cập trong bài cần được hiểu là phương án lập pháp, không phải quy định đã có hiệu lực.

Điểm đáng chú ý là dự thảo lựa chọn cơ chế quản lý theo năm cấp độ rủi ro, thay vì áp dụng đồng loạt một mức nghĩa vụ đối với mọi hoạt động xử lý dữ liệu. Theo cách tiếp cận này, yêu cầu bảo vệ và thủ tục quản lý được phân hóa theo mức độ rủi ro. Về nguyên tắc, nguồn lực quản lý cần tập trung vào những trường hợp có khả năng gây hậu quả lớn, trong khi hoạt động rủi ro thấp nên được áp dụng yêu cầu tương xứng, tránh phát sinh chi phí tuân thủ không cần thiết.

Bài viết sử dụng phương pháp phân tích chính sách và pháp lý, đối chiếu thông tin chính thức về dự thảo với các văn bản pháp luật liên quan và tham khảo có chọn lọc khung quản trị rủi ro quốc tế. Trên cơ sở đó, bài viết phân tích ý nghĩa của cơ chế năm cấp độ, điều kiện hạn chế chồng chéo thủ tục và những vấn đề cần tiếp tục làm rõ để quy định có tính khả thi.

QUẢN LÝ THEO RỦI RO: TỪ NGUYÊN TẮC TƯƠNG XỨNG ĐẾN CƠ CHẾ THỰC THI

Về phương diện quản trị, tiếp cận dựa trên rủi ro đòi hỏi mức độ can thiệp và nghĩa vụ tuân thủ phải tương xứng với nguy cơ cần kiểm soát. Rủi ro không chỉ phụ thuộc vào khả năng xảy ra sự cố mà còn liên quan đến quy mô, tính chất và mức độ nghiêm trọng của hậu quả. Một sự cố ít có khả năng xảy ra nhưng có thể làm gián đoạn dịch vụ thiết yếu hoặc gây lộ lọt lượng lớn dữ liệu nhạy cảm vẫn có thể đòi hỏi biện pháp bảo vệ nghiêm ngặt.

Ngược lại, nếu mọi hoạt động xử lý dữ liệu đều phải đáp ứng các thủ tục có cường độ tương đương nhau, chi phí tuân thủ sẽ tăng lên và nguồn lực kiểm tra có nguy cơ bị phân tán. Đối với doanh nghiệp nhỏ và siêu nhỏ, yêu cầu phức tạp vượt quá quy mô hoạt động có thể làm tăng chi phí tiếp cận pháp luật và hạn chế khả năng ứng dụng công nghệ. Tuy nhiên, quy mô tổ chức tự nó không đủ để kết luận mức độ rủi ro: một đơn vị nhỏ vẫn có thể xử lý dữ liệu nhạy cảm hoặc cung cấp dịch vụ có ý nghĩa thiết yếu.

Theo thông tin thẩm tra của Quốc hội, dự thảo phân dữ liệu thành 5 cấp độ rủi ro, tương ứng với cấu trúc 5 cấp độ an toàn hệ thống thông tin; đồng thời kế thừa, liên kết với việc phân loại dữ liệu theo pháp luật về dữ liệu. Theo phương án được công bố, dữ liệu quan trọng thuộc cấp độ 3, dữ liệu cốt lõi thuộc cấp độ 4 hoặc cấp độ 5 theo danh mục của Luật Dữ liệu. Cách tiếp cận này hướng tới hạn chế hình thành các hệ thống phân loại song song. Dù vậy, cấp độ rủi ro an ninh dữ liệu và cấp độ an toàn hệ thống thông tin vẫn cần được giải thích, liên kết và áp dụng đúng theo văn bản cuối cùng; không nên mặc nhiên coi đây là những khái niệm đồng nhất trong mọi trường hợp.

Để cơ chế phân cấp vận hành nhất quán, tiêu chí hướng dẫn cần đủ cụ thể để chủ quản dữ liệu nhận diện phạm vi xử lý, mức độ nhạy cảm, khả năng tác động đến quyền và lợi ích hợp pháp, mức độ phụ thuộc của hoạt động thiết yếu và khả năng khắc phục hậu quả. Cơ quan có thẩm quyền cần công bố công cụ, hướng dẫn xác định cấp độ và cơ chế rà soát khi phạm vi, mục đích hoặc bối cảnh xử lý dữ liệu thay đổi.

Chẳng hạn, một cửa hàng chỉ quản lý danh mục sản phẩm công khai và thông tin vận hành thông thường có thể có hồ sơ rủi ro khác với một nền tảng xử lý lượng lớn dữ liệu khách hàng hoặc hệ thống hỗ trợ dịch vụ thiết yếu. Đây chỉ là ví dụ minh họa cho nguyên tắc quản lý dựa trên rủi ro, không phải căn cứ để tự động xếp một loại tổ chức vào cấp độ cố định.

Cùng với phân loại, cần xác định rõ trách nhiệm của chủ quản dữ liệu, bên xử lý và bên cung cấp sản phẩm, dịch vụ theo quyền quyết định và phạm vi kiểm soát của từng chủ thể. Thuê ngoài có thể chuyển giao một phần công việc kỹ thuật, nhưng không nên làm mờ trách nhiệm pháp lý đối với dữ liệu mà tổ chức có quyền quyết định hoặc kiểm soát. Cơ chế tự đánh giá chỉ hiệu quả khi đi kèm hướng dẫn, năng lực thực hiện và trách nhiệm giải trình.

GIẢM THỦ TỤC HÀNH CHÍNH NHƯNG KHÔNG HẠ THẤP YÊU CẦU BẢO VỆ

Theo nội dung dự thảo được Chính phủ trình Quốc hội, cơ chế quản lý theo cấp độ rủi ro hướng tới hạn chế phát sinh thủ tục hành chính đối với dữ liệu có mức độ rủi ro thấp. Theo thông tin thẩm tra chính thức, cấp độ 1 không phát sinh thủ tục; cấp độ 2 lập phương án theo mẫu rút gọn và không nộp cơ quan nhà nước, đồng thời một số nhóm chủ thể như hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo được đề xuất miễn lập phương án; cấp độ 3 tự đánh giá, không thẩm định; cấp độ 4 và 5 phải thẩm định một lần, kết hợp với thẩm định an ninh mạng. Đây là các nội dung của dự thảo, cần được cập nhật theo văn bản cuối cùng.

Khi phản ánh các phương án trên, cần phân biệt thủ tục hành chính với nghĩa vụ chuyên môn, nghĩa vụ lưu hồ sơ, trách nhiệm bảo vệ dữ liệu và những yêu cầu có thể phát sinh theo các luật khác. Việc một cấp độ không phải thực hiện thủ tục theo dự thảo không đồng nghĩa dữ liệu được miễn mọi biện pháp bảo vệ hoặc không chịu sự điều chỉnh của pháp luật có liên quan.

Yêu cầu phối hợp pháp luật trở nên quan trọng khi hoạt động dữ liệu có thể đồng thời thuộc phạm vi điều chỉnh của nhiều văn bản. Luật Dữ liệu số 60/2024/QH15 có hiệu lực từ ngày 1/7/2025; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực từ ngày 1/1/2026; Luật An ninh mạng số 116/2025/QH15 có hiệu lực từ ngày 1/7/2026; Luật Trí tuệ nhân tạo số 134/2025/QH15 có hiệu lực từ ngày 1/3/2026. Các văn bản có phạm vi và mục tiêu điều chỉnh riêng, vì vậy việc áp dụng cần dựa trên đối tượng, nghĩa vụ cụ thể của từng luật.

Một doanh nghiệp có thể đồng thời vận hành hệ thống thông tin, xử lý dữ liệu cá nhân, sử dụng công nghệ AI và chuyển dữ liệu ra nước ngoài. Nếu các quy trình đánh giá, thẩm định không được phối hợp, cùng một nội dung rủi ro có thể bị yêu cầu lập hồ sơ nhiều lần. Theo phương án dự thảo được Quốc hội công bố, khi cùng một đối tượng và cùng một nội dung được nhiều luật điều chỉnh, tổ chức, cá nhân chỉ lập một bộ hồ sơ, thực hiện một thủ tục qua một đầu mối; kết quả đã thực hiện hợp pháp theo luật khác và còn hiệu lực được công nhận, không yêu cầu thực hiện lại.

Để nguyên tắc này phát huy hiệu quả, cần có quy trình phối hợp cụ thể, chuẩn hóa hồ sơ, xác định cơ quan đầu mối và cơ chế chia sẻ thông tin giữa các cơ quan có thẩm quyền. Đơn giản hóa chỉ thực chất khi người dân, doanh nghiệp giảm được thời gian và chi phí tuân thủ, chứ không phải chuyển gánh nặng sang các yêu cầu báo cáo hoặc thủ tục trung gian khác.

AI, DỮ LIỆU XUYÊN BIÊN GIỚI VÀ CHUỖI CUNG ỨNG: NHỮNG VÙNG RỦI RO MỚI

Sự phát triển của trí tuệ nhân tạo làm mở rộng phạm vi rủi ro an ninh dữ liệu. Dữ liệu huấn luyện có thể bị làm sai lệch hoặc đầu độc; dữ liệu đầu vào, đầu ra có thể làm lộ thông tin nếu hệ thống thiếu biện pháp kiểm soát phù hợp. Một mô hình có hiệu năng cao nhưng được xây dựng từ dữ liệu không đáng tin cậy vẫn có thể tạo ra rủi ro cho tổ chức và người sử dụng.

Theo nội dung dự thảo được công bố, yêu cầu bảo vệ an ninh dữ liệu trong nghiên cứu, phát triển và triển khai công nghệ mới, hệ thống AI tập trung vào việc kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu và phòng ngừa hành vi đầu độc hoặc trích xuất dữ liệu trái phép. Việc đánh giá an ninh dữ liệu đối với hệ thống AI được định hướng tích hợp vào hồ sơ đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng. Đây là phương án đang được xem xét, không nên mô tả như quy định đã có hiệu lực.

Dự thảo cũng đặt ra giới hạn đối với yêu cầu cung cấp thông tin phục vụ ứng phó sự cố: cơ quan chuyên trách chỉ yêu cầu thông tin liên quan trực tiếp đến sự cố, không yêu cầu toàn bộ cơ sở dữ liệu, mã nguồn, tham số mô hình hoặc bí mật kinh doanh theo nội dung được công bố. Cách tiếp cận này cần được nhìn nhận trong mối quan hệ giữa yêu cầu bảo đảm an ninh và bảo vệ bí mật kinh doanh, quyền và lợi ích hợp pháp của tổ chức, cá nhân. Khi triển khai, phạm vi thông tin được yêu cầu, căn cứ kiểm tra, cơ chế bảo mật và trách nhiệm của các bên cần được quy định, thực hiện minh bạch.

Đối với chuyển dữ liệu xuyên biên giới, phương án dự thảo phân hóa theo cấp độ: cấp độ 1 và 2 không phải thực hiện thủ tục theo Luật này; cấp độ 3 tự đánh giá, lưu hồ sơ; cấp độ 4 và 5 được thẩm định, chấp thuận một lần theo luồng dữ liệu. Theo thông tin thẩm tra, chỉ dữ liệu cấp độ 5 đặc biệt quan trọng về quốc phòng, an ninh quốc gia, chủ quyền lãnh thổ thuộc danh mục dữ liệu cốt lõi do Thủ tướng Chính phủ quyết định mới thuộc phạm vi bị cấm chuyển theo phương án nêu trong dự thảo. Cần tránh diễn giải mở rộng thành lệnh cấm chung đối với mọi dữ liệu cấp độ 5.

Thông tin thẩm tra cũng nêu việc mang dữ liệu ra nước ngoài hoặc truy cập từ nước ngoài để phục vụ công tác, sản xuất, kinh doanh không mặc nhiên được coi là chuyển dữ liệu xuyên biên giới theo cách phân loại tại dự thảo; việc xác định trường hợp cụ thể cần căn cứ vào nội dung và điều kiện của văn bản cuối cùng. Các quy định liên quan đến dữ liệu cá nhân và nghĩa vụ theo pháp luật chuyên ngành vẫn cần được xem xét tương ứng.

Rủi ro cũng xuất hiện trong chuỗi cung ứng, bao gồm dịch vụ điện toán đám mây, phần mềm, nhà thầu phụ và nhân sự hỗ trợ từ xa. Vì vậy, tổ chức nên đánh giá nhà cung cấp trước khi kết nối, giới hạn quyền truy cập theo nhu cầu công việc, quy định nghĩa vụ bảo mật trong hợp đồng và thu hồi quyền khi không còn cần thiết. Đây là khuyến nghị quản trị thực tiễn; việc xác định thành nghĩa vụ pháp lý cụ thể phải căn cứ vào văn bản điều chỉnh tương ứng.

Cơ chế khuyến khích chuyên gia phát hiện, kiểm thử và thông báo lỗ hổng với thiện chí có thể huy động thêm nguồn lực phòng ngừa. Tuy nhiên, phạm vi kiểm thử được phép, kênh báo cáo, cách bảo vệ thông tin và điều kiện áp dụng cơ chế bảo vệ pháp lý cần được xác định rõ. Bảo vệ người báo cáo lỗ hổng có thiện chí không đồng nghĩa hợp thức hóa hành vi truy cập trái phép.

KINH NGHIỆM QUỐC TẾ VÀ ĐIỀU KIỆN ĐỂ QUY ĐỊNH ĐI VÀO CUỘC SỐNG

Khung quản lý rủi ro an ninh mạng của Viện Tiêu chuẩn và Công nghệ quốc gia Hoa Kỳ (NIST) nhấn mạnh việc quản trị rủi ro xuyên suốt vòng đời hệ thống, từ xác định bối cảnh, lựa chọn và triển khai biện pháp kiểm soát đến đánh giá, phê duyệt và giám sát liên tục. Khung này không phải mô hình phân loại dữ liệu theo năm cấp độ như dự thảo của Việt Nam. Giá trị tham khảo nằm ở việc gắn nhận diện rủi ro với biện pháp kiểm soát, đánh giá hiệu quả và theo dõi thay đổi theo thời gian.

Liên minh châu Âu cũng áp dụng cách tiếp cận dựa trên rủi ro trong Đạo luật Trí tuệ nhân tạo. Với hệ thống AI thuộc nhóm rủi ro cao, các yêu cầu có thể bao gồm quản trị rủi ro, chất lượng dữ liệu, lưu trữ nhật ký, tài liệu kỹ thuật, giám sát của con người và an ninh mạng; việc áp dụng một số nghĩa vụ được triển khai theo lộ trình. Mô hình này không tương đương trực tiếp với năm cấp độ rủi ro an ninh dữ liệu của Việt Nam, nhưng cho thấy tầm quan trọng của việc gắn mức độ rủi ro với nghĩa vụ cụ thể và lộ trình thực thi.

Từ các kinh nghiệm trên, việc triển khai dự thảo tại Việt Nam cần chú trọng ba điều kiện. Thứ nhất, tiêu chí phân loại phải rõ ràng, có ví dụ minh họa và hướng dẫn áp dụng thống nhất; đồng thời có cơ chế rà soát khi phạm vi, mục đích hoặc bối cảnh xử lý dữ liệu thay đổi. Thứ hai, cần hỗ trợ doanh nghiệp nhỏ và siêu nhỏ bằng bộ công cụ tự đánh giá, hướng dẫn bảo vệ cơ bản và mẫu hồ sơ dễ áp dụng. Thứ ba, hoạt động hậu kiểm cần dựa trên dấu hiệu rủi ro, đi cùng trách nhiệm giải trình và cơ chế xử lý khi quyết định quản lý ảnh hưởng đến quyền, lợi ích hợp pháp.

Đối với biện pháp kỹ thuật khẩn cấp, thông tin thẩm tra của Quốc hội cho biết dự thảo xác định căn cứ, thẩm quyền, phạm vi và thời hạn áp dụng; yêu cầu lựa chọn biện pháp ít hạn chế quyền nhất trong điều kiện phù hợp, đồng thời quy định quyền kiến nghị, khiếu nại, khởi kiện và bồi thường theo phương án được công bố. Vì đây vẫn là dự thảo, cần bám sát bản chỉnh lý mới nhất khi mô tả các điều kiện, thời hạn và cơ chế bảo vệ quyền; không nên khẳng định dự thảo thiếu cơ chế bảo đảm quyền nếu chưa có căn cứ đối chiếu.

Cơ chế năm cấp độ rủi ro trong dự thảo Luật An ninh dữ liệu thể hiện nỗ lực chuyển từ áp dụng nghĩa vụ đồng loạt sang bảo vệ có phân hóa. Cách tiếp cận này có thể giúp tập trung nguồn lực vào những nguy cơ lớn, giảm thủ tục trùng lặp và tạo điều kiện cho hoạt động xử lý dữ liệu ít rủi ro. Tuy nhiên, kết quả thực tế phụ thuộc vào tiêu chí phân loại có thể áp dụng nhất quán, sự phối hợp giữa các luật và năng lực tổ chức thực hiện.

An ninh dữ liệu và phát triển kinh tế dữ liệu không phải hai mục tiêu đối lập. Một khuôn khổ pháp lý rõ ràng, tương xứng và có trách nhiệm giải trình có thể vừa nâng cao năng lực bảo vệ dữ liệu, vừa củng cố niềm tin của người dân và doanh nghiệp đối với môi trường số. Trọng tâm của quá trình hoàn thiện thể chế không chỉ là giảm số lượng thủ tục, mà là bảo đảm mỗi nghĩa vụ được đặt đúng chỗ, đúng mức rủi ro và có hiệu quả kiểm chứng được./.

ThS. Lê Xuân Hòa