Luật An ninh dữ liệu - Mảnh ghép mới của pháp luật về dữ liệu: Bài 1: Bốn đạo luật, một trục bảo vệ dữ liệu

Thừa ủy quyền của Thủ tướng Chính phủ, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an, dẫn số liệu năm 2025 cho thấy, cả nước ghi nhận khoảng 552.000 cuộc tấn công mạng nhằm vào các hệ thống thông tin, hơn 5.230 cơ quan, tổ chức, doanh nghiệp bị tổn hại. Bên cạnh đó, có khoảng 300 vụ rao bán dữ liệu trái phép với hơn 1,7 triệu bản ghi. Đáng chú ý, một tổ chức tín dụng bị chiếm đoạt, phát tán hơn 160 triệu bản ghi thông tin khách hàng. Hồ sơ dự án Luật An ninh dữ liệu được đánh giá đủ điều kiện trình Quốc hội xem xét, thông qua tại kỳ họp này. Luật dự kiến có hiệu lực thi hành từ ngày 01/7/2027.

Trong chưa đầy hai năm, Việt Nam đã ban hành Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng mới. Vấn đề đặt ra không chỉ là sự cần thiết của một đạo luật mới, mà còn là Luật An ninh dữ liệu sẽ bổ sung những cơ chế bảo vệ nào so với các luật hiện hành, phân định phạm vi điều chỉnh và trách nhiệm thực thi ra sao, cũng như những nội dung đã được tiếp thu, chỉnh lý qua ba vòng góp ý. Nếu được thông qua, Luật An ninh dữ liệu dự kiến có hiệu lực từ ngày 01/7/2027.

Tạo hành lang pháp lý thống nhất

Theo tờ trình, các quy định về bảo đảm an toàn dữ liệu hiện được quy định tại nhiều văn bản pháp luật, trong đó có Luật Dữ liệu, Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân. Sự phân tán này khiến hệ thống pháp luật chưa hình thành được hành lang pháp lý thống nhất để bảo vệ dữ liệu xuyên suốt vòng đời, đồng thời còn thiếu cơ chế kiểm soát chặt chẽ việc chuyển dữ liệu quan trọng ra nước ngoài. Dự án luật nhằm thể chế hóa các chủ trương tại Nghị quyết Đại hội XIV, Nghị quyết số 22-NQ/TW về Chiến lược An ninh quốc gia cùng các chỉ thị của Bộ Chính trị, Ban Bí thư.

Kỳ họp thứ 2, Quốc hội nghe tờ trình và báo cáo thẩm tra về các dự án luật do Bộ Công an chủ trì soạn thảo

Cơ quan thẩm tra là Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội nhất trí với sự cần thiết ban hành luật nhằm khắc phục tình trạng quy định về an ninh dữ liệu còn phân tán trong các luật chuyên ngành. Đồng thời, luật hướng tới chủ động bảo vệ tài nguyên dữ liệu quốc gia từ sớm, từ xa trước các nguy cơ tấn công mạng, lộ lọt dữ liệu, sự cố liên quan đến dữ liệu trong các lĩnh vực tài chính, năng lượng, viễn thông và những thách thức mới từ điện toán lượng tử.

Trước đó, tại phiên họp thứ 6 của Ủy ban Thường vụ Quốc hội, Phó Thủ tướng Thường trực Chính phủ Phạm Gia Túc cho biết dự thảo luật không làm phát sinh bộ máy mới, mà tận dụng hạ tầng hiện có và hạn chế thủ tục hành chính. Chủ tịch Quốc hội Trần Thanh Mẫn đánh giá dự thảo có điểm mạnh ở tư duy phân cấp theo mức độ rủi ro, đồng thời lưu ý yêu cầu bảo đảm tính khả thi và cân bằng giữa an ninh với phát triển kinh tế số. Tại phiên họp, Chủ tịch Quốc hội nhấn mạnh Luật An ninh dữ liệu phải trở thành công cụ chiến lược.

Ba đạo luật có liên quan trực tiếp đến dự án Luật An ninh dữ liệu đều gắn với vai trò tham mưu, chủ trì của Bộ Công an. Cụ thể, Luật Dữ liệu số 60/2024/QH15 được Quốc hội thông qua ngày 30/11/2024, có hiệu lực từ ngày 01/7/2025; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được thông qua ngày 26/6/2025, có hiệu lực từ ngày 01/01/2026.

Trong khi đó, Luật An ninh mạng số 116/2025/QH15 được xây dựng trên cơ sở hợp nhất Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015, đồng thời lần đầu bổ sung các quy định riêng về bảo đảm an ninh dữ liệu. Luật gồm 8 chương, 45 điều, có hiệu lực từ ngày 01/7/2026. Kể từ thời điểm này, Luật An toàn thông tin mạng số 86/2015/QH13 và Luật An ninh mạng số 24/2018/QH14 hết hiệu lực.

Cùng nhịp với các dự án luật an ninh số khác

Dự thảo Luật An ninh dữ liệu tập trung bảo vệ an ninh của chính dữ liệu trong toàn bộ vòng đời, từ thu thập, lưu trữ, xử lý, truyền đưa đến tiêu hủy. Dự thảo kế thừa quy định về phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu, đồng thời không thành lập tổ chức, bộ máy mới.

Tổng Bí thư, Chủ tịch nước Tô Lâm và các đại biểu tham dự kỳ họp Quốc hội

Sự kết nối giữa các luật được thể hiện cụ thể qua thiết kế phân cấp độ rủi ro. Cơ quan thẩm tra nhất trí với phương án quản lý theo 5 cấp độ rủi ro, tương ứng với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng, đồng thời tích hợp kết quả phân loại dữ liệu theo Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân. Dự thảo quy định nguyên tắc một bộ hồ sơ, một thủ tục, một đầu mối đối với những nội dung trùng lặp giữa các luật; công nhận kết quả đã thực hiện hợp pháp theo quy định của pháp luật khác; tích hợp việc thẩm định, báo cáo trên hệ thống điện tử thống nhất. Bộ Công an chủ trì quản lý nhà nước về an ninh dữ liệu; Bộ Quốc phòng quản lý dữ liệu, hệ thống thông tin quân sự; Ban Cơ yếu Chính phủ quản lý hệ thống thông tin cơ yếu. Đối với dữ liệu vừa là dữ liệu cá nhân, vừa thuộc cấp độ 3 trở lên, dự thảo áp dụng nguyên tắc một hồ sơ, một thủ tục.

Bản dự thảo lấy ý kiến nhân dân vào tháng 7/2026 gồm 9 chương, 58 điều. Dự thảo đề xuất mức phạt tiền tối đa không quá 5% tổng doanh thu đối với tổ chức vi phạm đặc biệt nghiêm trọng quy định về bảo vệ dữ liệu quan trọng, dữ liệu cốt lõi; dự kiến có hiệu lực từ ngày 01/12/2027 và đặt lộ trình đến ngày 01/01/2035 để chuyển đổi một số hệ thống sang giải pháp mật mã mới.

Chiều 23/9/2026, tại phiên họp của Ủy ban Thường vụ Quốc hội, Thứ trưởng Bộ Công an, Thượng tướng Phạm Thế Tùng cho biết dự thảo đã được rút gọn còn 6 chương, 25 điều, quy định 4 cấp độ rủi ro. Dự thảo vẫn giữ lộ trình chuyển đổi sang mật mã kháng lượng tử chậm nhất vào ngày 01/01/2035 đối với dữ liệu cấp độ 4, đồng thời duy trì mức phạt tiền tối đa bằng 5% doanh thu. Tại phiên họp, cơ quan thẩm tra ghi nhận nhiều ý kiến đề nghị các cấp độ rủi ro phải tương thích với 5 cấp độ của Luật An ninh mạng. Phó Chủ tịch Quốc hội Nguyễn Hồng Diên đề nghị xác lập nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá một lần. Chủ nhiệm Ủy ban Khoa học, Công nghệ và Môi trường Nguyễn Thanh Hải đề xuất nghiên cứu mô hình mật mã kép nhằm tạo lớp bảo vệ dự phòng trước nguy cơ từ máy tính lượng tử.

Bộ trưởng Lương Tam Quang trình bày tờ trình, sáng 26/10

Bản dự thảo trình Quốc hội ngày 26/10/2026 cho thấy các ý kiến trên đã được tiếp thu, chỉnh lý. Số điều tăng từ 25 lên 29; dự thảo chuyển sang phương án quản lý theo 5 cấp độ rủi ro, bỏ quy định về Trung tâm Quản trị an ninh dữ liệu quốc gia, không ấn định mốc thời gian cứng về chuyển đổi mật mã kháng lượng tử mà giao Chính phủ quy định lộ trình. Dự thảo cũng không quy định mức phạt tiền theo tỷ lệ doanh thu và luật hóa đầy đủ các biện pháp hạn chế quyền. Nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần đã được đưa vào dự thảo. Theo Bộ trưởng Lương Tam Quang, Chính phủ đã tiếp thu 7 nhóm ý kiến tại Kết luận của Ủy ban Thường vụ Quốc hội, 70 ý kiến trong Báo cáo thẩm tra sơ bộ và 25 ý kiến của đại biểu Quốc hội hoạt động chuyên trách; không phát sinh chính sách mới.

Luật An ninh dữ liệu là một trong 5 dự án luật do Bộ Công an chủ trì soạn thảo được trình Quốc hội trong phiên họp sáng 26/10/2026. Các dự án còn lại gồm Luật Bảo vệ công trình quan trọng liên quan đến an ninh quốc gia; Luật Định danh và xác thực điện tử; Luật sửa đổi, bổ sung một số điều của Luật Quản lý, sử dụng vũ khí, vật liệu nổ và công cụ hỗ trợ; Luật Phòng cháy, chữa cháy và cứu nạn, cứu hộ; và Luật Xử lý vi phạm hành chính (sửa đổi).

Dự thảo Luật Định danh và xác thực điện tử gồm 8 chương, 46 điều, xác định 5 nhóm đối tượng định danh, quy định nguyên tắc thu thập dữ liệu tối thiểu, không thu thập lại dữ liệu đã có và nghiêm cấm sử dụng dữ liệu sinh trắc giả, hình ảnh giả tạo bằng công nghệ để giả mạo danh tính điện tử. Dự thảo cũng quy định Nhà nước trực tiếp thực hiện định danh đối với các đối tượng thuộc dữ liệu cốt lõi, dữ liệu quan trọng, sử dụng thống nhất các khái niệm phân loại với Luật Dữ liệu.

Trong khi đó, dự thảo Luật Xử lý vi phạm hành chính (sửa đổi) gồm 6 chương, 128 điều, đề xuất nâng mức phạt tiền tối đa lên 1,5 tỷ đồng đối với cá nhân và 3 tỷ đồng đối với tổ chức. Dự thảo bổ sung các biện pháp cưỡng chế như ngừng cung cấp dịch vụ Internet, viễn thông, hạ tầng số hoặc chặn truy cập, kèm theo các nguyên tắc, điều kiện áp dụng chặt chẽ nhằm tránh ảnh hưởng đến tổ chức, cá nhân không liên quan.

Theo Bộ trưởng Lương Tam Quang, các dự án luật lần này hướng tới đơn giản hóa thủ tục hành chính, điều kiện kinh doanh, giảm chi phí tuân thủ cho người dân và doanh nghiệp; đồng thời bảo đảm phù hợp với Hiến pháp, thống nhất trong hệ thống pháp luật và tương thích với các điều ước quốc tế mà Việt Nam là thành viên.