Luật An ninh dữ liệu - Mảnh ghép mới của pháp luật về dữ liệu: Bài cuối: Năm cấp độ rủi ro và phân tầng nghĩa vụ

Hậu kiểm là chủ yếu

Khi trình bày tờ trình dự án Luật An ninh dữ liệu trước Quốc hội sáng 26/10/2026, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an, cho biết 60-70% số vụ lộ, lọt thông tin xuất phát từ chính nhân sự nội bộ của các cơ quan, đơn vị. Nhiều hệ thống quan trọng còn sử dụng mật mã và hạ tầng nước ngoài; trong khi đó, trí tuệ nhân tạo (AI) và máy tính lượng tử làm phát sinh nguy cơ dữ liệu đã mã hóa bị thu thập để giải mã trong tương lai. Đây là bối cảnh để lý giải vì sao dự thảo luật không chỉ đề cập đến tường lửa mà còn đặt ra các quy định về hợp đồng với nhà cung cấp, quyền truy cập từ xa, dữ liệu huấn luyện AI và khóa giải mã.

Dự thảo luật gồm 6 chương, 29 điều, quy định 5 cấp độ rủi ro an ninh dữ liệu, từ cấp độ 1 (thấp nhất) đến cấp độ 5 (cao nhất). Việc xác định cấp độ căn cứ vào khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Nhà nước chủ yếu thực hiện hậu kiểm, chỉ tiền kiểm đối với dữ liệu và hệ thống có mức độ rủi ro cao. Chủ quản dữ liệu có trách nhiệm tự xác định cấp độ, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm về kết quả xác định.

Ủy ban Thường vụ Quốc hội cho ý kiến về dự án Luật An ninh dữ liệu

Gánh nặng tuân thủ được phân tầng theo mức độ rủi ro. Đối với dữ liệu cấp độ 1, không phát sinh thủ tục hành chính; cấp độ 2, chủ quản dữ liệu lập phương án theo mẫu rút gọn nhưng không phải nộp cơ quan nhà nước; cấp độ 3, chủ thể tự đánh giá, không phải thực hiện thủ tục thẩm định hoặc thông báo.

Toàn bộ dự thảo chỉ quy định 2 thủ tục hành chính, gồm: thẩm định an ninh dữ liệu đối với hồ sơ thiết kế hệ thống cấp độ 4, cấp độ 5 tại Điều 11; thẩm định, chấp thuận chuyển dữ liệu cấp độ 4, cấp độ 5 ra nước ngoài tại Điều 19. Từ cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động và kiểm toán an ninh dữ liệu định kỳ. Đối với dữ liệu cấp độ 4, cấp độ 5, việc thẩm định an ninh dữ liệu được thực hiện cùng với thẩm định an ninh mạng trước khi hệ thống chính thức vận hành. Hộ kinh doanh, doanh nghiệp nhỏ, doanh nghiệp siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo chỉ cần thực hiện các biện pháp bảo vệ cơ bản theo hướng dẫn chung.

Thiết kế này giúp phần lớn tổ chức, doanh nghiệp xử lý dữ liệu có mức độ rủi ro thấp gần như không phát sinh gánh nặng tuân thủ mới. Chỉ một số ít cơ quan, tổ chức xử lý dữ liệu có mức độ rủi ro cao nhất phải thực hiện các yêu cầu chặt chẽ hơn. Ông đề nghị gắn nghĩa vụ cụ thể với từng nhóm chủ thể nhằm bảo đảm quy định dễ đối chiếu, dễ hiểu và dễ áp dụng.

Con số 60-70% số vụ lộ, lọt thông tin xuất phát từ nội bộ đặt ra yêu cầu kiểm soát không chỉ đối với hệ thống mà còn đối với những cá nhân, đơn vị có quyền tiếp cận dữ liệu. Dự thảo luật mở rộng trách nhiệm ra toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, bao gồm cả bên trung gian và bên thứ ba.

Theo đó, trước khi kết nối với nhà cung cấp, chủ quản dữ liệu phải đánh giá rủi ro, giới hạn phạm vi tiếp cận, quy định rõ nghĩa vụ bảo mật và chế tài đối với hành vi làm rò rỉ dữ liệu ngay trong hợp đồng. Trong quá trình hợp tác, chủ quản dữ liệu phải chủ động giám sát và thu hồi quyền tiếp cận khi phát hiện nguy cơ. Đối với hệ thống có mức độ rủi ro cao, hoạt động truy cập từ xa của nhà cung cấp phải được kiểm soát chặt chẽ hơn.

Cơ quan thẩm tra nhất trí với việc phân định trách nhiệm giữa chủ quản dữ liệu, bên xử lý dữ liệu và bên cung cấp sản phẩm, dịch vụ. Tuy nhiên, có ý kiến đề nghị bổ sung nguyên tắc việc thuê ngoài không làm chuyển giao trách nhiệm pháp lý; đồng thời, trách nhiệm của mỗi chủ thể phải gắn với quyền quyết định và phạm vi kiểm soát của chủ thể đó.

Về mật mã, mật mã an ninh do Bộ Công an thống nhất quản lý, được sử dụng để bảo vệ dữ liệu và bí mật nhà nước theo lộ trình. Trước mắt, việc áp dụng được triển khai trong lực lượng Công an nhân dân, sau đó đánh giá trước khi mở rộng. Việc chuyển đổi sang mật mã kháng lượng tử sẽ được thực hiện theo lộ trình phù hợp với năng lực công nghệ, không triển khai đồng loạt khi chưa đủ điều kiện.

Dự thảo luật cũng khuyến khích cá nhân, chuyên gia độc lập phát hiện, kiểm thử và thông báo lỗ hổng bảo mật trên tinh thần thiện chí; đồng thời, có cơ chế bảo vệ danh tính và loại trừ trách nhiệm pháp lý tương ứng.

Dự thảo Luật An ninh dữ liệu được xây dựng với bố cục 06 chương, 29 điều

Dữ liệu qua biên giới và dữ liệu trong ai

Đối với dữ liệu xuyên biên giới, dữ liệu cấp độ 1 và cấp độ 2 không phải thực hiện thủ tục theo luật này khi chuyển ra nước ngoài; dữ liệu cấp độ 3 do chủ quản tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4 và cấp độ 5 phải được thẩm định, chấp thuận trước khi chuyển. Cơ quan thẩm tra đồng tình với việc không đặt ra yêu cầu lưu trữ dữ liệu tại Việt Nam mà tập trung kiểm soát khóa giải mã, cơ chế xử lý yêu cầu cung cấp dữ liệu trực tiếp từ cơ quan nước ngoài và giới hạn thời hạn áp dụng biện pháp kỹ thuật đối với dịch vụ xuyên biên giới không quá 90 ngày.

Trước đó, tại phiên họp Ủy ban Thường vụ Quốc hội, Thứ trưởng Bộ Công an, Thượng tướng Phạm Thế Tùng cho biết, các biện pháp hạn chế lưu chuyển dữ liệu xuyên biên giới được áp dụng theo cấp độ rủi ro, với các tiêu chí khách quan, minh bạch, không phân biệt đối xử và thuộc ngoại lệ về an ninh quốc gia được thừa nhận trong các hiệp định CPTPP, RCEP và EVFTA. Phó Chủ tịch Quốc hội Nguyễn Hồng Diên lưu ý, cấp độ quan trọng của dữ liệu và mức độ rủi ro của hoạt động chuyển dữ liệu không hoàn toàn đồng nhất. Cùng là dữ liệu cấp độ 3, nhưng việc chuyển dữ liệu đã mã hóa để xử lý kỹ thuật, có giới hạn truy cập và khả năng thu hồi, sẽ có mức độ rủi ro khác với việc chuyển toàn bộ dữ liệu gốc ra nước ngoài để lưu trữ, khai thác lâu dài.

Đối với trí tuệ nhân tạo (AI), dự thảo luật yêu cầu kiểm soát nguồn gốc, bảo đảm tính toàn vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; đồng thời bảo đảm con người có khả năng can thiệp vào hoạt động ra quyết định tự động. Việc đánh giá an ninh dữ liệu đối với hệ thống AI được tích hợp vào quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không yêu cầu lập hồ sơ hoặc thẩm định riêng. Cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự.

Tại phiên thảo luận với đại biểu Quốc hội hoạt động chuyên trách vào cuối tháng 09/2026, đại biểu Nguyễn Thị Sửu (TP Huế) đề nghị làm rõ đầu mối chịu trách nhiệm khi xảy ra sự cố, cơ quan nào có thẩm quyền yêu cầu doanh nghiệp khắc phục, cơ quan nào thực hiện kiểm tra, xử lý, bởi một sự việc có thể liên quan đến nhiều luật và nhiều cơ quan. Bà đề xuất nguyên tắc một việc chỉ có một đầu mối chịu trách nhiệm chính, trên cơ sở sử dụng lực lượng chuyên trách hiện có.

Đại biểu Nguyễn Đặng Ân (Lạng Sơn) đề nghị xây dựng cơ chế bảo đảm người dân được thông tin kịp thời về những nguy cơ liên quan đến dữ liệu của mình. Trong khi đó, đại biểu Nguyễn Thị Việt Nga (Hải Phòng) đề nghị xây dựng danh mục đầy đủ các thủ tục, đối chiếu với quy định của pháp luật về dữ liệu, an ninh mạng và bảo vệ dữ liệu cá nhân nhằm tránh phát sinh các yêu cầu trùng lặp.

Tiếp thu các ý kiến này, dự thảo luật đã bổ sung cơ chế hướng dẫn xác định cấp độ dữ liệu, quy định việc thông tin cho người bị ảnh hưởng khi xảy ra sự cố và giới hạn phạm vi áp dụng biện pháp tạm dừng chuyển dữ liệu.

Về phía doanh nghiệp, Liên minh Phần mềm BSA, trong văn bản góp ý đối với bản dự thảo được đưa ra lấy ý kiến, cho rằng các tổ chức đang phải đối mặt với những nghĩa vụ chồng lấn giữa Luật An ninh dữ liệu, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật An ninh mạng và Luật Trí tuệ nhân tạo. Các định nghĩa và ngưỡng áp dụng giữa những văn bản này chưa đồng bộ. Đáng chú ý, yêu cầu báo cáo hằng năm về hoạt động chuyển dữ liệu xuyên biên giới trong bản dự thảo khi đó chưa thống nhất với cơ chế báo cáo một lần theo các nghị định hướng dẫn hiện hành.

Chiều 26/10/2026, các đại biểu Quốc hội thảo luận tại Tổ về dự án luật. Từ bản dự thảo gồm 58 điều, với mức phạt tính theo doanh thu và các mốc áp dụng mật mã cứng, dự thảo đã được chỉnh lý thành 29 điều, theo hướng lấy mức độ rủi ro làm căn cứ xác định nghĩa vụ và bảo đảm tính liên thông với Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và Luật An ninh mạng.

Những đề nghị liên quan đến cơ chế xác định cấp độ 5, thời hạn giải quyết thủ tục, đầu mối xử lý sự cố và cơ chế giám sát chính các cơ quan thực thi vẫn là những vấn đề được quan tâm, chờ tiếp tục làm rõ trong quá trình chỉnh lý cuối cùng trước khi Quốc hội biểu quyết thông qua. Đây cũng là những yếu tố quan trọng để bảo đảm luật có thể đi vào cuộc sống từ ngày 01/7/2027 như dự kiến.