Việt Nam đề xuất 5 cấp độ rủi ro dữ liệu, siết chặt chuyển dữ liệu ra nước ngoài và tăng cường bảo vệ trong lĩnh vực AI

Năm cấp độ rủi ro sẽ quyết định cách Việt Nam bảo vệ dữ liệu

Ngày 26 tháng 10 năm 2026, Chính phủ Việt Nam trình Quốc hội dự án Luật An ninh dữ liệu, đề xuất năm cấp độ rủi ro, kiểm soát chặt chẽ hơn dữ liệu nhạy cảm được chuyển ra nước ngoài và các biện pháp bảo vệ thông tin dùng cho trí tuệ nhân tạo. Dự thảo gồm sáu chương, 29 điều và chỉ có hai thủ tục chấp thuận hành chính, cả hai đều tập trung vào dữ liệu thuộc cấp độ rủi ro cao nhất.

Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an, thay mặt Thủ tướng trình bày đề xuất tại kỳ họp thứ hai, Quốc hội khóa XVI. Các doanh nghiệp và chủ thể kiểm soát dữ liệu khác sẽ tự đánh giá dữ liệu của mình trước tiên, áp dụng biện pháp bảo vệ tương ứng với mức độ rủi ro và chịu trách nhiệm về kết quả đánh giá. Cơ quan chức năng chủ yếu sẽ kiểm tra việc tuân thủ sau đó.

Chính phủ đề xuất luật có hiệu lực từ ngày 1 tháng 7 năm 2027. Các đại biểu dự kiến thảo luận theo tổ vào chiều 26 tháng 10. Đây vẫn là dự luật; các cơ quan thẩm tra của Quốc hội đề nghị kiểm soát chặt hơn thông tin nhạy cảm nhất, quy trình đánh giá rõ ràng hơn và tăng cường bảo vệ dữ liệu sinh trắc học, di truyền.

Dự luật có phạm vi áp dụng vượt ra ngoài các tổ chức đặt tại Việt Nam. Dự luật bao quát cơ quan, tổ chức và cá nhân Việt Nam; tổ chức, cá nhân nước ngoài tại Việt Nam; cũng như các chủ thể ở nước ngoài xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.

Đối với doanh nghiệp, thay đổi trọng tâm sẽ là hệ thống phân cấp: hoạt động xử lý thông thường chỉ phải tuân thủ các biện pháp bảo vệ cơ bản và ít thủ tục giấy tờ, trong khi hoạt động có khả năng gây thiệt hại nghiêm trọng sẽ cần đánh giá, kiểm toán hoặc được chấp thuận trước khi triển khai. Đối với cá nhân, đề xuất bổ sung nghĩa vụ bảo mật thông tin trong quá trình thông tin đi qua các hệ thống, nhà cung cấp và biên giới quốc gia.

Vì sao Chính phủ muốn ban hành luật riêng

Đại tướng Lương Tam Quang cho biết với các đại biểu rằng năm 2025, các hệ thống thông tin của Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng, gây thiệt hại cho 5.230 cơ quan và doanh nghiệp. Ông cũng dẫn số liệu khoảng 300 vụ phát hiện dữ liệu bị rao bán, liên quan đến hơn 1,7 triệu bản ghi, cùng một vụ đánh cắp hơn 160 triệu hồ sơ khách hàng tại một tổ chức tín dụng.

Bộ trưởng cho biết 60% đến 70% vụ rò rỉ dữ liệu bắt nguồn từ nhân sự bên trong các tổ chức. Vì vậy, quyền truy cập của nhân viên và nhà thầu là vấn đề trọng tâm bên cạnh việc bảo vệ trước các cuộc tấn công từ bên ngoài. Hạn chế người được xem thông tin, theo dõi hoạt động truy cập và thu hồi quyền khi cần thiết là những biện pháp thiết thực trong khuôn khổ được đề xuất.

Chính phủ cho rằng các quy định hiện hành giải quyết những khía cạnh khác nhau của vấn đề. Luật Dữ liệu điều chỉnh các hoạt động như tạo lập, quản lý, chia sẻ và phân loại dữ liệu. Pháp luật về bảo vệ dữ liệu cá nhân quy định điều kiện xử lý và quyền của cá nhân. Pháp luật về an ninh mạng bảo vệ hệ thống thông tin trước các mối đe dọa.

Dự án Luật An ninh dữ liệu đề xuất sẽ tập trung vào chính thông tin trong suốt quá trình thu thập, lưu trữ, xử lý, truyền đưa và hủy dữ liệu. Cơ sở chính sách của dự luật bao gồm Nghị quyết số 57-NQ/TW ngày 22 tháng 12 năm 2024 của Bộ Chính trị về khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia.

Năm cấp độ có ý nghĩa gì

Điều 8 sẽ xếp loại dữ liệu theo khả năng xảy ra sự cố và mức độ thiệt hại mà sự cố có thể gây ra đối với quốc phòng, an ninh quốc gia, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân. Cấp độ 1 là thấp nhất, cấp độ 5 là cao nhất.

Các nhóm được đề xuất giúp doanh nghiệp có cơ sở ban đầu để xác định nghĩa vụ của mình:

• Cấp độ 1 gồm dữ liệu công khai, dữ liệu mở, có khả năng xảy ra sự cố và hậu quả ở mức thấp.
• Cấp độ 2 gồm thông tin nội bộ, dữ liệu doanh nghiệp và dữ liệu cá nhân không thuộc nhóm cấp độ cao hơn, với mức rủi ro trung bình.
• Cấp độ 3 gồm dữ liệu quan trọng và dữ liệu cá nhân nhạy cảm được xử lý trên quy mô lớn, theo các ngưỡng do Chính phủ quy định.
• Cấp độ 4 nhìn chung bao gồm dữ liệu cốt lõi gắn với mức rủi ro rất cao và khả năng gây thiệt hại nghiêm trọng.
• Cấp độ 5 gồm dữ liệu cốt lõi về quốc phòng, an ninh và thông tin được sử dụng để vận hành hoặc điều khiển các công trình đặc biệt quan trọng liên quan đến an ninh quốc gia.

Cấp độ rủi ro sẽ được áp dụng song song với việc phân loại theo Luật Dữ liệu. Tổ chức và cá nhân vẫn giữ các quyền sở hữu, quản lý và sử dụng thông tin hợp pháp của mình. Cấp độ an ninh sẽ quyết định yêu cầu bảo vệ tương ứng.

Thủ tục giấy tờ và kiểm tra trước sẽ áp dụng từ đâu

Phần trình bày của Chính phủ nêu hai thủ tục hành chính: thẩm định hồ sơ thiết kế hệ thống ở cấp độ 4 và 5 theo Điều 11; thẩm định, chấp thuận việc chuyển dữ liệu ra nước ngoài ở các cấp độ này theo Điều 19.

Cấp độ 1 không cần thực hiện thủ tục hành chính. Chủ thể kiểm soát dữ liệu cấp độ 2 sẽ lập phương án bảo vệ rút gọn theo mẫu và tự lưu giữ. Chủ thể kiểm soát dữ liệu cấp độ 3 sẽ tự đánh giá hoạt động của mình mà không cần gửi thẩm định hoặc thông báo. Từ cấp độ 3 trở lên, cần đánh giá tác động và kiểm toán an ninh định kỳ.

Hệ thống xử lý dữ liệu cấp độ 4 hoặc 5 cần được đánh giá an ninh dữ liệu trước khi đưa vào vận hành chính thức, phối hợp với hoạt động thẩm định an ninh mạng. Đánh giá tác động xem xét những sự cố có thể xảy ra và ai có thể bị ảnh hưởng; kiểm toán kiểm tra xem các biện pháp bảo vệ đã cam kết có thực sự hiệu quả hay không.

Hộ kinh doanh, doanh nghiệp nhỏ và siêu nhỏ, cùng các startup đổi mới sáng tạo xử lý dữ liệu thông thường nhìn chung sẽ thực hiện theo hướng dẫn bảo vệ cơ bản. Nghĩa vụ của họ vẫn phụ thuộc vào mức độ rủi ro của hoạt động xử lý, do đó loại và quy mô thông tin họ xử lý là vấn đề thiết thực cần xem xét để tuân thủ.

Dự thảo cũng hướng tới giảm trùng lặp. Khi nhiều luật yêu cầu kiểm tra cùng một đối tượng và mức rủi ro, tổ chức sẽ sử dụng một bộ hồ sơ và một đầu mối liên hệ. Kết quả hợp lệ theo các luật khác sẽ được công nhận. Việc đánh giá an ninh dữ liệu AI sẽ được lồng ghép vào quy trình đánh giá rủi ro theo pháp luật về AI.

Chuyển dữ liệu ra nước ngoài sẽ theo ba cơ chế khác nhau

Dữ liệu gửi ra nước ngoài sẽ được xử lý khác nhau tùy cấp độ. Theo luật này, cấp độ 1 và 2 không cần thực hiện thủ tục chuyển dữ liệu. Chủ thể kiểm soát dữ liệu cấp độ 3 sẽ tự đánh giá việc chuyển dữ liệu và lưu hồ sơ. Cấp độ 4 và 5 cần được cơ quan có thẩm quyền xem xét, chấp thuận trước khi chuyển.

Do đó, các dịch vụ đám mây, nền tảng quốc tế và doanh nghiệp hoạt động tại nhiều quốc gia sẽ cần xác định thông tin nào được chuyển ra nước ngoài và cấp độ rủi ro đã được xếp cho thông tin đó. Các nghĩa vụ hiện hành theo những luật liên quan khác vẫn tiếp tục được áp dụng.

Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội nhìn chung ủng hộ việc kiểm soát dựa trên rủi ro, không áp dụng yêu cầu chung buộc toàn bộ dữ liệu phải lưu trữ tại Việt Nam. Ủy ban đề xuất quy định nghiêm ngặt hơn đối với cấp độ 5: cấm chuyển dữ liệu ra nước ngoài, trừ trường hợp Thủ tướng quyết định khác.

Ủy ban cũng đề xuất hạn chế chuyển ra nước ngoài khóa giải mã và tham số mật mã của các hệ thống cấp độ 4 và 5. Khóa giải mã cho phép mở dữ liệu đã được mã hóa, vì vậy việc kiểm soát khóa là một vấn đề an ninh riêng, bên cạnh địa điểm lưu trữ dữ liệu.

Các đề xuất khác nhằm làm rõ chủ thể nào có quyền hạn chế hoặc tạm đình chỉ dịch vụ hoạt động xuyên biên giới, đồng thời yêu cầu thông báo khi có thay đổi quyền kiểm soát tại doanh nghiệp quản lý dữ liệu cấp độ 4 trở lên. Dự thảo cũng đề cập đến các yêu cầu thông tin trực tiếp từ nước ngoài thông qua các cơ chế nhằm bảo đảm yêu cầu đi theo kênh hợp pháp, bao gồm các thỏa thuận tương trợ tư pháp.

Biện pháp bảo vệ AI sẽ bắt đầu từ dữ liệu huấn luyện

Tổ chức nghiên cứu, phát triển hoặc triển khai AI xử lý dữ liệu có rủi ro cao sẽ phải tích hợp an ninh ngay từ giai đoạn thiết kế. Họ cần xác lập nguồn gốc hợp pháp và tính toàn vẹn của dữ liệu huấn luyện cũng như thông tin được tạo ra từ dữ liệu đó.

Đề xuất đề cập đến hành vi đầu độc dữ liệu, trích xuất trái phép và sự giám sát của con người đối với các quyết định tự động. Đầu độc dữ liệu là cố ý làm sai lệch thông tin dùng để huấn luyện hoặc vận hành hệ thống AI, có thể dẫn đến kết quả không đáng tin cậy hoặc bị thao túng. Trích xuất trái phép là lấy thông tin được bảo vệ khi chưa được phép.

Phải bảo đảm khả năng can thiệp và giám sát của con người đối với các quyết định tự động theo pháp luật hiện hành. Yêu cầu này gắn việc bảo vệ thông tin nền tảng với các quyết định mà hệ thống đưa ra dựa trên thông tin đó.

Cơ quan chức năng sẽ không được yêu cầu cung cấp mã nguồn hoặc trọng số mô hình AI, trừ trường hợp điều tra hình sự. Mã nguồn chứa các chỉ dẫn của một chương trình; trọng số mô hình là các tham số dạng số mà hệ thống AI học được trong quá trình huấn luyện. Cả hai đều có thể chứa bí quyết kinh doanh có giá trị.

Doanh nghiệp AI sẽ sử dụng quy trình đánh giá theo pháp luật về AI thay vì lập hồ sơ an ninh dữ liệu riêng hoặc trải qua một quy trình thẩm định riêng. Cách tiếp cận này gắn các bước kiểm tra an ninh được đề xuất với quy trình quản lý hiện có, đồng thời duy trì các nghĩa vụ cụ thể đối với chính dữ liệu.

Nhà cung cấp sẽ là một phần trong kế hoạch bảo mật

Trách nhiệm của chủ thể kiểm soát dữ liệu sẽ mở rộng tới nhà cung cấp, đơn vị trung gian và các bên khác tham gia xử lý thông tin. Trước khi kết nối sản phẩm hoặc dịch vụ, họ sẽ đánh giá rủi ro của nhà cung cấp và giới hạn quyền truy cập ở mức cần thiết.

Hợp đồng cần quy định nghĩa vụ bảo mật và hậu quả khi xảy ra rò rỉ dữ liệu. Chủ thể kiểm soát cũng sẽ giám sát quyền truy cập trong suốt thời gian hợp tác và thu hồi quyền khi phát hiện rủi ro hoặc sự cố. Quyền truy cập từ xa của nhà cung cấp vào các hệ thống xử lý dữ liệu rủi ro cao hơn sẽ chịu kiểm soát chặt chẽ hơn.

Phạm vi điều chỉnh mở rộng tới hạ tầng số quan trọng, hạ tầng dữ liệu quốc gia, hoạt động xử lý quy mô lớn và các hệ thống kết nối điều khiển số với thiết bị vật lý. Trong những môi trường này, dữ liệu bị phá hoại hoặc thao túng có thể ảnh hưởng đến hoạt động của máy móc và công trình, cũng như làm lộ thông tin.

Ủy ban đề nghị quy định trách nhiệm tương ứng với quyền quyết định và mức độ kiểm soát dữ liệu thực tế của từng bên. Điều này giúp phân biệt nghĩa vụ của chủ thể kiểm soát quyết định cách sử dụng thông tin với nghĩa vụ của nhà cung cấp chỉ thực hiện một dịch vụ có phạm vi hẹp hơn.

Quyền hạn khẩn cấp sẽ có giới hạn pháp lý

Dự thảo sẽ thiết lập cơ chế giám sát, cảnh báo sớm, báo cáo sự cố và ứng phó phối hợp. Những nội dung chỉnh sửa được nêu trong phần trình bày của Chính phủ còn bao gồm việc thông báo cho người bị ảnh hưởng khi xảy ra sự cố và giới hạn phạm vi tạm đình chỉ hoạt động chuyển dữ liệu.

Biện pháp kỹ thuật khẩn cấp cần có căn cứ pháp lý, do người có thẩm quyền quyết định, xác định rõ phạm vi và thời hạn áp dụng. Cơ quan chức năng sẽ được yêu cầu ưu tiên biện pháp hạn chế quyền ít nhất và chấm dứt biện pháp khi căn cứ áp dụng không còn.

Tổ chức và cá nhân bị ảnh hưởng vẫn có quyền khiếu nại, khởi kiện và yêu cầu bồi thường theo quy định pháp luật. Các cơ quan thẩm tra của Quốc hội cũng đề nghị làm rõ hơn điều kiện và cơ chế bồi thường khi cơ quan chức năng huy động nhân lực, thiết bị hoặc nguồn lực khác thuộc sở hữu tư nhân.

Dự thảo khuyến khích người làm công tác an ninh dữ liệu và chuyên gia độc lập thiện chí phát hiện, kiểm thử và báo cáo lỗ hổng, đồng thời bảo vệ danh tính, quyền và lợi ích hợp pháp của họ và quy định các trường hợp miễn trừ trách nhiệm tương ứng. Ủy ban cũng đề xuất tổ chức diễn tập ứng phó sự cố đối với hệ thống cấp độ 4 và 5.

Cơ quan thẩm tra muốn siết chặt quy định với rủi ro cao nhất

Thượng tướng Lê Tấn Tới, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội, trình bày báo cáo thẩm tra. Ủy ban tán thành sự cần thiết ban hành luật và nhận định dự án luật đã đủ điều kiện trình Quốc hội xem xét.

Tuy nhiên, các cơ quan thẩm tra đề nghị làm rõ hơn tiêu chí của từng cấp độ rủi ro. Một số ý kiến đề xuất cơ quan chuyên môn định kỳ rà soát, cập nhật việc phân loại, đồng thời áp dụng quy trình nghiêm ngặt hơn với cấp độ 5 thay vì để chủ thể kiểm soát tự quyết định.

Ủy ban cũng đề nghị quy định rõ hơn rằng mức độ rủi ro của dữ liệu sẽ quyết định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu. Ủy ban kiến nghị tăng cường biện pháp bảo vệ thông tin sinh trắc học và di truyền, chẳng hạn dữ liệu về đặc điểm cơ thể hoặc đặc tính di truyền.

Một số vấn đề về thủ tục vẫn đang được thảo luận, trong đó có thời hạn thẩm định hệ thống cấp độ 4 và 5 không thuộc diện thẩm định an ninh mạng. Ủy ban đề nghị làm rõ ranh giới giữa mật mã bảo mật, hệ thống mật mã của Chính phủ và mật mã dân sự, đồng thời quy định việc phối hợp ứng phó sự cố đối với hệ thống mật mã quân sự và Chính phủ.

Bộ Công an sẽ chủ trì quản lý nhà nước về an ninh dữ liệu, Bộ Quốc phòng quản lý dữ liệu và hệ thống thông tin quân sự, còn Ban Cơ yếu Chính phủ quản lý hệ thống thông tin mật mã. Sẽ không thành lập cơ quan mới.

Những điểm thay đổi và các bước tiếp theo

Dự thảo trình Quốc hội đã tăng từ 25 lên 29 điều, bỏ đề xuất thành lập Trung tâm Quản trị an ninh dữ liệu quốc gia và bỏ mức phạt tính theo tỷ lệ doanh thu. Bản mô tả trước đó, công bố ngày 7 tháng 9, nêu bốn cấp độ dữ liệu, mức phạt có thể lên tới 5% doanh thu của năm tài chính trước và yêu cầu lưu trữ trong nước đối với dữ liệu quan trọng, dữ liệu cốt lõi. Dự thảo trình Quốc hội thay vào đó sử dụng năm cấp độ rủi ro và các cơ chế kiểm soát chuyển dữ liệu khác nhau.

Chính phủ cũng bỏ thời hạn cố định để chuyển sang sử dụng mật mã chống lại máy tính lượng tử, giao lộ trình cho các quy định sau này của Chính phủ. Các ưu đãi đầu tư và thuế được đề xuất nhằm hỗ trợ nghiên cứu an ninh, dịch vụ đám mây chủ quyền, trung tâm dữ liệu an toàn và công nghệ mật mã, đồng thời hỗ trợ doanh nghiệp nhỏ và startup. Dự thảo yêu cầu tránh các chính sách tạo thế độc quyền cho một sản phẩm hoặc nhà cung cấp cụ thể.

Mật mã chống máy tính lượng tử được thiết kế để chống lại các cuộc tấn công bằng máy tính lượng tử trong tương lai. Mối lo ngại của Chính phủ bao gồm nguy cơ thông tin đang được thu thập dưới dạng mã hóa hiện nay sẽ bị giải mã sau này khi năng lực tính toán phát triển.

Lộ trình xây dựng luật đã thay đổi trong quá trình soạn thảo:

• Tháng 8 năm 2026: Kết thúc tham vấn công chúng, theo lịch soạn thảo trước đó.
• Ngày 7 tháng 9 năm 2026: Bản mô tả trước đó cho biết dự thảo đang được Bộ Tư pháp thẩm định.
• Ngày 26 tháng 10 năm 2026: Chính phủ trình dự thảo, các phiên thảo luận theo tổ dự kiến diễn ra trong chiều cùng ngày.
• Ngày 1 tháng 7 năm 2027: Thời điểm dự kiến có hiệu lực của dự thảo trình Quốc hội, thay cho mốc ngày 1 tháng 12 năm 2027 được nêu trước đó.

Dự luật sẽ sửa đổi Luật An ninh mạng và Luật Dữ liệu, đồng thời duy trì hiệu lực của hồ sơ và kết quả đánh giá hiện có thông qua các điều khoản chuyển tiếp. Các hệ thống đang hoạt động sẽ có lộ trình đáp ứng yêu cầu mới. Nghĩa vụ cuối cùng sẽ phụ thuộc vào văn bản được Quốc hội thông qua và các quy định hướng dẫn thi hành.

Điểm chính

• Việt Nam đề xuất năm cấp độ rủi ro an ninh dữ liệu, với yêu cầu bảo vệ tăng theo mức độ thiệt hại tiềm tàng.
• Hai thủ tục chấp thuận hành chính sẽ áp dụng cho thiết kế hệ thống và việc chuyển dữ liệu ra nước ngoài ở cấp độ 4 và 5.
• Biện pháp bảo vệ AI sẽ giải quyết vấn đề dữ liệu huấn luyện, trích xuất trái phép và giám sát của con người; việc đánh giá được lồng ghép vào quy trình về AI.
• Các cơ quan thẩm tra của Quốc hội đề nghị siết chặt kiểm soát cấp độ 5 và tăng cường bảo vệ dữ liệu sinh trắc học, di truyền.
• Dự thảo sửa đổi bỏ mức phạt tính theo doanh thu và đề xuất thành lập trung tâm quốc gia mới.
• Chính phủ đề xuất luật có hiệu lực từ ngày 1 tháng 7 năm 2027, tùy thuộc vào việc Quốc hội thông qua.