Tổng quan về dự thảo Luật An ninh dữ liệu

Nội dung

Lưu ý: Đây là phân tích dựa trên văn bản dự thảo đang được lấy ý kiến, dự kiến trình Quốc hội thông qua tại Kỳ họp thứ 2, khóa XVI vào tháng 10/2026. Nội dung có thể thay đổi trong quá trình hoàn thiện trước khi thông qua chính thức.

Bộ Công an đã công bố dự thảo Luật An ninh dữ liệu, dự kiến trình Quốc hội khóa XVI thông qua tại Kỳ họp thứ 2 vào tháng 10 năm 2026. Nếu được thông qua, Luật này sẽ có hiệu lực từ ngày 01/12/2027. Đây là bước phát triển pháp lý quan trọng tiếp theo sau Luật An ninh mạng 2025, cho thấy Việt Nam đang tiếp tục hoàn thiện khung pháp lý toàn diện cho không gian số theo hướng ngày càng chi tiết và chuyên sâu hơn.

Trong khi Luật An ninh mạng 2025 tập trung vào bảo vệ không gian mạng nói chung, thì dự thảo Luật An ninh dữ liệu đi sâu vào một phạm trù hẹp và cụ thể hơn: bản thân dữ liệu như một loại tài nguyên chiến lược cần được quản lý xuyên suốt toàn bộ vòng đời: từ thu thập, xử lý, lưu trữ đến chuyển giao và tiêu hủy.

Quy mô và phạm vi của dự thảo Luật An ninh dữ liệu

Dự thảo Luật An ninh dữ liệu gồm 9 chương với 58 điều, quy định về:

Nguyên tắc, chính sách, biện pháp bảo đảm an ninh dữ liệu toàn diện và xuyên suốt vòng đời dữ liệu
Hệ thống bảo đảm an ninh dữ liệu quốc gia theo cấp độ rủi ro tác động
Quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân trong bảo đảm an ninh dữ liệu
Quản lý chuyển giao dữ liệu xuyên biên giới
Phát triển nguồn nhân lực, công nghệ và hợp tác quốc tế về an ninh dữ liệu

Quan hệ dự thảo Luật An ninh dữ liệu với các luật hiện hành:

Việc xử lý dữ liệu cá nhân vẫn thực hiện theo quy định của pháp luật về bảo vệ dữ liệu cá nhân. Luật An ninh dữ liệu bổ sung thêm phần an ninh, kỹ thuật, công nghệ đối với dữ liệu cá nhân mà pháp luật bảo vệ dữ liệu cá nhân chưa quy định cụ thể.
Việc bảo vệ an ninh không gian mạng thực hiện theo quy định của pháp luật về an ninh mạng. Luật An ninh dữ liệu điều chỉnh thực thể dữ liệu xuyên suốt vòng đời, không phụ thuộc vào phương thức hoặc phương tiện lưu trữ.

Phạm vi đối tượng áp dụng: dự thảo Luật An ninh dữ liệu áp dụng đối với

Cơ quan, tổ chức, cá nhân Việt Nam;
Tổ chức, cá nhân nước ngoài tại Việt Nam;
Và cả tổ chức, cá nhân nước ngoài trực tiếp tham gia hoặc có liên quan đến hoạt động xử lý dữ liệu tại Việt Nam, bao gồm cả doanh nghiệp nước ngoài không có văn phòng tại Việt Nam nhưng vẫn xử lý dữ liệu của người dùng Việt Nam.

An ninh dữ liệu là gì?

An ninh dữ liệu là trạng thái bảo đảm tính bảo mật, tính nguyên vẹn, tính khả dụng của dữ liệu và khả năng chủ động phòng ngừa, phát hiện, ngăn chặn, ứng phó với các nguy cơ xâm phạm dữ liệu.

Bảo đảm an ninh dữ liệu là việc áp dụng tổng thể các biện pháp quản lý, kỹ thuật và pháp lý nhằm thiết lập, duy trì trạng thái an ninh dữ liệu; kiểm soát rủi ro và ngăn chặn hành vi xâm phạm an ninh dữ liệu.

Phân loại dữ liệu theo cấp độ rủi ro an ninh

Đây là cơ chế cốt lõi của toàn bộ dự thảo Luật An ninh dữ liệu. Dữ liệu được phân loại theo 4 cấp độ rủi ro từ thấp đến cao, căn cứ vào tính chất, quy mô tích tụ và mức độ tác động đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân:

Dữ liệu Thông thường (Cấp độ 1) là dữ liệu mở hoặc dữ liệu hoạt động dân sự, thương mại thông thường; nếu bị xâm phạm chỉ gây rủi ro thấp đối với quyền và lợi ích hợp pháp của tổ chức, cá nhân.
Dữ liệu Nội bộ (Cấp độ 2) là dữ liệu phục vụ hoạt động quản lý, vận hành nội bộ của cơ quan, tổ chức, doanh nghiệp hoặc bí mật kinh doanh; nếu bị rò rỉ sẽ gây tổn thất cho hoạt động bình thường của tổ chức hoặc môi trường cạnh tranh.
Dữ liệu Quan trọng (Cấp độ 3) là dữ liệu có tiêu chí tương thích hoàn toàn với khái niệm “dữ liệu Quan trọng” tại Luật Dữ liệu số 60/2024/QH15, thuộc các ngành, lĩnh vực trọng điểm mà nếu bị rò rỉ, chiếm đoạt hoặc định hướng sai lệch sẽ gây nguy hại nghiêm trọng đến an ninh quốc gia, an ninh kinh tế vĩ mô hoặc lợi ích công cộng.
Dữ liệu Cốt lõi (Cấp độ 4) là dữ liệu có tiêu chí tương thích hoàn toàn với khái niệm “dữ liệu Cốt lõi” tại Luật Dữ liệu số 60/2024/QH15, liên quan trực tiếp đến quốc phòng, an ninh quốc gia, chủ quyền số và lợi ích chiến lược tối cao; nếu bị xâm phạm sẽ gây nguy hại đối với đất nước.

Nguyên tắc nâng cấp tự động: Dữ liệu thuộc cấp độ thấp hơn, khi tích tụ đạt ngưỡng quy mô lớn làm thay đổi bản chất rủi ro, sẽ được áp dụng cấp độ bảo vệ cao hơn tương ứng. Đây là điểm các doanh nghiệp xử lý dữ liệu quy mô lớn cần chú ý đặc biệt.

Nghĩa vụ giám sát ngưỡng tích tụ: Cơ quan, tổ chức vận hành hệ thống thông tin lưu trữ, xử lý dữ liệu phải thiết lập hệ thống công nghệ tự động giám sát, phát hiện và cảnh báo khi tổng quy mô tích tụ dữ liệu đạt hoặc vượt ngưỡng quy định. Ngay khi hệ thống phát cảnh báo, chủ quản có trách nhiệm:

Nâng cấp tức thời các biện pháp bảo vệ kỹ thuật và quản lý tương ứng với cấp độ mới
Khai báo biến động quy mô dữ liệu về hệ thống giám sát an ninh dữ liệu tập trung quốc gia thuộc Bộ Công an (áp dụng với dữ liệu Cấp độ 3 và Cấp độ 4)

Các hành vi bị nghiêm cấm theo dự thảo Luật An ninh dữ liệu (Điều 7)

Dự thảo Luật An ninh dữ liệu đặt ra ranh giới đỏ nghiêm cấm các hành vi xâm phạm an ninh dữ liệu:

Chiếm đoạt, phá hoại, mua bán, làm tiết lộ dữ liệu Cốt lõi, dữ liệu Quan trọng; lưu trữ, xử lý dữ liệu nhằm chống phá Nhà nước, xâm phạm an ninh quốc gia.
Thực hiện gián điệp dữ liệu; cài đặt mã độc, phần mềm gián điệp nhằm thu thập dữ liệu trái phép; phá mã dữ liệu khi không được phép.
Chuyển giao, mua bán, lưu trữ, xử lý trái phép dữ liệu của tổ chức, công dân Việt Nam cho tổ chức, cá nhân nước ngoài; lợi dụng biện pháp an ninh dữ liệu để hạn chế cạnh tranh lành mạnh hoặc vi phạm cam kết quốc tế về thương mại.
Che giấu, không thông báo hoặc báo cáo sai sự thật về sự cố an ninh dữ liệu; cản trở hoạt động thanh tra, kiểm tra của cơ quan nhà nước có thẩm quyền.

Các yêu cầu và biện pháp bảo vệ cốt lõi tuân thủ dự thảo Luật An ninh dữ liệu

Hệ thống bảo đảm an ninh dữ liệu (Điều 9, dự thảo Luật An ninh dữ liệu): Cơ quan, tổ chức thuộc đối tượng áp dụng của Luật có trách nhiệm thiết lập, duy trì và cải tiến hệ thống bảo đảm an ninh dữ liệu phù hợp với quy mô hoạt động, tính chất dữ liệu và mức độ rủi ro. Hệ thống phải bao gồm các nguyên tắc: quản lý theo rủi ro, bảo vệ theo cấp độ, bảo đảm xuyên suốt vòng đời dữ liệu, đảm bảo khả năng giám sát và truy vết.

Đánh giá rủi ro định kỳ và chứng nhận hợp quy (Điều 10, dự thảo Luật An ninh dữ liệu):

Chủ quản hệ thống thông tin xử lý dữ liệu Cốt lõi, dữ liệu Quan trọng phải tự tổ chức đánh giá rủi ro an ninh dữ liệu định kỳ hằng năm và báo cáo Bộ Công an.
Bộ Công an có thẩm quyền yêu cầu đánh giá đột xuất khi phát hiện nguy cơ mất an ninh dữ liệu nghiêm trọng.
Đánh giá tác động phải thực hiện trước khi triển khai hệ thống mới, xử lý dữ liệu nguy cơ cao, thay đổi kiến trúc hệ thống, hoặc chuyển dữ liệu ra ngoài phạm vi quản lý.

An ninh chuỗi cung ứng (Điều 30, dự thảo Luật An ninh dữ liệu): Tổ chức phải kiểm soát an ninh đối với tất cả các bên thứ ba tham gia trực tiếp hoặc gián tiếp, bao gồm: nhà cung cấp Cloud, dịch vụ AI, đơn vị vận hành trung tâm dữ liệu, bên môi giới dữ liệu, bên nhận thuê ngoài xử lý dữ liệu.Trong đó, bắt buộc nghĩa vụ cụ thể:

Đánh giá rủi ro an ninh dữ liệu đối với bên thứ ba trước khi thiết lập quan hệ hợp tác và định kỳ hằng năm
Ký kết Hợp đồng an ninh dữ liệu quy định rõ: phạm vi xử lý, trách nhiệm kỹ thuật, và nghĩa vụ thông báo ngay lập tức (không quá 24 giờ) khi xảy ra hoặc có nguy cơ xảy ra sự cố rò rỉ dữ liệu

Lộ trình Mật mã kháng lượng tử (Điều 58, dự thảo Luật An ninh dữ liệu): Kể từ ngày 01/01/2035, toàn bộ hệ thống lưu trữ, xử lý dữ liệu Cốt lõi và dữ liệu Quan trọng thuộc khối Đảng, Nhà nước, lực lượng vũ trang và lĩnh vực tài chính – ngân hàng, năng lượng, viễn thông, giáo dục bắt buộc phải hoàn thành lộ trình chuyển đổi hoàn toàn sang giải pháp mật mã kháng lượng tử đã được cấp chứng nhận hợp quy.

Quản lý lưu chuyển dữ liệu xuyên biên giới

Dự thảo Luật An ninh dữ liệu áp dụng cơ chế phân luồng rủi ro cho việc chuyển dữ liệu ra nước ngoài:

Nhóm bị cấm tuyệt đối: Dữ liệu Cốt lõi hoặc Quan trọng có tác động trực tiếp, tức thời đến quốc phòng, an ninh, tài chính – ngân hàng, năng lượng, viễn thông, điều hành khẩn cấp – nghiêm cấm chuyển ra nước ngoài, trừ trường hợp đặc biệt được Chính phủ cho phép.
Nhóm phải thẩm định trước: Việc chuyển dữ liệu Quan trọng hoặc Cốt lõi (ngoài nhóm bị cấm tuyệt đối) ra nước ngoài bắt buộc phải được Bộ Công an thẩm định, cấp văn bản chấp thuận về an ninh trước khi thực hiện.
Nhóm được chuyển không cần thẩm định trước (bí mật kinh doanh): Đáp ứng một trong ba điều kiện:
- Quốc gia tiếp nhận được Bộ Công an công nhận có hệ thống pháp luật bảo vệ dữ liệu tương đương
- Các bên đã ký kết Hợp đồng tiêu chuẩn theo mẫu của Bộ Công an
- Chủ thể chuyển giao đã được cấp Chứng nhận hợp quy về an ninh dữ liệu xuyên biên giới

Lưu ý: Dù không cần thẩm định trước, tổ chức vẫn phải tự lập hồ sơ đánh giá tác động an ninh dữ liệu và báo cáo định kỳ hằng năm về Bộ Công an. Bộ Công an thực hiện hậu kiểm và có quyền đình chỉ luồng truyền dữ liệu nếu phát hiện vi phạm.

Quy trình báo cáo và Ứng phó sự cố theo quy định dự thảo Luật An ninh dữ liệu

Khi xảy ra sự cố an ninh dữ liệu, chủ quản dữ liệu có trách nhiệm báo cáo kịp thời cho Bộ Công an (hoặc Bộ Quốc phòng đối với dữ liệu quân sự) theo thời hạn nghiêm ngặt:

Trong vòng 02 giờ: Đối với sự cố liên quan đến Dữ liệu Cốt lõi.
Trong vòng 24 giờ: Thông báo ban đầu đối với tất cả sự cố dữ liệu khác.
Trong vòng 72 giờ: Báo cáo đầy đủ về phạm vi, nguyên nhân và biện pháp khắc phục đối với mọi sự cố.
Trong vòng 30 ngày: Báo cáo tổng kết, đánh giá sau xử lý kể từ khi khắc phục hoàn toàn sự cố.

Dự thảo Luật An ninh dữ liệu quy định chế tài xử phạt (Điều 57)

Bên cạnh các hình thức xử phạt hành chính thông thường hoặc truy cứu trách nhiệm hình sự, dự thảo Luật An ninh dữ liệu đưa ra cơ chế phạt tiền đặc biệt dựa trên doanh thu:

Tổ chức vi phạm đặc biệt nghiêm trọng quy định về bảo vệ dữ liệu Quan trọng, dữ liệu Cốt lõi bị phạt tiền tối đa không quá 5% tổng doanh thu tại Việt Nam trong năm tài chính liền kề trước đó.
Đối với tập đoàn đa quốc gia có doanh thu tại Việt Nam không tương xứng với quy mô vi phạm, mức phạt có thể tính trên cơ sở doanh thu toàn cầu của tập đoàn, nhưng tối đa không quá 5% doanh thu toàn cầu.

Điểm miễn trừ đáng chú ý (Điều 13, dự thảo Luật An ninh dữ liệu)

Theo Điều 13, dự thảo Luật An ninh dữ liệu, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và vừa không thuộc danh mục xử lý dữ liệu quy mô lớn hoặc không xử lý dữ liệu Quan trọng, dữ liệu Cốt lõi được miễn trừ các nghĩa vụ bảo vệ vòng đời dữ liệu. Đây là quy định quan trọng giúp giảm gánh nặng tuân thủ không cần thiết cho các doanh nghiệp nhỏ.

Kiểm định và tư vấn tuân thủ pháp lý dữ liệu từ 405CYSE

Trong bối cảnh khung pháp lý về dữ liệu tại Việt Nam liên tục được cập nhật với mức xử phạt ngày càng nghiêm khắc, việc đảm bảo tuân thủ đầy đủ quyền và nghĩa vụ của chủ thể dữ liệu là yêu cầu cấp thiết với mọi doanh nghiệp. 405CYSE cung cấp dịch vụ kiểm định an toàn hệ thống IT và tư vấn tuân thủ pháp lý dữ liệu, hỗ trợ doanh nghiệp rà soát quy trình xử lý yêu cầu của chủ thể dữ liệu, đánh giá rủi ro vi phạm theo các mức phạt hiện hành và chuẩn bị sẵn sàng cho các quy định mới từ dự thảo Luật An ninh dữ liệu.

Xem thêm: Doanh nghiệp cần làm gì để sẵn sàng triển khai bảo vệ dữ liệu cá nhân?

Dự thảo Luật An ninh dữ liệu, với cơ chế phân loại 4 cấp độ rủi ro xuyên suốt vòng đời dữ liệu, đánh dấu bước tiến quan trọng tiếp theo trong hành trình hoàn thiện khung pháp lý số của Việt Nam sau Luật An ninh mạng 2025. Phạm vi điều chỉnh rộng, bao gồm cả tổ chức và cá nhân nước ngoài có hoạt động xử lý dữ liệu tại Việt Nam, cho thấy quyết tâm thiết lập chủ quyền dữ liệu quốc gia một cách toàn diện và không có ngoại lệ dễ dàng.

Với doanh nghiệp, thông điệp quan trọng nhất không phải là chờ đợi đến khi luật chính thức có hiệu lực. Nghĩa vụ tuân thủ bảo vệ dữ liệu cá nhân theo Luật BVDLCN 2025 đã áp dụng ngay từ bây giờ, trong khi các yêu cầu mới về phân loại cấp độ rủi ro sẽ sớm bổ sung thêm một lớp trách nhiệm kỹ thuật và quản lý phức tạp hơn.

Doanh nghiệp chủ động rà soát, phân loại dữ liệu và xây dựng hệ thống tuân thủ ngay từ giai đoạn này sẽ không chỉ tránh được rủi ro pháp lý mà còn có nền tảng vững chắc để thích ứng nhanh chóng khi dự thảo Luật An ninh dữ liệu chính thức được thông qua và đi vào thực thi.