Dự thảo Luật An ninh dữ liệu: Hành lang pháp lý bảo vệ chủ quyền số quốc gia, bảo đảm an ninh dữ liệu

Hơn 552.000 cuộc tấn công mạng và yêu cầu cấp thiết bảo vệ dữ liệu quốc gia

Theo Bộ Công an, quá trình chuyển đổi số ở Việt Nam cho thấy dữ liệu đã trở thành “dầu mỏ” của nền kinh tế song cũng là mục tiêu tấn công hàng đầu. Với gần 80 triệu người dùng Internet, khối lượng dữ liệu cá nhân và dữ liệu chuyên ngành phát sinh hàng ngày là cực lớn.

Bộ Công an cho biết năm 2025, các hệ thống thông tin dữ liệu của Việt Nam đã đối mặt hơn 552.000 cuộc tấn công mạng; hơn 5.230 cơ quan, doanh nghiệp ghi nhận bị ảnh hưởng, 34.13% người dùng từng gặp sự cố mã độc, với 62.952 loại mã độc mới trên điện thoại di động; 47.72% cơ quan doanh nghiệp thiếu hụt nhân sự an ninh mạng, 9.38% cơ quan doanh nghiệp cho biết không có biện pháp kiểm soát truy cập Internet như tường lửa tại cửa ngõ hệ thống, 931 phần mềm giả mạo được phát hiện.

Lực lượng chức năng cũng phát hiện 300 vụ rao bán thông tin với tổng số hơn 1,7 triệu bản ghi dữ liệu thuộc nhiều lĩnh vực nhạy cảm như y tế, giáo dục, ngân hàng và viễn thông. Điển hình là vụ tin tặc chiếm đoạt và rao bán hơn 160 triệu bản thông tin khách hàng của Trung tâm Thông tin ứng dụng quốc gia thuộc Ngân hàng Nhà nước Việt Nam.

Kết quả kiểm tra tại 7 Bộ, ngành, địa phương phát hiện hơn 1.300 lỗ hổng bảo mật nghiêm trọng và 4.000 lỗ hổng mức độ cao tại các máy chủ, hệ thống. Theo Bộ Công an, 60-70% vụ lộ, lọt dữ liệu bắt nguồn từ sai phạm nội bộ hoặc sự thiếu trách nhiệm của cán bộ quản trị. Thiệt hại do lừa đảo trực tuyến tại Việt Nam ước tính lên tới 15-20 tỷ USD mỗi năm, tương đương gần 4% GDP.

Theo đó, Dự thảo Luật An ninh dữ liệu do Bộ Công an chủ trì xây dựng nhằm từng bước hoàn thiện hành lang pháp lý về quản lý, kiểm soát và bảo vệ dữ liệu; góp phần bảo đảm an ninh quốc gia, trật tự, an toàn xã hội, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân, đồng thời tạo môi trường an toàn, tin cậy để thúc đẩy phát triển kinh tế số.

Thượng tướng Phạm Thế Tùng, Thứ trưởng Bộ Công an cho biết, việc xây dựng Luật An ninh dữ liệu nhằm thể chế hóa các chủ trương của Đảng về bảo vệ Tổ quốc trên không gian mạng và phát triển kinh tế số, theo đó, xác định bảo đảm an ninh dữ liệu là yêu cầu cấp thiết, xuyên suốt quá trình chuyển đổi số quốc gia.

Về cơ sở thực tiễn, quy mô dữ liệu tại Việt Nam gia tăng nhanh, trong khi việc bảo vệ còn phân tán, thiếu tiêu chuẩn thống nhất. Nhiều hệ thống lưu trữ dữ liệu quan trọng còn phụ thuộc tiêu chuẩn mật mã quốc tế mà Việt Nam chưa hoàn toàn làm chủ, hoặc đặt tại nước ngoài; sự phát triển của trí tuệ nhân tạo và máy tính lượng tử làm phát sinh rủi ro an ninh mới, trong đó có nguy cơ dữ liệu đã mã hóa bị thu thập trái phép để chờ giải mã trong tương lai.

Quy định về an ninh dữ liệu hiện nằm rải rác tại Luật Dữ liệu số 60/2024/QH15, Luật An ninh mạng số 116/2025/QH15, Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và một số văn bản khác, chưa có quy định tập trung, thống nhất về bảo vệ dữ liệu xuyên suốt vòng đời, kiểm soát chuyển dữ liệu xuyên biên giới theo mức độ rủi ro và chế tài đủ sức răn đe. Nhiều quốc gia, khu vực (Trung Quốc, Singapore, Liên minh châu Âu, Vương quốc Anh, Hoa Kỳ) đã ban hành khung pháp luật riêng về an ninh dữ liệu, phân loại dữ liệu theo cấp độ rủi ro; đây là kinh nghiệm được tham khảo có chọn lọc cho việc xây dựng dự thảo Luật.

Điểm nhấn trong dự thảo Luật An ninh dữ liệu

Theo Bộ Công an, cơ quan chủ trì soạn thảo, dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, quy định về bảo vệ an ninh dữ liệu và trách nhiệm của Nhà nước, cơ quan, tổ chức, doanh nghiệp, cá nhân trong bảo đảm an ninh dữ liệu. Trọng tâm của dự thảo là thiết lập cơ chế quản lý theo cấp độ rủi ro, xác định trách nhiệm bảo vệ tương ứng thay vì áp dụng yêu cầu như nhau đối với mọi hoạt động xử lý dữ liệu.

Dự thảo quy định 5 cấp độ rủi ro an ninh dữ liệu, từ cấp độ 1, thấp nhất, đến cấp độ 5, cao nhất, được xác định theo khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Các nghĩa vụ bảo vệ được phân định theo cấp độ và áp dụng trong hoạt động chuyển đổi số, vận hành hạ tầng số, xử lý dữ liệu quy mô lớn, sử dụng công nghệ mới, trí tuệ nhân tạo cũng như các hoạt động xuyên biên giới.

Trên cơ sở đó, dự thảo phân định trách nhiệm của từng chủ thể. Chính phủ thống nhất quản lý nhà nước về an ninh dữ liệu. Cơ quan, tổ chức, doanh nghiệp với tư cách chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro của dữ liệu do mình quản lý, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm trước pháp luật. Nhà nước thực hiện hậu kiểm là chủ yếu, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao.

Nghĩa vụ của chủ quản dữ liệu còn được phân hóa theo quy mô hoạt động. Đối với dữ liệu cấp độ 1 và 2, vốn chiếm phần lớn các hoạt động xử lý thông thường, dự thảo định hướng gần như không phát sinh thủ tục hành chính. Hộ kinh doanh, doanh nghiệp nhỏ, siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo chỉ cần thực hiện các biện pháp bảo vệ cơ bản theo hướng dẫn chung.

Từ cấp độ 3 trở lên, chủ quản dữ liệu mới phải thực hiện đánh giá tác động và kiểm toán định kỳ. Riêng dữ liệu cấp độ 4 và 5 phải được thẩm định an ninh dữ liệu cùng với thẩm định an ninh mạng trước khi hệ thống được đưa vào vận hành chính thức. Cách tiếp cận này nhằm tập trung nguồn lực quản lý vào những hoạt động có nguy cơ gây thiệt hại lớn, đồng thời hạn chế gánh nặng tuân thủ đối với các hoạt động ít rủi ro.

Dự thảo cũng xác định trách nhiệm và cơ chế bảo vệ đối với cá nhân ở hai tư cách khác nhau. Khi là chủ thể dữ liệu, quyền và lợi ích hợp pháp của cá nhân tiếp tục được bảo vệ theo pháp luật về bảo vệ dữ liệu cá nhân; nếu dữ liệu được xử lý trong hệ thống có mức độ rủi ro cao, cá nhân còn được hưởng lớp bảo vệ an ninh bổ sung tương ứng.

Đối với cá nhân phụ trách an ninh dữ liệu hoặc chuyên gia hoạt động độc lập, dự thảo khuyến khích việc chủ động phát hiện, kiểm thử và thông báo lỗ hổng an ninh dữ liệu với thiện chí. Người thực hiện được định hướng bảo vệ danh tính, quyền và lợi ích hợp pháp, đồng thời được loại trừ trách nhiệm pháp lý tương ứng. Cơ chế này nhằm huy động thêm nguồn lực xã hội tham gia phát hiện, phòng ngừa nguy cơ, thay vì chỉ dựa vào năng lực của bộ máy nhà nước.

Một nội dung quan trọng khác là phân định phạm vi điều chỉnh của Luật An ninh dữ liệu với các luật liên quan. Các nguyên tắc, điều kiện xử lý dữ liệu cá nhân và quyền của chủ thể dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân. Hoạt động xây dựng, quản trị, khai thác, chia sẻ, phân loại dữ liệu theo tính chất quan trọng thuộc phạm vi pháp luật về dữ liệu; bảo vệ an ninh mạng đối với hệ thống thông tin thực hiện theo pháp luật về an ninh mạng.

Trong khi đó, dự thảo Luật An ninh dữ liệu tập trung vào việc bảo vệ an ninh của chính dữ liệu trong suốt vòng đời. Để hạn chế một tổ chức, doanh nghiệp phải thực hiện nhiều thủ tục trùng lặp cho cùng nội dung quản lý, dự thảo xác lập nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần.

Theo định hướng này, dữ liệu phải được bảo vệ từ khâu thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy. Việc chuyển dữ liệu xuyên biên giới cũng được kiểm soát theo cấp độ rủi ro nhằm bảo vệ chủ quyền dữ liệu quốc gia. Phần lớn dữ liệu có mức độ rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế tối đa thủ tục hành chính, trong khi dữ liệu có rủi ro cao chịu các yêu cầu bảo vệ và kiểm soát chặt chẽ hơn.

Dự thảo bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.

Cùng với bảo vệ dữ liệu trong quá trình xử lý, dự thảo đề cao chủ động phòng ngừa, theo dõi và ứng phó sự cố an ninh dữ liệu. Nhà nước được định hướng có công cụ phản ứng kịp thời đối với sự cố nghiêm trọng, song phạm vi và điều kiện áp dụng phải được giới hạn chặt chẽ để không ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Theo đó, biện pháp mang tính hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, ưu tiên biện pháp ít hạn chế nhất và phải xác định thời hạn cụ thể. Việc áp dụng phải đi kèm cơ chế báo cáo, giám sát, bảo đảm quyền kiến nghị, khiếu nại, khởi kiện và được bồi thường của tổ chức, cá nhân nếu biện pháp được thực hiện trái pháp luật.

Đối với công nghệ mới và trí tuệ nhân tạo (AI), dự thảo xác lập yêu cầu bảo vệ an ninh dữ liệu phù hợp với mức độ rủi ro. Tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới hoặc hệ thống AI xử lý dữ liệu có mức độ rủi ro cao phải tích hợp các biện pháp bảo vệ an ninh ngay từ khâu thiết kế; bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.

Để tránh phát sinh thêm thủ tục, việc đánh giá an ninh dữ liệu đối với hệ thống AI được dự kiến tích hợp vào quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng, không tổ chức thẩm định riêng. Dự thảo cũng quy định cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự. Cách tiếp cận này nhằm kiểm soát rủi ro nhưng vẫn bảo vệ bí mật kinh doanh và bí mật công nghệ của doanh nghiệp.

Trách nhiệm bảo đảm an ninh dữ liệu không chỉ giới hạn trong nội bộ một tổ chức mà còn được mở rộng ra toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, bao gồm các bên trung gian và bên thứ ba tham gia xử lý dữ liệu.

Trước khi kết nối với đơn vị cung cấp sản phẩm, dịch vụ, chủ quản dữ liệu phải đánh giá rủi ro, giới hạn phạm vi tiếp cận dữ liệu; quy định rõ nghĩa vụ bảo mật và chế tài xử lý khi để xảy ra rò rỉ dữ liệu ngay trong hợp đồng. Trong quá trình hợp tác, chủ quản dữ liệu có trách nhiệm chủ động giám sát và thu hồi quyền tiếp cận khi phát hiện nguy cơ, sự cố.

Với hệ thống xử lý dữ liệu có mức độ rủi ro cao, việc tiếp cận từ xa của nhà cung cấp phải được kiểm soát chặt chẽ hơn. Quy định này nhằm quản lý rủi ro tại cả những khâu trung gian, vốn có thể trở thành điểm yếu trong bảo đảm an ninh dữ liệu nếu trách nhiệm và quyền truy cập không được kiểm soát đầy đủ.

Đối với chính sách phát triển hạ tầng, công nghệ và nguồn nhân lực, dự thảo còn đưa ra nguyên tắc không áp dụng biện pháp tạo vị trí độc quyền cho một sản phẩm hoặc nhà cung cấp cụ thể, qua đó bảo đảm môi trường cạnh tranh bình đẳng trong quá trình phát triển hệ sinh thái công nghiệp an ninh dữ liệu trong nước.

Những nội dung cốt lõi nêu trên cho thấy dự thảo Luật An ninh dữ liệu được thiết kế theo hướng vừa bảo đảm chặt chẽ về an ninh, chủ quyền dữ liệu quốc gia, vừa hạn chế tối đa tác động đến hoạt động sản xuất, kinh doanh hợp pháp của tổ chức, cá nhân, doanh nghiệp, tạo nền tảng pháp lý để phát triển kinh tế dữ liệu, kinh tế số trong giai đoạn tới.

Đặt nền móng cho việc xây dựng một “lá chắn số” đủ mạnh và toàn diện

Trao đổi với PV ĐS&PL, Thượng tá, TS. Đào Trung Hiếu cho rằng, trong thế kỷ XXI, dữ liệu đã trở thành nguồn tài nguyên chiến lược, là “mạch máu” vận hành của nền kinh tế số, chính phủ số và xã hội số. Song song với những cơ hội phát triển chưa từng có, các nguy cơ về rò rỉ dữ liệu, gián điệp mạng, thao túng thông tin và xâm phạm chủ quyền số cũng ngày càng gia tăng.

“Việc Bộ Công an xây dựng dự thảo Luật An ninh dữ liệu không chỉ nhằm lấp đầy khoảng trống pháp lý trong quản trị dữ liệu quốc gia, mà còn đặt nền móng cho việc xây dựng một “lá chắn số” đủ mạnh để bảo vệ lợi ích quốc gia, quyền con người và sự phát triển bền vững của đất nước trong thời đại mới”, Thượng tá, TS Đào Trung Hiếu nhấn mạnh.

Theo Thượng tá, TS Đào Trung Hiếu, nếu như trong thế kỷ XX, dầu mỏ được coi là nguồn lực quyết định sức mạnh kinh tế và địa chính trị, thì trong thế kỷ XXI, dữ liệu đang đảm nhận vai trò tương tự. Mọi hoạt động của đời sống hiện đại, từ tài chính, ngân hàng, y tế, giáo dục, giao thông đến quốc phòng, an ninh đều được vận hành trên nền tảng dữ liệu.

“Mỗi giao dịch điện tử, mỗi cuộc gọi, mỗi chuyến xe, mỗi giao dịch ngân hàng hay mỗi thao tác trên mạng xã hội đều tạo ra những dấu vết số khổng lồ. Dữ liệu không chỉ phản ánh hành vi của cá nhân mà còn phản ánh trạng thái của cả nền kinh tế và năng lực quản trị quốc gia.Chính vì vậy, việc bảo vệ dữ liệu không còn là vấn đề thuần túy kỹ thuật hay công nghệ, mà đã trở thành vấn đề của an ninh quốc gia, chủ quyền quốc gia và lợi ích chiến lược”, Thượng tá, TS Đào Trung Hiếu nhấn mạnh.

Thượng tá, TS. Đào Trung Hiếu cho rằng, dự thảo Luật An ninh dữ liệu đã tiếp cận vấn đề theo một tư duy hoàn toàn mới: bảo đảm an ninh dữ liệu xuyên suốt toàn bộ vòng đời của dữ liệu, từ khâu thu thập, tạo lập, lưu trữ, sử dụng, chia sẻ, truyền dẫn cho đến tiêu hủy.

Trong bối cảnh tội phạm mạng xuyên quốc gia ngày càng gia tăng, các cuộc tấn công nhằm vào hệ thống tài chính, năng lượng, giao thông và cơ sở hạ tầng trọng yếu diễn ra ngày càng tinh vi, việc xây dựng cơ chế bảo vệ chủ quyền dữ liệu là yêu cầu tất yếu.

Cũng theo Thượng tá, TS. Đào Trung Hiếu, một điểm mới nhận được nhiều sự quan tâm là đề xuất áp dụng mức xử phạt lên tới 5% doanh thu của năm tài chính liền kề trước đó đối với những doanh nghiệp có hành vi vi phạm đặc biệt nghiêm trọng về bảo vệ dữ liệu quan trọng và dữ liệu cốt lõi. Đây là sự thay đổi căn bản trong tư duy xử lý vi phạm.

“Trong nhiều năm, các mức phạt hành chính cố định đã bộc lộ những hạn chế nhất định khi đối diện với các tập đoàn công nghệ có doanh thu hàng tỷ USD. Đối với những doanh nghiệp như vậy, một khoản tiền phạt vài trăm triệu hay vài tỷ đồng đôi khi không đủ sức răn đe. Việc gắn trách nhiệm pháp lý với doanh thu thể hiện nguyên tắc công bằng và tương xứng: doanh nghiệp càng lớn, nắm giữ càng nhiều dữ liệu thì trách nhiệm bảo vệ dữ liệu càng cao”, Thượng tá, TS. Đào Trung Hiếu phân tích.

Đáng chú ý hơn, dự thảo không chỉ dừng lại ở các biện pháp xử phạt bằng tiền mà còn bổ sung những công cụ cưỡng chế kỹ thuật như giới hạn băng thông, tạm ngừng hoặc đình chỉ quyền lưu chuyển dữ liệu vi phạm trên lãnh thổ Việt Nam.

"Trong môi trường số, nơi dữ liệu có thể lan truyền chỉ trong vài giây, những biện pháp kỹ thuật khẩn cấp như vậy có ý nghĩa như việc “khóa van” để ngăn chặn nguy cơ phát tán dữ liệu độc hại, bảo vệ lợi ích quốc gia và quyền lợi của hàng triệu người dân. Tất nhiên, việc áp dụng các biện pháp này cần được thực hiện trên cơ sở pháp luật chặt chẽ, minh bạch, bảo đảm hài hòa giữa yêu cầu bảo vệ an ninh quốc gia với quyền tự do kinh doanh và quyền tiếp cận thông tin hợp pháp của tổ chức, cá nhân", Thượng tá, TS. Đào Trung Hiếu nêu quan điểm.

Hoàn thiện hành lang pháp lý, tạo nền tảng cho xã hội số an toàn

Trao đổi thêm với PV ĐS&PL, Luật Sư Nguyễn Anh – Giám đốc Công ty Luật Thông tuệ cho biết, việc xây dựng một đạo luật về an ninh dữ liệu trong bối cảnh hiện nay là một bước hoàn thiện hệ thống pháp luật, đồng thời là cách giải quyết các “khoảng trống” mà các luật hiện hành chưa bao quát hết.

Thực tiễn cho thấy, mặc dù chúng ta đã có các Luật An ninh mạng, Bảo vệ dữ liệu cá nhân, Dữ liệu, nhưng các quy định về an ninh dữ liệu vẫn nằm tản mát, thiếu tính hệ thống và còn khoảng trống pháp lý.

“Khi được Quốc hội thông qua, Luật An ninh dữ liệu sẽ tạo ra một hành lang pháp lý thống nhất để bảo vệ dữ liệu quốc gia, bảo vệ quyền và lợi ích hợp pháp của người dân, nâng cao trách nhiệm của doanh nghiệp và tăng cường khả năng phòng ngừa các nguy cơ an ninh phi truyền thống.

Quan trọng hơn, Luật An ninh dữ liệu sẽ góp phần xây dựng niềm tin số - yếu tố cốt lõi của nền kinh tế số hiện đại. Chỉ khi người dân tin rằng dữ liệu của mình được bảo vệ, doanh nghiệp tin rằng tài sản số của mình được pháp luật bảo hộ và Nhà nước có đủ năng lực bảo vệ chủ quyền dữ liệu quốc gia, quá trình chuyển đổi số mới có thể phát triển một cách bền vững.

Do đó, việc xây dựng Luật An ninh dữ liệu là bước quan trọng nhằm hoàn thiện hành lang pháp lý, nâng cao năng lực bảo vệ dữ liệu và bảo đảm an ninh quốc gia, chủ quyền số. Đồng thời, chủ động nhận diện, phân loại và bảo vệ dữ liệu không chỉ là yêu cầu pháp lý mà còn là trách nhiệm của mỗi cơ quan, tổ chức, doanh nghiệp và người dân trong quá trình chuyển đổi số”, Luật sư Nguyễn Anh nhấn mạnh.