Vi phạm an ninh dữ liệu, doanh nghiệp có thể bị phạt tới 5% doanh thu của năm liền kề trước đó theo đề xuất mới

Bộ Công an đang lấy ý kiến đối với dự thảo Luật An ninh dữ liệu. Thời gian góp ý kéo dài từ ngày 17/7 đến hết ngày 5/8. Dự án luật dự kiến được trình Quốc hội xem xét tại kỳ họp tháng 10.

Hơn 552.000 cuộc tấn công mạng nhằm vào hệ thống dữ liệu Việt Nam trong năm 2025

Theo báo Tuổi Trẻ, tại tờ trình dự án Luật An ninh dữ liệu, Bộ Công an cho biết thực tiễn cho thấy công tác bảo đảm an ninh dữ liệu thời gian qua đang phải đối mặt với nhiều nguy cơ, thách thức mới, ngày càng đan xen, phức tạp, chi phối trực tiếp đến an ninh quốc gia, trật tự an toàn xã hội.

Đồng thời chi phối đến quyền, lợi ích hợp pháp của tổ chức, cá nhân, tác động tới chủ quyền quốc gia của Việt Nam trên không gian mạng. Trong đó, quá trình chuyển đổi số ở Việt Nam cho thấy dữ liệu đã trở thành "dầu mỏ" của nền kinh tế song cũng là mục tiêu tấn công hàng đầu.

Với gần 80 triệu người dùng Internet, khối lượng dữ liệu cá nhân và dữ liệu chuyên ngành phát sinh hằng ngày là cực lớn. Tuy nhiên, việc quản lý hiện nay còn phân tán, thiếu các tiêu chuẩn bảo vệ thống nhất.

Năm 2025, các hệ thống thông tin dữ liệu của Việt Nam đối mặt với khoảng 552.000 cuộc tấn công mạng; 5.230 cơ quan, doanh nghiệp từng ghi nhận chịu sự tổn hại do tấn công mạng trong năm; 34,13% người dùng từng gặp sự cố mã độc...

Trung bình mỗi năm Bộ Công an phát hiện trên 2.600 trang/cổng thông tin điện tử của Việt Nam (có tên miền ".vn") bị tin tặc tấn công, thay đổi giao diện hoặc chèn tập tin.

Hoạt động mua bán thông tin, dữ liệu cá nhân diễn ra phức tạp trên các diễn đàn, hội nhóm, phát hiện 300 vụ rao bán với tổng số hơn 1,7 triệu bản ghi dữ liệu trên các lĩnh vực, như y tế, giáo dục, dịch vụ công, ngân hàng, điện lực, bảo hiểm, chứng khoán, căn cước công dân, vận chuyển, viễn thông...

Đáng chú ý, Bộ Công an đã phát hiện tin tặc chiếm đoạt, rao bán hơn 160 triệu bản thông tin khách hàng của Trung tâm Thông tin ứng dụng quốc gia thuộc Ngân hàng Nhà nước Việt Nam.

Triển khai Đề án 06 của Chính phủ, lực lượng chức năng kiểm tra, đánh giá an ninh mạng hệ thống thông tin tại 7 bộ, ngành, địa phương kết nối Cơ sở dữ liệu quốc gia về dân cư và hệ thống định danh xác thực điện tử VNeID, phát hiện hơn 1.300 lỗ hổng bảo mật mức độ nghiêm trọng, hơn 4.000 lỗ hổng bảo mật mức độ cao tại các máy chủ hệ thống...

Trong khi đó, nhiều đơn vị vẫn giữ tư duy "cát cứ dữ liệu", gây lãng phí nguồn lực, kìm hãm sự phát triển của kinh tế số trong khi thiệt hại từ lừa đảo trực tuyến tại Việt Nam vẫn duy trì ở mức cao, ước tính từ 15-20 tỷ USD mỗi năm, chiếm gần 4% GDP quốc gia.

Chế tài phạt tiền cố định không còn phù hợp

Cơ quan soạn thảo cho rằng chế tài xử phạt hiện nay chủ yếu là phạt tiền cố định nên không còn phù hợp, nhất là với các tập đoàn đa quốc gia có doanh thu rất lớn.

Theo Bộ Công an, điều này khiến nhiều doanh nghiệp sẵn sàng nộp phạt như một khoản chi phí vận hành thay vì đầu tư nghiêm túc cho hệ thống bảo mật. Vì vậy, dự thảo Luật An ninh dữ liệu đề xuất chuyển sang cơ chế tính mức phạt dựa trên doanh thu.

Theo báo VnExpress, Khoản 2 Điều 57 của dự thảo quy định mức phạt tối đa bằng 5% tổng doanh thu của tổ chức vi phạm tại Việt Nam trong năm tài chính liền kề trước đó.

Đối với tổ chức là thành viên của tập đoàn đa quốc gia, nếu doanh thu tại Việt Nam không tương xứng với quy mô và mức độ nghiêm trọng của hành vi vi phạm, cơ quan có thẩm quyền sẽ xem xét áp dụng mức phạt tính trên doanh thu toàn cầu của tập đoàn, song vẫn không vượt quá 5%.

Cơ chế này được áp dụng trên cơ sở phân loại dữ liệu theo bốn cấp độ rủi ro gồm: Dữ liệu Thông thường (Cấp độ 1), Dữ liệu Nội bộ (Cấp độ 2), Dữ liệu Quan trọng (Cấp độ 3) và Dữ liệu Cốt lõi (Cấp độ 4).

Theo dự thảo, mức phạt tới 5% doanh thu chỉ áp dụng với các hành vi vi phạm liên quan đến hai cấp độ cao nhất là Dữ liệu Quan trọng và Dữ liệu Cốt lõi.

Dữ liệu Quan trọng là dữ liệu thuộc các ngành, lĩnh vực trọng điểm mà nếu bị rò rỉ hoặc chiếm đoạt sẽ gây nguy hại nghiêm trọng đến an ninh quốc gia, an ninh kinh tế vĩ mô hoặc lợi ích công cộng.

Dữ liệu Cốt lõi là nhóm dữ liệu liên quan trực tiếp đến quốc phòng, an ninh quốc gia, chủ quyền số và lợi ích chiến lược tối cao; nếu bị xâm phạm sẽ gây nguy hại đến sự tồn vong của đất nước.

Ngoài xử phạt bằng tiền, dự thảo còn đề xuất áp dụng các biện pháp cưỡng chế kỹ thuật như giới hạn băng thông, tạm ngừng hoặc đình chỉ quyền truy cập luồng dữ liệu vi phạm trên lãnh thổ Việt Nam nhằm ngăn chặn kịp thời nguy cơ phát tán dữ liệu độc hại.

Theo Bộ Công an, mô hình tính mức phạt dựa trên doanh thu được tham khảo từ các khung pháp lý tiên tiến trên thế giới như Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu nhằm tăng tính răn đe đối với các tập đoàn công nghệ xuyên biên giới.