Dự thảo Luật An ninh dữ liệu quy định bảo vệ an ninh dữ liệu theo 5 cấp độ rủi ro

Dự thảo Luật An ninh dữ liệu chỉ quy định 2 thủ tục hành chính

Các đại biểu Quốc hội tham dự phiên họp sáng 26-10. Ảnh: Quochoi.vn

Bộ trưởng Lương Tam Quang cho biết, Chính phủ đề xuất xây dựng Luật An ninh dữ liệu với 6 chương, 29 điều, quản lý an ninh dữ liệu theo 5 cấp độ rủi ro, chỉ áp dụng 2 thủ tục hành chính nhằm bảo đảm an ninh quốc gia, bảo vệ dữ liệu và tạo thuận lợi cho phát triển kinh tế số.

Theo Tờ trình số 753/TTr-CP ngày 29-9-2026, việc xây dựng Luật An ninh dữ liệu xuất phát từ yêu cầu bảo vệ chủ quyền dữ liệu quốc gia và khắc phục những bất cập trong hệ thống pháp luật hiện hành. Năm 2025, Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng, 5.230 cơ quan, doanh nghiệp chịu tổn hại; cơ quan chức năng phát hiện khoảng 300 vụ rao bán hơn 1,7 triệu bản ghi dữ liệu. Khoảng 60-70% số vụ lộ, lọt dữ liệu bắt nguồn từ nhân sự nội bộ.

Dự thảo quy định bảo vệ an ninh dữ liệu theo 5 cấp độ rủi ro, tương ứng 5 cấp độ an toàn hệ thống thông tin. Các yêu cầu bắt buộc áp dụng từ cấp độ 3; dữ liệu cấp độ 1 không phát sinh thủ tục hành chính, cấp độ 2 thực hiện phương án theo mẫu rút gọn, không phải nộp cơ quan Nhà nước; cấp độ 3 do tổ chức tự đánh giá, không phải thẩm định hoặc thông báo.

Hai thủ tục hành chính được quy định gồm thẩm định an ninh dữ liệu đối với hồ sơ thiết kế hệ thống cấp độ 4, cấp độ 5 và thẩm định, chấp thuận chuyển dữ liệu cấp độ 4, cấp độ 5 ra nước ngoài. Trường hợp dữ liệu vừa là dữ liệu cá nhân, vừa thuộc cấp độ 3 trở lên, chỉ thực hiện một hồ sơ, một thủ tục.

Đại tướng Lương Tam Quang, Ủy viên Bộ Chính trị, Bộ trưởng Bộ Công an trình bày tờ trình. Ảnh: quochoi.vn

Về chuyển dữ liệu xuyên biên giới, dự thảo quy định cấp độ 1, cấp độ 2 không phải thực hiện thủ tục; cấp độ 3 tự đánh giá; cấp độ 4, cấp độ 5 phải thẩm định, chấp thuận theo thời hạn quy định. Chỉ cấm chuyển ra nước ngoài dữ liệu cấp độ 5 đặc biệt quan trọng về quốc phòng, an ninh quốc gia, chủ quyền lãnh thổ, biển, đảo thuộc danh mục do Thủ tướng Chính phủ xác định. Trường hợp dữ liệu được đưa ra nước ngoài nhưng vẫn do cơ quan, tổ chức Việt Nam kiểm soát thì không phải thực hiện thủ tục.

Dự thảo cũng quy định căn cứ, thẩm quyền và thời hạn áp dụng biện pháp kỹ thuật khẩn cấp. Thời hạn áp dụng không quá 30 ngày, được gia hạn tối đa 2 lần, mỗi lần không quá 15 ngày; đồng thời quy định quyền của đối tượng bị áp dụng biện pháp.

Dự thảo đã được chỉnh lý theo ý kiến của Ủy ban Thường vụ Quốc hội và đại biểu Quốc hội, trong đó bỏ đề xuất thành lập Trung tâm Quản trị an ninh dữ liệu quốc gia, không quy định phạt tiền theo tỷ lệ doanh thu và luật hóa đầy đủ các biện pháp có tính chất hạn chế quyền. Dự thảo không đặt ra nghĩa vụ lưu trữ dữ liệu tại Việt Nam, bảo đảm không phân biệt đối xử giữa tổ chức trong nước và nước ngoài.

Luật dự kiến có hiệu lực từ ngày 1-7-2027. Các hệ thống đang vận hành có thời hạn tự khắc phục 24 tháng; doanh nghiệp nhỏ và vừa có thời hạn 36 tháng. Chính phủ trình Quốc hội xem xét, thông qua dự án Luật tại kỳ họp thứ hai, Quốc hội khóa XVI.

Làm rõ tiêu chí phân loại, trách nhiệm bảo vệ dữ liệu

Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới trình bày báo cáo thẩm tra. Ảnh: quochoi.vn

Trình bày báo cáo thẩm tra, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội Lê Tấn Tới cho biết, Ủy ban cơ bản tán thành sự cần thiết ban hành Luật An ninh dữ liệu, đồng thời đề nghị làm rõ tiêu chí phân loại dữ liệu, thẩm quyền áp dụng biện pháp hạn chế quyền và cơ chế kiểm soát chuyển dữ liệu xuyên biên giới, bảo đảm tính thống nhất, khả thi.

Theo Báo cáo thẩm tra ngày 2-10-2026, Ủy ban đánh giá dự thảo Luật cơ bản phù hợp với chủ trương của Đảng, Hiến pháp và hệ thống pháp luật, đủ điều kiện trình Quốc hội xem xét tại kỳ họp thứ hai, Quốc hội khóa XVI. Dự thảo gồm 6 chương, 29 điều, hướng tới thiết lập khung pháp lý quản lý rủi ro, bảo vệ chủ quyền dữ liệu quốc gia và chủ động ứng phó nguy cơ tấn công, lộ, lọt dữ liệu.

Ủy ban cơ bản nhất trí quản lý an ninh dữ liệu theo 5 cấp độ rủi ro, tương ứng với 5 cấp độ hệ thống thông tin. Tuy nhiên, đề nghị bổ sung cơ chế thường xuyên rà soát, cập nhật cấp độ; quy định chặt chẽ việc xác định dữ liệu cấp độ 5, không để chủ quản dữ liệu tự quyết định; đồng thời làm rõ tiêu chí phân định giữa an ninh dữ liệu, an ninh mạng, an ninh thông tin và bảo vệ dữ liệu cá nhân.

Đối với trách nhiệm của các chủ thể, cần gắn trách nhiệm pháp lý với quyền quyết định và phạm vi kiểm soát dữ liệu; việc thuê ngoài không làm chuyển giao trách nhiệm. Đồng thời, bổ sung trình tự, thời hạn thẩm định an ninh dữ liệu đối với hệ thống cấp độ 4, cấp độ 5 không thuộc diện thẩm định an ninh mạng; làm rõ trách nhiệm của cơ quan có thẩm quyền khi giải quyết thủ tục chậm thời hạn.

Về chuyển dữ liệu xuyên biên giới, Ủy ban đề nghị quy định rõ việc không chuyển dữ liệu cấp độ 5 ra nước ngoài, trừ trường hợp được Thủ tướng Chính phủ quyết định; bổ sung khóa giải mã, tham số mật mã của hệ thống cấp độ 4, cấp độ 5 vào phạm vi cần kiểm soát. Đồng thời, xác định rõ thẩm quyền quyết định biện pháp hạn chế, tạm dừng dịch vụ xuyên biên giới và bổ sung cơ chế thông báo khi thay đổi quyền kiểm soát doanh nghiệp quản lý dữ liệu từ cấp độ 4 trở lên.

Các đại biểu Quốc hội tham dự phiên họp sáng 26-10. Ảnh: Quochoi.vn

Đối với mật mã an ninh, mật mã kháng lượng tử và ứng dụng trí tuệ nhân tạo, cơ quan thẩm tra đề nghị làm rõ thẩm quyền, ranh giới giữa mật mã an ninh với mật mã dân sự, mật mã cơ yếu; quy định lộ trình chuyển đổi phù hợp, đánh giá chi phí thay thế hạ tầng và cân nhắc nghĩa vụ chuyển đổi đối với tổ chức tài chính, ngân hàng, dịch vụ xác thực điện tử.

Về ứng phó sự cố và biện pháp kỹ thuật khẩn cấp, Ủy ban đề nghị bổ sung quy định diễn tập ứng phó sự cố đối với hệ thống cấp độ 4, cấp độ 5; làm rõ thẩm quyền, điều kiện, trình tự và cơ chế bồi hoàn khi huy động lực lượng, phương tiện của tổ chức, cá nhân. Đồng thời, cần quy định cơ chế phối hợp ứng phó sự cố đối với hệ thống thông tin quân sự, cơ yếu và hoàn thiện phân công trách nhiệm quản lý nhà nước.

Ủy ban Quốc phòng, An ninh và Đối ngoại đề nghị đại biểu Quốc hội tập trung thảo luận về phạm vi điều chỉnh, cấp độ rủi ro an ninh dữ liệu, bảo vệ dữ liệu trong chuyển đổi số và hoạt động xuyên biên giới, biện pháp kỹ thuật khẩn cấp, cũng như nguồn lực và trách nhiệm quản lý nhà nước về an ninh dữ liệu.

Đình Hiệp