Dự thảo luật an ninh dữ liệu: Những điểm mới và tác động đối với doanh nghiệp, người dân

Dự thảo đã kết thúc thời gian lấy ý kiến góp ý vào tháng 8/2026. Hiện hồ sơ dự án Luật đang được Bộ Tư pháp thẩm định và dự kiến trình Quốc hội xem xét, thông qua tại kỳ họp tháng 10/2026. Nếu được Quốc hội thông qua, Luật An ninh dữ liệu dự kiến có hiệu lực thi hành từ ngày 01/12/2027.

Việc xây dựng Luật được kỳ vọng sẽ tạo lập khuôn khổ pháp lý đồng bộ hơn trong bảo vệ dữ liệu, góp phần bảo đảm an ninh quốc gia, chủ quyền số, trật tự, an toàn xã hội; đồng thời bảo vệ quyền và lợi ích hợp pháp của cơ quan, tổ chức, doanh nghiệp và người dân trong quá trình chuyển đổi số.

Trong kỷ nguyên số, dữ liệu ngày càng trở thành nguồn tài nguyên chiến lược, đóng vai trò quan trọng đối với hoạt động quản lý nhà nước, sản xuất, kinh doanh và đời sống xã hội. Cùng với giá trị ngày càng lớn của dữ liệu, nguy cơ tấn công mạng, chiếm đoạt, mua bán, làm lộ, lọt dữ liệu cũng đặt ra yêu cầu cấp thiết phải xây dựng một hành lang pháp lý đồng bộ, toàn diện hơn về an ninh dữ liệu.

Trước yêu cầu đó, Bộ Công an chủ trì xây dựng Dự thảo Luật An ninh dữ liệu nhằm hoàn thiện cơ sở pháp lý về bảo vệ dữ liệu, bảo đảm an ninh quốc gia, trật tự, an toàn xã hội, đồng thời bảo vệ quyền và lợi ích hợp pháp của cơ quan, tổ chức, doanh nghiệp và người dân trong môi trường số.

Dự thảo Luật đề xuất nhiều chính sách mới đáng chú ý, từ phân loại dữ liệu theo cấp độ rủi ro, bảo vệ dữ liệu trong toàn bộ vòng đời, kiểm soát chuyển dữ liệu xuyên biên giới đến bảo đảm an ninh đối với hệ thống trí tuệ nhân tạo (AI).

Phân loại dữ liệu theo 04 cấp độ

Một trong những nội dung nổi bật của Dự thảo là đề xuất phân loại dữ liệu thành 04 cấp độ dựa trên tính chất, quy mô tích tụ và mức độ tác động khi dữ liệu bị xâm phạm.

Theo đó, dữ liệu được phân thành: Cấp độ 1 - Dữ liệu Thông thường; Cấp độ 2 - Dữ liệu Nội bộ; Cấp độ 3 - Dữ liệu Quan trọng và Cấp độ 4 - Dữ liệu Cốt lõi.

Dữ liệu Thông thường gồm dữ liệu mở hoặc dữ liệu phục vụ các hoạt động dân sự, thương mại thông thường, khi bị xâm phạm chỉ gây rủi ro thấp đối với quyền và lợi ích hợp pháp.

Dữ liệu Nội bộ chủ yếu phục vụ hoạt động quản lý, vận hành nội bộ hoặc liên quan đến bí mật kinh doanh; nếu bị rò rỉ có thể gây tổn thất đối với hoạt động bình thường của tổ chức, doanh nghiệp hoặc môi trường cạnh tranh.

Dữ liệu Quan trọng thuộc các ngành, lĩnh vực trọng điểm; nếu bị rò rỉ, chiếm đoạt có thể gây nguy hại nghiêm trọng đến an ninh quốc gia, an ninh kinh tế vĩ mô hoặc lợi ích công cộng.

Ở mức cao nhất, Dữ liệu Cốt lõi là dữ liệu liên quan trực tiếp đến quốc phòng, an ninh quốc gia, chủ quyền số và các lợi ích chiến lược; nếu bị xâm phạm có thể gây nguy hại đối với đất nước.

Việc phân cấp này là cơ sở để xác định yêu cầu, trách nhiệm và biện pháp bảo vệ tương ứng, thay vì áp dụng cùng một mức độ bảo vệ cho mọi loại dữ liệu.

Giám sát và nâng cấp biện pháp bảo vệ theo mức độ rủi ro

Dự thảo đặt ra yêu cầu đối với cơ quan, tổ chức vận hành hệ thống thông tin lưu trữ, xử lý dữ liệu phải thiết lập giải pháp công nghệ để giám sát, phát hiện và cảnh báo khi quy mô tích tụ dữ liệu đạt hoặc vượt ngưỡng theo quy định.

Khi dữ liệu dịch chuyển sang cấp độ rủi ro cao hơn, chủ quản hệ thống thông tin phải kịp thời nâng cấp các biện pháp quản lý, kỹ thuật và bảo vệ tương ứng.

Đối với dữ liệu Quan trọng và Dữ liệu Cốt lõi, Dự thảo đặt ra những yêu cầu quản lý, giám sát chặt chẽ hơn nhằm chủ động phát hiện nguy cơ và hạn chế hậu quả khi xảy ra sự cố.

Bảo vệ dữ liệu trong toàn bộ vòng đời

Một điểm đáng chú ý khác là cách tiếp cận bảo đảm an ninh dữ liệu xuyên suốt vòng đời. Trách nhiệm bảo vệ không chỉ đặt ra ở khâu lưu trữ mà bao gồm cả quá trình thu thập, xử lý, truyền tải, chia sẻ và tiêu hủy dữ liệu.

Theo tinh thần của Dự thảo, cơ quan, tổ chức và doanh nghiệp phải chủ động áp dụng biện pháp quản lý, kỹ thuật phù hợp với từng cấp độ dữ liệu. Khi phát hiện sự cố mất an ninh hoặc rò rỉ dữ liệu có nguy cơ ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân, phải kịp thời triển khai các biện pháp ngăn chặn, khắc phục và giảm thiểu thiệt hại.

Quy định này góp phần chuyển cách tiếp cận từ “xử lý khi xảy ra sự cố” sang chủ động phòng ngừa, phát hiện sớm và bảo vệ dữ liệu ngay từ đầu.

Kiểm soát chuyển giao dữ liệu xuyên biên giới

Trong bối cảnh dịch vụ điện toán đám mây và các nền tảng xuyên biên giới ngày càng phổ biến, việc dữ liệu được lưu trữ, xử lý tại nhiều quốc gia đặt ra những vấn đề mới về chủ quyền, an ninh và khả năng kiểm soát dữ liệu.

Dự thảo Luật vì vậy đề xuất cơ chế quản lý chặt chẽ hơn đối với hoạt động chuyển dữ liệu ra nước ngoài, đặc biệt đối với Dữ liệu Quan trọng và Dữ liệu Cốt lõi có liên quan trực tiếp đến quốc phòng, an ninh, tài chính - ngân hàng, năng lượng, viễn thông và các lĩnh vực trọng yếu.

Đây là nội dung có tác động đáng kể đến các doanh nghiệp sử dụng hạ tầng điện toán đám mây, nền tảng công nghệ hoặc dịch vụ lưu trữ, xử lý dữ liệu xuyên biên giới.

Đặt vấn đề bảo đảm an ninh dữ liệu đối với AI

Sự phát triển nhanh chóng của trí tuệ nhân tạo đang tạo ra nhiều cơ hội nhưng đồng thời đặt ra những thách thức mới đối với an ninh dữ liệu. Dữ liệu là nguồn đầu vào đặc biệt quan trọng trong quá trình huấn luyện và vận hành các hệ thống AI.

Dự thảo Luật hướng tới xây dựng cơ chế bảo đảm an ninh đối với hệ thống AI và công nghệ số mới, trong đó chú trọng kiểm soát nguồn dữ liệu sử dụng cho hoạt động huấn luyện, xử lý dữ liệu và các yêu cầu liên quan đến tính minh bạch, an toàn của hệ thống.

Việc bổ sung quy định đối với AI sẽ góp phần từng bước hoàn thiện hành lang pháp lý trước những nguy cơ mới phát sinh từ quá trình ứng dụng công nghệ.

Khuyến khích áp dụng tiêu chuẩn an ninh dữ liệu quốc tế

Bên cạnh các yêu cầu bắt buộc, Dự thảo cũng hướng tới khuyến khích cơ quan, tổ chức và doanh nghiệp áp dụng các tiêu chuẩn an ninh dữ liệu quốc tế tiên tiến.

Việc chủ động nâng cao tiêu chuẩn bảo mật không chỉ giúp doanh nghiệp giảm nguy cơ mất dữ liệu mà còn tạo điều kiện nâng cao năng lực cạnh tranh, đáp ứng yêu cầu hợp tác, kết nối và trao đổi dữ liệu trong môi trường quốc tế.

Đề xuất xử phạt dựa trên doanh thu

Một nội dung đáng chú ý của Dự thảo là đề xuất cơ chế xác định mức xử phạt đối với một số hành vi vi phạm nghiêm trọng dựa trên doanh thu, thay vì chỉ áp dụng mức tiền phạt cố định.

Theo Dự thảo, đối với một số vi phạm nghiêm trọng liên quan đến bảo vệ Dữ liệu Quan trọng, Dữ liệu Cốt lõi, mức phạt tối đa có thể lên tới 5% tổng doanh thu của năm tài chính liền kề trước đó. Đối với tập đoàn đa quốc gia, Dự thảo cũng đặt vấn đề xác định mức phạt dựa trên doanh thu toàn cầu theo điều kiện, giới hạn được quy định.

Cơ chế này nếu được thông qua sẽ tạo sức răn đe lớn hơn, nhất là đối với các doanh nghiệp, tập đoàn công nghệ có quy mô hoạt động và doanh thu lớn.

Yêu cầu đối với lưu trữ dữ liệu Quan trọng, Dữ liệu Cốt lõi

Dự thảo cũng đặt ra các yêu cầu đối với việc lưu trữ, quản lý Dữ liệu Quan trọng và Dữ liệu Cốt lõi trong nước nhằm tăng cường khả năng kiểm soát, bảo vệ các nguồn dữ liệu có ý nghĩa chiến lược, qua đó góp phần bảo đảm chủ quyền số quốc gia.

Cùng với đó là lộ trình để các cơ quan, tổ chức, doanh nghiệp rà soát, nâng cấp và chuyển đổi hệ thống xử lý dữ liệu đáp ứng yêu cầu bảo đảm an ninh dữ liệu.

Tác động trực tiếp đến doanh nghiệp và người dân

Nếu được Quốc hội thông qua, Luật An ninh dữ liệu sẽ đặt ra những yêu cầu cao hơn đối với các cơ quan, tổ chức và doanh nghiệp đang thu thập, lưu trữ, xử lý số lượng lớn dữ liệu.

Doanh nghiệp sẽ cần chủ động xác định loại và cấp độ dữ liệu mình đang quản lý; rà soát hệ thống lưu trữ, xử lý; nâng cấp giải pháp bảo mật; xây dựng phương án ứng phó sự cố; kiểm soát hoạt động chia sẻ, chuyển dữ liệu ra nước ngoài và chuẩn bị nguồn lực đáp ứng các yêu cầu mới.

Đặc biệt, các doanh nghiệp hoạt động trong những lĩnh vực trọng yếu hoặc sở hữu khối lượng dữ liệu lớn cần coi bảo đảm an ninh dữ liệu là một phần trong quản trị rủi ro và chiến lược phát triển, thay vì chỉ là yêu cầu kỹ thuật của bộ phận công nghệ thông tin.

Đối với người dân, việc hoàn thiện pháp luật về an ninh dữ liệu góp phần tăng cường khả năng bảo vệ thông tin trước nguy cơ bị đánh cắp, chiếm đoạt, mua bán hoặc khai thác trái phép. Khi trách nhiệm của các chủ thể thu thập, quản lý và xử lý dữ liệu được xác định rõ hơn, quyền và lợi ích hợp pháp của người dân trên môi trường số cũng được bảo đảm tốt hơn.

Dự thảo Luật An ninh dữ liệu được xây dựng theo hướng bổ sung, hoàn thiện hệ thống pháp luật hiện hành, đồng thời có sự phân định với các quy định về bảo vệ dữ liệu cá nhân, dữ liệu và an ninh mạng.

Chủ động bảo vệ dữ liệu ngay từ hôm nay

Dữ liệu càng có giá trị thì nguy cơ trở thành mục tiêu của tội phạm mạng và các hành vi xâm phạm càng lớn. Vì vậy, việc xây dựng Luật An ninh dữ liệu không chỉ nhằm hoàn thiện hành lang pháp lý mà còn góp phần hình thành tư duy mới: dữ liệu phải được nhận diện, phân loại và bảo vệ tương xứng với giá trị cũng như mức độ rủi ro của nó.

Đối với mỗi cơ quan, tổ chức và doanh nghiệp, đây cũng là thời điểm cần chủ động rà soát dữ liệu đang quản lý, đánh giá nguy cơ, hoàn thiện quy trình và tăng cường các biện pháp kỹ thuật bảo vệ hệ thống. Đối với người dân, cần nâng cao ý thức bảo vệ thông tin cá nhân, thận trọng khi cung cấp, chia sẻ dữ liệu và chủ động phòng ngừa nguy cơ lộ, lọt, chiếm đoạt thông tin trên không gian mạng.

Hoàn thiện hành lang pháp lý về an ninh dữ liệu sẽ góp phần bảo vệ quyền và lợi ích hợp pháp của người dân, doanh nghiệp; bảo đảm an ninh quốc gia, chủ quyền số; đồng thời tạo nền tảng an toàn, tin cậy để thúc đẩy Chính phủ số, kinh tế số và xã hội số phát triển bền vững trong kỷ nguyên mới.

Thạch Lê 05