Dự thảo Luật An ninh dữ liệu

Dự thảo gắn an ninh dữ liệu với chủ quyền số, an ninh quốc gia, trật tự xã hội, khả năng phục hồi và tự chủ công nghệ. Tổ chức xử lý dữ liệu tại Việt Nam hoặc dữ liệu liên quan Việt Nam từ nước ngoài có thể cần phối hợp quản trị dữ liệu, an ninh mạng, quyền riêng tư, AI, nhà cung cấp và hạ tầng.

Nghị quyết 257/NQ-CP ngày 28 tháng 8 năm 2026 là chỉ đạo chính thức đối với cơ quan soạn thảo, không phải nghĩa vụ áp dụng cho tổ chức. Chính phủ yêu cầu tiếp tục đối chiếu mô hình bốn cấp rủi ro an ninh dữ liệu với cách xác định dữ liệu quan trọng và dữ liệu cốt lõi của Luật Dữ liệu và cấp độ an toàn hệ thống thông tin của pháp luật an ninh mạng; xây dựng cơ chế kiểm soát luồng dữ liệu ra nước ngoài theo rủi ro, phù hợp cam kết quốc tế; và bảo đảm tính thống nhất với Luật An ninh mạng, Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân.

Nghị quyết cũng yêu cầu làm rõ cơ sở và tính khả thi của lộ trình mật mã hậu lượng tử, đề xuất mức phạt tối đa đến 5% doanh thu đối với vi phạm đặc biệt nghiêm trọng, cùng điều kiện, thẩm quyền và thời hạn của biện pháp khẩn cấp hạn chế việc sử dụng dữ liệu, quyền sở hữu và quyền riêng tư đối với dữ liệu cá nhân. Tất cả vẫn là vấn đề đang được hoàn thiện trong dự thảo; mức 5% không được đưa vào ước tính phơi nhiễm xử phạt.

Hướng phát triển có thể tạo thêm một lớp kiểm soát xuyên biên giới dựa trên rủi ro, bên cạnh cơ chế dành cho dữ liệu cá nhân. Vì các hệ phân loại chưa được thống nhất, ComplianceOne giữ chúng liên kết nhưng tách biệt, không tự động quy đổi cấp hoặc coi đề xuất là quy định hiện hành.

Chuẩn bị có thể bao phủ thu thập, tạo lập, lưu trữ, truyền, xử lý, chia sẻ, cung cấp và hủy dữ liệu. Mỗi hệ thống được liên kết với cấp dữ liệu cao nhất mà nó xử lý cùng chính sách, kiểm soát truy cập, đào tạo, giám sát, sự cố và phục hồi.

ComplianceOne giữ công việc trong tuyến dự thảo riêng. Nhóm phụ trách lập danh mục dữ liệu, ghi phân loại đề xuất, đánh giá tổng hợp, nối hệ thống với kiểm soát và theo dõi chuyển dữ liệu. Tài liệu chứng minh AI, PDPL, Luật Dữ liệu và an ninh mạng được liên kết thay vì sao chép thành nghĩa vụ cạnh tranh.

Bộ sẵn sàng dùng hồ sơ làm việc do tổ chức tạo. Trang không trình bày biểu mẫu nhà nước, mức phạt, thủ tục cuối cùng, ngày có hiệu lực hoặc kỳ họp tháng 10 năm 2026 như thời hạn tuân thủ. Phân loại, giải thích pháp lý, quyết định chuyển dữ liệu và tương tác cơ quan đều cần con người rà soát.

Ủy ban Thường vụ Quốc hội cho ý kiến về dự án gồm sáu chương, 25 điều trước kỳ họp tháng 10. Đây vẫn là đề xuất; chưa có số luật, ngày có hiệu lực và toàn văn dự án được công bố. Nội dung dưới đây dựa trên thông tin chính thức của Chính phủ về phiên họp, không phải trích toàn văn chưa công bố.

Đề xuất được báo cáo	Ranh giới
Chủ quản dữ liệu tự quyết định mức 1 và 2, chịu trách nhiệm, không có thủ tục hành chính	Chưa phải nghĩa vụ hiện hành
Mức 3 dùng danh mục dữ liệu quan trọng, mức 4 dùng danh mục dữ liệu cốt lõi của Luật Dữ liệu	Không tạo danh mục riêng; không đồng nhất các thang phân loại
Điều 17 dự kiến hạn chế chuyển dữ liệu theo mức rủi ro	Tiêu chí khách quan, minh bạch, không phân biệt đối xử được đề xuất
Bộ Công an là đầu mối về kiểm kê, đánh giá tác động, kiểm toán, chứng nhận	Chưa phải thẩm quyền mới đã được ban hành
Chuyển sang mật mã kháng lượng tử chậm nhất ngày 1 tháng 1 năm 2035	Chỉ đề xuất cho dữ liệu mức 4 của cơ quan Đảng, Nhà nước và lực lượng vũ trang; không có mốc cho tổ chức khác
Phạt tối đa đến 5% doanh thu tại Việt Nam hoặc doanh thu toàn cầu tùy trường hợp	Chỉ là đề xuất cho vi phạm nghiêm trọng làm lộ, chiếm đoạt hoặc hủy dữ liệu mức 3–4; chưa phải mức phạt đang áp dụng; có đề xuất khoan giảm cho doanh nghiệp nhỏ và khởi nghiệp sáng tạo

Cơ quan thẩm tra yêu cầu phối hợp bốn mức rủi ro với năm cấp độ hệ thống thông tin và phân loại Luật Dữ liệu. ComplianceOne giữ riêng từng thang, lưu ánh xạ do người có tên thực hiện. Với mức 1–2, lưu quyết định của chủ quản dữ liệu, lý do, người và thời điểm; với mức 3–4, lưu mục danh sách Luật Dữ liệu làm căn cứ. Sản phẩm không sao chép danh mục thành mức dự thảo và không tự suy ra mức.

Nội dung chuẩn bị gồm 18 hồ sơ riêng; năm hồ sơ về phân loại bao gồm bốn mức, tổng hợp làm tăng mức, ánh xạ, quyết định chủ quản dữ liệu và mục danh sách cho mức 3–4. Danh mục tài sản mật mã có thể được lưu làm tài liệu chuẩn bị nhưng không khởi động thời hạn hậu lượng tử. Các đề xuất minh bạch thuật toán và tính hợp pháp dữ liệu huấn luyện AI được liên kết với hồ sơ quản trị AI hiện có.