Vì sao dự thảo đáng theo dõi
Liên kết đến phần này ↗Nghị quyết 07/2026/UBTVQH16 đưa Dự thảo Luật An ninh dữ liệu vào chương trình lập pháp năm 2026 để xem xét tại kỳ họp thứ hai của Quốc hội vào tháng 10 năm 2026. Đây là mốc chương trình lập pháp, không phải ngày có hiệu lực. Tài liệu chính sách của Bộ Công an vẫn là dự thảo và có thể thay đổi.
Phạm vi đề xuất
Liên kết đến phần này ↗Dự thảo gắn an ninh dữ liệu với chủ quyền số, an ninh quốc gia, trật tự xã hội, khả năng phục hồi và tự chủ công nghệ. Tổ chức xử lý dữ liệu tại Việt Nam hoặc dữ liệu liên quan Việt Nam từ nước ngoài có thể cần phối hợp quản trị dữ liệu, an ninh mạng, quyền riêng tư, AI, nhà cung cấp và hạ tầng.
Mô hình phân loại bốn cấp
Liên kết đến phần này ↗| Cấp đề xuất | Nội dung khái quát |
|---|---|
| Cấp 1 — Dữ liệu thông thường | Dữ liệu mở hoặc vận hành thông thường, không có yếu tố nhạy cảm |
| Cấp 2 — Dữ liệu nội bộ | Dữ liệu cần kiểm soát tổ chức về truy cập, chính sách và rủi ro |
| Cấp 3 — Dữ liệu quan trọng | Dữ liệu có thể ảnh hưởng đáng kể đến kinh tế, lợi ích công cộng hoặc trật tự xã hội |
| Cấp 4 — Dữ liệu cốt lõi | Dữ liệu liên quan quốc phòng, an ninh quốc gia và lợi ích chiến lược cao nhất |
Các cấp này là đề xuất, không phải phân loại cuối cùng đã ban hành.
Chỉ đạo xây dựng dự thảo tại Nghị quyết 257/NQ-CP
Liên kết đến phần này ↗Nghị quyết 257/NQ-CP ngày 28 tháng 8 năm 2026 là chỉ đạo chính thức đối với cơ quan soạn thảo, không phải nghĩa vụ áp dụng cho tổ chức. Chính phủ yêu cầu tiếp tục đối chiếu mô hình bốn cấp rủi ro an ninh dữ liệu với cách xác định dữ liệu quan trọng và dữ liệu cốt lõi của Luật Dữ liệu và cấp độ an toàn hệ thống thông tin của pháp luật an ninh mạng; xây dựng cơ chế kiểm soát luồng dữ liệu ra nước ngoài theo rủi ro, phù hợp cam kết quốc tế; và bảo đảm tính thống nhất với Luật An ninh mạng, Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân.
Nghị quyết cũng yêu cầu làm rõ cơ sở và tính khả thi của lộ trình mật mã hậu lượng tử, đề xuất mức phạt tối đa đến 5% doanh thu đối với vi phạm đặc biệt nghiêm trọng, cùng điều kiện, thẩm quyền và thời hạn của biện pháp khẩn cấp hạn chế việc sử dụng dữ liệu, quyền sở hữu và quyền riêng tư đối với dữ liệu cá nhân. Tất cả vẫn là vấn đề đang được hoàn thiện trong dự thảo; mức 5% không được đưa vào ước tính phơi nhiễm xử phạt.
Hướng phát triển có thể tạo thêm một lớp kiểm soát xuyên biên giới dựa trên rủi ro, bên cạnh cơ chế dành cho dữ liệu cá nhân. Vì các hệ phân loại chưa được thống nhất, ComplianceOne giữ chúng liên kết nhưng tách biệt, không tự động quy đổi cấp hoặc coi đề xuất là quy định hiện hành.
Tái phân loại khi tổng hợp
Liên kết đến phần này ↗Dữ liệu ở cấp thấp hơn có thể cần đánh giá lại khi tích lũy, kết hợp hoặc thay đổi mục đích làm tăng tác động tiềm ẩn. Hồ sơ sẵn sàng nên lưu chủ sở hữu, lý do phân loại, nguồn dữ liệu, thay đổi trọng yếu, người rà soát và quyết định.
An ninh trong vòng đời
Liên kết đến phần này ↗Chuẩn bị có thể bao phủ thu thập, tạo lập, lưu trữ, truyền, xử lý, chia sẻ, cung cấp và hủy dữ liệu. Mỗi hệ thống được liên kết với cấp dữ liệu cao nhất mà nó xử lý cùng chính sách, kiểm soát truy cập, đào tạo, giám sát, sự cố và phục hồi.
Luồng dữ liệu xuyên biên giới
Liên kết đến phần này ↗Dự thảo mô tả sàng lọc theo phân loại, điểm đến, người nhận, đánh giá tác động và các lộ trình phê duyệt được đề xuất, với xử lý chặt hơn cho dữ liệu quan trọng và dữ liệu cốt lõi. Đây chỉ là nội dung chuẩn bị dự thảo, không phải thủ tục nộp hồ sơ cuối cùng.
Vận hành mức độ sẵn sàng
Liên kết đến phần này ↗ComplianceOne giữ công việc trong tuyến dự thảo riêng. Nhóm phụ trách lập danh mục dữ liệu, ghi phân loại đề xuất, đánh giá tổng hợp, nối hệ thống với kiểm soát và theo dõi chuyển dữ liệu. Tài liệu chứng minh AI, PDPL, Luật Dữ liệu và an ninh mạng được liên kết thay vì sao chép thành nghĩa vụ cạnh tranh.
Năng lực liên quan
Liên kết đến phần này ↗- Khám phá dữ liệu xác định nguồn, hệ thống và chủ sở hữu.
- Phân loại dữ liệu cá nhân lưu cấp đề xuất, lý do và lịch sử phê duyệt.
- Lập bản đồ dữ liệu nối vòng đời, nơi lưu trữ, người nhận và luồng xuyên biên giới.
- Chương trình giám sát điều phối rà soát và kiểm tra kiểm soát.
- Vận hành sự cố lưu phát hiện, ứng phó và phục hồi.
Ranh giới bằng chứng
Liên kết đến phần này ↗Bộ sẵn sàng dùng hồ sơ làm việc do tổ chức tạo. Trang không trình bày biểu mẫu nhà nước, mức phạt, thủ tục cuối cùng, ngày có hiệu lực hoặc kỳ họp tháng 10 năm 2026 như thời hạn tuân thủ. Phân loại, giải thích pháp lý, quyết định chuyển dữ liệu và tương tác cơ quan đều cần con người rà soát.
Nguồn và trách nhiệm
Liên kết đến phần này ↗Nội dung dựa trên nguồn đã ghim, gói vn-data-security-draft-law-2026 và hồ sơ chính sách. ComplianceOne hỗ trợ chuẩn bị bằng chứng, không chứng nhận tuân thủ hoặc biến đề xuất thành luật hiện hành. Nội dung không thay thế tư vấn pháp lý.