Ngày 17/7/2026, Bộ Công an công bố hồ sơ dự án Luật An ninh dữ liệu để lấy ý kiến rộng rãi của cơ quan, tổ chức, cá nhân đến hết ngày 05/8/2026. Bản dự thảo lấy ý kiến gồm 09 chương, 58 điều, được xây dựng trên cơ sở 06 nhóm chính sách nhằm thể chế hóa chủ trương của Đảng về chủ quyền số, chủ quyền dữ liệu. Dự án Luật do Chính phủ trình, Bộ Công an chủ trì soạn thảo và Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội chủ trì thẩm tra, dự kiến trình Quốc hội xem xét, thông qua tại Kỳ họp thứ 2, Quốc hội khóa XVI.

Việc xây dựng Luật An ninh dữ liệu xuất phát từ thực tế dữ liệu ngày càng trở thành nguồn lực quan trọng của quản trị nhà nước, sản xuất, kinh doanh, nghiên cứu khoa học và cung cấp dịch vụ số. Luật Dữ liệu số 60/2024/QH15 đã tạo khuôn khổ chung về xây dựng, phát triển, bảo vệ, quản trị, xử lý và sử dụng dữ liệu số. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 quy định về bảo vệ dữ liệu cá nhân và quyền của chủ thể dữ liệu cá nhân. Luật An ninh mạng số 116/2025/QH15 điều chỉnh các vấn đề về bảo vệ an ninh mạng và hệ thống thông tin. Tuy vậy, theo Tờ trình của Chính phủ, các quy định liên quan đến an ninh dữ liệu hiện còn nằm rải rác ở nhiều văn bản, chưa có quy định tập trung về bảo vệ dữ liệu trong toàn bộ vòng đời và kiểm soát việc chuyển dữ liệu xuyên biên giới. Trên nền tảng đó, dự thảo Luật An ninh dữ liệu tập trung sâu hơn vào việc bảo vệ chính dữ liệu trước nguy cơ bị lộ, mất, chiếm đoạt, sửa đổi, phá hủy hoặc sử dụng trái phép.

Điểm đáng chú ý trong cách tiếp cận của dự thảo là yêu cầu cân bằng giữa hai mục tiêu. Một mặt, pháp luật phải bảo vệ an ninh quốc gia, lợi ích công cộng và quyền, lợi ích hợp pháp của tổ chức, cá nhân. Mặt khác, nghĩa vụ tuân thủ cần tương xứng với mức độ rủi ro, tránh tạo thêm thủ tục không cần thiết đối với hoạt động dữ liệu thông thường. Khoản 3 Điều 4 dự thảo xác định việc bảo đảm an ninh dữ liệu không được viện dẫn để ngăn chặn trái pháp luật các luồng dữ liệu hợp pháp hoặc các cam kết về thương mại số. Vì vậy, dự thảo lựa chọn hướng quản lý dựa trên rủi ro, đồng thời gắn bảo đảm an ninh dữ liệu với phát triển kinh tế dữ liệu, đổi mới sáng tạo và tự chủ công nghệ.

Thứ nhất, xác định rõ phạm vi điều chỉnh và mối quan hệ với pháp luật có liên quan

Điều 1 dự thảo công bố ngày 17/7/2026 quy định phạm vi điều chỉnh của Luật là bảo đảm an ninh dữ liệu, trong đó khoản 2 xác định hoạt động xử lý dữ liệu cá nhân được thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân. An ninh của hệ thống thông tin tiếp tục được điều chỉnh chủ yếu bởi pháp luật về an ninh mạng; còn hoạt động xây dựng, quản trị, khai thác, phân loại và sử dụng dữ liệu được thực hiện theo pháp luật về dữ liệu. Khi thẩm tra, Ủy ban Quốc phòng, An ninh và Đối ngoại nhất trí với tên gọi, phạm vi điều chỉnh của dự án Luật và đề nghị quy định rõ thứ tự áp dụng trong trường hợp nội dung của Luật giao thoa với pháp luật khác. Việc phân định này có ý nghĩa vì dữ liệu, hệ thống thông tin và quyền của chủ thể dữ liệu có liên hệ chặt chẽ nhưng không phải là cùng một đối tượng pháp lý.

Dự thảo cũng hướng đến hạn chế trùng lặp thủ tục. Khoản 5 Điều 14 dự thảo quy định việc thẩm định an ninh dữ liệu được thực hiện cùng với thẩm định theo pháp luật về an ninh mạng, trong một hồ sơ và một quy trình; khoản 6 Điều 10 cho phép sử dụng hồ sơ đánh giá rủi ro làm một phần hồ sơ đánh giá tác động theo Điều 12 và Điều 15. Tại phiên họp toàn thể ngày 30/9/2026 của Ủy ban Quốc phòng, An ninh và Đối ngoại, hướng thẩm định an ninh dữ liệu một lần cùng với thẩm định an ninh mạng tiếp tục được khẳng định. Cơ chế này, nếu được giữ trong văn bản cuối cùng, sẽ giúp doanh nghiệp giảm chi phí tuân thủ và hạn chế tình trạng một hoạt động phải đồng thời trải qua nhiều thủ tục có nội dung tương tự.

Thứ hai, quản lý an ninh dữ liệu theo cấp độ rủi ro

Một nội dung trung tâm của dự thảo là phân loại dữ liệu theo cấp độ rủi ro để áp dụng biện pháp bảo vệ phù hợp. Khoản 1 Điều 6 dự thảo công bố ngày 17/7/2026 đề xuất 04 cấp độ: dữ liệu Thông thường (Cấp độ 1); dữ liệu Nội bộ (Cấp độ 2); dữ liệu Quan trọng (Cấp độ 3); và dữ liệu Cốt lõi (Cấp độ 4). Việc xác định cấp độ dựa trên tính chất dữ liệu, quy mô tích tụ và hậu quả có thể phát sinh đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, lợi ích công cộng cũng như quyền và lợi ích hợp pháp của tổ chức, cá nhân. Khi thẩm tra, cơ quan của Quốc hội đề nghị bảo đảm sự tương thích giữa cấp độ rủi ro dữ liệu với 05 cấp độ an toàn hệ thống thông tin theo Luật An ninh mạng và với việc phân loại dữ liệu theo Luật Dữ liệu.

Với dữ liệu có mức rủi ro thấp, định hướng chung là đề cao trách nhiệm tự xác định, tự tổ chức bảo vệ và tự chịu trách nhiệm của chủ quản dữ liệu. Với dữ liệu Quan trọng và dữ liệu Cốt lõi, yêu cầu bảo vệ sẽ chặt chẽ hơn vì sự cố có thể gây hậu quả lớn. Dự thảo dành bốn điều, từ Điều 18 đến Điều 21, để quy định chế độ bảo vệ tương ứng với từng cấp độ; theo đó, dữ liệu Quan trọng phải được bảo vệ bằng xác thực đa yếu tố, mã hóa và lưu nhật ký hệ thống tối thiểu 06 tháng, còn dữ liệu Cốt lõi phải được lưu trữ, xử lý trong hệ thống thông tin cấp độ 4 hoặc cấp độ 5. Cách tiếp cận này cho phép nghĩa vụ pháp lý tăng theo mức độ rủi ro, thay vì áp dụng một khuôn mẫu giống nhau cho mọi loại dữ liệu.

Một điểm cần lưu ý là mức độ rủi ro có thể thay đổi theo quy mô tích tụ và cách sử dụng. Một tập dữ liệu riêng lẻ có thể không quá nhạy cảm, nhưng khi được tổng hợp với số lượng lớn hoặc liên kết với nhiều nguồn khác, hậu quả của việc bị truy cập, khai thác hoặc làm sai lệch có thể tăng đáng kể. Vì vậy, khoản 2 Điều 6 dự thảo quy định dữ liệu thuộc cấp độ thấp khi tích tụ đạt ngưỡng quy mô lớn, làm thay đổi bản chất rủi ro, thì phải được áp dụng mức bảo vệ của cấp độ cao hơn; khoản 3 Điều 6 yêu cầu cơ quan, tổ chức vận hành hệ thống lưu trữ dữ liệu có cơ chế tự động giám sát, cảnh báo khi dữ liệu đạt ngưỡng.

Thứ ba, bảo đảm an ninh dữ liệu trong toàn bộ vòng đời dữ liệu

Chương II dự thảo tiếp cận an ninh dữ liệu theo toàn bộ vòng đời: kiểm soát an ninh trong thu thập, khởi tạo và thiết kế hệ thống dữ liệu (Điều 14); bảo đảm an ninh trong lưu trữ, truyền dẫn và xử lý dữ liệu (Điều 15); trong chia sẻ, cung cấp và giao dịch dữ liệu (Điều 16); và trong tiêu hủy dữ liệu (Điều 17). Cách tiếp cận này phù hợp với đặc điểm của môi trường số, nơi rủi ro không chỉ xuất hiện khi dữ liệu được lưu trong máy chủ mà còn có thể phát sinh trong quá trình truyền, sao chép, tích hợp, đồng bộ hoặc cung cấp cho bên thứ ba.

Về mặt quản trị, tổ chức và doanh nghiệp cần quan tâm đến các lớp bảo vệ cơ bản như kiểm kê và lập bản đồ dữ liệu (Điều 11), đánh giá tác động an ninh dữ liệu (Điều 12), phân quyền truy cập, xác thực người dùng, ghi nhận nhật ký xử lý, sao lưu và khôi phục, kiểm soát việc chia sẻ dữ liệu, ứng phó sự cố và quản lý việc xóa, hủy dữ liệu. Mức nghĩa vụ cụ thể vẫn phụ thuộc vào nội dung cuối cùng của Luật và văn bản hướng dẫn. Tuy nhiên, định hướng đã khá rõ: việc bảo vệ không dừng ở hạ tầng kỹ thuật mà phải đi vào chính quy trình xử lý dữ liệu.

Thứ tư, kiểm soát rủi ro trong lưu trữ và chuyển dữ liệu ra nước ngoài

Bảo đảm an ninh trong lưu trữ và chuyển dữ liệu xuyên biên giới là một trong 06 nhóm chính sách của dự thảo. Khoản 4 Điều 6 dự thảo công bố ngày 17/7/2026 nghiêm cấm chuyển ra nước ngoài dữ liệu Cốt lõi hoặc Quan trọng có tác động trực tiếp, tức thời đến quốc phòng, an ninh, tài chính - ngân hàng, năng lượng, viễn thông hoặc điều hành khẩn cấp, trừ trường hợp đặc biệt phục vụ lợi ích tối cao của quốc gia. Khoản 1 Điều 21 quy định dữ liệu Cốt lõi không được chuyển ra nước ngoài, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định bằng văn bản. Trong quá trình thẩm tra, Ủy ban Quốc phòng, An ninh và Đối ngoại cơ bản đồng tình với cách quản lý theo mức độ rủi ro, đồng thời yêu cầu làm rõ phạm vi khái niệm “chuyển dữ liệu ra nước ngoài”, nhất là trường hợp dữ liệu được xử lý trên nền tảng xuyên biên giới hoặc hạ tầng điện toán đám mây của nhà cung cấp nước ngoài.

Đối với dữ liệu Thông thường, dự thảo quy định Nhà nước khuyến khích liên thông dữ liệu xuyên biên giới theo điều ước quốc tế mà Việt Nam là thành viên; cơ quan thẩm tra đề nghị khẳng định rõ nguyên tắc tự do lưu chuyển đối với dữ liệu Cấp độ 1 và Cấp độ 2. Đối với dữ liệu Quan trọng và dữ liệu Cốt lõi, việc chuyển ra nước ngoài phải được thẩm định, chấp thuận về an ninh trước khi thực hiện nhằm bảo vệ chủ quyền dữ liệu và lợi ích quốc gia. Cơ quan thẩm tra cũng đề nghị cho phép áp dụng biện pháp kiểm soát khóa mật mã độc lập trong nước thay cho việc bắt buộc sao lưu vật lý dữ liệu tại Việt Nam, đồng thời quy định chặt chẽ việc xử lý yêu cầu cung cấp dữ liệu trực tiếp từ cơ quan nước ngoài không thông qua kênh tương trợ tư pháp.

Đối với doanh nghiệp có hoạt động xuyên biên giới, đây là nhóm quy định cần theo dõi sát nhất. Nghĩa vụ thực tế còn phải được xác định trên cơ sở văn bản luật được thông qua, pháp luật về dữ liệu, an ninh mạng, bảo vệ dữ liệu cá nhân và các điều ước quốc tế có liên quan. Vì vậy, ở giai đoạn hiện nay, doanh nghiệp nên tập trung lập bản đồ luồng dữ liệu, xác định dữ liệu nào được chuyển ra nước ngoài, chuyển cho ai, lưu ở đâu và có cơ chế kiểm soát nào đi kèm.

Thứ năm, đặt ra yêu cầu an ninh dữ liệu đối với trí tuệ nhân tạo và công nghệ mới

Dự thảo dành sự quan tâm đáng kể cho các rủi ro từ trí tuệ nhân tạo, điện toán lượng tử và những công nghệ mới. Khoản 1 Điều 8 dự thảo đưa mật mã kháng lượng tử vào nhóm biện pháp mã hóa bảo đảm an ninh dữ liệu; khoản 4 Điều 14 yêu cầu chứng nhận, đánh giá rủi ro đối với sản phẩm trí tuệ nhân tạo dùng để thu thập dữ liệu từ Cấp độ 3 trở lên; khoản 1 Điều 26 yêu cầu tổ chức phát triển, vận hành, cung cấp dịch vụ trí tuệ nhân tạo, nhất là trí tuệ nhân tạo tạo sinh, gắn nhãn kỹ thuật số cho nội dung do trí tuệ nhân tạo tạo ra. Đây là vấn đề quan trọng vì chất lượng và độ an toàn của dữ liệu huấn luyện có ảnh hưởng trực tiếp đến mức độ tin cậy của hệ thống AI.

Đối với trí tuệ nhân tạo, yêu cầu bảo vệ dữ liệu huấn luyện bao gồm cả tính bảo mật và tính toàn vẹn. Nếu dữ liệu huấn luyện bị cài cắm, sửa đổi hoặc làm sai lệch, kết quả vận hành của mô hình có thể bị ảnh hưởng. Trong quá trình hoàn thiện, cơ quan thẩm tra cũng đề nghị tránh chồng chéo với Luật Trí tuệ nhân tạo và làm rõ giới hạn kiểm tra, thẩm định, theo hướng cơ quan nhà nước không yêu cầu doanh nghiệp bàn giao mã nguồn hoặc trọng số thuật toán lõi khi tiến hành kiểm tra.

Đối với điện toán lượng tử, dự thảo công bố ngày 17/7/2026 đặt lộ trình chuyển đổi sang giải pháp mật mã kháng lượng tử đến ngày 01/01/2035 đối với hệ thống xử lý dữ liệu Quan trọng và Cốt lõi trong một số lĩnh vực. Cơ quan thẩm tra đề nghị quy định khung chính sách định hướng cho quá trình chuyển đổi, ưu tiên mật mã bất đối xứng và mở rộng đối tượng áp dụng tới chủ quản dữ liệu ngoài khu vực nhà nước. Đây là định hướng dài hạn, bởi việc chuyển đổi công nghệ mật mã trên quy mô lớn cần thời gian, chi phí và tiêu chuẩn kỹ thuật thống nhất.

Thứ sáu, gắn an ninh dữ liệu với phát triển kinh tế dữ liệu và tự chủ công nghệ

Bên cạnh nghĩa vụ bảo vệ, dự thảo gắn an ninh dữ liệu với phát triển kinh tế dữ liệu, đổi mới sáng tạo và tự chủ công nghệ. Điều 5 dự thảo quy định chính sách của Nhà nước về an ninh dữ liệu, theo đó định hướng chính sách là xây dựng hệ sinh thái dữ liệu an toàn, tin cậy và có khả năng chống chịu; thúc đẩy nghiên cứu, phát triển công nghệ bảo vệ dữ liệu, trong đó có nghiên cứu mật mã thế hệ mới; phát triển nguồn nhân lực chuyên môn; đa dạng hóa nguồn lực tài chính và mở rộng hợp tác quốc tế.

Cách tiếp cận này cho thấy an ninh dữ liệu được xác định là điều kiện của phát triển, bên cạnh vai trò là cơ chế kiểm soát rủi ro. Một môi trường dữ liệu có độ tin cậy cao giúp tổ chức, cá nhân yên tâm chia sẻ và khai thác dữ liệu, hỗ trợ các dịch vụ số, trí tuệ nhân tạo và các mô hình kinh doanh dựa trên dữ liệu. Tuy nhiên, để mục tiêu này đạt hiệu quả, nghĩa vụ tuân thủ cần được thiết kế rõ ràng, cần thiết và tương xứng với rủi ro thực tế.

Như vậy, dự thảo Luật An ninh dữ liệu thể hiện hướng quản lý theo rủi ro, bảo vệ dữ liệu trong toàn bộ vòng đời và phân định rõ hơn với pháp luật về an ninh mạng, bảo vệ dữ liệu cá nhân và dữ liệu. Trọng tâm của dự thảo là tăng mức bảo vệ đối với dữ liệu có rủi ro cao, đồng thời tạo khuôn khổ để dữ liệu được khai thác và lưu chuyển an toàn. Các nội dung cần tiếp tục theo dõi gồm cấp độ rủi ro, chuyển dữ liệu xuyên biên giới, dữ liệu trong AI, yêu cầu về mật mã và thủ tục hành chính, trên cơ sở văn bản Luật được Quốc hội thông qua tại Kỳ họp thứ 2, Quốc hội khóa XVI./.

Phạm Quang Huy – Khoa Luật, Học viện An ninh nhân dân.