Quản lý theo mức độ rủi ro

Trình bày Tờ trình tại phiên họp, Thứ trưởng Bộ Công an Phạm Thế Tùng cho biết, dự thảo Luật An ninh dữ liệu bao gồm 6 chương, 25 điều; quán triệt nguyên tắc quản lý theo mức độ rủi ro làm cơ sở duy nhất để phát sinh nghĩa vụ hành chính.

Dự thảo luật không phát sinh chính sách mới ngoài 6 chính sách đã được Chính phủ thông qua tại Nghị quyết số 246/NQ-CP. Đó là: Hoàn thiện thể chế quản lý tài nguyên dữ liệu, xác lập chủ quyền dữ liệu quốc gia; Bảo đảm an ninh dữ liệu theo cấp độ rủi ro, xuyên suốt vòng đời dữ liệu; Bảo đảm an ninh trong lưu trữ và chuyển giao dữ liệu xuyên biên giới; Bảo đảm an ninh dữ liệu trong nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo và công nghệ mới; Bảo đảm an ninh dữ liệu trong phát triển kinh tế dữ liệu, đổi mới sáng tạo, tự chủ công nghệ; Đa dạng hóa nguồn lực tài chính, phát triển nhân lực và thúc đẩy hợp tác quốc tế về an ninh dữ liệu.

 

“Mục đích xây dựng luật nhằm xác lập cơ sở pháp lý để Nhà nước quản lý, kiểm soát và bảo vệ dữ liệu phát sinh trên lãnh thổ Việt Nam hoặc liên quan đến lợi ích quốc gia; hoàn thiện pháp luật về an ninh phi truyền thống đối với dữ liệu; bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân trước hành vi tấn công mạng, chiếm đoạt, làm lộ, mất dữ liệu; đồng thời tạo điều kiện phát triển kinh tế dữ liệu trên cơ sở quản lý theo mức độ rủi ro, hạn chế tối đa việc áp đặt nghĩa vụ không tương xứng đối với dữ liệu có rủi ro thấp”, Thượng tướng Phạm Thế Tùng nhấn mạnh.

Theo Chương trình lập pháp năm 2026 của Quốc hội, Chính phủ trình Quốc hội xem xét, thông qua tại Kỳ họp thứ 2, Quốc hội khóa XVI (tháng 10/2026).

Đề nghị làm rõ tính liên thông và cải cách thủ tục hành chính

Trình bày báo cáo thẩm tra sơ bộ, Thượng tướng Lê Tấn Tới, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại, cho biết, Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại nhất trí với tên gọi "Luật An ninh dữ liệu" và đề nghị chỉnh lý phạm vi điều chỉnh tại Điều 1 theo hướng khái quát, tập trung vào nguyên tắc, biện pháp bảo đảm an ninh dữ liệu và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân; bổ sung quy định bao quát đối tượng áp dụng ngoài lãnh thổ nhưng xử lý dữ liệu thuộc quyền tài quát hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.

Về cấp độ rủi ro an ninh dữ liệu, Thường trực Ủy ban cơ bản nhất trí với cách tiếp cận quản lý theo mức độ rủi ro. Tuy nhiên, nhiều ý kiến đề nghị thiết kế các cấp độ rủi ro an ninh dữ liệu bảo đảm tính liên thông, tương thích hoàn toàn với 5 cấp độ an toàn hệ thống thông tin theo quy định của Luật An ninh mạng và phân loại dữ liệu theo quy định của Luật Dữ liệu.

Về bảo đảm an ninh dữ liệu đối với công nghệ mới, trí tuệ nhân tạo, Thường trực Ủy ban ghi nhận việc dự thảo luật đã đặt ra yêu cầu bảo mật dài hạn trước điện toán lượng tử và bảo đảm an ninh dữ liệu huấn luyện trí tuệ nhân tạo. Tuy nhiên, có ý kiến đề nghị điều chỉnh lộ trình chuyển đổi mật mã kháng lượng tử theo hướng quy định khung chính sách định hướng, ưu tiên kiểm kê, chuyển đổi trước đối với mật mã bất đối xứng, mở rộng phạm vi áp dụng lộ trình cho các chủ quản dữ liệu ngoài khu vực nhà nước.

Về bảo vệ an ninh dữ liệu trong lưu chuyển dữ liệu xuyên biên giới, Thường trực Ủy ban cơ bản nhất trí với nguyên tắc phân luồng rủi ro tại Điều 17. Tuy nhiên, có ý kiến đề nghị làm rõ phạm vi chuyển dữ liệu ra nước ngoài đối với dữ liệu xử lý qua nền tảng xuyên biên giới.

Thường trực Ủy ban cơ bản nhất trí với hướng xác định lực lượng bảo vệ an ninh dữ liệu thuộc lực lượng bảo vệ an ninh mạng và phân định thẩm quyền quản lý dữ liệu của Bộ Quốc phòng đối với hạ tầng, dịch vụ có tính chất lưỡng dụng, tránh phát sinh khoảng trống quản lý hoặc tăng gánh nặng kiểm tra, kiểm định đối với doanh nghiệp. Tuy nhiên, có ý kiến đề nghị chỉ quy định nguyên tắc chung về lực lượng và trách nhiệm quản lý nhà nước, giao Chính phủ quy định chi tiết.

Có ý kiến đề nghị tiếp tục rà soát, cắt giảm triệt để các thủ tục rườm rà; lược bỏ quy định gom nhóm thủ tục hành chính để quy định quy trình, hồ sơ một cửa liên thông ngay tại từng điều luật; bổ sung cơ chế liên thông, công nhận kết quả giữa cấp độ rủi ro an ninh dữ liệu với cấp độ an toàn hệ thống thông tin theo pháp luật an ninh mạng, tránh phát sinh thủ tục đăng ký, đánh giá trùng lặp.

Cần cân bằng giữa bảo đảm an ninh và phát triển kinh tế số

Đánh giá cao Bộ Công an soạn thảo dự thảo luật, Chủ tịch Quốc hội Trần Thanh Mẫn yêu cầu tập trung những điểm chính trong luật này. Thứ nhất là phân loại dữ liệu theo 4 cấp: thông thường, nội bộ, quan trọng, cốt lõi. Cách tiếp cận theo cấp độ rủi ro là khoa học, cho phép tập trung nguồn lực để bảo vệ dữ liệu cốt lõi và quan trọng, đồng thời tạo dư địa thông thoáng cho dữ liệu phổ thông.

Chủ tịch Quốc hội đề xuất nên bổ sung quy định về đánh giá lại cấp độ bắt buộc khi dữ liệu thay đổi quy mô hoặc mục đích sử dụng kèm theo thời hạn là tối đa.

Thứ hai, về chủ quyền dữ liệu quốc gia và dữ liệu nội địa, đây là điểm hết sức quan trọng, Nhà nước giao Bộ Công an quản lý. Cần nghiên cứu thêm quy định về cơ chế bảo vệ, chuyển đổi dữ liệu xuyên biên giới. Thứ ba, phải bảo đảm an ninh xuyên biên giới, bảo đảm an ninh xuyên suốt dòng đời dữ liệu và quản trị AI.

Theo Chủ tịch Quốc hội, Trung tâm Quản trị An ninh dữ liệu quốc gia trực thuộc Bộ Công an là rất đúng và có chức năng giám sát thời gian thực hợp lý, nhưng phải có cơ chế kiểm soát quyền lực và bảo vệ dữ liệu thương mại, bí mật kinh doanh khi giám sát.

Thứ tư là lộ trình mật mã kháng lượng tử đến năm 2035. Chủ tịch Quốc hội cho rằng, đây là từ mới, trong giải thích từ ngữ để sau này công khai người dân người hiểu "kháng lượng tử" là như thế nào. Chủ tịch Quốc hội lưu ý Bộ Công an hỗ trợ kỹ thuật, tài chính cho doanh nghiệp vừa và nhỏ, cơ quan nhà nước cấp tỉnh, không để khoảng trống an ninh trong giai đoạn chuyển đổi.

Theo Chủ tịch Quốc hội, Dự thảo Luật đi đúng hướng bảo vệ chủ quyền dữ liệu trong kỷ nguyên số và AI. Điểm mạnh là tư duy phân cấp rủi ro và dòng đời dữ liệu, nhưng điểm yếu lớn nhất hiện nay là tính khả thi thực hiện. Cần cân bằng giữa an ninh và phát triển kinh tế số.

Chủ tịch Quốc hội nhấn mạnh, "không đánh đổi an ninh lấy lợi ích kinh tế thuần túy", nhưng phải tạo hành lang rõ ràng, minh bạch, có lộ trình cho doanh nghiệp thì Luật An ninh dữ liệu sẽ trở thành công cụ chiến lược thay vì rào cản.