Dự thảo Luật An ninh dữ liệu và những điều doanh nghiệp cần lưu ý

Những điểm cần lưu ý

Luật An ninh dữ liệu đang được lấy ý kiến rộng rãi từ 17-7 đến 5-8. Ảnh: Nghiêm Linh

Theo các chuyên gia, các hệ thống pháp luật hiện hành còn phân mảnh, thiếu đồng bộ, chưa đáp ứng yêu cầu quản trị dữ liệu trong tình hình mới. Do đó, việc xây dựng và ban hành luật về an ninh dữ liệu không chỉ nhằm khắc phục khoảng trống pháp lý mà còn nâng cao năng lực ứng phó với các thách thức an ninh phi truyền thống, đặc biệt là tội phạm công nghệ cao và các rủi ro từ trí tuệ nhân tạo (AI).

Dự thảo luật đề cập đến một số vấn đề lớn. Thứ nhất là việc phân loại dữ liệu theo 4 cấp độ (dữ liệu thông thường - cấp độ 1; dữ liệu nội bộ - cấp độ 2; dữ liệu quan trọng - cấp độ 3; dữ liệu cốt lõi - cấp độ 4) là cách tiếp cận khoa học, cho phép tập trung nguồn lực bảo vệ dữ liệu cốt lõi, đồng thời tạo điều kiện cho dữ liệu phổ thông được lưu thông thuận lợi.

Thứ hai, Khoản 1 Điều 26 quy định quản trị thuật toán và hệ thống AI, trong đó yêu cầu tổ chức, doanh nghiệp nghiên cứu, phát triển, vận hành và cung cấp dịch vụ AI, đặc biệt là hệ thống AI tạo sinh tại Việt Nam phải tích hợp giải pháp gắn nhãn kỹ thuật số nội dung do trí tuệ nhân tạo tạo ra; xây dựng bộ lọc kỹ thuật chủ động ngăn chặn nội dung thông tin sai lệch, gây phương hại an ninh quốc gia, trật tự, an toàn xã hội… Điều này thể hiện bước tiến trong quản lý công nghệ mới, góp phần kiểm soát các rủi ro từ AI, đặc biệt là nguy cơ thao túng thông tin.

Thứ ba, dự thảo định hướng áp dụng mật mã kháng lượng tử (khoản 1 Điều 8) cho thấy tầm nhìn dài hạn nhằm bảo đảm an toàn dữ liệu quốc gia trước sự phát triển nhanh chóng của công nghệ lượng tử.

Một trong những điểm đáng chú ý của dự thảo Luật, tại Khoản 9, Điều 3, cơ quan soạn thảo đã quy định rõ, việc Nhà nước thực hiện chủ quyền dữ liệu quốc gia không đồng nghĩa với việc Nhà nước sở hữu toàn bộ dữ liệu phát sinh trên lãnh thổ Việt Nam. Đối với dữ liệu do tổ chức, cá nhân hợp pháp tạo lập, thu thập bằng nguồn lực của mình phục vụ hoạt động sản xuất, kinh doanh, tiêu dùng, quyền sở hữu, quyền khai thác được Nhà nước công nhận, bảo hộ theo quy định của pháp luật về dân sự, sở hữu trí tuệ. Nhà nước chỉ thực hiện quyền quản lý, kiểm soát về an ninh đối với loại dữ liệu này trong phạm vi cần thiết để phòng ngừa, ngăn chặn hành vi vi phạm pháp luật hoặc ứng phó sự cố an ninh dữ liệu nghiêm trọng.

Trước đó, tại Luật An ninh mạng 2025 (có hiệu lực từ ngày 1-7-2026), lần đầu tiên đã xác lập khái niệm “an ninh dữ liệu”. Trong đó, luật quy định rất rõ vai trò, trách nhiệm của tổ chức, doanh nghiệp trong quản lý thông tin. Cụ thể, các tổ chức và doanh nghiệp phải chủ động triển khai các biện pháp kỹ thuật để phòng chống rò rỉ dữ liệu, đồng thời xây dựng sẵn kịch bản xử lý sự cố. Luật cũng làm rõ các quy định đối với nhóm dữ liệu đặc biệt quan trọng…

Xác lập chủ quyền số quốc gia

Luật An ninh mạng 2025 cũng đặt ra nhiều nghĩa vụ cụ thể đối với doanh nghiệp trong quá trình quản lý và vận hành hệ thống thông tin. Ảnh: N.L

Tại hội thảo về dự án Luật An ninh dữ liệu vừa qua, ý kiến các nhà quản lý, chuyên gia thống nhất, mục tiêu của luật là xây dựng một hành lang pháp lý đóng vai trò như “đường băng” hay “quốc lộ” lớn để dữ liệu trong và ngoài nước được lưu chuyển thuận lợi nhưng vẫn bảo đảm tuyệt đối an ninh, an toàn và chủ quyền số quốc gia. Nhất là trong bối cảnh trước các hiểm họa từ công nghệ lượng tử hay kháng lượng tử, thì việc xây dựng luật là rất cần thiết.

Đánh giá về dự thảo, ông Trần Văn Khải, Phó Chủ nhiệm Ủy ban Khoa học, Công nghệ và Môi trường của Quốc hội, mặc dù đã có các quy định trong các luật hiện hành như Luật An toàn thông tin mạng, Luật An ninh mạng, Luật Giao dịch điện tử... nhưng vẫn chưa đủ và chưa chạm tới những vấn đề sâu sắc của tài nguyên dữ liệu. Do vậy, việc ban hành luật về an ninh dữ liệu là rất cần thiết và việc cơ quan soạn thảo chủ động thể chế hóa các định hướng của Đảng về dữ liệu, an ninh mạng và chuyển đổi số cho thấy cách tiếp cận bài bản, chuyên nghiệp và có tầm nhìn, tạo sự đồng thuận chính sách ngay từ đầu. Ông Trần Văn Khải cũng đề xuất dự thảo luật nên có ưu tiên công nghệ Make in Vietnam dựa trên các tiêu chí an ninh, độ tin cậy và khả năng kiểm định…

Theo Cục An ninh mạng và phòng chống tội phạm công nghệ cao (A05), Luật An ninh dữ liệu khẳng định quyền tài phán tối cao của nhà nước đối với tài nguyên số là dữ liệu. Việc xác lập danh mục dữ liệu trọng yếu ngoài dữ liệu cá nhân để có biện pháp bảo vệ tương xứng, phù hợp là minh chứng cho tầm vóc bao trùm của dự án luật, thi mô hình quản trị rủi ro 4 cấp sẽ là một bộ lọc chiến lược để nhà nước tập trung nguồn lực bảo vệ tuyệt đối dữ liệu cốt lõi - tài sản quốc gia không thể mất và phải được khai thác một cách có hiệu quả, đồng thời tạo ra sự minh bạch về nghĩa vụ, trách nhiệm và gắn mọi chủ thể liên quan trong quá trình tham gia quản trị vòng đời của dữ liệu.

Thứ hai, dự thảo Luật An ninh dữ liệu hướng đến bảo đảm an ninh cho toàn bộ vòng đời dữ liệu từ khi khởi tạo, lưu trữ, chuyển giao, chia sẻ, xử lý và khai thác đến khi tiêu hủy dữ liệu. Đặc biệt trước những hiểm họa chiến lược từ việc “thu thập trước, giải mã sau” thì việc luật hóa lộ trình, quy trình áp dụng mật mã kháng lượng tử, công nghệ mật mã hiện đại… là lá chắn để bảo vệ dữ liệu, bảo đảm bí mật quốc gia trước sức mạnh của máy tính lượng tử trong tương lai rất gần.

Thứ ba là về quản trị AI và minh bạch thuật toán, thì nhà nước cần xác lập quyền năng pháp lý để nhận diện và giải mã các "hộp đen" thuật toán. Việc kiểm soát dữ liệu huấn luyện, gắn nhãn nội dung AI và thanh tra thuật toán là cách để chúng ta bảo vệ an ninh tư tưởng, bản sắc văn hóa dân tộc và phủ danh không gian số trước các làn sóng tin giả xuyên biên giới và góp phần xây dựng không gian mạng an toàn và văn minh.

Thứ tư việc xây dựng hạ tầng không gian dữ liệu tin cậy sẽ tháo gỡ các rào cản pháp lý và giúp dữ liệu Việt Nam liên thông an toàn với quốc tế, biến dữ liệu thành tài sản kinh tế mà vẫn giữ trọn chủ quyền quốc gia số…

Dự thảo Luật an ninh dữ liệu đang được Bộ Công an tổ chức lấy ý kiến rộng rãi từ ngày 17-7 đến ngày 5-8. Việc xây dựng Luật An ninh dữ liệu không có nghĩa là cơ quan, tổ chức và doanh nghiệp được chờ đạo luật mới ban hành rồi mới triển khai biện pháp bảo vệ mà vẫn tiếp tục thực hiện các quy định về an ninh dữ liệu tại Luật An ninh mạng 2025.