Dự thảo Luật An ninh dữ liệu do Bộ Công an chủ trì soạn thảo đã được Chính phủ trình Quốc hội tại Tờ trình số 655/TTr-CP ngày 04/9/2026, dự kiến xem xét, thông qua tại Kỳ họp thứ 2, Quốc hội khóa XVI. Dự thảo gồm 06 chương, 25 điều, xác lập cơ chế bảo vệ dữ liệu thống nhất theo cấp độ rủi ro và xuyên suốt vòng đời dữ liệu.
1. Sự cần thiết phải ban hành Luật An ninh dữ liệu
1.1. Cơ sở chính trị, pháp lý
Về cơ sở chính trị, việc ban hành Luật An ninh dữ liệu nhằm cụ thể hóa các chủ trương của Đảng về chuyển đổi số và bảo vệ Tổ quốc trên không gian mạng. Nghị quyết Đại hội đại biểu toàn quốc lần thứ XIV của Đảng xác định phát triển kinh tế dựa trên khoa học công nghệ, chuyển đổi số là định hướng phát triển đất nước giai đoạn 2026–2030, trong đó có nhiệm vụ bảo vệ an ninh dữ liệu. Nghị quyết số 44-NQ/TW ngày 24/11/2023 về Chiến lược bảo vệ Tổ quốc trong tình hình mới xác định bảo vệ Tổ quốc bao gồm bảo vệ lợi ích quốc gia trên không gian mạng. Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị xác định bảo đảm an ninh mạng, an ninh dữ liệu, an ninh thông tin là yêu cầu xuyên suốt trong quá trình chuyển đổi số quốc gia. Nghị quyết số 68-NQ/TW ngày 04/5/2025 của Bộ Chính trị yêu cầu hoàn thiện pháp luật về bảo đảm an ninh, an toàn khi doanh nghiệp kết nối, chia sẻ, khai thác dữ liệu. Gần đây nhất, Chỉ thị số 57-CT/TW ngày 31/12/2025 của Ban Bí thư xác định tăng cường bảo đảm an ninh dữ liệu trong hệ thống chính trị là yêu cầu cấp thiết trong giai đoạn hiện nay. Các văn bản trên cùng xác lập một yêu cầu thống nhất: dữ liệu là tài nguyên quốc gia cần được quản lý, bảo vệ thống nhất; bảo đảm an ninh dữ liệu vừa là điều kiện để phát triển kinh tế số, Chính phủ số, xã hội số bền vững, vừa là một nội dung của bảo vệ an ninh quốc gia trên không gian mạng. Hoàn thiện pháp luật về an ninh dữ liệu vì vậy là yêu cầu tất yếu để thể chế hóa đầy đủ các chủ trương nêu trên.
Về cơ sở hiến định, Điều 62 Hiến pháp năm 2013 (sửa đổi, bổ sung năm 2025) quy định phát triển khoa học và công nghệ là quốc sách hàng đầu. Điều 21 Hiến pháp năm 2013 (sửa đổi, bổ sung năm 2025) ghi nhận quyền bất khả xâm phạm về đời sống riêng tư, bí mật cá nhân và bí mật gia đình; quyền này chỉ được bảo đảm trên thực tế khi dữ liệu được bảo vệ an toàn. Đồng thời, khoản 2 Điều 14 Hiến pháp năm 2013 (sửa đổi, bổ sung năm 2025) quy định quyền con người, quyền công dân chỉ có thể bị hạn chế theo quy định của luật trong trường hợp cần thiết vì lý do quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, đạo đức xã hội, sức khỏe của cộng đồng. Một số biện pháp bảo vệ an ninh dữ liệu có tính chất hạn chế quyền, như tạm ngừng cung cấp dịch vụ, buộc lưu trữ dữ liệu tại Việt Nam hay hạn chế chuyển dữ liệu ra nước ngoài. Theo yêu cầu của Hiến pháp, các biện pháp này phải được quy định bằng luật, không thể quy định ở văn bản dưới luật. Về cơ sở pháp lý, quy định về dữ liệu và an ninh dữ liệu hiện nằm tại nhiều đạo luật: Luật Dữ liệu năm 2024, Luật An ninh mạng năm 2025, Luật Bảo vệ dữ liệu cá nhân năm 2025 và Luật Giao dịch điện tử. Luật An ninh mạng số 116/2025/QH15 hợp nhất Luật An ninh mạng năm 2018 và Luật An toàn thông tin mạng năm 2015, có hiệu lực từ ngày 01/7/2026. Luật này chủ yếu điều chỉnh an ninh hệ thống thông tin, hạ tầng, đường truyền và hành vi xâm nhập trái phép. Như vậy, pháp luật hiện hành chưa có quy định tập trung, thống nhất về ba vấn đề: bảo vệ bản thân dữ liệu xuyên suốt vòng đời; kiểm soát chuyển dữ liệu xuyên biên giới theo mức độ rủi ro; và chế tài đủ sức răn đe đối với tổ chức có quy mô doanh thu lớn vi phạm nghiêm trọng. Bên cạnh đó, một số quy định hiện hành chưa phù hợp với thực tiễn. Do thiếu hệ thống phân cấp rủi ro thống nhất, một mức nghĩa vụ được áp dụng đồng loạt cho mọi loại dữ liệu. Thủ tục thẩm định chuyển dữ liệu xuyên biên giới không phân biệt theo mức độ rủi ro, làm tăng chi phí tuân thủ không cần thiết. Việc quản lý nhà nước còn phân tán tại nhiều cơ quan, thiếu đầu mối điều phối thống nhất khi xảy ra sự cố liên ngành.
1.2. Cơ sở thực tiễn
Thứ nhất, quy mô dữ liệu gia tăng nhanh làm phát sinh rủi ro an ninh mới. Với gần 80 triệu người dùng Internet tại Việt Nam, khối lượng dữ liệu cá nhân và dữ liệu chuyên ngành phát sinh hằng ngày là rất lớn, trong khi việc quản lý còn phân tán, thiếu tiêu chuẩn bảo vệ thống nhất.
Thứ hai, nguy cơ phụ thuộc công nghệ mật mã và hạ tầng lưu trữ nước ngoài. Phần lớn hệ thống lưu trữ dữ liệu tại Việt Nam, kể cả một số hạ tầng quan trọng, sử dụng tiêu chuẩn mật mã quốc tế mà Việt Nam chưa hoàn toàn làm chủ. Một lượng dữ liệu định danh, dữ liệu hành vi và dữ liệu nhạy cảm của công dân Việt Nam đang được lưu trữ tại các trung tâm dữ liệu ngoài lãnh thổ, gây khó khăn cho hoạt động điều tra, truy xuất dữ liệu của cơ quan chức năng.
Thứ ba, thách thức từ trí tuệ nhân tạo và điện toán lượng tử. Việc sử dụng mô hình ngôn ngữ lớn và công nghệ tạo sinh nội dung giả để xuyên tạc thông tin, lừa đảo tài chính, tác động đến nhận thức xã hội đang gia tăng. Một số tổ chức công nghệ xuyên quốc gia vận hành thuật toán điều phối nội dung theo cơ chế khép kín, gây khó khăn cho công tác quản lý nhà nước. Đối với mật mã, các thuật toán mật mã khóa công khai phổ biến hiện nay dựa trên độ khó tính toán của máy tính cổ điển. Máy tính lượng tử ứng dụng thuật toán Shor có khả năng phá vỡ các thuật toán này trong tương lai gần. Dữ liệu đã bị thu thập, lưu trữ trái phép hôm nay có thể bị giải mã khi công nghệ lượng tử hoàn thiện, theo mô hình rủi ro "thu thập trước, giải mã sau".
Thứ tư, xu hướng lập pháp trên thế giới. Nhiều quốc gia, khu vực đã ban hành khung pháp luật riêng về an ninh dữ liệu: Trung Quốc ban hành Luật An ninh dữ liệu năm 2021; Singapore ban hành Đạo luật An ninh mạng năm 2018, sửa đổi năm 2024; Liên minh châu Âu ban hành Quy định chung về bảo vệ dữ liệu, có hiệu lực từ năm 2018.
Từ những cơ sở trên, có thể khẳng định việc ban hành Luật An ninh dữ liệu là cần thiết, khách quan và cấp bách. Luật sẽ tạo lập khung pháp lý thống nhất để bảo vệ tài nguyên dữ liệu quốc gia từ sớm, từ xa, đồng thời tạo môi trường an toàn cho phát triển kinh tế số.
2. Bố cục và nội dung cơ bản của Dự thảo Luật An ninh dữ liệu
Dự thảo Luật gồm 06 chương, 25 điều (giảm từ 59 điều, 09 chương tại Hồ sơ chính sách do gộp các điều có cùng nội dung điều chỉnh; đây là chỉnh lý kỹ thuật lập pháp, không thay đổi nội dung 06 chính sách đã được Chính phủ thông qua).
Chương I. Những quy định chung (Điều 1-7): quy định phạm vi điều chỉnh, ranh giới với Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, Luật An ninh mạng số 116/2025/QH15, Luật Dữ liệu số 60/2024/QH15; giải thích từ ngữ; nguyên tắc, chính sách của Nhà nước, hành vi bị nghiêm cấm, biện pháp bảo vệ và hợp tác quốc tế về an ninh dữ liệu.
Chương II. Bảo vệ an ninh dữ liệu theo cấp độ rủi ro và vòng đời dữ liệu (Điều 8-10): quy định 04 cấp độ rủi ro (Cấp độ 3, Cấp độ 4 kế thừa Danh mục dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu, không xây dựng danh mục riêng); đối với Cấp độ 1, Cấp độ 2, chủ quản dữ liệu tự xác định, tự chịu trách nhiệm, không phải thực hiện thủ tục hành chính; bảo vệ an ninh dữ liệu theo từng giai đoạn vòng đời; hợp nhất nghĩa vụ kiểm kê, đánh giá tác động, kiểm toán, chứng nhận qua một đầu mối là Bộ Công an.
Chương III. Bảo vệ an ninh dữ liệu trong xử lý quy mô lớn, kinh tế số, hạ tầng số và xuyên biên giới (Điều 11-17): quy định an ninh dữ liệu trong kinh tế số, hạ tầng số, đầu tư, chuyển giao công nghệ, trí tuệ nhân tạo và công nghệ mới, chuỗi cung ứng và lưu chuyển dữ liệu xuyên biên giới theo cấp độ rủi ro; khoản 1 Điều 15 ấn định lộ trình chuyển đổi mật mã kháng lượng tử chậm nhất ngày 01/01/2035 đối với dữ liệu Cấp độ 4 thuộc cơ quan Đảng, Nhà nước, lực lượng vũ trang; khoản 8 Điều 17 dẫn chiếu cam kết tại CPTPP, RCEP, EVFTA bảo đảm tính tương thích của các biện pháp hạn chế chuyển dữ liệu xuyên biên giới.
Chương IV. Giám sát, phòng ngừa và ứng phó sự cố an ninh dữ liệu (Điều 18-20): quy định giám sát tập trung, cảnh báo sớm rủi ro; biện pháp kỹ thuật khẩn cấp với đầy đủ điều kiện, thẩm quyền, trình tự, thủ tục ngay tại Luật, thời hạn áp dụng liên tục không quá 180 ngày, đánh giá lại định kỳ 30 ngày và báo cáo Thủ tướng Chính phủ khi hết hạn; điều phối ứng cứu, báo cáo sự cố trong 72 giờ đối với dữ liệu Cấp độ 3, Cấp độ 4.
Chương V. Phát triển nguồn nhân lực và quản lý nhà nước (Điều 21-23): quy định lực lượng bảo vệ an ninh dữ liệu quốc gia thuộc lực lượng bảo vệ an ninh mạng hiện có, không hình thành tổ chức, biên chế mới; huy động nguồn lực xã hội; trách nhiệm quản lý nhà nước của Bộ Công an, Bộ Quốc phòng, Bộ Khoa học và Công nghệ, Ban Cơ yếu Chính phủ, Ủy ban nhân dân các cấp; thống nhất thủ tục hành chính về an ninh dữ liệu thành 02 nhóm; mức phạt tiền tối đa đối với vi phạm hành chính nghiêm trọng gây rò rỉ, chiếm đoạt, phá hoại dữ liệu Cấp độ 3, Cấp độ 4 không quá 5% doanh thu tại Việt Nam hoặc doanh thu toàn cầu tùy trường hợp, kèm chính sách khoan hồng cho doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp sáng tạo.
Chương VI. Điều khoản thi hành (Điều 24, 25): quy định sửa đổi, bổ sung, bãi bỏ các quy định liên quan của Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân theo kỹ thuật một văn bản sửa nhiều văn bản; hiệu lực thi hành và điều khoản chuyển tiếp theo mô hình luật khung, thời hạn chuyển tiếp tối đa không quá 36 tháng đối với tổ chức, cá nhân đang xử lý dữ liệu Cấp độ 3, Cấp độ 4.
3. Một số điểm nổi bật đáng chú ý của Dự thảo Luật
Thứ nhất, lần đầu tiên khái niệm “chủ quyền dữ liệu quốc gia” được luật hóa. Dự thảo xác định đây là quyền của Nhà nước trong quản lý, kiểm soát và bảo vệ dữ liệu phát sinh trên lãnh thổ Việt Nam hoặc có liên quan đến lợi ích quốc gia. Quy định này mở rộng nội hàm chủ quyền quốc gia sang không gian dữ liệu, đồng thời tạo cơ sở pháp lý để áp dụng các yêu cầu bảo vệ cao hơn đối với những loại dữ liệu quan trọng, đặc biệt là dữ liệu Cấp độ 3 và Cấp độ 4.
Thứ hai, dự thảo áp dụng cách tiếp cận quản lý theo mức độ rủi ro, qua đó hạn chế phát sinh thủ tục hành chính không cần thiết. Đối với dữ liệu Cấp độ 1 và Cấp độ 2, tổ chức, doanh nghiệp được tự xác định cấp độ, tự tổ chức bảo vệ và tự chịu trách nhiệm, không phải xin xác nhận của cơ quan nhà nước. Chỉ đối với dữ liệu Cấp độ 3 và Cấp độ 4 mới phát sinh các nghĩa vụ quản lý chặt chẽ hơn. Các thủ tục được tổ chức theo hướng tập trung đầu mối, sử dụng hồ sơ điện tử và hạn chế thanh tra, kiểm tra nhiều lần trong năm. Cách tiếp cận này vừa bảo đảm hiệu quả quản lý nhà nước, vừa giảm chi phí tuân thủ cho doanh nghiệp.
Thứ ba, dự thảo phân định rõ phạm vi điều chỉnh với các luật có liên quan. Theo đó, Luật An ninh dữ liệu tập trung bảo đảm an ninh của bản thân dữ liệu; Luật An ninh mạng điều chỉnh an ninh hệ thống thông tin; Luật Bảo vệ dữ liệu cá nhân bảo vệ quyền của chủ thể dữ liệu; còn việc phân loại dữ liệu thực hiện theo Luật Dữ liệu. Việc xác định rõ ranh giới giữa các đạo luật giúp hạn chế chồng chéo, tạo thuận lợi cho cơ quan, tổ chức và doanh nghiệp trong quá trình thực hiện.
Thứ tư, dự thảo chủ động ứng phó với các nguy cơ từ công nghệ mới, đặc biệt là trí tuệ nhân tạo và điện toán lượng tử. Tổ chức phát triển, vận hành trí tuệ nhân tạo phải kiểm soát nguồn gốc dữ liệu huấn luyện và phòng ngừa nguy cơ dữ liệu bị can thiệp, làm sai lệch mô hình. Đối với hệ thống trí tuệ nhân tạo sử dụng dữ liệu Cấp độ 3, Cấp độ 4 để đưa ra quyết định tự động trong các lĩnh vực thiết yếu như y tế, tín dụng, tuyển dụng, giao thông, giáo dục, dự thảo yêu cầu phải có cơ chế kiểm thử, giám sát và cho phép con người xem xét lại quyết định. Đồng thời, các hệ thống xử lý dữ liệu đặc biệt quan trọng của cơ quan Đảng, Nhà nước và lực lượng vũ trang được định hướng chuyển đổi sang mật mã kháng lượng tử theo lộ trình phù hợp.
Thứ năm, dự thảo chú trọng bảo đảm quyền và lợi ích hợp pháp của tổ chức, cá nhân khi áp dụng các biện pháp bảo vệ an ninh dữ liệu. Các biện pháp hạn chế quyền chỉ được áp dụng khi thực sự cần thiết, phải tương xứng với mức độ nguy hiểm, do người có thẩm quyền quyết định bằng văn bản và có thời hạn cụ thể. Đối tượng bị áp dụng được thông báo, có quyền giải trình, khiếu nại, khởi kiện và biện pháp phải được chấm dứt ngay khi căn cứ áp dụng không còn. Cách thiết kế này nhằm bảo đảm yêu cầu bảo vệ an ninh quốc gia nhưng vẫn kiểm soát chặt chẽ việc hạn chế quyền.
Thứ sáu, dự thảo đưa ra cơ chế xử phạt theo tỷ lệ doanh thu đối với các vi phạm nghiêm trọng, đồng thời kết hợp với cơ chế miễn trừ và khoan hồng. Đối với hành vi gây rò rỉ, chiếm đoạt hoặc phá hoại dữ liệu Cấp độ 3, Cấp độ 4, mức xử phạt có thể được xác định theo tỷ lệ doanh thu để bảo đảm tính răn đe tương xứng với quy mô của tổ chức vi phạm. Tuy nhiên, tổ chức đã áp dụng đầy đủ các biện pháp bảo vệ và không có lỗi có thể được xem xét miễn xử phạt đối với sự cố do bị tấn công ngoài ý muốn. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp chủ động khắc phục hậu quả cũng được xem xét áp dụng chính sách khoan hồng.
Thứ bảy, dự thảo bảo đảm sự tương thích giữa yêu cầu bảo vệ an ninh dữ liệu và các cam kết quốc tế của Việt Nam. Việc kiểm soát dữ liệu xuyên biên giới được thiết kế theo hướng chỉ áp dụng đối với những trường hợp thực sự cần thiết, không phân biệt đối xử giữa doanh nghiệp trong nước và nước ngoài. Đối với dữ liệu thông thường, dự thảo không đặt ra yêu cầu thẩm định quá mức; đối với một số dữ liệu quan trọng, có thể áp dụng phương án duy trì bản sao tại Việt Nam thay cho yêu cầu lưu trữ hoàn toàn trong nước. Qua đó, Việt Nam vừa có thể bảo vệ lợi ích và chủ quyền dữ liệu quốc gia, vừa duy trì môi trường thuận lợi cho thương mại, đầu tư và phát triển kinh tế số.
Có thể thấy, dự thảo Luật An ninh dữ liệu không chỉ nhằm phòng ngừa và xử lý các nguy cơ xâm phạm dữ liệu mà còn hướng tới xây dựng một môi trường dữ liệu an toàn, minh bạch và có trách nhiệm. Khi được triển khai đồng bộ, Luật sẽ góp phần bảo vệ chủ quyền dữ liệu quốc gia, quyền và lợi ích hợp pháp của người dân, doanh nghiệp, đồng thời tạo nền tảng cho chuyển đổi số và phát triển kinh tế số.
ThS, Thiếu tá Nguyễn Thu Giang, Khoa Luật, T03