Việt Nam đang trong giai đoạn chuyển đổi số quốc gia với tốc độ thần tốc, trong đó dữ liệu được xem là tài nguyên chiến lược, là "mạch máu" của Chính phủ số, kinh tế số và xã hội số. Tuy nhiên, theo Bộ Công an, việc phát triển hạ tầng mà thiếu một đạo luật thống nhất về an ninh dữ liệu có thể dẫn đến những rủi ro, hệ lụy lâu dài. Dự án Luật An ninh dữ liệu đang được khẩn trương hoàn thiện để lấp các khoảng trống pháp lý hiện hữu.
Chuyên gia an ninh mạng Ngô Minh Hiếu đánh giá, việc xây dựng đạo luật này là bước hoàn thiện hệ thống pháp luật, đồng thời giải quyết các "khoảng tối" và "khoảng trống" mà các luật hiện hành chưa bao quát hết. Ông dẫn chứng dù đã có Luật An ninh mạng, Luật Bảo vệ dữ liệu cá nhân, Luật Dữ liệu, các quy định về an ninh dữ liệu vẫn tản mát, thiếu hệ thống. Đáng chú ý, pháp luật chưa có cơ chế quản lý an ninh đối với hệ thống trí tuệ nhân tạo (AI) và công nghệ số mới, khiến việc kiểm soát tính hợp pháp của nguồn dữ liệu huấn luyện và tính minh bạch của thuật toán gần như bỏ ngỏ.
Bảo vệ "vỏ" nhưng bỏ ngỏ "lõi" dữ liệu
Theo báo cáo của Bộ Công an, các quy định hiện nay chủ yếu tập trung bảo vệ hạ tầng kỹ thuật, tức lớp "vỏ" của hệ thống, trong khi phần "lõi" dữ liệu bên trong chưa được bảo vệ xuyên suốt vòng đời. Ví dụ điển hình là vụ rò rỉ hàng triệu hồ sơ ngành giáo dục năm 2022 và các đợt lộ, lọt dữ liệu ngành y tế năm 2024. Điều này cho thấy khoảng trống lớn trong việc bảo đảm an ninh cho chính dữ liệu, không chỉ hạ tầng chứa dữ liệu.
Bức tranh an ninh dữ liệu càng đáng lo ngại khi khoảng 80% dữ liệu điện toán đám mây của doanh nghiệp nội địa được lưu trữ trên các nền tảng xuyên biên giới như AWS, Google Cloud hay Azure. Bộ Công an nhận định, thực trạng này gây trở ngại trực tiếp về quyền tài phán, khiến việc kiểm soát luồng dữ liệu xuyên biên giới gặp nhiều khó khăn pháp lý. Ngoài ra, tình trạng mua bán dữ liệu cá nhân vẫn diễn ra phức tạp trên các diễn đàn, hội nhóm; cơ quan chức năng đã phát hiện 300 vụ rao bán với tổng cộng hơn 1,7 triệu bản ghi dữ liệu trên nhiều lĩnh vực: y tế, giáo dục, dịch vụ công, ngân hàng, điện lực, bảo hiểm, chứng khoán, căn cước công dân, vận chuyển, viễn thông.
Thống kê cũng cho thấy trong năm 2025, các hệ thống thông tin của Việt Nam phải đối mặt khoảng 552.000 cuộc tấn công mạng, trong đó hơn 5.000 cơ quan, doanh nghiệp chịu ảnh hưởng. Trước thực trạng đó, Trung tướng Trần Đức Thuận, Phó Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội, nhấn mạnh: "Bảo đảm an ninh mạng, an ninh dữ liệu là lá chắn vững chắc để đất nước phát triển nhanh, bền vững trong kỷ nguyên số".
Chủ quyền số và "biên giới số" quốc gia
Đại tá Nguyễn Hồng Quân, Phó Cục trưởng Cục An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao, Bộ Công an, cho biết mục tiêu xuyên suốt của dự luật là xác lập chủ quyền số quốc gia. Theo đó, Nhà nước khẳng định quyền tối cao, bất khả xâm phạm đối với tài nguyên dữ liệu quốc gia; đồng thời thiết lập "biên giới số" cùng hệ thống mật mã tiên tiến, độc lập nhằm bảo vệ lợi ích dân tộc trong kỷ nguyên số, kỷ nguyên trí tuệ nhân tạo. Dự luật cũng hướng tới hoàn thiện hành lang pháp lý an ninh phi truyền thống, lấp đầy khoảng trống về quản trị thuật toán, AI và lưu thông dữ liệu xuyên biên giới.
Theo Đại tá Nguyễn Hồng Quân, luật được kỳ vọng bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân, tạo dựng môi trường số tin cậy, từ đó thúc đẩy kinh tế số tự chủ chiến lược và tự cường công nghệ. Quan điểm này nhận được sự đồng tình từ ông Vũ Duy Hiền, Phó Tổng Thư ký kiêm Chánh Văn phòng Hiệp hội An ninh mạng quốc gia. Ông Hiền cho rằng năng lực bảo vệ dữ liệu, cơ chế định danh đáng tin cậy và trách nhiệm quản trị rõ ràng của các tổ chức, doanh nghiệp chính là nền tảng cho niềm tin số của người dân; kinh tế số chỉ có thể phát triển bền vững khi dữ liệu được bảo vệ đúng mức.
Bốn cấp độ dữ liệu và trách nhiệm của doanh nghiệp ngoại
Đáng chú ý, dự thảo luật đề xuất phân loại dữ liệu theo cấp độ rủi ro an ninh thành bốn nhóm: "thông thường", "nội bộ", "quan trọng" và "cốt lõi". Đây là căn cứ chuẩn hóa để các luật chuyên ngành như tài chính, y tế, ngân hàng soi chiếu và ban hành quy định đặc thù. Dữ liệu cấp độ thấp nếu tích tụ đạt ngưỡng quy mô lớn, làm thay đổi bản chất rủi ro, sẽ được áp dụng cấp độ bảo vệ cao hơn. Cơ quan, tổ chức vận hành hệ thống thông tin phải thiết lập hệ thống công nghệ tự động giám sát, phát hiện và cảnh báo khi tổng quy mô tích tụ dữ liệu đạt hoặc vượt ngưỡng quy định.
Dự luật cũng xác lập nghĩa vụ và trách nhiệm của các thực thể nước ngoài, nhất là doanh nghiệp cung cấp dịch vụ viễn thông và internet xuyên biên giới có hoạt động tại Việt Nam. Quy định này nhằm siết chặt quản lý đối với luồng dữ liệu được tạo ra từ người dùng Việt Nam nhưng lưu trữ tại máy chủ nước ngoài, góp phần củng cố chủ quyền số trong bối cảnh dữ liệu xuyên biên giới ngày càng phổ biến.
Bảo đảm tính đồng bộ với hệ thống pháp luật
Thẩm định hồ sơ chính sách dự án Luật An ninh dữ liệu, Cục trưởng Cục Pháp luật hình sự - hành chính và Quản lý xử lý vi phạm hành chính, Bộ Tư pháp Nguyễn Thị Hạnh nhấn mạnh sự cần thiết của dự luật trong việc hoàn thiện hành lang pháp lý về bảo vệ dữ liệu, bảo đảm an ninh quốc gia, trật tự an toàn xã hội trong môi trường số. Bà cũng cho rằng dự luật góp phần cụ thể hóa chủ trương của Đảng về xác lập và bảo vệ chủ quyền dữ liệu quốc gia, hướng tới xây dựng hệ sinh thái an ninh dữ liệu quốc gia an toàn, bền vững.
Theo Bộ Tư pháp, trong quá trình soạn thảo, Bộ Công an cần tiếp tục rà soát để bảo đảm tính thống nhất, đồng bộ với các luật khác như Luật Cơ yếu, Luật An ninh mạng, Luật Dữ liệu, Luật Giao dịch điện tử cũng như các quy định về bảo vệ bí mật nhà nước, bảo vệ hạ tầng thông tin quan trọng, an toàn thông tin mạng. Bên cạnh đó, cơ quan chủ trì soạn thảo cần nghiên cứu cơ chế phối hợp, phân công trách nhiệm rõ ràng giữa các cơ quan quản lý nhà nước, tránh chồng chéo trong tổ chức thực hiện, qua đó nâng cao hiệu quả bảo vệ dữ liệu quốc gia trong thời gian tới.
