Bảo đảm an ninh dữ liệu, hoàn thiện quy định hoạt động chuyển dữ liệu xuyên biên giới

Tiếp tục chương trình Kỳ họp thứ 2, Quốc hội khóa XVI, ngày 4/11/2026, Quốc hội thảo luận tại hội trường về dự án Luật An ninh dữ liệu.

Việc ban hành Luật An ninh dữ liệu được kỳ vọng sẽ hoàn thiện hành lang pháp lý cho hệ sinh thái số, tạo cơ sở bảo vệ chủ quyền dữ liệu quốc gia, đồng thời củng cố niềm tin để người dân, doanh nghiệp yên tâm khai thác, ứng dụng công nghệ số và tạo ra giá trị gia tăng từ dữ liệu.

Các đại biểu nhấn mạnh, bảo vệ an ninh dữ liệu không chỉ là yêu cầu đối với cá nhân, cơ quan, tổ chức mà còn liên quan trực tiếp đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ.

Làm rõ giới hạn chuyển dữ liệu cấp độ 5 xuyên biên giới

Góp ý về Điều 19 quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga, Đoàn ĐBQH TP. Hải Phòng cho rằng, dự thảo cần làm rõ phạm vi dữ liệu cấp độ 5 không được phép chuyển ra nước ngoài.

Theo đại biểu, điểm c khoản 2 Điều 19 quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, điểm đ khoản 1 Điều 9 xác định cấp độ 5 gắn với nguy cơ gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ.

Đại biểu nhận thấy, dự thảo chưa làm rõ dữ liệu nào trong nhóm cấp độ 5 bị cấm chuyển và căn cứ nào cho phép những dữ liệu còn lại được áp dụng cơ chế khác.

Do đó, đại biểu đề nghị quy định ngay trong Luật nguyên tắc không chuyển dữ liệu cấp độ 5 xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trường hợp chỉ hạn chế một nhóm dữ liệu trong cấp độ này, cần xác định cụ thể tiêu chí nhận diện và cơ chế áp dụng đối với các nhóm còn lại. Chính phủ chỉ nên được giao quy định chi tiết về trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng các điều kiện đã được Luật xác lập.

Đối với các trường hợp ngoại lệ tại khoản 3 Điều 19 liên quan đến xử lý công việc nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số, đại biểu cũng đề nghị không chỉ căn cứ vào tên gọi của hoạt động mà cần xem xét bản chất dữ liệu được chuyển, chủ thể có quyền tiếp cận và khả năng kiểm soát của chủ quản dữ liệu.

Bởi trên thực tế, hoạt động được gọi là nội bộ vẫn có thể sử dụng hạ tầng ở nước ngoài; dịch vụ số thông thường cũng có thể cho phép nhà cung cấp tiếp cận dữ liệu ở dạng có thể đọc được. Vì vậy, các trường hợp ngoại lệ cần được giới hạn bằng những điều kiện có thể kiểm chứng, bao gồm loại và cấp độ dữ liệu, mục đích xử lý, phạm vi tiếp cận, quyền quản lý khóa giải mã và khả năng duy trì quyền kiểm soát của chủ quản dữ liệu.

Theo đại biểu, nếu tiêu chí phân loại chưa rõ hoặc ngoại lệ chuyển dữ liệu quá rộng, chính sách có thể vừa chưa bảo vệ đầy đủ dữ liệu trọng yếu, vừa gây khó khăn cho các hoạt động hợp pháp cần lưu thông dữ liệu.

Tăng trách nhiệm nhân sự, siết chặt kiểm soát dữ liệu rủi ro cao

Quan tâm đến yếu tố con người trong bảo đảm an ninh dữ liệu, đại biểu Đoàn Hùng Vũ, Đoàn ĐBQH tỉnh Đồng Tháp đánh giá cao dự thảo Luật đã quy định các biện pháp bảo đảm ba thuộc tính quan trọng của dữ liệu gồm tính nguyên vẹn, tính bảo mật và tính khả dụng, đồng thời áp dụng cách tiếp cận quản lý theo cấp độ rủi ro.

Tuy nhiên, đại biểu cho rằng, nhiều sự cố an ninh thông tin không bắt nguồn từ hạn chế của giải pháp kỹ thuật mà có thể xuất phát từ những sơ suất trong quản lý và sử dụng dữ liệu, như tài khoản bị đánh cắp mật khẩu, quản trị viên được cấp quyền quá rộng, cán bộ tự ý sao chép dữ liệu ra ngoài hoặc nhân viên của bên thứ ba không được giám sát chặt chẽ.

Về nhân sự phụ trách an ninh dữ liệu, khoản 2 Điều 24 dự thảo quy định lực lượng bảo vệ an ninh dữ liệu trong cơ quan nhà nước được bố trí theo chế độ kiêm nhiệm hoặc chuyên trách nhằm không làm phát sinh tổ chức, biên chế mới. Đại biểu cho rằng quy định này phù hợp với yêu cầu tinh gọn bộ máy, nhưng cần có cơ chế riêng đối với hệ thống dữ liệu cấp độ 5.

Đây là nhóm dữ liệu có nguy cơ gây tổn hại đặc biệt nghiêm trọng đến lợi ích quốc gia, do đó, đại biểu đề nghị bổ sung quy định nhân sự phụ trách an ninh dữ liệu tại các hệ thống này phải là nhân sự chuyên trách, có trình độ và chứng chỉ chuyên môn phù hợp về an ninh thông tin.

Bên cạnh đó, cần bổ sung trách nhiệm tổ chức đào tạo, sát hạch đối với toàn bộ người tham gia xử lý, khai thác dữ liệu cấp độ 5. Những người chưa đạt yêu cầu sát hạch không được giao quyền truy cập dữ liệu. Chủ quản dữ liệu cũng cần tổ chức diễn tập bảo vệ dữ liệu định kỳ hằng năm, bao gồm các tình huống ứng phó sự cố do điểm yếu hệ thống và yếu tố con người.

Áp dụng cơ chế quản lý theo mức độ rủi ro, tránh phát sinh thủ tục không cần thiết

Góp ý về cơ chế bảo vệ an ninh dữ liệu trong hoạt động chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Vũ Trung, Đoàn ĐBQH TP. Hồ Chí Minh đề nghị thiết kế ba cơ chế quản lý tương ứng với mức độ rủi ro: rủi ro thấp áp dụng cơ chế tự đánh giá và hậu kiểm; rủi ro trung bình thực hiện thông báo; rủi ro cao mới yêu cầu chấp thuận trước.

Đối với các luồng dữ liệu được chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi, không nên yêu cầu xin chấp thuận lại. Cơ quan có thẩm quyền cũng cần có thời hạn xử lý hồ sơ rõ ràng; trường hợp từ chối phải nêu lý do và bảo đảm quyền khiếu nại của chủ thể liên quan.

Theo đại biểu, nếu thiếu cơ chế này, các bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng dịch vụ điện toán đám mây có thể phải gánh thêm thủ tục hành chính, trong khi chưa chắc đã nâng cao hiệu quả ngăn chặn các hành vi lừa đảo từ bên ngoài hệ thống.

Bảo vệ dữ liệu phải gắn với quyền lợi và sự an toàn của người dân

Ở góc độ bảo vệ dữ liệu cá nhân, đại biểu Lê Thị Thanh Lam, Đoàn ĐBQH TP. Cần Thơ nêu thực tế, nhiều người dân nhận được cuộc gọi, tin nhắn lừa đảo có thông tin chính xác về họ tên, số căn cước, thậm chí giọng nói và khuôn mặt của người thân.

Đại biểu cho rằng, khi dữ liệu cá nhân bị lộ, lọt, người dân cần được thông báo kịp thời để chủ động phòng ngừa rủi ro. Vì vậy, tại Điều 22 về trách nhiệm báo cáo sự cố, cần bổ sung quy định chủ quản dữ liệu phải thông báo cho người bị ảnh hưởng, đồng thời cung cấp hướng dẫn phòng tránh hành vi lừa đảo, bảo đảm thống nhất với Luật Bảo vệ dữ liệu cá nhân.

Đại biểu cũng đề nghị Chính phủ rà soát các ứng dụng phục vụ người dân, xác định rõ dịch vụ nào cần tích hợp lên nền tảng dùng chung, dịch vụ nào chỉ cần kết nối, chia sẻ dữ liệu để tránh đầu tư trùng lặp, giảm chi phí vận hành. Việc triển khai cần tính đến khả năng tiếp cận của người dân sử dụng điện thoại cấu hình thấp và sinh sống tại vùng khó khăn.

Đáng chú ý, cần thực hiện nghiêm nguyên tắc không yêu cầu người dân cung cấp lại những thông tin cơ quan nhà nước đã có; tăng cường phối hợp giữa các ngành trong phân loại thông báo, ưu tiên gửi qua VNeID các thông tin về hồ sơ hành chính, thời hạn giải quyết và quyền lợi của người dân.

Liên quan đến các biện pháp kỹ thuật khẩn cấp tại Điều 23, đại biểu Nguyễn Vũ Trung đề nghị bổ sung nguyên tắc chống lạm dụng, hạn chế thấp nhất thiệt hại cho người dân, doanh nghiệp và các tổ chức liên quan.

Theo đó, quyết định áp dụng biện pháp khẩn cấp cần nêu rõ căn cứ, phạm vi, thời hạn và phương án khôi phục; chỉ áp dụng biện pháp cần thiết, ít hạn chế nhất và phải được rà soát độc lập khi gia hạn. Đặc biệt, trước khi đình chỉ hệ thống có ảnh hưởng đến bệnh viện, điện, nước, thanh toán và các dịch vụ thiết yếu, cần đánh giá tác động, ưu tiên cô lập phần bị xâm nhập hoặc bị ảnh hưởng nếu điều kiện cho phép.

Cơ chế phân cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo luật

Giải trình tại hội trường về dự án Luật An ninh dữ liệu, Bộ trưởng Bộ Công an Lương Tam Quang cho biết, cơ chế phân cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo luật, bởi chỉ khi xác định đúng mức độ nguy hại có thể gây ra khi dữ liệu bị xâm hại thì mới đặt ra được nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.

Tiếp thu kết luận của Ủy ban Thường vụ Quốc hội, dự thảo luật thiết kế 5 cấp độ rủi ro tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Trong đó, quy định trong dự thảo luật cho phép sử dụng ngay kết quả xác định cấp độ theo pháp luật về an ninh mạng để cùng một hệ thống không phải đánh giá 2 lần. Cấp độ rủi ro cũng không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới mà chỉ là căn cứ để lựa chọn biện pháp bảo vệ. Trên cơ sở đó, nghĩa vụ được xác định theo hướng rủi ro càng thấp thì thủ tục càng đơn giản.

Theo đó, dữ liệu cấp độ 1 không phát sinh thủ tục dữ liệu, cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp nhỏ, khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải đánh giá tác động và kiểm toán. Còn thẩm định chỉ áp dụng với cấp độ 4, cấp độ 5 và được thực hiện chung một hồ sơ với thẩm định an ninh mạng.

Bộ trưởng Lương Tam Quang cho biết, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại, sẽ tiếp thu đầy đủ các ý kiến của các đại biểu, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo luật, bảo đảm luật vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số./.