Bảo đảm an ninh dữ liệu quốc gia, tạo niềm tin để người dân yên tâm ứng dụng công nghệ số

Sáng 4/11, tại Kỳ họp thứ hai, Quốc hội khóa XVI, các đại biểu Quốc hội thảo luận về dự án Luật An ninh dữ liệu, tập trung vào những vấn đề liên quan đến phân loại rủi ro, trách nhiệm bảo vệ dữ liệu và bảo đảm quyền lợi của người dân.

Bảo vệ dữ liệu gắn với tạo thuận tiện cho người dân

Đại biểu Lê Thị Thanh Lam (Đoàn đại biểu Quốc hội TP. Cần Thơ) cơ bản thống nhất với sự cần thiết ban hành Luật An ninh dữ liệu, đồng thời băn khoăn về khả năng bảo vệ dữ liệu và tạo thuận tiện cho người dân khi triển khai.

"Vấn đề bảo vệ dữ liệu và phục vụ người dân là để người dân thuận tiện hơn. Ít ứng dụng trùng lặp, ít đầu mối nắm dữ liệu thì dữ liệu an toàn hơn và người dân cũng đỡ vất vả hơn", đại biểu Thanh Lam nhấn mạnh.

Góp ý vào Điều 4 về nguyên tắc bảo vệ an ninh dữ liệu, đại biểu đề nghị bổ sung quy định ưu tiên triển khai các hệ thống số của cơ quan nhà nước phục vụ người dân trên nền tảng dùng chung đã được đánh giá an toàn, an ninh; hạn chế phát sinh hệ thống riêng lẻ kết nối vào cơ sở dữ liệu quốc gia.

Đối với nguyên tắc một nội dung rủi ro chỉ đánh giá một lần tại khoản 6 Điều 4, đại biểu đề nghị cho phép sử dụng lại kết quả đánh giá nền tảng dùng chung đối với các ứng dụng hoạt động trên nền tảng đó.

Dẫn số liệu từ báo cáo thẩm tra của Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội, đại biểu cho biết, năm 2025, Việt Nam ghi nhận khoảng 552.000 cuộc tấn công mạng, khoảng 300 vụ rao bán với hơn 1,7 triệu bản ghi dữ liệu. Qua kiểm tra tại 7 bộ, ngành, địa phương kết nối với Cơ sở dữ liệu quốc gia về dân cư, đã phát hiện 1.315 lỗ hổng bảo mật nghiêm trọng.

Đại biểu dẫn thực tế người dân sử dụng điện thoại có dung lượng bộ nhớ hạn chế nhưng phải cài đặt nhiều ứng dụng phục vụ các thủ tục và dịch vụ thiết yếu như định danh điện tử VNeID, bảo hiểm xã hội, thuế, giao thông, quản lý giấy tờ, điện, nước, mạng di động... Việc sử dụng nhiều ứng dụng khiến thiết bị đầy bộ nhớ, hoạt động chậm, trong khi các thông báo liên tục có thể khiến người dân bỏ sót thông tin quan trọng về hồ sơ, thời hạn giải quyết và quyền lợi của mình.

Theo đại biểu, càng nhiều hệ thống trùng lặp cùng kết nối vào dữ liệu của người dân thì càng có nhiều điểm cần được bảo vệ. Do đó, việc sử dụng dữ liệu phải bảo đảm an toàn, đúng mục đích, có trách nhiệm và hiệu quả.

Từ thực tế này, đại biểu đề nghị Chính phủ chỉ đạo rà soát các ứng dụng phục vụ người dân, xác định rõ dịch vụ nào cần tích hợp lên nền tảng dùng chung, dịch vụ nào chỉ cần kết nối, chia sẻ dữ liệu nhằm tránh đầu tư trùng lặp, tốn kém chi phí vận hành. Đồng thời, cần quan tâm đến người sử dụng điện thoại cấu hình thấp, người dân ở vùng khó khăn; thực hiện nghiêm quy định không yêu cầu người dân cung cấp lại thông tin đã có. Các bộ, tỉnh, thành phố cần phối hợp phân loại thông báo, ưu tiên gửi qua VNeID những thông tin liên quan đến hồ sơ hành chính, thời hạn giải quyết và quyền lợi của người dân.

Đối với Điều 8 về cấp độ rủi ro an ninh dữ liệu, đại biểu Lê Thị Thanh Lam cho rằng, việc phân loại rủi ro là công cụ quan trọng để xác định mức độ bảo vệ phù hợp. Tuy nhiên, rủi ro không chỉ phụ thuộc vào bản thân dữ liệu mà còn liên quan đến khối lượng, khả năng liên kết, mục đích sử dụng, mức độ tập trung và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm.

Một dữ liệu đơn lẻ có thể ít nhạy cảm, nhưng khi liên kết với nhiều nguồn khác có thể làm phát sinh nguy cơ nhận diện, suy luận thông tin và gây ảnh hưởng lớn đến cá nhân, tổ chức. Nếu tiêu chí phân loại không cụ thể, kết quả đánh giá có thể thiếu thống nhất giữa các cơ quan và doanh nghiệp.

Vì vậy, đại biểu đề nghị Ban soạn thảo quy định rõ tiêu chí phân loại rủi ro, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát, phân loại lại cấp độ. Việc đánh giá cần xem xét khả năng xảy ra sự cố, mức độ thiệt hại, quy mô và mức độ nhạy cảm của dữ liệu, khả năng liên kết cũng như mức độ phụ thuộc của các hoạt động thiết yếu vào dữ liệu.

Đặc biệt, cần cho phép điều chỉnh cấp độ rủi ro khi mục đích xử lý, quy mô dữ liệu hoặc công nghệ thay đổi; thiết lập cơ chế kiểm tra, giải trình khi có bất đồng về kết quả phân loại. Cách tiếp cận này sẽ giúp tập trung nguồn lực vào những hệ thống có nguy cơ cao, thay vì phân bổ chi phí đồng đều cho mọi dữ liệu.

Liên quan đến Điều 22 về trách nhiệm báo cáo sự cố, đại biểu đề nghị bổ sung quy định khi dữ liệu cá nhân bị lộ lọt, chủ quản dữ liệu phải thông báo kịp thời cho người bị ảnh hưởng, kèm hướng dẫn phòng tránh lừa đảo, bảo đảm thống nhất với Luật Bảo vệ dữ liệu cá nhân.

Theo đại biểu, người dân cần được biết khi dữ liệu của mình bị lộ để chủ động bảo vệ bản thân. Thực tế, không ít trường hợp nhận được cuộc gọi, tin nhắn lừa đảo sử dụng chính xác thông tin họ tên, số căn cước công dân, thậm chí giọng nói và hình ảnh khuôn mặt của người thân.

Chú trọng yếu tố con người trong bảo vệ an ninh dữ liệu

Đại biểu Đoàn Hùng Vũ (Đoàn đại biểu Quốc hội Đồng Tháp) đồng tình với sự cần thiết ban hành Luật An ninh dữ liệu và cơ bản thống nhất với nội dung dự thảo.

Theo đại biểu, dự thảo Luật đã quy định nhiều biện pháp nhằm bảo đảm ba thuộc tính của dữ liệu, gồm tính nguyên vẹn, tính bảo mật và tính khả dụng. Đại biểu đánh giá cao cách tiếp cận quản lý theo cấp độ rủi ro và các biện pháp phòng ngừa, song cho rằng cần quy định rõ hơn về yếu tố con người trong bảo vệ an ninh dữ liệu.

Thực tiễn cho thấy, nhiều sự cố an ninh thông tin không bắt nguồn từ giải pháp kỹ thuật yếu kém mà có thể xuất phát từ việc tài khoản bị đánh cắp mật khẩu, sử dụng mật khẩu đơn giản dễ bị dò quét, quản trị viên được cấp quyền quá rộng, cán bộ sao chép dữ liệu ra ngoài hoặc nhân viên của bên thứ ba không được giám sát.

Từ đó, đại biểu đề xuất bổ sung một số quy định liên quan đến nhân sự, đào tạo, sát hạch, diễn tập và trách nhiệm của những người trực tiếp tiếp cận dữ liệu.

Về nhân sự phụ trách an ninh dữ liệu, khoản 2 Điều 24 quy định lực lượng bảo vệ an ninh dữ liệu trong cơ quan nhà nước được bố trí theo chế độ kiêm nhiệm hoặc chuyên trách, không làm phát sinh tổ chức, biên chế mới. Đại biểu đánh giá quy định này phù hợp với chủ trương tinh gọn bộ máy, giảm đầu mối, nhưng đề nghị xem xét riêng đối với các hệ thống có rủi ro cấp độ 5.

Theo đại biểu, dữ liệu cấp độ 5 tuy không nhiều nhưng liên quan trực tiếp đến những vấn đề có ý nghĩa sống còn của đất nước nên cần được quan tâm đặc biệt. Vì vậy, đại biểu đề nghị bổ sung vào khoản 2 Điều 24 quy định nhân sự phụ trách an ninh dữ liệu tại hệ thống rủi ro cấp độ 5 phải là nhân sự chuyên trách, có trình độ và chứng chỉ chuyên môn phù hợp về an ninh thông tin.

Về đào tạo, sát hạch và diễn tập an ninh dữ liệu, đại biểu đề nghị bổ sung vào khoản 1 Điều 10 quy định chủ quản dữ liệu cấp độ 5 có trách nhiệm tổ chức đào tạo, sát hạch toàn bộ những người tham gia xử lý, khai thác dữ liệu; chỉ giao quyền truy cập khi đạt yêu cầu sát hạch.

Đồng thời, phải tổ chức diễn tập bảo vệ dữ liệu định kỳ hằng năm, bao gồm ứng phó sự cố do điểm yếu của hệ thống và sự cố do yếu tố con người.

Đại biểu cho rằng, đề xuất này phù hợp với điểm i khoản 2 Điều 39 Luật An ninh mạng năm 2018, trong đó quy định trách nhiệm của Bộ Công an về tổ chức diễn tập phòng, chống tấn công mạng, ứng phó và khắc phục sự cố an ninh mạng đối với hệ thống thông tin quan trọng về an ninh quốc gia. Việc diễn tập có thể được tổ chức riêng về an ninh dữ liệu, an ninh thông tin hoặc kết hợp cả hai nội dung.

Đối với nhân lực của bên thứ ba cung cấp dịch vụ an ninh dữ liệu, đại biểu nhận thấy Điều 18 đã quy định khá chặt chẽ trách nhiệm của bên cung cấp dịch vụ như giám sát truy cập từ xa, thu hồi quyền truy cập ngay khi có sự cố, nhưng chưa đề cập cụ thể đến cá nhân thuộc bên cung cấp trực tiếp tiếp cận dữ liệu.

Vì vậy, đại biểu đề nghị bổ sung vào khoản 7 Điều 18 quy định bên cung cấp dịch vụ phải lập danh sách nhân sự được phép tiếp cận dữ liệu của khách hàng và cung cấp cho chủ quản dữ liệu khi có yêu cầu. Những nhân sự này phải ký cam kết bảo mật cá nhân và chịu trách nhiệm trực tiếp theo quy định của pháp luật.

Về bảo vệ các nhóm yếu thế khi xảy ra sự cố an ninh dữ liệu, đại biểu đề nghị bổ sung tại khoản 7 Điều 22 quy định thông báo sự cố qua nhiều kênh thông tin, có hình thức hỗ trợ người khuyết tật và sử dụng ngôn ngữ dân tộc tại những nơi cần thiết. Quy định này nhằm bảo đảm khả năng tiếp cận thông tin của người cao tuổi, người khuyết tật, đồng bào dân tộc thiểu số, người dân vùng sâu, vùng xa và người có thu nhập thấp.

Đại biểu Đoàn Hùng Vũ nhấn mạnh, công nghệ có thể thay đổi liên tục nhưng con người vẫn là mắt xích đầu tiên và cuối cùng trong bảo vệ an ninh dữ liệu. Việc bổ sung các quy định liên quan đến yếu tố con người sẽ góp phần hoàn thiện hành lang pháp lý cho hệ sinh thái số, bảo đảm an ninh, chủ quyền dữ liệu quốc gia, đồng thời tạo niềm tin để người dân và doanh nghiệp yên tâm ứng dụng công nghệ số, tạo ra giá trị gia tăng từ dữ liệu.

Làm rõ phạm vi chính sách và biện pháp bảo vệ dữ liệu

Đại biểu Tào Đức Thắng (Đoàn đại biểu Quốc hội TPHCM) đánh giá cao cơ quan chủ trì soạn thảo đã tiếp thu nhiều ý kiến của đại biểu Quốc hội tại tổ; đồng thời đề xuất một số nội dung nhằm bảo đảm tính thống nhất, phù hợp và khả thi của dự thảo Luật.

Về chính sách của Nhà nước đối với an ninh dữ liệu tại khoản 3 Điều 5, dự thảo quy định áp dụng chính sách ưu đãi, hỗ trợ đặc thù để phát triển thị trường công nghiệp an ninh dữ liệu và kinh tế số.

Đại biểu đề xuất bỏ cụm từ "kinh tế số" tại khoản này, bởi dự thảo Luật tập trung điều chỉnh lĩnh vực an ninh dữ liệu, trong khi các chính sách ưu đãi, hỗ trợ phát triển kinh tế số đã được quy định tại khoản 12 Điều 3 Luật Chuyển đổi số năm 2025.

Theo đại biểu, kinh tế số là hoạt động kinh tế dựa trên dữ liệu số, hạ tầng số, hạ tầng số công cộng, hệ thống số, nền tảng số và mô hình vận hành số. Điều 37 của dự thảo Luật An ninh dữ liệu cũng đã quy định chính sách hỗ trợ phát triển kinh tế số đối với doanh nghiệp nhỏ và vừa, hợp tác xã và hộ kinh doanh.

Do đó, việc bỏ cụm từ "kinh tế số" tại khoản 3 Điều 5 sẽ giúp chính sách ưu đãi, hỗ trợ tập trung vào lĩnh vực công nghiệp an ninh dữ liệu, phù hợp với phạm vi điều chỉnh của Luật và tránh chồng chéo với các chính sách phát triển kinh tế số trong pháp luật có liên quan.

Đối với quy định bảo vệ an ninh dữ liệu trong khai thác, sử dụng hạ tầng số, hạ tầng vật lý số tại điểm c khoản 3 Điều 14, đại biểu Tào Đức Thắng nhấn mạnh yêu cầu bảo mật dữ liệu khách hàng trong bối cảnh chuyển đổi số ngày càng sâu rộng.

Theo đại biểu, người dân có nhiều điểm tiếp xúc trên môi trường số; càng nhiều điểm tiếp xúc thì nguy cơ lộ lọt thông tin, dữ liệu càng lớn. Vì vậy, để bảo đảm tính bao quát và thống nhất với các luật có liên quan, đại biểu đề nghị điều chỉnh quy định theo hướng bảo mật dữ liệu khách hàng theo Luật Bảo vệ dữ liệu cá nhân.

Đại biểu cho rằng, đề xuất này phù hợp với khoản 4 Điều 3 Luật Bảo vệ dữ liệu cá nhân năm 2025 về thực hiện đồng bộ, hiệu quả các biện pháp bảo vệ dữ liệu cá nhân trên phương diện thể chế, kỹ thuật và con người.

Về các biện pháp bảo vệ an ninh dữ liệu tại điểm b khoản 1 Điều 17, dự thảo Luật liệt kê các biện pháp kỹ thuật như mã hóa dữ liệu, quản lý khóa mật mã, quản lý truy cập, định danh, sao lưu, phục hồi dữ liệu, tiêu hủy dữ liệu an toàn, kiểm thử an ninh dữ liệu...

Đại biểu nhận định, các biện pháp kỹ thuật luôn thay đổi theo sự phát triển của công nghệ. Việc liệt kê cụ thể trong Luật có thể dẫn đến thiếu hoặc không theo kịp những giải pháp kỹ thuật mới.

Do đó, đại biểu đề xuất sửa quy định theo hướng việc lựa chọn, áp dụng biện pháp kỹ thuật bảo vệ an ninh dữ liệu được thực hiện trên cơ sở cấp độ rủi ro an ninh dữ liệu quy định tại Điều 9 của Luật.

Liên quan đến điểm c khoản 2 Điều 11, đại biểu đề nghị cơ quan soạn thảo xem xét quy định rõ hơn thẩm quyền của Bộ Quốc phòng theo hướng Bộ Quốc phòng chủ trì thẩm định an ninh dữ liệu đối với dữ liệu quân sự, quốc phòng thuộc phạm vi quản lý; phạm vi quản lý do Luật hoặc Chính phủ giao.

Theo đại biểu, đề xuất này nhằm bảo đảm tính thống nhất với Điều 24 Luật Bảo vệ bí mật nhà nước và các luật có liên quan mới được Quốc hội thông qua.

Phân cấp rủi ro, xác định trách nhiệm bảo vệ dữ liệu

Báo cáo giải trình trước Quốc hội về những vấn đề đại biểu quan tâm đối với dự án Luật An ninh dữ liệu, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an nhấn mạnh, cơ chế phân cấp độ rủi ro an ninh dữ liệu là một trong những trụ cột của dự thảo Luật.

Theo Bộ trưởng, chỉ khi xác định đúng mức độ nguy hại có thể xảy ra khi dữ liệu bị xâm phạm mới có thể đặt ra nghĩa vụ bảo vệ tương xứng, tránh tình trạng bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ những nơi có rủi ro cao.

Bộ trưởng cho biết, tiếp thu kết luận của Ủy ban Thường vụ Quốc hội, dự thảo thiết kế 5 cấp độ rủi ro an ninh dữ liệu, tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng.

Khoản 4 Điều 8 dự thảo Luật cho phép sử dụng kết quả xác định cấp độ theo pháp luật về an ninh mạng để cùng một hệ thống không phải đánh giá hai lần. Việc xác định cấp độ rủi ro không thay thế phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới, mà là căn cứ để lựa chọn biện pháp bảo vệ phù hợp.

Theo đó, nghĩa vụ bảo vệ được xác định theo nguyên tắc rủi ro càng thấp thì thủ tục càng đơn giản. Cấp độ 1 không phát sinh thủ tục; cấp độ 2 chỉ cần phương án bảo vệ rút gọn và có cơ chế miễn đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, doanh nghiệp nhỏ và doanh nghiệp khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải thực hiện đánh giá tác động và kiểm toán. Việc thẩm định chỉ áp dụng đối với cấp độ 4 và cấp độ 5, được thực hiện chung một hồ sơ với thẩm định an ninh mạng.

Đối với đề nghị quy định ngay trong Luật bảng tương ứng giữa hai hệ thống cấp độ, Bộ trưởng đề nghị Quốc hội giữ phương án giao Chính phủ quy định tại khoản 12 Điều 8. Lý do là các tiêu chuẩn kỹ thuật thay đổi nhanh, nếu quy định cứng trong Luật thì mỗi lần điều chỉnh sẽ phải sửa Luật.

Khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng để doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa, tự xác định đúng cấp độ rủi ro, không phải thực hiện nghĩa vụ vượt mức cần thiết.

Về phân định trách nhiệm giữa Bộ Công an và Bộ Quốc phòng, Bộ trưởng cho biết, việc quy định thẩm quyền quản lý nhà nước về an ninh dữ liệu trong hoạt động dân sự, kinh tế của doanh nghiệp không phải nội dung mới, mà nhằm thể chế hóa Chỉ thị số 57-CT/TW ngày 31/12/2025 của Ban Bí thư về tăng cường bảo đảm an ninh mạng, bảo mật thông tin, an ninh dữ liệu trong hệ thống chính trị.

Theo đó, Bộ Công an chịu trách nhiệm trước Chính phủ, chủ trì quản lý nhà nước về an ninh mạng, bảo mật thông tin và an ninh dữ liệu. Bộ Quốc phòng chủ trì quản lý hệ thống thông tin, cơ sở dữ liệu quân sự và cơ yếu thuộc phạm vi quản lý của Bộ Quốc phòng.

Việc phân định này bảo đảm nguyên tắc một việc chỉ giao một cơ quan chủ trì, chịu trách nhiệm chính theo Nghị quyết 18, thống nhất với mô hình đã được Quốc hội thông qua trong Luật An ninh mạng năm 2025.

Bộ trưởng nhấn mạnh, tiêu chí phân định là tính chất của dữ liệu, không phải tính chất của doanh nghiệp. Vì vậy, quy định trong dự thảo Luật không làm thay đổi quyền và trách nhiệm của Bộ Quốc phòng, Bộ Công an trong bảo đảm an ninh dữ liệu.

Về mật mã an ninh và mật mã kháng lượng tử, Bộ trưởng Lương Tam Quang cho biết, dự thảo Luật xác định rõ mật mã an ninh không thay thế mật mã cơ yếu, không làm thay đổi vai trò của cơ quan mật mã quốc gia và Ban Cơ yếu Chính phủ, mà là lớp bảo vệ bổ sung, độc lập về kỹ thuật.

Việc quy định về xây dựng mật mã an ninh, mật mã kháng lượng tử nhằm thể chế hóa Chỉ thị 57 của Trung ương, gắn với Đề án chiến lược bảo vệ an ninh mạng, an ninh dữ liệu được Bộ Chính trị thông qua ngày 2/10/2026 và yêu cầu bảo vệ Tổ quốc từ sớm, từ xa.

Dự thảo cũng bám sát Kết luận 274 của Ủy ban Thường vụ Quốc hội khóa XVI, theo đó mật mã an ninh trước mắt chỉ sử dụng trong ngành công an và làm các kênh liên lạc giữa cơ quan an ninh, tình báo, thực thi pháp luật của Bộ Công an với các đối tác đã có quan hệ hợp tác.

"Việc mở rộng chỉ được xem xét đánh giá hiệu quả, tính an toàn, sự phối hợp của Ban Cơ yếu Chính phủ và do Thủ tướng Chính phủ quyết định. Còn đối với dữ liệu không thuộc bí mật nhà nước thì việc sử dụng hoàn toàn tự nguyện", Bộ trưởng nói.

Thay mặt cơ quan chủ trì soạn thảo, Bộ trưởng Lương Tam Quang cảm ơn các đại biểu Quốc hội đã dành thời gian nghiên cứu, đóng góp những ý kiến tâm huyết, trách nhiệm đối với dự án Luật An ninh dữ liệu.

"Với tinh thần cầu thị, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Ủy ban Thường vụ Quốc hội, Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội tiếp thu đầy đủ các ý kiến của các vị đại biểu, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo Luật, bảo đảm Luật vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số", Bộ trưởng Lương Tam Quang nhấn mạnh.

Diệp Anh