Cuộc Cách mạng công nghiệp lần thứ tư cùng sự phát triển mạnh mẽ của trí tuệ nhân tạo (AI), điện toán đám mây, Internet vạn vật và các nền tảng số đã làm thay đổi căn bản phương thức vận hành của nền kinh tế và xã hội. Dữ liệu không còn đơn thuần là thông tin phục vụ hoạt động quản lý, mà đã trở thành nguồn lực quan trọng trong hoạch định chính sách, tổ chức sản xuất, cung cấp dịch vụ và phát triển các mô hình kinh doanh mới.

Trong môi trường số, dữ liệu được tạo lập và luân chuyển liên tục giữa các cơ quan nhà nước, doanh nghiệp, tổ chức và cá nhân. Việc khai thác dữ liệu đúng mục đích, an toàn và hiệu quả có thể tạo ra giá trị kinh tế lớn, nâng cao chất lượng dịch vụ công và thúc đẩy đổi mới sáng tạo. Ngược lại, khi dữ liệu bị chiếm đoạt, rò rỉ, sửa đổi hoặc sử dụng trái phép, hậu quả không chỉ dừng lại ở thiệt hại về tài sản hay xâm phạm quyền riêng tư, mà còn có thể ảnh hưởng đến hoạt động của các ngành, lĩnh vực thiết yếu và an ninh quốc gia.

Đáng chú ý, các hành vi vi phạm liên quan đến dữ liệu ngày càng đa dạng, từ thu thập, khai thác thông tin trái phép, mua bán dữ liệu cá nhân đến tấn công hệ thống, mã hóa dữ liệu để tống tiền, thao túng dữ liệu và lợi dụng dữ liệu phục vụ các hoạt động phạm pháp. Đối tượng vi phạm có thể khai thác những lỗ hổng trong quy trình quản trị, bảo vệ dữ liệu của tổ chức, doanh nghiệp hoặc lợi dụng việc chia sẻ dữ liệu thiếu kiểm soát để thực hiện hành vi trái pháp luật.

Theo thông tin được cung cấp trong các nội dung tuyên truyền, từ đầu năm 2026, lực lượng chức năng đã phát hiện, triệt phá nhiều vụ việc liên quan đến chiếm đoạt, mua bán trái phép dữ liệu cá nhân với số lượng lớn. Trong đó, có thông tin về vụ việc liên quan đến đường dây mua bán trái phép 8,4 tỷ tài khoản email tại Tuyên Quang. Những vụ việc này cho thấy quy mô và mức độ phức tạp của thị trường dữ liệu bất hợp pháp, đồng thời phản ánh yêu cầu phải nâng cao năng lực phát hiện, phòng ngừa và xử lý các hành vi xâm phạm an ninh dữ liệu.

Bên cạnh dữ liệu cá nhân, dữ liệu phi cá nhân, dữ liệu công nghiệp, dữ liệu chuỗi cung ứng, dữ liệu vận hành hệ thống năng lượng, giao thông và các hạ tầng trọng yếu cũng cần được bảo vệ tương xứng với mức độ ảnh hưởng nếu xảy ra sự cố. Việc dữ liệu bị thao túng hoặc gián đoạn có thể làm sai lệch quá trình ra quyết định, ảnh hưởng đến hoạt động sản xuất, kinh doanh và gây ra những hệ lụy vượt ra ngoài phạm vi của một hệ thống thông tin đơn lẻ.

Thực tiễn đó cho thấy an ninh dữ liệu đã trở thành một vấn đề có tính chiến lược. Bảo vệ dữ liệu không chỉ là nhiệm vụ kỹ thuật của bộ phận công nghệ thông tin, mà còn là yêu cầu trong quản trị quốc gia, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân, bảo đảm an ninh quốc gia và duy trì môi trường phát triển ổn định.

Hoàn thiện khuôn khổ pháp lý, khắc phục khoảng trống trong bảo vệ dữ liệu

Việt Nam đã từng bước xây dựng và hoàn thiện hệ thống pháp luật liên quan đến dữ liệu, an ninh mạng và bảo vệ quyền riêng tư. Luật An ninh mạng, Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân có phạm vi điều chỉnh và mục tiêu riêng, tạo cơ sở pháp lý cho việc bảo vệ hệ thống thông tin, quản trị và phát triển dữ liệu, cũng như bảo vệ quyền của chủ thể dữ liệu.

Tuy nhiên, sự phát triển nhanh chóng của công nghệ và các phương thức khai thác dữ liệu mới đặt ra yêu cầu tiếp tục rà soát, hoàn thiện mối liên hệ giữa các quy định pháp luật. Vấn đề không chỉ nằm ở việc xác định dữ liệu thuộc phạm vi quản lý của văn bản nào, mà còn ở việc thiết lập cơ chế bảo vệ phù hợp trong toàn bộ vòng đời dữ liệu, từ khi được tạo lập, thu thập, xử lý, lưu trữ đến chia sẻ, chuyển giao và tiêu hủy.

Nếu thiếu cơ chế phối hợp đồng bộ, việc xác định trách nhiệm của các chủ thể trong từng công đoạn có thể gặp khó khăn; hoạt động giám sát, đánh giá rủi ro và xử lý sự cố có thể chưa đáp ứng đầy đủ yêu cầu thực tiễn. Đặc biệt, dữ liệu phi cá nhân và dữ liệu có ý nghĩa chiến lược đối với quốc gia đòi hỏi cách tiếp cận bảo vệ phù hợp, không thể chỉ dựa vào các cơ chế vốn tập trung vào quyền riêng tư của cá nhân hoặc an toàn của hệ thống thông tin.

Trong bối cảnh đó, việc nghiên cứu, xây dựng Luật An ninh dữ liệu hướng tới hình thành khuôn khổ pháp lý chuyên biệt, bổ sung các cơ chế bảo đảm an ninh dữ liệu và tăng cường sự thống nhất của hệ thống pháp luật. Đây cũng là hướng tiếp cận gắn với yêu cầu cụ thể hóa các chủ trương về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia theo Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị.

Có thể hình dung mối quan hệ giữa các lĩnh vực pháp luật này thông qua mô hình “kiềng ba chân”: Luật Dữ liệu tạo cơ sở cho quản trị, khai thác và phát triển dữ liệu; Luật Bảo vệ dữ liệu cá nhân hướng đến bảo vệ quyền và lợi ích hợp pháp của cá nhân đối với dữ liệu của mình; còn Luật An ninh dữ liệu được định hướng bổ sung các cơ chế bảo vệ an ninh đối với dữ liệu trong mối quan hệ với an ninh quốc gia, trật tự, an toàn xã hội và các lợi ích thiết yếu khác.

Mô hình này chỉ phát huy hiệu quả khi ranh giới điều chỉnh, thẩm quyền quản lý và trách nhiệm thực thi được xác định rõ ràng. Luật mới cần bổ trợ, kết nối với các quy định hiện hành, tránh trùng lặp về nghĩa vụ tuân thủ, phát sinh thủ tục hành chính không cần thiết hoặc tạo ra những cách hiểu khác nhau trong quá trình áp dụng. Mục tiêu cuối cùng là hình thành một hệ thống pháp luật thống nhất, vừa bảo vệ dữ liệu hiệu quả, vừa tạo điều kiện cho dữ liệu được khai thác hợp pháp để phục vụ phát triển.

06 nhóm chính sách trọng tâm và yêu cầu triển khai đồng bộ

Việc xây dựng Luật An ninh dữ liệu cần được tiếp cận trên cơ sở đánh giá đầy đủ yêu cầu bảo vệ an ninh quốc gia, thực tiễn phát triển công nghệ và nhu cầu khai thác dữ liệu hợp pháp. Sáu nhóm chính sách được đề cập trong nội dung nghiên cứu về dự thảo luật phản ánh các phương diện quan trọng của vấn đề này.

Thứ nhất, hoàn thiện thể chế, xác lập chủ quyền dữ liệu quốc gia. Đây là cơ sở để xác định nguyên tắc quản lý, bảo vệ dữ liệu và trách nhiệm của các chủ thể có liên quan; đồng thời tạo nền tảng pháp lý cho việc bảo vệ những loại dữ liệu có ý nghĩa quan trọng đối với quốc gia. Các quy định cần làm rõ phạm vi điều chỉnh, nguyên tắc phối hợp và mối quan hệ với những văn bản pháp luật hiện hành.

Thứ hai, bảo đảm an ninh dữ liệu theo cấp độ rủi ro trong toàn bộ vòng đời dữ liệu. Đây là nội dung có ý nghĩa quyết định đối với hiệu quả thực thi. Thay vì áp dụng cùng một mức độ bảo vệ cho mọi loại dữ liệu, cần xem xét tính chất, mức độ quan trọng, khả năng bị xâm phạm và hậu quả có thể phát sinh khi dữ liệu bị mất an toàn. Cách tiếp cận dựa trên rủi ro cho phép tập trung nguồn lực vào những khu vực trọng yếu, đồng thời hạn chế gánh nặng tuân thủ không cần thiết đối với dữ liệu có mức độ rủi ro thấp.

Thứ ba, quản lý hoạt động lưu trữ và chuyển giao dữ liệu xuyên biên giới. Trong nền kinh tế số, việc trao đổi dữ liệu giữa các quốc gia là nhu cầu tất yếu của thương mại, nghiên cứu khoa học và cung cấp dịch vụ. Tuy nhiên, dòng dữ liệu xuyên biên giới cũng đặt ra yêu cầu về kiểm soát rủi ro, bảo vệ dữ liệu quan trọng và xác định trách nhiệm của các chủ thể tham gia. Các quy định cần bảo đảm cân bằng giữa yêu cầu an ninh, tuân thủ pháp luật và nhu cầu hợp tác, phát triển kinh tế.

Thứ tư, bảo đảm an ninh dữ liệu trong nghiên cứu, ứng dụng trí tuệ nhân tạo và các công nghệ mới. AI có khả năng xử lý khối lượng dữ liệu lớn, hỗ trợ tự động hóa và tạo ra giá trị mới, nhưng cũng làm gia tăng nguy cơ rò rỉ thông tin, sử dụng dữ liệu sai mục đích và phát sinh những hình thức tấn công tinh vi. Vì vậy, yêu cầu an ninh dữ liệu cần được tích hợp ngay từ khâu thiết kế, phát triển và vận hành hệ thống, đi kèm cơ chế đánh giá rủi ro và kiểm soát việc sử dụng dữ liệu.

Thứ năm, phát triển kinh tế dữ liệu. Bảo vệ an ninh dữ liệu không đồng nghĩa với hạn chế khai thác dữ liệu, mà cần tạo lập môi trường để dữ liệu được sử dụng đúng pháp luật, an toàn và hiệu quả. Chính sách phát triển kinh tế dữ liệu cần gắn với cơ chế khuyến khích đổi mới sáng tạo, thúc đẩy chia sẻ dữ liệu có kiểm soát và đánh giá định kỳ hiệu quả của các biện pháp hỗ trợ. Qua đó, bảo đảm yêu cầu an ninh không trở thành rào cản không cần thiết đối với doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa, doanh nghiệp khởi nghiệp công nghệ.

Thứ sáu, bảo đảm nguồn lực tài chính, nhân lực và tăng cường hợp tác quốc tế. Một khuôn khổ pháp lý dù đầy đủ cũng khó phát huy hiệu quả nếu thiếu nguồn lực tổ chức thực hiện. Do đó, cần quan tâm đầu tư hạ tầng kỹ thuật, công cụ giám sát, năng lực phân tích và ứng phó sự cố; đào tạo đội ngũ chuyên gia có kiến thức về pháp luật, công nghệ và quản trị rủi ro; đồng thời mở rộng hợp tác quốc tế trong chia sẻ thông tin, điều tra và xử lý các hành vi vi phạm có yếu tố xuyên biên giới.

Sáu nhóm chính sách có mối quan hệ chặt chẽ với nhau. Hiệu quả của luật không chỉ phụ thuộc vào chất lượng quy định trong văn bản, mà còn ở tính đồng bộ của các văn bản hướng dẫn, khả năng phối hợp giữa các cơ quan và mức độ đáp ứng của nguồn lực thực thi. Vì vậy, cần chuẩn bị đầy đủ điều kiện triển khai, hạn chế khoảng trống trong hướng dẫn và tổ chức thực hiện.

Quản lý theo cấp độ rủi ro – hài hòa giữa yêu cầu an ninh và phát triển

Một trong những vấn đề cần được quan tâm trong quá trình xây dựng chính sách an ninh dữ liệu là thiết kế cơ chế quản lý phù hợp với từng mức độ rủi ro. Trong thực tế, dữ liệu phục vụ hoạt động thông thường của doanh nghiệp có đặc điểm và mức độ ảnh hưởng khác với dữ liệu vận hành hạ tầng trọng yếu hoặc dữ liệu có ý nghĩa chiến lược đối với quốc gia. Việc áp dụng một cơ chế quản lý đồng nhất có thể làm tăng chi phí tuân thủ, trong khi chưa chắc tạo ra hiệu quả bảo vệ tương xứng.

Phân tầng quản lý theo rủi ro cho phép xác định các yêu cầu bảo vệ dựa trên tính chất của dữ liệu, mức độ nhạy cảm, nguy cơ bị xâm phạm và hậu quả nếu xảy ra sự cố. Theo cách tiếp cận được đề xuất trong các nội dung nghiên cứu về dự thảo luật, việc phân chia thành năm cấp độ rủi ro có thể hỗ trợ phân bổ nguồn lực, xác định nghĩa vụ của các chủ thể và lựa chọn biện pháp giám sát phù hợp. Tuy nhiên, tiêu chí phân loại, trình tự xác định cấp độ và trách nhiệm của từng bên cần được quy định rõ, bảo đảm tính minh bạch, khả thi và thống nhất trong thực tiễn.

Cơ chế này có thể mang lại ba lợi ích đáng chú ý. Một là, giảm bớt các thủ tục không cần thiết đối với dữ liệu có mức độ rủi ro thấp, tạo điều kiện cho tổ chức, doanh nghiệp chủ động quản trị dữ liệu trong khuôn khổ pháp luật. Hai là, tập trung nguồn lực giám sát và bảo vệ vào dữ liệu quan trọng, dữ liệu cốt lõi và các hệ thống có khả năng gây ra tác động lớn nếu bị xâm phạm. Ba là, giúp các chủ thể nhận diện rõ trách nhiệm, lựa chọn biện pháp bảo vệ và dự trù chi phí tuân thủ phù hợp.

Dù vậy, quản lý theo rủi ro chỉ thực sự hiệu quả khi đi kèm tiêu chí đánh giá cụ thể, cơ chế kiểm tra và khả năng điều chỉnh khi mức độ rủi ro thay đổi. Việc trao quyền chủ động cho tổ chức, doanh nghiệp cần gắn với trách nhiệm giải trình, yêu cầu lưu giữ hồ sơ và nghĩa vụ khắc phục khi xảy ra vi phạm. Đối với các trường hợp có nguy cơ ảnh hưởng nghiêm trọng đến an ninh quốc gia hoặc trật tự, an toàn xã hội, cần có cơ chế can thiệp phù hợp, được xác định rõ về căn cứ, thẩm quyền, phạm vi và trình tự thực hiện.

Đồng thời, cần phân định minh bạch giữa yêu cầu bảo đảm an ninh dữ liệu với quyền sở hữu, quyền khai thác hợp pháp và quyền tự do kinh doanh. Các biện pháp quản lý phải có căn cứ pháp luật, tương xứng với mức độ rủi ro và bảo đảm quyền, lợi ích hợp pháp của các chủ thể. Đây là điều kiện quan trọng để vừa duy trì kỷ cương trong quản lý dữ liệu, vừa tạo dựng niềm tin cho hoạt động đầu tư và đổi mới sáng tạo.

Ứng dụng công nghệ, tăng cường năng lực bảo vệ dữ liệu

Cùng với hoàn thiện thể chế, cần đẩy mạnh ứng dụng các giải pháp kỹ thuật hiện đại để nâng cao khả năng phòng ngừa và ứng phó với nguy cơ mất an ninh dữ liệu. Trong môi trường số, chỉ dựa vào các quy định hành chính hoặc biện pháp xử lý sau vi phạm sẽ không đủ để bảo vệ dữ liệu trước những hình thức tấn công ngày càng tinh vi.

Các tổ chức, doanh nghiệp cần chú trọng mã hóa dữ liệu, xác thực đa yếu tố, phân quyền truy cập theo nguyên tắc cần thiết, giám sát hoạt động truy cập và xây dựng phương án sao lưu, phục hồi dữ liệu. Việc đánh giá lỗ hổng, kiểm tra khả năng ứng phó sự cố và quản lý rủi ro từ các bên cung cấp dịch vụ cũng cần được thực hiện thường xuyên. Đặc biệt, dữ liệu cần được bảo vệ xuyên suốt vòng đời, tránh tình trạng tập trung kiểm soát ở khâu lưu trữ nhưng xem nhẹ các khâu thu thập, chia sẻ hoặc tiêu hủy.

Đối với hoạt động nghiên cứu và ứng dụng AI, có thể xem xét khuyến khích các công nghệ tăng cường quyền riêng tư như ẩn danh hóa dữ liệu, mã hóa nâng cao, tính toán an toàn nhiều bên và học liên kết. Những công nghệ này có khả năng hỗ trợ phân tích, huấn luyện mô hình hoặc khai thác giá trị dữ liệu trong một số trường hợp mà không cần tập trung toàn bộ dữ liệu gốc tại một địa điểm. Việc lựa chọn giải pháp cụ thể cần dựa trên yêu cầu nghiệp vụ, mức độ rủi ro và đánh giá hiệu quả thực tế.

Bên cạnh đó, cơ chế thử nghiệm có kiểm soát đối với các mô hình kinh doanh và công nghệ dữ liệu mới cũng là một hướng nghiên cứu đáng quan tâm. Nếu được thiết kế với phạm vi, thời hạn, điều kiện tham gia, cơ chế giám sát và trách nhiệm rõ ràng, mô hình này có thể tạo không gian cho đổi mới sáng tạo, đồng thời giúp cơ quan quản lý đánh giá rủi ro trước khi xem xét triển khai trên diện rộng.

Tăng cường phối hợp, bảo đảm hiệu quả thực thi

An ninh dữ liệu là lĩnh vực có phạm vi rộng, liên quan đến nhiều ngành, lĩnh vực và chủ thể. Vì vậy, hiệu quả thực thi pháp luật không thể chỉ dựa vào một cơ quan hay một nhóm giải pháp riêng lẻ, mà đòi hỏi cơ chế phối hợp đồng bộ giữa các cơ quan quản lý nhà nước, lực lượng chuyên trách, tổ chức, doanh nghiệp và người sử dụng dữ liệu.

Trước hết, cần bảo đảm sự thống nhất giữa luật và các văn bản hướng dẫn thi hành; xác định rõ thẩm quyền, trách nhiệm phối hợp, cơ chế trao đổi thông tin và quy trình xử lý sự cố. Các quy định về kiểm tra, giám sát và xử lý vi phạm cần đủ rõ để có thể áp dụng thống nhất, đồng thời tránh phát sinh thủ tục trùng lặp hoặc yêu cầu không cần thiết đối với doanh nghiệp.

Cùng với đó, cần xây dựng cơ chế đánh giá định kỳ hiệu quả thực hiện chính sách trên cơ sở các tiêu chí có thể đo lường, như khả năng phát hiện và xử lý sự cố, mức độ tuân thủ, hiệu quả phối hợp, chi phí thực hiện và mức độ đáp ứng của nguồn lực. Kết quả đánh giá sẽ là cơ sở để điều chỉnh quy định, khắc phục những bất cập phát sinh và bảo đảm chính sách phù hợp với sự thay đổi nhanh chóng của công nghệ.

Đối với lực lượng chuyên trách bảo vệ an ninh dữ liệu, việc đầu tư nguồn lực cần gắn với yêu cầu thực tế về nhân lực chất lượng cao, hạ tầng kỹ thuật, công cụ phân tích và năng lực điều tra các hành vi vi phạm có tính chất phức tạp, xuyên biên giới. Đồng thời, tăng cường hợp tác quốc tế sẽ góp phần nâng cao khả năng chia sẻ cảnh báo, phối hợp xử lý sự cố và đấu tranh với các hoạt động mua bán, chiếm đoạt dữ liệu trái phép.

Về phía doanh nghiệp và người dân, nâng cao nhận thức và hình thành thói quen sử dụng dữ liệu an toàn là yếu tố không thể thiếu. Mỗi tổ chức cần xây dựng quy trình quản trị dữ liệu, xác định rõ trách nhiệm của người được giao quyền truy cập và chủ động rà soát nguy cơ. Mỗi cá nhân cần thận trọng khi cung cấp thông tin, bảo vệ tài khoản, sử dụng mật khẩu an toàn và kịp thời phản ánh dấu hiệu vi phạm đến cơ quan có thẩm quyền.

Trong kỷ nguyên số, dữ liệu vừa là nguồn lực phát triển, vừa là đối tượng cần được bảo vệ trước những nguy cơ ngày càng đa dạng và phức tạp. Việc nghiên cứu, xây dựng Luật An ninh dữ liệu vì vậy cần được đặt trong tổng thể quá trình hoàn thiện hệ thống pháp luật về dữ liệu, bảo vệ dữ liệu cá nhân và an ninh mạng, bảo đảm tính thống nhất, đồng bộ và khả thi.

Một khuôn khổ pháp lý hiệu quả cần kết hợp hài hòa giữa yêu cầu bảo vệ an ninh quốc gia, quyền và lợi ích hợp pháp của tổ chức, cá nhân với nhu cầu khai thác dữ liệu phục vụ phát triển kinh tế – xã hội. Trong đó, quản lý theo cấp độ rủi ro, ứng dụng công nghệ bảo vệ dữ liệu, phân định rõ trách nhiệm, bảo đảm nguồn lực và đánh giá chính sách thường xuyên là những yếu tố có ý nghĩa quan trọng.

Khi thể chế được hoàn thiện, các cơ chế thực thi được tổ chức đồng bộ và nhận thức xã hội về an ninh dữ liệu được nâng cao, dữ liệu sẽ có điều kiện được khai thác an toàn, hiệu quả và bền vững hơn. Đây không chỉ là yêu cầu nhằm khắc phục những khoảng trống pháp lý trong thực tiễn, mà còn là nền tảng để củng cố niềm tin số, thúc đẩy đổi mới sáng tạo và bảo đảm an ninh quốc gia trong tiến trình chuyển đổi số của đất nước.