Một khung luật cho dữ liệu suốt vòng đời
Luật An ninh dữ liệu là khuôn khổ pháp lý chuyên ngành nhằm bảo vệ an ninh của dữ liệu xuyên suốt các khâu thu thập, tạo lập, lưu trữ, xử lý, truyền đưa, chia sẻ và tiêu hủy, thay vì chỉ bảo vệ hệ thống đang chứa dữ liệu. Dự thảo do Bộ Công an xây dựng hướng tới lấp khoảng trống giữa những quy định hiện có, vốn phân tán ở các luật về an ninh mạng, dữ liệu và bảo vệ dữ liệu cá nhân. Đây là hướng đi cần thiết: dữ liệu có thể bị tổn hại ở nhiều mắt xích, không chỉ trong một cuộc tấn công vào hạ tầng. Dự thảo gồm 6 chương, 29 điều và nhằm thể chế hóa Nghị quyết 57-NQ/TW ngày 22/12/2024, trong đó xác định chủ quyền trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết của chuyển đổi số.
Cách tiếp cận theo vòng đời cũng giúp nhìn nhận bảo vệ dữ liệu như trách nhiệm liên tục: dữ liệu cần được quản lý an toàn từ lúc hình thành, trong quá trình khai thác, cho đến khi không còn cần thiết và được hủy bỏ đúng cách. Nếu luật chỉ tập trung vào sự cố sau khi xảy ra, cơ quan và doanh nghiệp sẽ thiếu chuẩn mực chung để nhận diện nguy cơ từ sớm.
Rủi ro tăng nhanh, luật cần đi trước sự cố
Sự cấp thiết của hành lang pháp lý thể hiện rõ qua quy mô các vụ việc. Bộ Công an cho biết năm 2025, hệ thống thông tin dữ liệu trong nước đối mặt hơn 552.000 cuộc tấn công mạng, hơn 5.230 cơ quan và doanh nghiệp bị ảnh hưởng; lực lượng chức năng phát hiện 300 vụ rao bán thông tin với hơn 1,7 triệu bản ghi thuộc các lĩnh vực nhạy cảm như y tế, giáo dục, ngân hàng và viễn thông. Những con số này cho thấy dữ liệu vừa là tài sản kinh tế vừa là mục tiêu trực tiếp, trong khi tổn thất có thể lan từ cá nhân đến tổ chức và an ninh quốc gia.
Tấn công có chủ đích ngày càng âm thầm, kéo dài và nhắm vào việc thu thập dữ liệu trước khi bị phát hiện. Cùng lúc, xử lý dữ liệu quy mô lớn, dùng dữ liệu nhạy cảm để huấn luyện trí tuệ nhân tạo và chuyển dữ liệu xuyên biên giới đều có thể tạo ra rủi ro cao nhưng chưa có cơ chế quản lý tương xứng. Vì vậy, hoàn thiện luật không phải phản ứng hình thức trước một vài vụ lộ lọt; đó là yêu cầu để chuyển từ ứng phó muộn sang phòng ngừa có nguyên tắc.
Quản lý theo cấp độ thay vì áp một chuẩn cho mọi dữ liệu
Điểm hợp lý trong dự thảo là phân tầng rủi ro dữ liệu thay vì buộc mọi hoạt động xử lý tuân thủ cùng một mức yêu cầu. Dự thảo xác định 5 cấp độ an ninh dữ liệu, từ thấp nhất đến cao nhất, dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra; trách nhiệm bảo vệ được thiết kế tương ứng với từng cấp. Cách làm này có thể giúp tập trung nguồn lực vào dữ liệu nhạy cảm và hoạt động có hậu quả lớn, đồng thời tránh tạo thêm gánh nặng không cần thiết cho những hoạt động rủi ro thấp.
Tuy nhiên, phân loại chỉ có ích nếu tiêu chí rõ ràng và việc áp dụng nhất quán. Doanh nghiệp cần biết dữ liệu nào thuộc cấp độ nào, phải thực hiện biện pháp gì và khi nào được phép chia sẻ hoặc chuyển dữ liệu. Nếu ranh giới mơ hồ, cơ chế dựa trên rủi ro có thể biến thành chi phí tuân thủ khó dự đoán. Bởi vậy, hướng dẫn thực thi và trách nhiệm giải trình sẽ quan trọng không kém các nguyên tắc ghi trong luật.
Chủ quyền dữ liệu không đồng nghĩa với quyền sở hữu của Nhà nước
Dự thảo đặt mục tiêu bảo đảm chủ quyền dữ liệu quốc gia nhưng đồng thời hạn chế tối đa tác động đến sản xuất, kinh doanh hợp pháp. Một ranh giới đáng chú ý là bảo đảm chủ quyền dữ liệu không làm phát sinh quyền sở hữu của Nhà nước đối với dữ liệu không thuộc sở hữu nhà nước, cũng không làm thay đổi quyền của chủ thể dữ liệu. Phân định như vậy là điều kiện cần để quyền quản lý an ninh không bị hiểu thành quyền chiếm hữu hay hạn chế tùy tiện việc khai thác hợp pháp.
Dự thảo cũng định hướng trao cho Nhà nước công cụ phản ứng kịp thời trước sự cố nghiêm trọng, nhưng phạm vi và điều kiện áp dụng phải được giới hạn chặt chẽ để không xâm phạm quyền, lợi ích hợp pháp của tổ chức và cá nhân. Đây là phép thử quan trọng: luật chỉ củng cố niềm tin số nếu vừa bảo vệ dữ liệu trước nguy cơ bị đánh cắp, rao bán, vừa giúp các chủ thể hiểu rõ nghĩa vụ và tiếp tục hoạt động hợp pháp. Kết luận, Luật An ninh dữ liệu cần đi xa hơn việc siết kiểm soát: phải đặt ra chuẩn mực rủi ro minh bạch, bảo vệ quyền hợp pháp và tạo điều kiện cho kinh tế số phát triển an toàn.
