Luật An ninh dữ liệu muốn lấp khoảng trống nào?
Luật An ninh dữ liệu là khuôn khổ pháp lý dự kiến quy định cách quản lý, kiểm soát và bảo vệ dữ liệu cùng trách nhiệm của các chủ thể trong suốt quá trình dữ liệu được tạo lập, lưu trữ, xử lý và chia sẻ. Bộ Công an đang chủ trì xây dựng dự thảo nhằm hoàn thiện hành lang pháp lý cho công việc này. Điểm đáng chú ý không phải là thêm một lớp quy định cho đủ bộ, mà là chuyển trọng tâm từ xử lý sự cố sau khi xảy ra sang nhận diện rủi ro trước khi dữ liệu thất thoát. Hiện các quy định liên quan nằm trong nhiều luật, mỗi luật điều chỉnh một khía cạnh; chưa có cơ chế toàn diện cho an ninh của chính dữ liệu xuyên suốt vòng đời. Khoảng trống ấy đặc biệt đáng lo khi dữ liệu được dùng ở quy mô lớn, đưa vào huấn luyện trí tuệ nhân tạo hoặc chuyển qua biên giới mà biện pháp kiểm soát chưa tương xứng.
Dữ liệu bị đánh cắp không còn là nguy cơ xa
Lý do cần luật mới hiện rõ trong các con số và cách thức tấn công ngày càng âm thầm. Bộ Công an cho biết các hệ thống thông tin, dữ liệu tại Việt Nam đối mặt hơn 552.000 cuộc tấn công mạng trong năm 2025; hơn 5.230 cơ quan, doanh nghiệp ghi nhận bị ảnh hưởng. Cùng năm, lực lượng chức năng phát hiện 300 vụ rao bán thông tin, với hơn 1,7 triệu bản ghi thuộc những lĩnh vực nhạy cảm như y tế, giáo dục, ngân hàng và viễn thông. Một vụ việc được nêu là tin tặc chiếm đoạt, rao bán hơn 160 triệu bản thông tin khách hàng của Trung tâm Thông tin ứng dụng quốc gia thuộc Ngân hàng Nhà nước. Rủi ro còn nằm ở những chiến dịch xâm nhập kéo dài, âm thầm thu thập dữ liệu và chỉ bị phát hiện sau đó. Khi dữ liệu bị đánh cắp rồi rao bán, phản ứng sau sự cố khó có thể khôi phục quyền kiểm soát; phòng ngừa từ khâu quản trị vì thế phải là ưu tiên.
Chủ quyền số phải bao gồm quyền kiểm soát dữ liệu
Bảo vệ chủ quyền số không chỉ là giữ an toàn cho đường truyền hay máy chủ. Trong môi trường số, chủ quyền còn thể hiện ở năng lực quản lý, kiểm soát và bảo vệ dữ liệu; nếu dữ liệu quan trọng phụ thuộc vào hạ tầng, tiêu chuẩn hoặc hoạt động xử lý ngoài tầm kiểm soát, quyền tự chủ quốc gia cũng bị thu hẹp. Dự thảo đặt vấn đề bảo vệ dữ liệu xuyên suốt từ thu thập, tạo lập, lưu trữ, xử lý, truyền đưa, chia sẻ đến tiêu hủy, đồng thời định hướng kiểm soát việc chuyển dữ liệu xuyên biên giới theo cấp độ rủi ro. Đây là mục tiêu chính đáng, nhưng cách thực hiện sẽ quyết định luật tạo ra năng lực bảo vệ hay chỉ thêm thủ tục. Cần theo dõi tiêu chí phân loại rủi ro, cách áp dụng với dữ liệu và hệ thống ở nước ngoài, cũng như việc bảo vệ quyền của cá nhân khi dữ liệu được xử lý trong các hệ thống có mức rủi ro cao.
Hiệu quả nằm ở cách luật được áp dụng
Dự thảo gồm 6 chương, 29 điều, đề xuất phân loại rủi ro thành 5 cấp độ để gắn nghĩa vụ bảo vệ với mức độ nguy cơ, thay vì áp dụng cùng một yêu cầu cho mọi hoạt động xử lý dữ liệu. Cách tiếp cận theo rủi ro có lý: tập trung giám sát vào dữ liệu có thể gây thiệt hại lớn mà không đẩy hoạt động ít rủi ro vào quy trình nặng nề. Dự thảo cũng hướng tới nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần, nhằm hạn chế thủ tục trùng lặp. Tuy nhiên, hiệu quả sẽ tùy thuộc vào tiêu chí phân loại có rõ ràng, trách nhiệm của chủ quản dữ liệu có thể kiểm chứng và chế tài có đủ sức ngăn sai phạm hay không. Luật An ninh dữ liệu chỉ lấp được khoảng trống nếu nó giúp cơ quan, doanh nghiệp phát hiện và giảm rủi ro trước khi thông tin bị tuồn ra ngoài, thay vì chủ yếu ghi nhận sự cố sau khi đã xảy ra.
