Dự thảo Luật An ninh dữ liệu: Quốc hội bàn gì ngày 4/11

Sáng 4/11/2026, Quốc hội thảo luận hai dự án luật có tác động trực tiếp tới dữ liệu của mỗi người: dự thảo Luật An ninh dữ liệu và dự thảo Luật Định danh và xác thực điện tử. Các đại biểu tập trung vào ba việc: bắt buộc thông báo cho người dân khi dữ liệu của họ bị lộ, giảm số ứng dụng công trùng lặp đang cùng kết nối vào dữ liệu dân cư, và đòi hỏi nhân sự an toàn thông tin chuyên trách cho các hệ thống rủi ro cao. Đây vẫn là dự thảo, chưa phải luật có hiệu lực.

Bức tranh số liệu được đưa ra tại phiên thảo luận

Theo bài tường thuật đăng trên Báo Lào Cai (dẫn lại Tiền Phong) ngày 4/11/2026, các con số được nêu gồm:

• Khoảng 552.000 cuộc tấn công mạng trong năm 2025.
• Khoảng 300 vụ mua bán dữ liệu cá nhân được ghi nhận, liên quan hơn 1,7 triệu bản ghi.
• Kiểm tra 7 bộ, ngành, địa phương có kết nối với Cơ sở dữ liệu quốc gia về dân cư phát hiện 1.315 lỗ hổng bảo mật nghiêm trọng.

Con số thứ ba đáng suy nghĩ nhất. Cơ sở dữ liệu dân cư được bảo vệ ở mức cao, nhưng mỗi hệ thống kết nối vào nó là một cánh cửa phụ. Nếu cửa phụ yếu, lớp bảo vệ ở trung tâm mất ý nghĩa. Đó cũng là lập luận xuyên suốt nhiều ý kiến đại biểu.

Ba nhóm đề xuất chính

Thông báo kịp thời cho người bị ảnh hưởng

Đại biểu Lê Thị Thanh Lam đề nghị quy định rõ bên kiểm soát dữ liệu phải thông báo kịp thời cho người có dữ liệu bị lộ, kèm hướng dẫn phòng tránh lừa đảo, thống nhất với Luật Bảo vệ dữ liệu cá nhân. Hiện Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15, hiệu lực từ 1/1/2026) đã yêu cầu báo cáo vi phạm cho cơ quan chuyên trách trong 72 giờ khi sự cố có thể gây hại tới an ninh quốc phòng, trật tự xã hội hoặc tính mạng, sức khỏe, danh dự, tài sản của cá nhân, theo tổng hợp của VnEconomy về Luật Bảo vệ dữ liệu cá nhân. Đề xuất mới nhấn mạnh chiều còn lại: người dân cũng phải được biết, để kịp đổi mật khẩu, cảnh giác với cuộc gọi lạ.

Với người dùng, khác biệt này rất thực tế. Kẻ lừa đảo dùng dữ liệu bị lộ để gọi điện xưng tên, đọc đúng địa chỉ, đúng đơn hàng gần nhất. Nếu được báo trước rằng dữ liệu của mình nằm trong một vụ lộ lọt, người nhận cuộc gọi sẽ có lý do để nghi ngờ thay vì tin ngay.

Giảm ứng dụng trùng lặp

Cùng đại biểu Lam cho rằng càng nhiều hệ thống trùng lặp cùng kết nối vào dữ liệu người dân thì càng nhiều điểm phải bảo vệ. Bà đề nghị Chính phủ rà soát các ứng dụng phục vụ người dân, gom dịch vụ lên nền tảng dùng chung, không bắt người dân khai lại thông tin Nhà nước đã có, và gửi thông báo về hồ sơ, thời hạn hành chính qua VNeID. Các ứng dụng được nhắc tới gồm VNeID, ứng dụng bảo hiểm xã hội, thuế, giao thông, quản lý văn bản, ứng dụng điện, nước.

Người dùng nào cũng từng trải qua cảnh cài bốn, năm ứng dụng công, mỗi cái một tài khoản, một mật khẩu, một lần chụp căn cước. Mỗi lần nhập lại là một bản sao dữ liệu nằm ở nơi khác. Gom về ít đầu mối hơn vừa tiện, vừa giảm bề mặt tấn công.

Nhân sự chuyên trách cho hệ thống rủi ro cao

Đại biểu Phạm Hùng Vũ (Đồng Tháp) đề xuất với hệ thống được xếp cấp độ rủi ro 5, phải có nhân sự an toàn thông tin chuyên trách, đủ năng lực và có chứng chỉ phù hợp. Đây là phản hồi trực tiếp với con số 1.315 lỗ hổng: thiết bị và phần mềm có thể mua được, nhưng người vận hành có hiểu biết thì phải đào tạo và giữ chân.

Dữ liệu y tế: bài toán khẩn cấp

Đại biểu Phạm Thu Xanh (Hải Phòng) nêu một góc ít được chú ý: cần quy định rõ cách chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị, trên cơ sở có sự đồng ý hoặc theo yêu cầu của pháp luật. Bà đề nghị các biện pháp kỹ thuật khẩn cấp theo Điều 23 của dự thảo không được làm gián đoạn cấp cứu hay điều trị nội trú.

Điều này cho thấy một mâu thuẫn quen thuộc trong an ninh dữ liệu. Khi xảy ra sự cố, phản xạ tự nhiên là ngắt kết nối, khóa hệ thống. Nhưng với bệnh viện, ngắt hệ thống có thể ảnh hưởng tới người bệnh ngay lập tức. Một luật tốt phải tính trước các ngoại lệ như vậy.

Liên hệ với các văn bản đang có hiệu lực

Hai dự thảo này không xuất hiện trong khoảng trống. Luật Bảo vệ dữ liệu cá nhân đã có hiệu lực từ đầu năm, kèm quy định cấm mạng xã hội yêu cầu ảnh hoặc video chứa giấy tờ tùy thân để xác thực tài khoản (Điều 29 khoản 2). Nghị định xử phạt trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân cũng đã được ban hành trong năm 2026. Luật An ninh dữ liệu, nếu được thông qua, sẽ bổ sung phần bảo vệ dữ liệu nói chung, kể cả dữ liệu không phải dữ liệu cá nhân, còn luật về định danh và xác thực điện tử điều chỉnh cách chứng minh “tôi là tôi” trên môi trường số.

Những vụ việc lớn từng xảy ra, như phân tích trong bài sự cố rò rỉ dữ liệu lớn nhất năm, cho thấy phần lớn nguyên nhân nằm ở quy trình và con người chứ không chỉ ở công nghệ. Vì vậy các đề xuất về nhân sự và trách nhiệm thông báo có ý nghĩa không kém các yêu cầu kỹ thuật.

Người dùng có thể làm gì trong lúc chờ luật

Dù luật chưa thông qua, có vài việc giúp giảm thiệt hại nếu dữ liệu của bạn nằm trong một vụ lộ lọt:

1. Gỡ các ứng dụng công hoặc ứng dụng tiện ích đã lâu không dùng, đồng thời xóa tài khoản trên đó nếu có tùy chọn.
2. Dùng mật khẩu khác nhau cho từng ứng dụng, lưu trong trình quản lý mật khẩu.
3. Không gửi ảnh căn cước qua tin nhắn hay email cho người không xác minh được danh tính.
4. Khi nhận cuộc gọi đọc đúng thông tin cá nhân, đừng mặc định đó là cơ quan thật; gác máy và gọi lại qua số chính thức.
5. Bật xác thực hai lớp hoặc khóa truy cập (passkey) ở những dịch vụ hỗ trợ.

Với tổ chức đang lưu trữ dữ liệu khách hàng trên đám mây, bài mã hóa dữ liệu ở trạng thái nghỉ và khi truyền là điểm khởi đầu hợp lý, vì dữ liệu đã mã hóa đúng cách ít giá trị hơn nhiều với kẻ đánh cắp.

Những điểm còn cần theo dõi

Phiên thảo luận ngày 4/11 mới là một bước. Nội dung cuối cùng của hai luật, gồm việc có đưa nghĩa vụ thông báo cho người dân vào văn bản hay không, thời hạn thông báo bao lâu, và cấp độ rủi ro nào phải có nhân sự chuyên trách, sẽ chỉ rõ khi dự thảo được chỉnh lý và đưa ra biểu quyết. Khi có văn bản chính thức, các con số và nghĩa vụ cụ thể cần được đọc từ toàn văn, không dựa vào ý kiến tại phiên thảo luận.