五级风险将决定越南如何保护数据
越南政府于2026年10月26日向国会提交《数据安全法》，提议设立五级风险等级，加强对敏感数据传输至海外的审查，并为人工智能使用的信息设置保障措施。草案共六章29条，仅设两项行政审批程序，均针对风险等级最高的数据。
目录
公安部部长梁三光大将受总理授权，在第十六届国会第二次会议上作了相关提案说明。企业及其他数据控制者将首先自行评估所持数据，采取与风险相匹配的保护措施，并对评估结果负责。主管部门主要在事后检查合规情况。
政府提议将2027年7月1日定为法律生效日期。国会议员定于10月26日下午分组讨论。该法律目前仍是提案，国会审议人员希望加强对最敏感信息的管控、明确评估程序，并强化对生物识别和遗传数据的保护。
该法案的适用范围不局限于在越南注册的机构。其适用于越南的机关、组织和个人；在越南的外国组织和个人；以及在越南境外、依据越南管辖权处理数据或从事危害越南数据安全活动的主体。
对企业而言，核心变化将是实行分级管理：常规数据处理只需满足基本保障要求，文书负担较轻；可能造成严重损害的活动则须在开展前进行评估、审计或取得批准。对个人而言，该提案将要求在信息经过系统、供应商和国境时采取安全保护措施。
政府为何要制定单独的法律
梁三光向议员表示，2025年越南信息系统记录的网络攻击约有55.2万起，造成5,230个机关和企业受损。他还提到，相关部门发现约300起数据被公开出售的案件，涉及逾170万条记录；另有一家信贷机构发生数据盗窃，涉及超过1.6亿条客户记录。
部长称，60%至70%的数据泄露源自组织内部人员。因此，除防范外部攻击外，员工和承包商的访问权限也是核心问题。限制信息访问对象、监控访问行为，并在必要时撤销权限，都是拟议框架中的实际措施。
政府认为，现行规定分别处理了这一问题的不同方面。《数据法》规范数据创建、管理、共享和分类等活动。个人数据保护法律规范处理条件和个人权利。网络安全法律则保护信息系统免受威胁。
拟议的《数据安全法》将着眼于信息本身在收集、存储、处理、传输和销毁全过程中的安全。其政策依据包括越共中央政治局2024年12月22日发布的第57-NQ/TW号决议，该决议涉及科技、创新和国家数字化转型。
五级风险意味着什么
第8条将根据事件发生的可能性，以及事件对国防、国家安全、公共安全和组织及个人合法权利可能造成的损害，对数据进行分级。第1级风险最低，第5级最高。
拟议的分类为企业确定自身义务提供了起点：
- 第1级包括公开和开放数据，事件发生可能性及其后果较低。
- 第2级包括内部信息、商业数据，以及不属于较高类别的个人数据，风险为中等。
- 第3级包括重要数据，以及大规模处理的敏感个人数据，具体门槛由政府规定。
- 第4级通常包括风险极高、可能造成严重损害的核心数据。
- 第5级包括国防和安全核心数据，以及用于运行或控制与国家安全相关的特别重要设施的信息。
风险评级将与《数据法》规定的分类并行适用。组织和个人仍享有对其信息的合法所有权、管理权和使用权，数据安全等级则决定所需的保护措施。
何时需要提交材料和事先审查
政府的提案说明列出了两项行政程序：根据第11条，对第4级和第5级系统的设计文件进行审查；根据第19条，对这两个等级数据的海外传输进行审查和批准。
第1级不涉及行政程序。第2级数据控制者须按照模板编制简化版保护方案并自行留存。第3级数据控制者须自行评估相关活动，无须提交审查或备案。从第3级起，须进行影响评估和定期安全审计。
处理第4级或第5级数据的系统在正式投入运行前，须接受数据安全评估，并与网络安全审查协调进行。影响评估用于分析可能出现的问题以及可能受到损害的对象；审计则用于检查承诺的保护措施是否确实有效。
处理常规数据的个体工商户、小微企业和创新型初创企业通常只需遵循基本保护指南。其义务仍取决于数据处理活动的风险，因此，所处理信息的类型和规模将是合规时需要重点考虑的实际问题。
草案还试图减少重复审查。如果多部法律要求对同一事项和风险进行检查，组织可使用一套文件，并通过单一联络渠道办理。依据其他法律取得的有效结果将获认可。人工智能数据安全评估将纳入人工智能立法规定的风险评估流程。
海外传输将适用三种不同程序
传输至海外的数据将根据其等级适用不同规定。第1级和第2级数据无需依据本法办理传输手续。第3级数据控制者须自行评估传输并留存记录。第4级和第5级数据则须在传输前接受主管机关审查并获得批准。
因此，云服务、国际平台和在多个国家运营的企业需要识别哪些信息会被传输至海外，以及这些信息的风险等级。其他相关法律规定的现行义务仍继续适用。
国会国防、安全与对外事务委员会原则上支持基于风险实施管控，同时不要求所有数据一律留存在越南境内。委员会提议对第5级数据制定更严格的规定：除非总理另有决定，否则禁止将此类数据传输至海外。
委员会还提议，限制将第4级和第5级系统的解密密钥和密码参数传输至海外。解密密钥可用于解锁加密信息，因此，对密钥的控制是独立于存储数据地点之外的另一项安全问题。
其他提议包括明确谁有权限制或暂时中止跨境运营的服务，并要求管理第4级及以上数据的企业在控制权发生变更时进行通知。草案还涉及外国方面直接索取信息的情形，拟通过相关机制要求其使用包括司法协助安排在内的合法渠道。
人工智能保障措施将从训练数据入手
研究、开发或部署处理高风险数据的人工智能的组织，必须从设计阶段就将安全纳入考量，并须确认训练数据及其衍生信息的合法来源和完整性。
提案涉及数据投毒、未经授权提取信息，以及对自动化决策进行人工控制。数据投毒是指故意破坏用于训练或运行人工智能系统的信息，可能导致结果不可靠或遭到操纵。未经授权提取信息则是指在没有许可的情况下获取受保护的信息。
根据适用法律，自动化决策必须保留人工介入和监督的可能性。这项要求将底层信息的保护与系统利用这些信息作出的决策联系起来。
除刑事调查外，主管部门不得要求提供人工智能源代码或模型权重。源代码包含程序的指令，模型权重则是人工智能系统在训练过程中学习到的数值参数，两者都可能包含有价值的商业知识。
人工智能企业将使用人工智能立法规定的评估流程，而无须另行编制数据安全文件或单独接受审查。这样一来，拟议的安全审查将纳入现有监管流程，同时保留针对数据本身的具体义务。
供应商将纳入安全计划
数据控制者的责任将覆盖供应商、中介机构以及其他参与信息处理的各方。在接入产品或服务之前，数据控制者须评估服务提供方的风险，并将其访问权限限制在必要范围内。
合同须明确保密义务以及发生数据泄露时的责任。数据控制者还须在合作期间监控访问情况，并在发现风险或事件时撤销权限。对于远程访问处理高风险数据的系统，管控措施将更加严格。
适用范围还涵盖关键数字基础设施、国家数据基础设施、大规模数据处理，以及将数字控制与实体设备相连接的系统。在这些场景中，数据受损或遭到篡改不仅可能暴露信息，还可能影响机器和设施的运行。
委员会要求根据各方实际的决策权和数据控制权划分责任。这将有助于区分决定如何使用信息的数据控制者，与仅提供范围较窄服务的供应商各自承担的义务。
紧急权力将受到法律限制
草案将建立监测、预警、事件报告和协同响应机制。政府的提案说明还提到，修订内容包括在事件发生时通知受影响人员，并限制临时暂停数据传输措施的适用范围。
采取紧急技术措施须具备法律依据，由获授权的决策者作出决定，并明确措施范围和期限。主管部门须优先采用对权利限制最小的措施，并在其适用依据不复存在时终止措施。
受影响的组织和个人仍有权依法提出申诉、提起诉讼并寻求赔偿。国会审议人员还要求明确主管部门征用私人持有的人员、设备或其他资源时的条件和赔偿安排。
草案鼓励数据安全负责人和独立专家本着善意发现、测试并报告漏洞，同时保护其身份和合法权益，并规定相应的责任豁免。委员会还提议，对第4级和第5级系统开展事件响应演练。
审议人员要求加强最高风险等级的规定
国会国防、安全与对外事务委员会主席、上将黎晋泰作了审查报告。委员会支持制定该法的必要性，并认为这项提案已具备提交国会审议的条件。
不过，审议人员希望明确各风险等级的具体标准。部分人员提议由专业主管机关定期审查并更新数据等级，对第5级数据采用更严格的程序，而不是由数据控制者自行决定。
委员会还希望明确规定，保护要求应由数据本身的风险决定。委员会要求加强对生物识别和遗传信息的保护，例如涉及身体特征或遗传特征的信息。
部分程序问题仍在讨论中，包括网络安全审查范围之外的第4级和第5级系统应适用何种审查时限。委员会要求进一步明确安全密码、政府密码系统和民用密码之间的界限，并制定军事和政府密码系统的事件协调规则。
公安部将负责数据安全国家管理工作，国防部负责军事数据和信息系统的监管，政府密码委员会负责密码信息系统管理。不会新设机构。
提案有哪些变化，后续将如何推进
提交议员审议的提案从25条扩展至29条，删除了原计划设立的国家数据安全治理中心，也取消了按营业收入比例计算罚款的规定。9月7日的一份早期说明曾提出四级数据分类、罚款最高可达上一财政年度收入的5%，以及关键和核心数据须在国内存储。提交国会审议的提案则改用五级风险分类和差异化的数据传输管控。
政府还取消了转向抗量子计算密码技术的固定期限，将具体时间表留待政府后续规定。拟议的投资和税收优惠将支持安全研究、自主云服务、安全数据中心和密码技术，并向小企业和初创企业提供帮助。草案要求避免出台导致特定产品或供应商形成垄断的政策。
抗量子计算密码技术旨在抵御未来量子计算机的攻击。政府关注的一项风险是，信息如今以加密形式被收集，随着计算能力提升，未来可能被解密。
立法时间表在起草过程中有所调整：
- 2026年8月：根据早期起草时间表，公众意见征集结束。
- 2026年9月7日：早期说明称，草案当时正在接受司法部审查。
- 2026年10月26日：政府提交提案，定于当天下午进行分组讨论。
- 2027年7月1日：国会提案拟定的生效日期，取代早期说明中提到的2027年12月1日。
该法案将修订《网络安全法》和《数据法》，并通过过渡条款保留现行有效记录和评估结果。现有系统将有途径满足新要求。最终义务将取决于国会通过的法律文本及其实施细则。
要点
- 越南提议设立五级数据安全风险等级，潜在损害越大，保护要求越严格。
- 两项行政审批程序将涵盖涉及第4级和第5级数据的系统设计及海外传输。
- 人工智能保障措施将涉及训练数据、未经授权提取信息和人工监督，相关评估将纳入人工智能监管程序。
- 国会审议人员要求加强对第5级数据的管控，并强化对生物识别和遗传数据的保护。
- 修订后的提案取消了按收入比例计算的罚款和原计划设立的国家级新中心。
- 政府提议将2027年7月1日定为生效日期，仍待国会批准。
