Nội dung thuộc dự án Luật An ninh dữ liệu đang được Bộ Công an chủ trì soạn thảo, lấy ý kiến công khai đến 9/8.
Mỗi năm thiệt hại ước tính 15-20 tỷ USD vì lừa đảo trực tuyến
Trong bối cảnh dữ liệu trở thành "dầu mỏ" của nền kinh tế nhưng cũng là mục tiêu tấn công hàng đầu của tội phạm mạng, Bộ Công an cho biết năm 2025, các hệ thống thông tin dữ liệu của Việt Nam đã đối mặt hơn 552.000 cuộc tấn công mạng; hơn 5.230 cơ quan, doanh nghiệp ghi nhận bị ảnh hưởng.
Lực lượng chức năng cũng phát hiện 300 vụ rao bán thông tin với tổng số hơn 1,7 triệu bản ghi dữ liệu thuộc nhiều lĩnh vực nhạy cảm như y tế, giáo dục, ngân hàng và viễn thông.
Điển hình là vụ tin tặc chiếm đoạt và rao bán hơn 160 triệu bản thông tin khách hàng của Trung tâm Thông tin ứng dụng quốc gia thuộc Ngân hàng Nhà nước Việt Nam.
Kết quả kiểm tra tại 7 bộ, ngành, địa phương phát hiện hơn 1.300 lỗ hổng bảo mật nghiêm trọng và 4.000 lỗ hổng mức độ cao tại các máy chủ, hệ thống.
Theo Bộ Công an, 60-70% vụ lộ, lọt dữ liệu bắt nguồn từ sai phạm nội bộ hoặc sự thiếu trách nhiệm của cán bộ quản trị.
Thiệt hại do lừa đảo trực tuyến tại Việt Nam ước tính lên tới 15-20 tỷ USD mỗi năm, tương đương gần 4% GDP.
Cán bộ tiếp nhận, xử lý các sự cố an ninh dữ liệu tại Trung tâm giám sát mạng máy tính, Cục Công nghệ thông tin, Bộ Công an. Ảnh: Phạm Dự
Mức phạt tiền cố định đã 'lạc hậu'
Cơ quan soạn thảo cho rằng chế tài xử phạt hiện nay chủ yếu là phạt tiền cố định nên không còn phù hợp, nhất là với các tập đoàn đa quốc gia có doanh thu rất lớn.
Theo Bộ Công an, điều này khiến nhiều doanh nghiệp sẵn sàng nộp phạt như một khoản chi phí vận hành thay vì đầu tư nghiêm túc cho hệ thống bảo mật.
Vì vậy, dự thảo Luật An ninh dữ liệu đề xuất chuyển sang cơ chế tính mức phạt dựa trên doanh thu.
Khoản 2 Điều 57 quy định mức phạt tối đa bằng 5% tổng doanh thu của tổ chức vi phạm tại Việt Nam trong năm tài chính liền kề trước đó.
Đối với tổ chức là thành viên của tập đoàn đa quốc gia, nếu doanh thu tại Việt Nam không tương xứng với quy mô và mức độ nghiêm trọng của hành vi vi phạm, cơ quan có thẩm quyền sẽ xem xét áp dụng mức phạt tính trên doanh thu toàn cầu của tập đoàn, song vẫn không vượt quá 5%.
Cơ chế này được áp dụng trên cơ sở phân loại dữ liệu theo bốn cấp độ rủi ro gồm: Dữ liệu Thông thường (Cấp độ 1), Dữ liệu Nội bộ (Cấp độ 2), Dữ liệu Quan trọng (Cấp độ 3) và Dữ liệu Cốt lõi (Cấp độ 4).
Theo dự thảo, mức phạt tới 5% doanh thu chỉ áp dụng với các hành vi vi phạm liên quan đến hai cấp độ cao nhất là Dữ liệu Quan trọng và Dữ liệu Cốt lõi.
Dữ liệu Quan trọng là dữ liệu thuộc các ngành, lĩnh vực trọng điểm mà nếu bị rò rỉ hoặc chiếm đoạt sẽ gây nguy hại nghiêm trọng đến an ninh quốc gia, an ninh kinh tế vĩ mô hoặc lợi ích công cộng.
Dữ liệu Cốt lõi là nhóm dữ liệu liên quan trực tiếp đến quốc phòng, an ninh quốc gia, chủ quyền số và lợi ích chiến lược tối cao; nếu bị xâm phạm sẽ gây nguy hại đến sự tồn vong của đất nước.
Ngoài xử phạt bằng tiền, dự thảo còn đề xuất áp dụng các biện pháp cưỡng chế kỹ thuật như giới hạn băng thông, tạm ngừng hoặc đình chỉ quyền truy cập luồng dữ liệu vi phạm trên lãnh thổ Việt Nam nhằm ngăn chặn kịp thời nguy cơ phát tán dữ liệu độc hại.
Theo Bộ Công an, mô hình tính mức phạt dựa trên doanh thu được tham khảo từ các khung pháp lý tiên tiến trên thế giới như Quy định chung về bảo vệ dữ liệu (GDPR) của Liên minh châu Âu nhằm tăng tính răn đe đối với các tập đoàn công nghệ xuyên biên giới.
Dự thảo dự kiến trình Quốc hội xem xét, thông qua tại kỳ họp tháng 10.
Hải Thư
