Bộ Công an đang lấy ý kiến đối với dự thảo Luật An ninh dữ liệu. Thời gian góp ý kéo dài từ ngày 17/7 đến hết ngày 5/8. Dự án luật dự kiến được trình Quốc hội xem xét tại kỳ họp tháng 10.
Hơn 552.000 cuộc tấn công mạng trong một năm
Theo cơ quan soạn thảo, dữ liệu đang trở thành nguồn lực quan trọng của nền kinh tế nhưng đồng thời là mục tiêu hàng đầu của tội phạm mạng.
Trong năm 2025, các hệ thống thông tin, dữ liệu tại Việt Nam phải đối mặt với hơn 552.000 cuộc tấn công mạng; hơn 5.230 cơ quan, doanh nghiệp ghi nhận bị ảnh hưởng.
Lực lượng chức năng phát hiện 300 vụ rao bán thông tin, liên quan hơn 1,7 triệu bản ghi dữ liệu trong các lĩnh vực như y tế, giáo dục, ngân hàng và viễn thông. Đáng chú ý, có vụ tin tặc chiếm đoạt, rao bán hơn 160 triệu bản thông tin khách hàng của một đơn vị thuộc Ngân hàng Nhà nước.
Qua kiểm tra hệ thống tại 7 bộ, ngành, địa phương, cơ quan chức năng phát hiện hơn 1.300 lỗ hổng bảo mật nghiêm trọng và khoảng 4.000 lỗ hổng ở mức độ cao.
Bộ Công an đánh giá 60-70% sự cố lộ, lọt dữ liệu bắt nguồn từ sai phạm nội bộ hoặc sự thiếu trách nhiệm của cán bộ quản trị. Trong khi đó, thiệt hại do lừa đảo trực tuyến tại Việt Nam được ước tính khoảng 15-20 tỷ USD mỗi năm, tương đương gần 4% GDP.
Có thể tính mức phạt trên doanh thu toàn cầu
Cơ quan soạn thảo cho rằng hình thức phạt tiền theo mức cố định hiện nay không còn tương xứng với quy mô hoạt động của nhiều doanh nghiệp, đặc biệt là các tập đoàn đa quốc gia có doanh thu lớn. Mức phạt thấp có thể bị xem như một khoản chi phí vận hành, không đủ sức buộc doanh nghiệp đầu tư nghiêm túc cho hệ thống bảo mật.
Do đó, khoản 2 Điều 57 dự thảo đề xuất phạt tiền theo tỷ lệ phần trăm doanh thu đối với tổ chức có hành vi vi phạm đặc biệt nghiêm trọng quy định bảo vệ dữ liệu quan trọng và dữ liệu cốt lõi.
Mức phạt tối đa được đề xuất là 5% tổng doanh thu của tổ chức vi phạm tại Việt Nam trong năm tài chính liền kề trước đó.
Trường hợp tổ chức vi phạm là thành viên của tập đoàn đa quốc gia nhưng doanh thu tại Việt Nam không tương xứng với quy mô, mức độ nghiêm trọng của hành vi, cơ quan có thẩm quyền có thể xem xét tính mức phạt trên doanh thu toàn cầu của tập đoàn. Tuy nhiên, mức phạt cũng không vượt quá 5% doanh thu toàn cầu.
Dự thảo phân loại dữ liệu theo 4 cấp độ rủi ro, gồm dữ liệu thông thường, dữ liệu nội bộ, dữ liệu quan trọng và dữ liệu cốt lõi. Cơ chế phạt theo doanh thu chỉ áp dụng đối với vi phạm đặc biệt nghiêm trọng liên quan hai cấp độ cao nhất.
Ngoài phạt tiền, doanh nghiệp cung cấp dịch vụ viễn thông, Internet vi phạm còn có thể bị giới hạn băng thông; tạm ngừng hoặc đình chỉ quyền truy cập, lưu chuyển luồng dữ liệu; đình chỉ hoạt động hoặc thu hồi giấy phép theo quy định.
