เวียดนามเสนอการจัดระดับความเสี่ยงของข้อมูล 5 ระดับ คุมเข้มการส่งข้อมูลไปต่างประเทศและวางมาตรการคุ้มครอง AI

ความเสี่ยง 5 ระดับจะกำหนดแนวทางคุ้มครองข้อมูลของเวียดนาม

รัฐบาลเวียดนามเสนอร่างกฎหมายความมั่นคงปลอดภัยข้อมูลต่อสมัชชาแห่งชาติเมื่อวันที่ 26 ตุลาคม 2026 โดยเสนอให้แบ่งระดับความเสี่ยงเป็น 5 ระดับ เพิ่มความเข้มงวดในการตรวจสอบข้อมูลอ่อนไหวที่ส่งไปต่างประเทศ และวางมาตรการคุ้มครองข้อมูลที่ใช้กับปัญญาประดิษฐ์ ร่างกฎหมายประกอบด้วย 6 หมวด 29 มาตรา และกำหนดขั้นตอนอนุมัติทางปกครองเพียง 2 ขั้นตอน ซึ่งมุ่งเน้นข้อมูลที่มีความเสี่ยงสูงสุด

พลเอกเลือง ตาม กวาง รัฐมนตรีว่าการกระทรวงความมั่นคงสาธารณะ ซึ่งได้รับมอบอำนาจจากนายกรัฐมนตรี เป็นผู้นำเสนอร่างต่อที่ประชุมสมัยที่ 2 ของสมัชชาแห่งชาติชุดที่ 16 โดยในเบื้องต้น ธุรกิจและผู้ควบคุมข้อมูลรายอื่นจะประเมินข้อมูลของตนเอง ใช้มาตรการคุ้มครองให้เหมาะกับระดับความเสี่ยง และรับผิดชอบต่อการประเมินดังกล่าว ส่วนหน่วยงานรัฐจะเน้นตรวจสอบการปฏิบัติตามกฎหมายภายหลัง

รัฐบาลเสนอให้กฎหมายมีผลบังคับใช้วันที่ 1 กรกฎาคม 2027 โดยกำหนดให้สมาชิกสมัชชาหารือเป็นกลุ่มในช่วงบ่ายวันที่ 26 ตุลาคม ร่างกฎหมายยังอยู่ระหว่างการพิจารณา โดยผู้ทบทวนร่างในรัฐสภาต้องการให้ควบคุมข้อมูลอ่อนไหวที่สุดเข้มงวดยิ่งขึ้น กำหนดขั้นตอนการประเมินให้ชัดเจน และเพิ่มการคุ้มครองข้อมูลชีวมิติและข้อมูลพันธุกรรม

ร่างกฎหมายนี้จะครอบคลุมองค์กรนอกเวียดนามด้วย โดยใช้กับหน่วยงาน องค์กร และบุคคลชาวเวียดนาม องค์กรและบุคคลต่างชาติที่อยู่ในเวียดนาม ตลอดจนผู้ที่อยู่ต่างประเทศและประมวลผลข้อมูลภายใต้เขตอำนาจของเวียดนาม หรือกระทำการที่กระทบต่อความมั่นคงปลอดภัยข้อมูลของเวียดนาม

สำหรับภาคธุรกิจ การเปลี่ยนแปลงสำคัญคือระบบกำกับดูแลตามระดับความเสี่ยง การประมวลผลทั่วไปจะต้องมีมาตรการคุ้มครองพื้นฐานและใช้เอกสารไม่มาก ขณะที่กิจกรรมที่อาจก่อความเสียหายร้ายแรงจะต้องผ่านการประเมิน การตรวจสอบ หรือการอนุมัติก่อนเริ่มดำเนินการ สำหรับบุคคลทั่วไป ร่างกฎหมายกำหนดหน้าที่ด้านความปลอดภัยของข้อมูลที่เคลื่อนผ่านระบบ ผู้ให้บริการ และพรมแดนประเทศ

เหตุใดรัฐบาลจึงต้องการกฎหมายแยกต่างหาก

เลือง ตาม กวาง แจ้งต่อสมาชิกรัฐสภาว่า ระบบสารสนเทศของเวียดนามเผชิญการโจมตีทางไซเบอร์ราว 552,000 ครั้งในปี 2025 โดยมีหน่วยงานและธุรกิจ 5,230 แห่งได้รับความเสียหาย นอกจากนี้ เขายังกล่าวถึงกรณีตรวจพบการประกาศขายข้อมูลราว 300 กรณี ซึ่งเกี่ยวข้องกับข้อมูลมากกว่า 1.7 ล้านรายการ และเหตุโจรกรรมข้อมูลลูกค้ามากกว่า 160 ล้านรายการจากสถาบันสินเชื่อแห่งหนึ่ง

รัฐมนตรีระบุว่า ข้อมูลรั่วไหลร้อยละ 60 ถึง 70 มีต้นตอจากบุคลากรภายในองค์กร การควบคุมการเข้าถึงของพนักงานและผู้รับเหมาจึงเป็นประเด็นสำคัญควบคู่กับการป้องกันผู้โจมตีจากภายนอก การจำกัดผู้ที่เข้าถึงข้อมูลได้ การติดตามการเข้าถึง และการเพิกถอนสิทธิ์เมื่อจำเป็น เป็นมาตรการที่นำไปใช้ได้จริงภายใต้กรอบที่เสนอ

รัฐบาลให้เหตุผลว่ากฎระเบียบที่มีอยู่ครอบคลุมปัญหาคนละด้าน กฎหมายข้อมูลกำกับกิจกรรมต่าง ๆ เช่น การสร้าง การจัดการ การแบ่งปัน และการจัดชั้นข้อมูล กฎหมายคุ้มครองข้อมูลส่วนบุคคลกำกับเงื่อนไขการประมวลผลและสิทธิของบุคคล ส่วนกฎหมายความมั่นคงปลอดภัยไซเบอร์คุ้มครองระบบสารสนเทศจากภัยคุกคาม

ร่างกฎหมายความมั่นคงปลอดภัยข้อมูลจะมุ่งกำกับตัวข้อมูลตลอดวงจร ตั้งแต่การเก็บรวบรวม การจัดเก็บ การประมวลผล การส่งต่อ ไปจนถึงการทำลาย โดยมีมติหมายเลข 57-NQ/TW ของกรมการเมืองกลางพรรค ลงวันที่ 22 ธันวาคม 2024 ว่าด้วยวิทยาศาสตร์ เทคโนโลยี นวัตกรรม และการเปลี่ยนผ่านสู่ดิจิทัลระดับชาติ เป็นหนึ่งในแนวนโยบายพื้นฐาน

ความหมายของระดับความเสี่ยงทั้ง 5

มาตรา 8 จะจัดระดับข้อมูลตามโอกาสที่จะเกิดเหตุและความเสียหายที่อาจเกิดขึ้นต่อการป้องกันประเทศ ความมั่นคงแห่งชาติ ความปลอดภัยสาธารณะ และสิทธิโดยชอบด้วยกฎหมายขององค์กรและบุคคล โดยระดับ 1 มีความเสี่ยงต่ำสุด และระดับ 5 สูงสุด

หมวดหมู่ที่เสนอเป็นแนวทางตั้งต้นให้ธุรกิจระบุหน้าที่ของตนได้ดังนี้

• ระดับ 1 ครอบคลุมข้อมูลสาธารณะและข้อมูลเปิด ซึ่งมีโอกาสเกิดเหตุและผลกระทบต่ำ
• ระดับ 2 ครอบคลุมข้อมูลภายใน ข้อมูลธุรกิจ และข้อมูลส่วนบุคคลที่ไม่อยู่ในหมวดความเสี่ยงสูงกว่า โดยมีความเสี่ยงปานกลาง
• ระดับ 3 ครอบคลุมข้อมูลสำคัญและข้อมูลส่วนบุคคลอ่อนไหวที่ประมวลผลในวงกว้าง โดยขึ้นอยู่กับเกณฑ์ที่รัฐบาลกำหนด
• ระดับ 4 โดยทั่วไปครอบคลุมข้อมูลแกนหลักที่มีความเสี่ยงสูงมากและอาจก่อความเสียหายร้ายแรง
• ระดับ 5 ครอบคลุมข้อมูลแกนหลักด้านการป้องกันประเทศและความมั่นคง รวมถึงข้อมูลที่ใช้ปฏิบัติการหรือควบคุมสถานที่สำคัญเป็นพิเศษซึ่งเกี่ยวข้องกับความมั่นคงแห่งชาติ

การจัดระดับความเสี่ยงจะดำเนินควบคู่กับการจำแนกประเภทตามกฎหมายข้อมูล องค์กรและบุคคลยังคงมีสิทธิในความเป็นเจ้าของ การจัดการ และการใช้ข้อมูลของตนตามกฎหมาย ส่วนระดับความมั่นคงปลอดภัยจะเป็นตัวกำหนดมาตรการคุ้มครองที่ต้องใช้

จุดเริ่มต้นของการจัดทำเอกสารและการตรวจสอบล่วงหน้า

ตามคำชี้แจงของรัฐบาล มีขั้นตอนทางปกครอง 2 ขั้นตอน ได้แก่ การประเมินเอกสารการออกแบบระบบระดับ 4 และ 5 ตามมาตรา 11 และการประเมินพร้อมอนุมัติการส่งข้อมูลระดับดังกล่าวไปต่างประเทศตามมาตรา 19

ระดับ 1 จะไม่มีขั้นตอนทางปกครอง ผู้ควบคุมข้อมูลระดับ 2 จะจัดทำแผนคุ้มครองฉบับย่อโดยใช้แบบฟอร์มและเก็บรักษาไว้เอง ส่วนผู้ควบคุมข้อมูลระดับ 3 จะประเมินกิจกรรมของตนโดยไม่ต้องยื่นขอประเมินหรือแจ้งหน่วยงาน ตั้งแต่ระดับ 3 ขึ้นไปจะต้องประเมินผลกระทบและตรวจสอบความมั่นคงปลอดภัยเป็นระยะ

ระบบที่ประมวลผลข้อมูลระดับ 4 หรือ 5 จะต้องผ่านการประเมินความมั่นคงปลอดภัยของข้อมูลก่อนเปิดใช้งานอย่างเป็นทางการ โดยประสานกับการประเมินด้านความมั่นคงปลอดภัยไซเบอร์ การประเมินผลกระทบจะพิจารณาว่าอะไรอาจผิดพลาดและใครอาจได้รับผลกระทบ ส่วนการตรวจสอบจะดูว่ามาตรการคุ้มครองที่กำหนดไว้ใช้งานได้จริงหรือไม่

โดยทั่วไป ธุรกิจครัวเรือน วิสาหกิจขนาดกลางและขนาดย่อม วิสาหกิจขนาดเล็ก และสตาร์ตอัปนวัตกรรมที่จัดการข้อมูลทั่วไปจะปฏิบัติตามแนวทางคุ้มครองขั้นพื้นฐาน อย่างไรก็ตาม หน้าที่ของแต่ละรายยังขึ้นอยู่กับความเสี่ยงจากการประมวลผล ทำให้ประเภทและปริมาณข้อมูลที่จัดการเป็นประเด็นสำคัญในทางปฏิบัติ

ร่างกฎหมายยังมุ่งลดการทำงานซ้ำซ้อน หากกฎหมายหลายฉบับกำหนดให้ตรวจสอบเรื่องและระดับความเสี่ยงเดียวกัน องค์กรจะใช้เอกสารชุดเดียวและติดต่อผ่านหน่วยงานจุดเดียว ผลการประเมินที่ยังมีผลภายใต้กฎหมายอื่นจะได้รับการยอมรับ ส่วนการประเมินความมั่นคงปลอดภัยข้อมูล AI จะรวมอยู่ในกระบวนการประเมินความเสี่ยงตามกฎหมาย AI

การส่งข้อมูลไปต่างประเทศจะมี 3 แนวทาง

ข้อมูลที่ส่งไปต่างประเทศจะได้รับการกำกับแตกต่างกันตามระดับข้อมูล ระดับ 1 และ 2 ไม่ต้องดำเนินขั้นตอนการส่งข้อมูลตามกฎหมายฉบับนี้ ผู้ควบคุมข้อมูลระดับ 3 จะประเมินการส่งข้อมูลด้วยตนเองและเก็บบันทึกไว้ ส่วนระดับ 4 และ 5 จะต้องได้รับการตรวจสอบและอนุมัติจากหน่วยงานผู้มีอำนาจก่อนส่งข้อมูล

บริการคลาวด์ แพลตฟอร์มระหว่างประเทศ และบริษัทที่ดำเนินงานในหลายประเทศจึงต้องระบุว่าข้อมูลใดถูกส่งไปต่างประเทศและได้รับการจัดระดับความเสี่ยงไว้อย่างไร ข้อกำหนดที่มีอยู่ภายใต้กฎหมายอื่นที่เกี่ยวข้องยังคงมีผลบังคับใช้

คณะกรรมาธิการกลาโหม ความมั่นคง และการต่างประเทศแห่งสมัชชาแห่งชาติโดยรวมสนับสนุนการควบคุมตามระดับความเสี่ยง โดยไม่กำหนดให้เก็บข้อมูลทั้งหมดไว้ในเวียดนามเป็นการทั่วไป ทั้งนี้ คณะกรรมาธิการเสนอให้ใช้กฎที่เข้มงวดกว่าสำหรับระดับ 5 โดยห้ามส่งข้อมูลไปต่างประเทศ เว้นแต่นายกรัฐมนตรีจะมีคำวินิจฉัยเป็นอย่างอื่น

คณะกรรมาธิการยังเสนอให้จำกัดการส่งกุญแจถอดรหัสและพารามิเตอร์การเข้ารหัสของระบบระดับ 4 และ 5 ไปต่างประเทศ กุญแจถอดรหัสใช้ปลดล็อกข้อมูลที่เข้ารหัสไว้ การควบคุมกุญแจดังกล่าวจึงเป็นประเด็นความปลอดภัยแยกต่างหากจากสถานที่จัดเก็บข้อมูล

ข้อเสนออื่น ๆ จะกำหนดให้ชัดเจนว่าใครมีอำนาจจำกัดหรือระงับบริการข้ามพรมแดนเป็นการชั่วคราว และกำหนดให้แจ้งเมื่อมีการเปลี่ยนแปลงอำนาจควบคุมในธุรกิจที่จัดการข้อมูลระดับ 4 ขึ้นไป ร่างกฎหมายยังกล่าวถึงคำขอข้อมูลโดยตรงจากต่างประเทศ ผ่านกลไกที่มุ่งให้ใช้ช่องทางที่ชอบด้วยกฎหมาย รวมถึงข้อตกลงความช่วยเหลือทางศาล

มาตรการคุ้มครอง AI จะเริ่มจากข้อมูลฝึกสอน

องค์กรที่วิจัย พัฒนา หรือนำ AI มาใช้งานซึ่งประมวลผลข้อมูลที่มีความเสี่ยงสูง จะต้องผนวกความมั่นคงปลอดภัยไว้ตั้งแต่ขั้นตอนการออกแบบ และต้องยืนยันแหล่งที่มาที่ชอบด้วยกฎหมายและความถูกต้องสมบูรณ์ของข้อมูลฝึกสอน รวมถึงข้อมูลที่ได้จากข้อมูลดังกล่าว

ข้อเสนอนี้ครอบคลุมการปนเปื้อนข้อมูล การดึงข้อมูลโดยไม่ได้รับอนุญาต และการควบคุมการตัดสินใจอัตโนมัติโดยมนุษย์ การปนเปื้อนข้อมูลหมายถึงการจงใจทำให้ข้อมูลที่ใช้ฝึกหรือใช้งานระบบ AI เสียหาย ซึ่งอาจทำให้ผลลัพธ์ไม่น่าเชื่อถือหรือถูกบิดเบือน ส่วนการดึงข้อมูลโดยไม่ได้รับอนุญาตคือการได้ข้อมูลที่ได้รับการคุ้มครองมาโดยไม่มีสิทธิ์

กฎหมายที่เกี่ยวข้องจะต้องเปิดทางให้มนุษย์เข้าแทรกแซงและกำกับดูแลการตัดสินใจอัตโนมัติได้ ข้อกำหนดนี้เชื่อมโยงการคุ้มครองข้อมูลต้นทางเข้ากับการตัดสินใจที่ระบบทำโดยใช้ข้อมูลนั้น

หน่วยงานรัฐจะถูกห้ามเรียกร้องซอร์สโค้ดหรือค่าน้ำหนักของโมเดล AI ยกเว้นกรณีสอบสวนคดีอาญา ซอร์สโค้ดประกอบด้วยคำสั่งของโปรแกรม ส่วนค่าน้ำหนักของโมเดลคือตัวเลขที่ระบบ AI เรียนรู้ระหว่างการฝึก ทั้งสองอย่างอาจบรรจุองค์ความรู้เชิงพาณิชย์ที่มีมูลค่าสูง

ธุรกิจ AI จะใช้กระบวนการประเมินตามกฎหมาย AI แทนการจัดทำเอกสารความมั่นคงปลอดภัยข้อมูลแยกต่างหากหรือผ่านการประเมินอีกชุดหนึ่ง วิธีนี้จะผนวกการตรวจสอบด้านความมั่นคงปลอดภัยที่เสนอเข้ากับกระบวนการกำกับดูแลที่มีอยู่ พร้อมคงหน้าที่เฉพาะด้านการจัดการข้อมูลไว้

ผู้ให้บริการจะเป็นส่วนหนึ่งของแผนความมั่นคงปลอดภัย

ผู้ควบคุมข้อมูลจะมีหน้าที่ครอบคลุมผู้ให้บริการ ตัวกลาง และฝ่ายอื่น ๆ ที่เกี่ยวข้องกับการประมวลผลข้อมูล ก่อนเชื่อมต่อผลิตภัณฑ์หรือบริการ ผู้ควบคุมข้อมูลจะต้องประเมินความเสี่ยงของผู้ให้บริการและจำกัดการเข้าถึงให้เท่าที่จำเป็น

สัญญาจะต้องระบุหน้าที่รักษาความลับและผลที่จะตามมาหากข้อมูลรั่วไหล ผู้ควบคุมข้อมูลยังต้องติดตามการเข้าถึงตลอดช่วงที่มีความสัมพันธ์ทางธุรกิจ และเพิกถอนสิทธิ์เมื่อพบความเสี่ยงหรือเหตุผิดปกติ การเข้าถึงระบบจากระยะไกลของผู้ให้บริการที่เกี่ยวข้องกับข้อมูลความเสี่ยงสูงจะถูกควบคุมเข้มงวดยิ่งขึ้น

ขอบเขตของกฎหมายครอบคลุมโครงสร้างพื้นฐานดิจิทัลสำคัญ โครงสร้างพื้นฐานข้อมูลระดับชาติ การประมวลผลขนาดใหญ่ และระบบที่เชื่อมโยงการควบคุมทางดิจิทัลเข้ากับอุปกรณ์ทางกายภาพ ในบริบทเหล่านี้ ข้อมูลที่เสียหายหรือถูกบิดเบือนอาจกระทบการทำงานของเครื่องจักรและสถานที่ต่าง ๆ ตลอดจนทำให้ข้อมูลรั่วไหล

คณะกรรมาธิการขอให้กำหนดความรับผิดชอบตามอำนาจตัดสินใจและการควบคุมข้อมูลที่แต่ละฝ่ายมีจริง เพื่อแยกหน้าที่ของผู้ควบคุมที่กำหนดวิธีใช้ข้อมูล ออกจากหน้าที่ของผู้ให้บริการที่ทำงานในขอบเขตแคบกว่าได้ชัดเจน

อำนาจฉุกเฉินจะมีข้อจำกัดตามกฎหมาย

ร่างกฎหมายจะกำหนดระบบติดตาม การเตือนภัยล่วงหน้า การรายงานเหตุการณ์ และการตอบสนองร่วมกัน การปรับปรุงที่ระบุไว้ในคำชี้แจงของรัฐบาลยังรวมถึงการแจ้งผู้ได้รับผลกระทบเมื่อเกิดเหตุ และการจำกัดขอบเขตการระงับการส่งข้อมูลชั่วคราว

มาตรการทางเทคนิคในกรณีฉุกเฉินจะต้องมีฐานอำนาจตามกฎหมาย ผู้มีอำนาจตัดสินใจที่ได้รับการแต่งตั้ง ขอบเขตที่กำหนดชัดเจน และระยะเวลาที่ระบุไว้ หน่วยงานจะต้องเลือกมาตรการที่จำกัดสิทธิน้อยที่สุด และยุติมาตรการเมื่อเหตุอันเป็นฐานของการใช้อำนาจหมดไป

องค์กรและบุคคลที่ได้รับผลกระทบยังคงมีสิทธิร้องเรียน ดำเนินคดี และเรียกร้องค่าชดเชยตามกฎหมาย ผู้ทบทวนร่างในรัฐสภายังต้องการเงื่อนไขและหลักเกณฑ์การชดเชยที่ชัดเจนยิ่งขึ้น เมื่อหน่วยงานรัฐระดมบุคลากร อุปกรณ์ หรือทรัพยากรอื่นที่เป็นของเอกชน

ร่างกฎหมายสนับสนุนให้ผู้รับผิดชอบด้านความมั่นคงปลอดภัยข้อมูลและผู้เชี่ยวชาญอิสระตรวจหา ทดสอบ และรายงานช่องโหว่ด้วยความสุจริตใจ พร้อมคุ้มครองตัวตนและผลประโยชน์โดยชอบด้วยกฎหมาย และยกเว้นความรับผิดที่เกี่ยวข้อง คณะกรรมาธิการยังเสนอให้จัดการฝึกซ้อมรับมือเหตุการณ์สำหรับระบบระดับ 4 และ 5

ผู้ทบทวนร่างต้องการกฎที่เข้มงวดยิ่งขึ้นสำหรับความเสี่ยงสูงสุด

พลโทอาวุโส เลอ ตัน ตอย ประธานคณะกรรมาธิการกลาโหม ความมั่นคง และการต่างประเทศแห่งสมัชชาแห่งชาติ เป็นผู้นำเสนอรายงานการพิจารณาร่าง คณะกรรมาธิการสนับสนุนความจำเป็นของกฎหมายและเห็นว่าร่างพร้อมเข้าสู่การพิจารณาของรัฐสภา

อย่างไรก็ตาม ผู้ทบทวนร่างต้องการเกณฑ์ที่ชัดเจนยิ่งขึ้นสำหรับแต่ละระดับความเสี่ยง บางฝ่ายเสนอให้หน่วยงานเฉพาะทางทบทวนและปรับปรุงการจัดระดับอย่างสม่ำเสมอ โดยใช้กระบวนการที่เข้มงวดกว่าสำหรับระดับ 5 แทนการปล่อยให้ผู้ควบคุมข้อมูลเป็นผู้ตัดสินใจเอง

คณะกรรมาธิการยังต้องการกฎที่ชัดเจนว่าความเสี่ยงของข้อมูลเป็นตัวกำหนดระดับการคุ้มครองที่ระบบประมวลผลต้องจัดให้ พร้อมเรียกร้องมาตรการคุ้มครองที่เข้มแข็งขึ้นสำหรับข้อมูลชีวมิติและข้อมูลพันธุกรรม เช่น ข้อมูลเกี่ยวกับลักษณะทางร่างกายหรือลักษณะที่ถ่ายทอดทางพันธุกรรม

ประเด็นด้านขั้นตอนยังอยู่ระหว่างการหารือ รวมถึงกำหนดเวลาการประเมินระบบระดับ 4 และ 5 ที่ไม่อยู่ภายใต้การประเมินความมั่นคงปลอดภัยไซเบอร์ คณะกรรมาธิการขอให้กำหนดขอบเขตระหว่างการเข้ารหัสเพื่อความมั่นคงปลอดภัย ระบบรหัสลับของรัฐบาล และการเข้ารหัสภาคพลเรือนให้ชัดเจนขึ้น รวมถึงวางกฎประสานงานเมื่อเกิดเหตุในระบบรหัสลับทางทหารและของรัฐบาล

กระทรวงความมั่นคงสาธารณะจะเป็นหน่วยงานหลักในการบริหารจัดการความมั่นคงปลอดภัยข้อมูลของรัฐ กระทรวงกลาโหมจะกำกับดูแลข้อมูลและระบบสารสนเทศทางทหาร ส่วนคณะกรรมการรหัสลับของรัฐบาลจะจัดการระบบสารสนเทศด้านรหัสลับ โดยจะไม่มีการจัดตั้งหน่วยงานใหม่

สิ่งที่เปลี่ยนแปลงและขั้นตอนต่อไป

ร่างที่เสนอต่อสมาชิกรัฐสภาเพิ่มจาก 25 เป็น 29 มาตรา ยกเลิกแผนจัดตั้งศูนย์บริหารจัดการความมั่นคงปลอดภัยข้อมูลแห่งชาติ และตัดข้อเสนอค่าปรับที่คำนวณเป็นสัดส่วนของรายได้ รายละเอียดฉบับก่อนหน้าที่เผยแพร่เมื่อวันที่ 7 กันยายน ระบุว่าร่างกฎหมายแบ่งข้อมูลเป็น 4 ระดับ อาจกำหนดค่าปรับสูงสุดร้อยละ 5 ของรายได้ในปีงบประมาณก่อนหน้า และกำหนดให้จัดเก็บข้อมูลสำคัญและข้อมูลแกนหลักภายในประเทศ ส่วนร่างที่เสนอต่อรัฐสภาเปลี่ยนมาใช้ระดับความเสี่ยง 5 ระดับและมาตรการควบคุมการส่งข้อมูลที่แตกต่างกัน

รัฐบาลยังยกเลิกกำหนดเวลาตายตัวในการเปลี่ยนไปใช้การเข้ารหัสที่ทนทานต่อคอมพิวเตอร์ควอนตัม โดยให้กำหนดกรอบเวลาในกฎของรัฐบาลภายหลัง แรงจูงใจด้านการลงทุนและภาษีที่เสนอจะสนับสนุนการวิจัยความมั่นคงปลอดภัย บริการคลาวด์อธิปไตย ศูนย์ข้อมูลที่ปลอดภัย และเทคโนโลยีการเข้ารหัส พร้อมให้ความช่วยเหลือธุรกิจขนาดเล็กและสตาร์ตอัป ร่างกฎหมายระบุให้หลีกเลี่ยงนโยบายที่ทำให้ผลิตภัณฑ์หรือผู้ให้บริการรายใดรายหนึ่งผูกขาดตลาด

การเข้ารหัสที่ทนทานต่อควอนตัมออกแบบมาเพื่อรับมือการโจมตีจากคอมพิวเตอร์ควอนตัมในอนาคต ความกังวลของรัฐบาลรวมถึงข้อมูลที่ถูกเก็บรวบรวมในรูปแบบเข้ารหัสในขณะนี้และอาจถูกถอดรหัสได้ในภายหลัง เมื่อขีดความสามารถในการประมวลผลก้าวหน้าขึ้น

กำหนดการด้านนิติบัญญัติเปลี่ยนแปลงระหว่างการจัดทำร่างดังนี้

• สิงหาคม 2026: ปิดรับฟังความคิดเห็นสาธารณะ ตามกำหนดการจัดทำร่างฉบับก่อนหน้า
• 7 กันยายน 2026: รายละเอียดฉบับก่อนหน้าระบุว่าร่างอยู่ระหว่างการพิจารณาของกระทรวงยุติธรรม
• 26 ตุลาคม 2026: รัฐบาลเสนอร่างกฎหมาย โดยกำหนดหารือเป็นกลุ่มในช่วงบ่ายวันเดียวกัน
• 1 กรกฎาคม 2027: วันที่เสนอให้กฎหมายมีผลบังคับใช้ แทนวันที่ 1 ธันวาคม 2027 ตามที่ระบุไว้ก่อนหน้านี้

ร่างกฎหมายจะแก้ไขกฎหมายความมั่นคงปลอดภัยไซเบอร์และกฎหมายข้อมูล พร้อมคงเอกสารและผลการประเมินที่มีผลใช้ได้อยู่แล้วตามบทเฉพาะกาล ระบบที่ใช้งานอยู่จะมีแนวทางให้ปรับให้เป็นไปตามข้อกำหนดใหม่ หน้าที่ขั้นสุดท้ายจะขึ้นอยู่กับข้อความที่สมัชชาแห่งชาติให้ความเห็นชอบและกฎที่ออกมาเพื่อบังคับใช้

ประเด็นสำคัญ

• เวียดนามเสนอระดับความเสี่ยงด้านความมั่นคงปลอดภัยข้อมูล 5 ระดับ โดยเพิ่มมาตรการคุ้มครองตามระดับความเสียหายที่อาจเกิดขึ้น
• ขั้นตอนอนุมัติทางปกครอง 2 ขั้นตอนจะครอบคลุมการออกแบบระบบและการส่งข้อมูลไปต่างประเทศที่เกี่ยวข้องกับระดับ 4 และ 5
• มาตรการคุ้มครอง AI จะครอบคลุมข้อมูลฝึกสอน การดึงข้อมูลโดยไม่ได้รับอนุญาต และการกำกับดูแลโดยมนุษย์ โดยผนวกการประเมินเข้ากับขั้นตอนตามกฎหมาย AI
• ผู้ทบทวนร่างในรัฐสภาต้องการควบคุมระดับ 5 ให้เข้มงวดยิ่งขึ้น และเพิ่มการคุ้มครองข้อมูลชีวมิติและข้อมูลพันธุกรรม
• ร่างฉบับปรับปรุงยกเลิกค่าปรับที่อิงรายได้และแผนจัดตั้งศูนย์แห่งชาติแห่งใหม่
• รัฐบาลเสนอให้กฎหมายมีผลบังคับใช้วันที่ 1 กรกฎาคม 2027 โดยต้องผ่านความเห็นชอบจากรัฐสภา