Iminumungkahi ng Vietnam ang Limang Antas ng Panganib sa Data, Mas Mahigpit na Paglilipat Nito sa Ibang Bansa at mga Pananggalang sa AI

Limang antas ng panganib ang magiging batayan ng pagprotekta ng Vietnam sa data

Ipinresenta ng pamahalaan ng Vietnam sa Pambansang Asamblea noong Oktubre 26, 2026 ang isang Panukalang Batas sa Seguridad ng Data, na nagmumungkahi ng limang antas ng panganib, mas mahigpit na pagsusuri sa sensitibong data na ipinadadala sa ibang bansa, at mga pananggalang para sa impormasyong ginagamit ng artipisyal na intelihensiya. Binubuo ang panukala ng anim na kabanata at 29 na artikulo, at dalawa lamang ang pamamaraang nangangailangan ng administratibong pag-apruba; kapwa nakatuon ang mga ito sa data na nasa pinakamataas na antas ng panganib.

Ipinresenta ni Heneral Luong Tam Quang, Ministro ng Pampublikong Seguridad, ang panukala sa ikalawang sesyon ng ika-16 na Pambansang Asamblea, sa bisa ng awtorisasyon ng Punong Ministro. Sa simula, ang mga negosyo at iba pang tagakontrol ng data ang magsusuri sa sarili nilang data, maglalapat ng mga pananggalang na naaayon sa antas ng panganib nito, at mananagot sa naturang pagsusuri. Pangunahing susuriin ng mga awtoridad ang pagsunod sa mga patakaran pagkatapos nito.

Iminumungkahi ng pamahalaan na magkabisa ang batas sa Hulyo 1, 2027. Nakatakdang talakayin ito ng mga mambabatas nang panggrupo sa hapon ng Oktubre 26. Panukala pa lamang ang batas; nais ng mga tagasuri sa parlamento ng mas mahigpit na kontrol sa pinakasensitibong impormasyon, mas malinaw na mga pamamaraan ng pagsusuri, at mas matibay na proteksiyon sa biometric at genetic na data.

Hindi lamang mga organisasyong nakabase sa Vietnam ang saklaw ng panukalang batas. Saklaw nito ang mga ahensiya, organisasyon at indibidwal sa Vietnam; mga dayuhang organisasyon at indibidwal na nasa Vietnam; at mga nasa ibang bansa na nagpoproseso ng data na saklaw ng hurisdiksiyon ng Vietnam o kumikilos laban sa seguridad ng data ng bansa.

Para sa mga negosyo, ang pangunahing pagbabago ay ang sistemang may magkakaibang antas ng mga kinakailangan: sasailalim ang karaniwang pagproseso sa mga batayang pananggalang at kaunting papeles, samantalang mangangailangan ng mga pagsusuri, audit o pag-apruba bago simulan ang mga gawaing maaaring magdulot ng malubhang pinsala. Para sa mga indibidwal, nagdaragdag ang panukala ng mga tungkulin sa seguridad habang dumaraan ang impormasyon sa mga sistema, tagapagtustos at mga hangganan ng bansa.

Bakit nais ng pamahalaan ng hiwalay na batas

Sinabi ni Luong Tam Quang sa mga mambabatas na nagtala ang mga sistema ng impormasyon ng Vietnam ng humigit-kumulang 552,000 cyberattack noong 2025, na nagdulot ng pinsala sa 5,230 ahensiya at negosyo. Binanggit din niya ang tinatayang 300 natukoy na insidente ng pag-aanunsiyo ng data para ibenta, na kinasasangkutan ng mahigit 1.7 milyong rekord, at isang pagnanakaw ng mahigit 160 milyong rekord ng customer mula sa isang institusyong nagpapautang.

Ayon sa ministro, 60% hanggang 70% ng mga pagtagas ng data ay nagmula sa mga tauhan sa loob ng mga organisasyon. Dahil dito, mahalagang usapin ang pag-access ng mga empleyado at kontratista, kasabay ng proteksiyon laban sa mga panlabas na umaatake. Kabilang sa mga praktikal na hakbang sa iminungkahing balangkas ang paglilimita sa mga makakakita ng impormasyon, pagsubaybay sa pag-access at pagbawi ng mga pahintulot kung kinakailangan.

Ayon sa pamahalaan, magkakaibang bahagi ng problema ang tinutugunan ng mga umiiral na patakaran. Pinamamahalaan ng Batas sa Data ang mga gawaing gaya ng paglikha, pamamahala, pagbabahagi at pag-uuri ng data. Pinamamahalaan naman ng mga batas sa proteksiyon ng personal na data ang mga kondisyon sa pagproseso at mga karapatan ng mga indibidwal. Pinoprotektahan ng mga batas sa cybersecurity ang mga sistema ng impormasyon laban sa mga banta.

Itutuon ang iminungkahing Batas sa Seguridad ng Data sa mismong impormasyon sa buong proseso ng pangangalap, pag-iimbak, pagproseso, pagpapadala at pagsira nito. Kabilang sa mga saligan ng patakaran nito ang Resolusyon Blg. 57-NQ/TW ng Politburo noong Disyembre 22, 2024, tungkol sa agham, teknolohiya, inobasyon at pambansang digital na transpormasyon.

Ano ang kahulugan ng limang antas

Iuuri ng Artikulo 8 ang data batay sa posibilidad na magkaroon ng insidente at sa pinsalang maaari nitong idulot sa pambansang depensa, pambansang seguridad, kaligtasan ng publiko at mga lehitimong karapatan ng mga organisasyon at indibidwal. Pinakamababa ang Antas 1 at pinakamataas ang Antas 5.

nagbibigay ang mga iminungkahing kategorya ng panimulang batayan para matukoy ng mga negosyo ang kanilang mga obligasyon:

• Kabilang sa Antas 1 ang pampubliko at bukas na data, na mababa ang posibilidad ng insidente at ang maaaring maging bunga nito.
• Kabilang sa Antas 2 ang panloob na impormasyon, data ng negosyo at personal na data na wala sa mas mataas na kategorya, na may katamtamang panganib.
• Kabilang sa Antas 3 ang mahalagang data at sensitibong personal na data na pinoproseso nang maramihan, alinsunod sa mga hangganang itatakda ng pamahalaan.
• Karaniwang saklaw ng Antas 4 ang pangunahing data na may napakataas na panganib at maaaring magdulot ng matinding pinsala.
• Kabilang sa Antas 5 ang pangunahing data para sa depensa at seguridad, at impormasyong ginagamit sa pagpapatakbo o pagkontrol sa mga partikular na mahalagang pasilidad na may kaugnayan sa pambansang seguridad.

Gagamitin ang antas ng panganib kasabay ng pag-uuring itinakda sa Batas sa Data. Mananatili sa mga organisasyon at indibidwal ang kanilang mga lehitimong karapatan sa pagmamay-ari, pamamahala at paggamit ng kanilang impormasyon. Itatakda naman ng antas ng seguridad ang kinakailangang proteksiyon.

Saan magsisimula ang mga papeles at paunang pagsusuri

Dalawang pamamaraang administratibo ang tinukoy sa presentasyon ng pamahalaan: pagsusuri sa mga dokumento ng disenyo ng mga sistemang nasa Antas 4 at 5 sa ilalim ng Artikulo 11, at pagsusuri at pag-apruba sa paglilipat ng data sa ibang bansa sa mga antas na iyon sa ilalim ng Artikulo 19.

Walang pamamaraang administratibo para sa Antas 1. Maghahanda ang mga tagakontrol ng Antas 2 ng pinaikling plano sa proteksiyon gamit ang isang template at sila mismo ang magtatago nito. Sariling susuriin ng mga tagakontrol ng Antas 3 ang kanilang mga gawain nang hindi nagsusumite ng mga ito para sa pagsusuri o pagpapaalam. Mula Antas 3 pataas, kakailanganin ang mga pagsusuri sa epekto at pana-panahong audit sa seguridad.

Kailangang masuri ang seguridad ng mga sistemang nagpoproseso ng data sa Antas 4 o 5 bago opisyal na gamitin ang mga ito; isasagawa ito kasabay ng pagsusuri sa cybersecurity. Sinusuri sa pagtatasa ng epekto kung ano ang maaaring magkamali at kung sino ang maaaring mapinsala; tinitiyak naman sa audit kung talagang gumagana ang mga ipinangakong pananggalang.

Karaniwang susunod sa mga batayang gabay sa proteksiyon ang mga negosyong pantahanan, maliliit at napakaliit na negosyo, at mga startup na nagbabago ng teknolohiya na humahawak ng karaniwang data. Gayunman, nakabatay pa rin sa panganib ng pagproseso nila ang kanilang mga obligasyon, kaya mahalagang tanong sa pagsunod sa mga patakaran ang uri at dami ng impormasyong hinahawakan nila.

Nilalayon din ng panukala na bawasan ang pag-uulit ng mga proseso. Kapag hinihingi ng ilang batas ang pagsusuri sa iisang paksa at panganib, iisang hanay ng mga dokumento at iisang tanggapan ng ugnayan lamang ang gagamitin ng organisasyon. Kikilalanin ang mga balidong resulta ng pagsusuring nakuha sa ilalim ng ibang batas. Isasama naman ang pagsusuri sa seguridad ng data para sa AI sa proseso ng pagtatasa ng panganib sa ilalim ng mga batas tungkol sa AI.

Tatlong magkaibang proseso para sa paglilipat sa ibang bansa

Iba-iba ang pagtrato sa data na ipinadadala sa ibang bansa, depende sa antas nito. Walang kinakailangang proseso ng paglilipat sa ilalim ng batas na ito para sa Antas 1 at 2. Sariling susuriin ng mga tagakontrol ng Antas 3 ang paglilipat at itatago ang mga rekord nito. Para sa Antas 4 at 5, kakailanganin ang pagsusuri at pag-apruba ng karampatang awtoridad bago ilipat ang data.

Kaya kakailanganing tukuyin ng mga serbisyo sa cloud, internasyonal na plataporma at kumpanyang nagpapatakbo sa ilang bansa kung aling impormasyon ang ipinadadala sa ibang bansa at kung anong antas ng panganib ang itinalaga rito. Mananatiling umiiral ang mga obligasyon sa ilalim ng iba pang kaugnay na batas.

Malawakang sinuportahan ng Komite ng Pambansang Asamblea sa Pambansang Depensa, Seguridad at Ugnayang Panlabas ang mga kontrol batay sa panganib, nang walang pangkalahatang kahilingang itago ang lahat ng data sa loob ng Vietnam. Iminungkahi nito ang mas mahigpit na tuntunin para sa Antas 5: ipagbabawal ang paglilipat sa ibang bansa maliban kung magpasya ang Punong Ministro ng iba.

Iminungkahi rin ng komite na paghigpitan ang paglilipat sa ibang bansa ng mga decryption key at cryptographic parameter para sa mga sistemang nasa Antas 4 at 5. Binubuksan ng decryption key ang naka-encrypt na impormasyon, kaya hiwalay na usaping pangseguridad ang pagkontrol sa susi, bukod pa sa lokasyon ng nakaimbak na data.

Kabilang sa iba pang panukala ang paglilinaw kung sino ang maaaring maglimita o pansamantalang magsuspinde ng mga serbisyong tumatakbo sa mga hangganan ng bansa, at ang pag-uutos na magbigay-alam kapag nagbago ang kontrol sa isang negosyong namamahala ng data sa Antas 4 pataas. Tinutugunan din ng panukala ang mga direktang kahilingan ng mga dayuhang pamahalaan para sa impormasyon, sa pamamagitan ng mga paraang naglalayong iatas ang paggamit ng mga legal na proseso, kabilang ang mga kasunduan sa tulong panghukuman.

Magsisimula sa training data ang mga pananggalang para sa AI

Kailangang isama sa yugto ng disenyo ang seguridad ng mga organisasyong nagsasaliksik, bumubuo o gumagamit ng AI na nagpoproseso ng data na may mataas na panganib. Kakailanganin nilang tiyakin ang legal na pinagmulan at integridad ng training data at ng impormasyong hinango mula rito.

Tinutugunan ng panukala ang paglalason sa data, hindi awtorisadong pagkuha ng impormasyon at pangangasiwa ng tao sa mga awtomatikong pagpapasya. Ang paglalason sa data ay ang sadyang pagsira o pagbabago sa impormasyong ginagamit sa pagsasanay o pagpapatakbo ng sistema ng AI, na maaaring magdulot ng mga resultang hindi maaasahan o minanipula. Ang hindi awtorisadong pagkuha naman ay ang pagkuha ng protektadong impormasyon nang walang pahintulot.

Dapat manatiling posible ang pakikialam at pangangasiwa ng tao sa mga awtomatikong pagpapasya, alinsunod sa naaangkop na batas. Inuugnay ng kahingian na ito ang proteksiyon sa pinagbabatayang impormasyon sa mga pagpapasyang ginagawa ng sistemang gumagamit nito.

Hindi maaaring hingin ng mga awtoridad ang source code o mga timbang ng modelo ng AI, maliban sa mga imbestigasyong kriminal. Naglalaman ang source code ng mga tagubilin ng isang programa; ang mga timbang ng modelo naman ay mga numerikal na setting na natututuhan ng sistema ng AI habang sinasanay ito. Maaaring kapwa taglay ng mga ito ang mahahalagang kaalamang pangkomersiyo.

Gagamitin ng mga negosyong AI ang proseso ng pagsusuri sa ilalim ng mga batas tungkol sa AI sa halip na maghanda ng hiwalay na dokumento sa seguridad ng data o sumailalim sa hiwalay na pagsusuri. Sa ganitong paraan, ikakabit ang mga iminungkahing pagsusuring pangseguridad sa umiiral na proseso ng regulasyon habang pananatilihin ang mga partikular na tungkulin sa pangangalaga ng mismong data.

Magiging bahagi ng plano sa seguridad ang mga tagapagtustos

Sasaklawin ng mga pananagutan ng mga tagakontrol ng data ang mga tagapagtustos, tagapamagitan at iba pang partidong sangkot sa pagproseso ng impormasyon. Bago magkabit ng produkto o serbisyo, susuriin nila ang mga panganib ng tagapagbigay nito at lilimitahan ang pag-access nito sa kinakailangan lamang.

Kailangang tukuyin sa mga kontrata ang mga tungkulin sa pagpapanatili ng pagiging kumpidensiyal at ang mga kahihinatnan ng pagtagas ng data. Susubaybayan din ng mga tagakontrol ang pag-access habang umiiral ang ugnayan at babawiin ito kapag may natukoy na mga panganib o insidente. Sasailalim sa mas mahigpit na kontrol ang malayuang pag-access ng mga tagapagtustos sa mga sistemang humahawak ng data na mas mataas ang panganib.

Saklaw nito ang kritikal na digital na imprastraktura, pambansang imprastraktura ng data, malakihang pagproseso at mga sistemang nag-uugnay sa mga digital na kontrol sa pisikal na kagamitan. Sa mga ganitong sitwasyon, maaaring makaapekto sa pagpapatakbo ng mga makina at pasilidad ang pagkasira o manipulasyon ng data, bukod pa sa paglalantad ng impormasyon.

Hiniling ng komite na iayon ang mga pananagutan sa aktuwal na kapangyarihan ng bawat partido sa paggawa ng mga pagpapasya at pagkontrol sa data. Makakatulong ito para maihiwalay ang mga tungkulin ng tagakontrol na nagpapasya kung paano gagamitin ang impormasyon sa mga tungkulin ng tagapagbigay ng mas limitadong serbisyo.

Magkakaroon ng mga legal na hangganan ang mga kapangyarihang pang-emerhensiya

Magtatatag ang panukala ng pagsubaybay, maagang babala, pag-uulat ng insidente at magkakaugnay na pagtugon. Kabilang din sa mga pagbabagong inilalarawan sa presentasyon ng pamahalaan ang pagpapaalam sa mga apektadong tao kapag nagkaroon ng insidente at paglilimita sa saklaw ng pansamantalang pagsususpinde ng mga paglilipat ng data.

Kakailanganin ng mga hakbang na teknikal para sa emerhensiya ang legal na batayan, awtorisadong tagapagpasya, malinaw na saklaw at takdang panahon. Inaatasan ang mga awtoridad na piliin ang hakbang na pinakamaliit ang paghihigpit sa mga karapatan at wakasan ito kapag hindi na umiiral ang batayan nito.

Mananatili sa mga apektadong organisasyon at indibidwal ang karapatang magreklamo, magsampa ng kaso at humingi ng kabayaran sa ilalim ng batas. Hiniling din ng mga tagasuri sa parlamento ang mas malinaw na mga kondisyon at kaayusan sa kabayaran kapag pinakikilos ng mga awtoridad ang mga tauhan, kagamitan o iba pang pribadong pag-aari.

Hinihikayat ng panukala ang mga responsable sa seguridad ng data at mga independiyenteng espesyalista na tapat na tumukoy, sumubok at mag-ulat ng mga kahinaan, na may proteksiyon sa kanilang pagkakakilanlan at mga lehitimong interes, at kaukulang mga eksepsiyon sa pananagutan. Iminungkahi rin ng komite ang mga pagsasanay sa pagtugon sa insidente para sa mga sistemang nasa Antas 4 at 5.

Nais ng mga tagasuri ng mas mahihigpit na tuntunin para sa pinakamataas na panganib

Ipinresenta ni Heneral Tenyente Le Tan Toi, pinuno ng Komite ng Pambansang Asamblea sa Pambansang Depensa, Seguridad at Ugnayang Panlabas, ang ulat ng pagsusuri. Sinuportahan ng komite ang pangangailangan para sa batas at itinuring na handa na ang panukala para talakayin ng parlamento.

Gayunman, nais ng mga tagasuri ng mas malinaw na pamantayan para sa bawat antas ng panganib. Iminungkahi ng ilan na regular na suriin at i-update ng mga espesyalisadong awtoridad ang mga pagtatalaga, at gumamit ng mas mahigpit na proseso para sa Antas 5 sa halip na ipaubaya ang pasyang iyon sa mga tagakontrol.

Nais din ng komite ng mas malinaw na tuntuning ang panganib ng data ang nagtatakda ng proteksiyong kailangan para sa sistemang nagpoproseso nito. Hiniling nito ang mas matibay na pananggalang para sa biometric at genetic na impormasyon, gaya ng impormasyon tungkol sa mga katangian ng katawan o namamanang katangian.

Pinag-uusapan pa ang mga usaping pamproseso, kabilang ang mga takdang panahon sa pagsusuri sa mga sistemang nasa Antas 4 at 5 na hindi saklaw ng pagsusuri sa cybersecurity. Hiniling ng komite ang mas malinaw na pagkakaiba sa pagitan ng cryptography para sa seguridad, mga sistema ng cipher ng pamahalaan at cryptography para sa sibilyan, gayundin ang mga tuntunin sa koordinasyon ng pagtugon sa insidente para sa mga sistema ng cipher ng militar at pamahalaan.

Mangunguna ang Ministri ng Pampublikong Seguridad sa pamamahala ng estado sa seguridad ng data; mangangasiwa naman ang Ministri ng Pambansang Depensa sa data at mga sistema ng impormasyon ng militar; at pamamahalaan ng Komite ng Cipher ng Pamahalaan ang mga sistema ng impormasyon ng cipher. Walang bagong ahensiyang itatatag.

Ano ang nagbago at ano ang susunod

Lumawak mula 25 tungo sa 29 na artikulo ang panukalang iniharap sa mga mambabatas. Inalis dito ang planong Pambansang Sentro para sa Pamamahala ng Seguridad ng Data at ang mga multang kakalkulahin bilang porsiyento ng kita. Inilarawan sa naunang bersiyon noong Setyembre 7 ang apat na antas ng data, mga posibleng multang hanggang 5% ng kita noong nakaraang taon ng pananalapi at mga kahingian na itago sa loob ng bansa ang kritikal at pangunahing data. Sa halip, gumagamit ang panukalang iniharap sa parlamento ng limang antas ng panganib at magkakaibang kontrol sa paglilipat ng data.

Inalis din ng pamahalaan ang takdang panahon para lumipat sa cryptography na panlaban sa quantum computing, at iniwan sa mga susunod na tuntunin ng pamahalaan ang pagtatakda ng iskedyul. Susuportahan ng mga iminungkahing insentibo sa pamumuhunan at buwis ang pananaliksik sa seguridad, mga serbisyong cloud na kontrolado ng bansa, ligtas na data center at mga teknolohiyang cryptographic, kalakip ang tulong para sa maliliit na negosyo at startup. Ayon sa panukala, dapat iwasan ang mga patakarang nagbibigay ng monopolyo sa isang partikular na produkto o tagapagtustos.

Dinisenyo ang cryptography na panlaban sa quantum computing para makatiis sa mga pag-atakeng gumagamit ng mga quantum computer sa hinaharap. Kabilang sa mga ikinababahala ng pamahalaan ang impormasyong kinokolekta ngayon nang naka-encrypt at maaaring mabuksan sa hinaharap habang umuunlad ang kakayahan ng mga computer.

Nagbago ang iskedyul ng paggawa ng batas habang inihahanda ang panukala:

• Agosto 2026: Nagsara ang konsultasyong pampubliko, ayon sa naunang iskedyul ng paghahanda ng batas.
• Setyembre 7, 2026: Ayon sa naunang paglalarawan, nasa ilalim noon ng pagsusuri ng Ministri ng Katarungan ang panukala.
• Oktubre 26, 2026: Iniharap ng pamahalaan ang panukala; nakatakda ang mga talakayang panggrupo sa hapong iyon.
• Hulyo 1, 2027: Iminungkahing petsa ng pagkakabisa sa panukalang iniharap sa parlamento, kapalit ng Disyembre 1, 2027 na petsang naunang inilarawan.

Aamyendahan ng panukalang batas ang Batas sa Cybersecurity at Batas sa Data, at pananatilihin sa pamamagitan ng mga probisyong transisyonal ang mga umiiral na rekord at resulta ng pagsusuring balido. Bibigyan ng paraan ang mga umiiral na sistema para matugunan ang mga bagong kahingian. Ang huling mga obligasyon ay nakasalalay sa tekstong aaprubahan ng Pambansang Asamblea at sa mga tuntuning magpapatupad dito.

Mahahalagang Punto

• Nagmumungkahi ang Vietnam ng limang antas ng panganib sa seguridad ng data; titindi ang mga pananggalang habang tumataas ang posibleng pinsala.
• Sasaklawin ng dalawang pamamaraang nangangailangan ng administratibong pag-apruba ang disenyo ng mga sistema at paglilipat sa ibang bansa na may kinalaman sa Antas 4 at 5.
• Tutugunan ng mga pananggalang para sa AI ang training data, hindi awtorisadong pagkuha at pangangasiwa ng tao; isasama ang mga pagsusuri sa mga proseso para sa AI.
• Nais ng mga tagasuri sa parlamento ng mas mahigpit na kontrol sa Antas 5 at mas matibay na proteksiyon para sa biometric at genetic na data.
• Inalis sa binagong panukala ang mga multang batay sa kita at ang planong magtatag ng bagong pambansang sentro.
• Iminumungkahi ng pamahalaan na magkabisa ang batas sa Hulyo 1, 2027, kung aaprubahan ito ng parlamento.