Về phân loại dữ liệu theo cấp độ rủi ro an ninh, Điều 6 dự thảo Luật An ninh dữ liệu nêu rõ, dữ liệu được phân loại theo 4 cấp độ rủi ro từ thấp đến cao căn cứ vào tính chất, quy mô tích tụ và mức độ tác động đối với quốc phòng, ANQG, TTAT xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân, gồm:
Dữ liệu Thông thường (Cấp độ 1); Dữ liệu Nội bộ (Cấp độ 2); Dữ liệu Quan trọng (Cấp độ 3); Dữ liệu Cốt lõi (Cấp độ 4).
Trong đó, dữ liệu Thông thường (Cấp độ 1) là dữ liệu mở hoặc dữ liệu hoạt động dân sự, thương mại thông thường; nếu bị xâm phạm chỉ gây rủi ro thấp đối với quyền và lợi ích hợp pháp của tổ chức, cá nhân.
Dữ liệu Nội bộ (Cấp độ 2) là dữ liệu phục vụ hoạt động quản lý, vận hành nội bộ của cơ quan, tổ chức, doanh nghiệp hoặc bí mật kinh doanh; nếu bị rò rỉ sẽ gây tổn thất cho hoạt động bình thường của tổ chức hoặc môi trường cạnh tranh.
Dữ liệu Quan trọng (Cấp độ 3) là dữ liệu có tiêu chí tương thích hoàn toàn với khái niệm "dữ liệu Quan trọng" tại Luật Dữ liệu 2024, thuộc các ngành, lĩnh vực trọng điểm mà nếu bị rò rỉ, chiếm đoạt hoặc định hướng sai lệch sẽ gây nguy hại nghiêm trọng đến an ninh quốc gia, an ninh kinh tế vĩ mô hoặc lợi ích công cộng.
Dữ liệu Cốt lõi (Cấp độ 4) là dữ liệu có tiêu chí tương thích hoàn toàn với khái niệm "dữ liệu Cốt lõi" tại Luật Dữ liệu 2024, liên quan trực tiếp đến quốc phòng, an ninh quốc gia, chủ quyền số và lợi ích chiến lược tối cao; nếu bị xâm phạm sẽ gây nguy hại đối với đất nước.
Dữ liệu thuộc cấp độ thấp hơn khi tích tụ đạt ngưỡng quy mô lớn, làm thay đổi bản chất rủi ro tác động thì được áp dụng cấp độ bảo vệ cao hơn tương ứng.
Cũng theo dự thảo, cơ quan, tổ chức vận hành hệ thống thông tin lưu trữ, xử lý dữ liệu phải thiết lập hệ thống công nghệ tự động giám sát, phát hiện và cảnh báo khi tổng quy mô tích tụ dữ liệu đạt hoặc vượt ngưỡng theo quy định. Ngay khi hệ thống tự động phát ra cảnh báo ngưỡng tích tụ dữ liệu dịch chuyển sang cấp độ rủi ro cao hơn, chủ quản hệ thống thông tin có trách nhiệm:
Thực hiện nâng cấp tức thời các biện pháp bảo vệ kỹ thuật và quản lý tương ứng với cấp độ dữ liệu mới; Khai báo biến động quy mô dữ liệu về hệ thống giám sát an ninh dữ liệu tập trung quốc gia thuộc Bộ Công an sau khi hệ thống ghi nhận tín hiệu cảnh báo, đối với dữ liệu ở cấp độ Quan trọng và Cốt lõi.
Nghiêm cấm chuyển dữ liệu Cốt lõi hoặc Quan trọng có tác động trực tiếp, tức thời đến quốc phòng, an ninh, an toàn xã hội, tài chính - ngân hàng, năng lượng, viễn thông, điều hành khẩn cấp ra nước ngoài, trừ những trường hợp đặc biệt phục vụ lợi ích tối cao của quốc gia được Chính phủ cho phép…
Đặc biệt, dự thảo còn quy định về các hành vi bị nghiêm cấm, đó là: Chiếm đoạt, phá hoại, mua bán, làm tiết lộ, rò rỉ, mất mát dữ liệu Cốt lõi, dữ liệu Quan trọng; Thực hiện gián điệp dữ liệu; cài đặt mã độc, phần mềm gián điệp nhằm thu thập dữ liệu trái phép; phá mã dữ liệu của cơ quan, tổ chức, cá nhân khi không được phép;
Chuyển giao, mua bán, lưu trữ, xử lý trái phép dữ liệu của tổ chức, công dân Việt Nam cho tổ chức, cá nhân nước ngoài; Che giấu, không thông báo hoặc báo cáo sai sự thật về sự cố an ninh dữ liệu; cản trở hoạt động thanh tra, kiểm tra, điều tra của cơ quan nhà nước có thẩm quyền…
