五級風險制度將決定越南如何保護資料
越南政府於2026年10月26日向國會提出《資料安全法》，規劃五級風險制度，對敏感資料傳送至海外加強審查，並為人工智慧使用的資訊設置防護措施。草案共六章、29條，僅設兩項行政審批程序，且都針對風險最高等級的資料。
目錄
公安部長梁三光上將代表總理，於第16屆國會第二次會期提出這項草案。企業及其他資料控制者須先自行評估資料，依其風險採取相應保護措施，並對評估結果負責。主管機關主要在事後檢查是否合規。
政府提議法律自2027年7月1日起施行。國會議員預定於10月26日下午分組討論。這項立法仍是提案，國會審查者則要求加強對最敏感資訊的管控、明確評估程序，並強化生物特徵與基因資料的保護。
草案適用範圍不僅限於在越南設立的機構，也涵蓋越南的機關、組織與個人；在越南境內的外國組織與個人；以及在境外處理越南管轄範圍內資料，或危害越南資料安全者。
對企業而言，核心變化是採取分級制度：一般處理活動只須遵循基本防護、行政文件要求較少；可能造成嚴重損害的活動，則須在開始前進行評估、稽核或取得核准。對個人而言，草案也針對資訊在系統、供應商及跨越國界傳遞過程中的安全責任增訂規範。
政府為何主張另立專法
梁三光向國會表示，越南資訊系統於2025年記錄約55.2萬起網路攻擊事件，造成5,230個機關與企業受損。他也提到，當年查獲約300起資料遭公開兜售案件，涉及逾170萬筆紀錄；另有一家信用機構遭竊逾1.6億筆客戶紀錄。
部長表示，60%至70%的資料外洩源自組織內部人員。因此，員工與承包商的存取權限，與防範外部攻擊同樣是核心問題。限制可查看資訊的人員、監控存取情況，並在必要時撤銷權限，都是草案架構中的實務措施。
政府認為，現行規定分別處理問題的不同面向。《資料法》規範資料建立、管理、分享與分類等活動；個人資料保護法規範處理條件及個人權利；《網路安全法》則保護資訊系統免受威脅。
《資料安全法》草案將聚焦資料本身在蒐集、儲存、處理、傳輸及銷毀各階段的安全。其政策依據包括政治局2024年12月22日第57-NQ/TW號決議，內容涉及科學、技術、創新與國家數位轉型。
五級風險制度的意涵
第8條將依據事件發生的可能性，以及可能對國防、國家安全、公共安全和組織與個人的合法權益造成的損害，為資料分級。第1級風險最低，第5級最高。
草案提出的分類，為企業辨識自身義務提供了起點：
- 第1級包括公開及開放資料，事件發生可能性與後果都較低。
- 第2級包括內部資訊、企業資料，以及不屬於較高級別的個人資料，風險中等。
- 第3級包括重要資料，以及大規模處理的敏感個人資料；相關門檻由政府訂定。
- 第4級通常涵蓋核心資料，風險極高，可能造成嚴重損害。
- 第5級包括核心國防與安全資料，以及用於運作或控制與國家安全相關特別重要設施的資訊。
風險等級將與《資料法》下的分類制度並行。組織與個人仍享有對其資訊的合法所有、管理及使用權；安全等級則決定所需的保護措施。
行政文件與事前審查從何時開始
政府簡報列出兩項行政程序：依第11條，審查第4級與第5級系統的設計文件；依第19條，審查並核准這兩個級別資料的跨境傳輸。
第1級不涉及行政程序。第2級控制者須依範本擬定簡化版保護計畫並自行留存。第3級控制者自行評估相關活動，無須提交審查或通知。第3級以上須進行影響評估及定期安全稽核。
處理第4級或第5級資料的系統，正式投入運作前須接受資料安全評估，並與網路安全審查協調進行。影響評估用來檢視可能出現的問題及可能受害者；稽核則確認承諾的防護措施是否確實有效。
處理一般資料的家庭企業、小型及微型企業，以及創新新創公司，原則上只須遵循基本防護指引。不過，其義務仍取決於處理活動的風險，因此所處理資訊的類型與規模，將是實務上的合規考量。
草案也希望減少重複作業。若數部法律要求針對同一對象及風險進行檢查，組織只須使用一套文件，並透過單一窗口辦理。依其他法律取得且仍有效的結果將予以承認。人工智慧資料安全評估則會納入人工智慧法規下的風險評估程序。
資料跨境傳輸將有三種不同程序
資料傳送至海外時，將依風險等級採取不同處理方式。第1級與第2級依本法無須辦理傳輸程序。第3級控制者須自行評估傳輸並留存紀錄。第4級與第5級則須在傳輸前交由主管機關審查並核准。
因此，雲端服務、國際平台及跨國營運的企業，須辨識哪些資訊會傳送至海外，以及其風險級別。其他相關法律所定的既有義務仍然適用。
國會國防、安全與對外事務委員會大致支持依風險管制，而不要求所有資料一律留在越南境內。委員會並提議對第5級採取更嚴格規定：除非總理另有決定，禁止這類資料傳送至海外。
委員會也提議限制將第4級與第5級系統的解密金鑰及密碼參數傳送至海外。解密金鑰可用來解鎖加密資訊，因此，對金鑰的管控是獨立於儲存資料位置之外的另一項安全考量。
其他提案則希望釐清誰有權限制或暫停跨境營運服務，並要求管理第4級以上資料的企業在控制權變更時通報。草案也處理外國直接索取資訊的情形，擬透過司法互助安排等機制，要求相關請求經由合法管道提出。
人工智慧防護將從訓練資料著手
研究、開發或部署處理高風險資料的人工智慧之組織，須在設計階段納入安全措施，並確認訓練資料及其衍生資訊的合法來源與完整性。
草案處理資料投毒、未經授權擷取資訊，以及自動化決策中的人為控制。資料投毒是指刻意破壞用於訓練或運作人工智慧系統的資訊，可能導致結果不可靠或遭到操弄。未經授權擷取資訊，則是指未經許可取得受保護資訊。
依適用法律規定，自動化決策須保留人為介入與監督的可能性。這項要求將底層資訊的保護，與系統使用資訊所作出的決策連結起來。
除刑事調查外，主管機關不得要求提供人工智慧原始碼或模型權重。原始碼包含程式的指令；模型權重則是人工智慧系統在訓練過程中學習到的數值設定。兩者都可能包含重要的商業知識。
人工智慧業者將依人工智慧法規進行評估，無須另備一份資料安全文件或接受單獨審查。這項安排把擬議的安全檢查納入既有監管程序，同時保留對資料本身的特定義務。
供應商也將納入安全計畫
資料控制者的責任將涵蓋供應商、中介機構及其他參與資訊處理的業者。在連接產品或服務前，控制者須評估業者風險，並將其存取權限限制在必要範圍內。
合約須訂明保密責任，以及資料外洩時的處置方式。控制者也須在合作期間監控存取情況，並在發現風險或事故時撤銷權限。若供應商遠端存取處理較高風險資料的系統，則須接受更嚴格管控。
適用範圍還包括關鍵數位基礎設施、國家資料基礎設施、大規模資料處理，以及連結數位控制系統與實體設備的系統。在這些環境中，資料遭到破壞或操弄，不僅可能暴露資訊，也可能影響機械與設施運作。
委員會要求，責任應依各方實際的決策權與資料控制權分配。如此一來，便能區分決定資訊如何使用的控制者，與僅提供範圍較窄服務的業者各自應負的義務。
緊急權力將受法律限制
草案將建立監控、預警、事件通報及協調應變機制。政府簡報提及的修訂內容還包括：事件發生時通知受影響者，並限制暫停資料傳輸措施的適用範圍。
緊急技術措施須有法律依據、由獲授權的決策者作出，並明確規定適用範圍與期間。主管機關應優先採取對權利限制最小的措施，並在依據消失時終止措施。
受影響的組織與個人仍可依法提出申訴、提起訴訟及請求賠償。國會審查者也要求，當主管機關徵用私人持有的人員、設備或其他資源時，須明確規定條件與賠償安排。
草案鼓勵資料安全負責人及獨立專家秉持善意偵測、測試與通報漏洞，並保障其身分及合法權益，且提供相應的責任豁免。委員會另提議，針對第4級與第5級系統進行事件應變演練。
審查者要求收緊最高風險等級的規範
國會國防、安全與對外事務委員會主席黎晉泰上將向國會提出審查報告。委員會支持制定這項法律的必要性，並認為草案已具備交由國會審議的條件。
不過，審查者要求明確訂定各風險等級的標準。部分人提議由專責機關定期檢討並更新資料分級；第5級則應採取更嚴格的程序，而非由控制者自行決定。
委員會也要求明確規定，資料風險決定處理系統須採取何種保護措施。委員會並要求加強保護生物特徵與基因資訊，例如個人的身體特徵或遺傳特性等資訊。
程序方面仍有待討論，包括不屬於網路安全審查範圍的第4級與第5級系統，其審查期限如何訂定。委員會要求進一步釐清安全密碼技術、政府密碼系統與民用密碼技術之間的界線，並訂定軍用及政府密碼系統的事件協調規則。
公安部將負責資料安全的國家管理工作，國防部負責監督軍事資料與資訊系統，政府密碼委員會則管理密碼資訊系統。不會另設新機關。
修訂內容與後續程序
提交國會的提案條文由25條增至29條，刪除原計畫設立的國家資料安全治理中心，也取消按營收比例計算罰款的規定。9月7日公布的早期說明曾提出四級資料分類、最高可處前一會計年度營收5%的罰款，以及關鍵與核心資料須在國內儲存等要求。提交國會的提案則改採五級風險制度與分級跨境傳輸管制。
政府也刪除轉換至抗量子密碼技術的固定期限，改由後續政府規定訂定時程。擬議的投資與租稅優惠將支持安全研究、主權雲端服務、安全資料中心及密碼技術，並協助較小型企業與新創公司。草案要求避免政策造成特定產品或供應商壟斷。
抗量子密碼技術旨在抵禦未來量子電腦發動的攻擊。政府關切的情況之一，是資訊目前以加密形式遭到蒐集，待運算能力提升後再被解碼。
立法時程在草擬期間有所調整：
- 2026年8月：依早期草擬時程，公開諮詢結束。
- 2026年9月7日：早期說明指出，草案交由司法部審查。
- 2026年10月26日：政府提出草案，預定於當天下午進行分組討論。
- 2027年7月1日：國會提案規劃的施行日期，取代先前所述的2027年12月1日。
草案將修訂《網路安全法》與《資料法》，並透過過渡條款，維持既有有效紀錄與評估結果。現有系統也將獲得符合新規定的過渡途徑。最終義務仍須視國會通過的條文及實施規則而定。
重點整理
- 越南提議將資料安全風險分為五級，潛在損害越大，所需防護措施越嚴格。
- 兩項行政審批程序將適用於涉及第4級與第5級資料的系統設計及跨境傳輸。
- 人工智慧防護將涵蓋訓練資料、未經授權擷取資訊與人為監督，相關評估將納入人工智慧程序。
- 國會審查者要求加強第5級管控，並提升生物特徵與基因資料的保護。
- 修訂後的提案刪除按營收計算的罰款，以及原計畫設立的國家中心。
- 政府提議自2027年7月1日起施行，仍須經國會批准。
