越南公安部长梁三光10月26日上午代表政府向国会提交《数据安全法》草案。草案提出按风险程度对数据分级管理，不再对所有类型数据统一设定义务。政府说明称，现行规定分散，缺乏贯穿数据全生命周期的统一保护机制。

草案第8条将数据分为五级风险。一级为公开数据和开放数据，事故可能性和后果较低；二级为内部流通数据、经营数据及不属于三级范围的个人数据，风险中等；三级为重要数据、部分达到数量阈值的核心数据以及大规模处理的敏感个人数据，风险较高；四级为除三级和五级情形外的核心数据，风险很高；五级为涉及国防安全的核心数据及特别重要工程运行控制的核心数据，后果特别严重，直接侵害国家安全。分级不改变数据所有权、管理和开发利用权，政府将规定具体标准和认定方法。

在保护义务上，一级数据主体无需按该法建立档案和办理行政手续，但须履行事故相关义务。二级数据主体按简化模板制定保护方案，可纳入现有规章或档案备查；个体工商户、微型企业、小型企业和创新初创企业免于制定该方案，但须采取基本保护措施。三级及以上须建立数据目录、开展影响评估和定期审计，控制访问权限、留存日志，并在人员换岗或终止工作关系时立即收回权限。四级和五级数据处理系统须按规定接受鉴定，审计须包含渗透测试，拥有特权访问权限的人员须接受可靠性评估。五级数据的关键操作须由多名有权限人员共同确认。

跨境数据传输也按级别分流：一级和二级不产生该法规定的手续；三级自行评估并留存档案；四级和五级中不属于禁止情形的，须经鉴定和批准。数据主体自行确定级别并承担法律责任，当处理规模、目的、技术发生变化，或数据聚合、关联、推断后符合其他级别标准时，须重新评估。

国会国防安全与对外委员会审查后同意按五级管理，但部分意见要求建立更严格的五级数据认定机制，不让数据主体自行确定；有意见提出应以数据级别而非信息系统级别作为确定处理系统保护要求的依据，并对生物识别数据、基因数据作出更严格规定。政府提交的材料显示，2025年越南信息系统记录约55.2万次网络攻击，5230个机关和企业受损，约60%至70%的数据泄露源自内部人员。