越南国会第十六届第二次会议11月4日上午讨论《数据安全法》草案，重点涉及风险分级、数据保护责任和保障民众权益。多名代表在发言中基本认同立法的必要性，同时就分级标准、个人数据泄露后的通知义务以及减少重复应用程序提出具体修改建议。

来自芹苴市的代表黎氏清蓝（Lê Thị Thanh Lam）在讨论第四条保护原则时提出，应优先在国家已评估安全的共用平台上部署服务民众的数字系统，限制接入国家数据库的孤立系统重复出现。她引用国会国防、安全与对外委员会的审查报告数据说，2025年越南记录到约55.2万起网络攻击、约300起数据出售事件，涉及超过170万条数据记录；在对7个与全国人口数据库连接的部委和地方检查中，发现1315个严重安全漏洞。

黎氏清蓝还提到，民众手机存储空间有限，却要安装电子身份认证VNeID、社保、税务、交通、证件管理、水电、移动网络等多个应用，设备容易占满内存、运行变慢，连续通知也可能让人错过办事期限和权益信息。她建议政府梳理面向民众的应用，明确哪些服务应整合到共用平台、哪些只需连接共享数据，并关注使用低配置手机的人群和困难地区居民，严格执行不得要求民众重复提供已有信息的规定。

围绕第八条数据安全风险等级，黎氏清蓝认为风险不仅取决于数据本身，还与数据量、关联能力、使用目的、集中程度和泄露后果有关。她建议明确风险分类标准、评估方法、责任主体和复核周期，并允许在处理目的、数据规模或技术变化时调整风险等级，建立对分类结果有异议时的检查和说明机制。就第二十二条事故报告责任，她建议补充规定：个人数据泄露时，数据主体须及时通知受影响者，并附上防诈骗指引，与《个人数据保护法》保持一致。

来自同塔省的代表段雄武（Đoàn Hùng Vũ）赞同立法必要性，认为草案已规定保障数据完整性、保密性和可用性的多项措施。他提出应更明确规定数据安全保护中的人为因素，因为不少信息安全事件源于密码被盗、使用简单密码、管理员权限过宽、干部将数据复制到外部或第三方员工缺乏监督。他建议补充人员、培训、考核、演练以及直接接触数据者责任的规定，并主张风险等级5的系统须配备专职数据安全人员，具备相应信息安全专业水平和证书。

段雄武还建议，风险等级5的数据主体须组织对所有参与处理、开发数据人员的培训和考核，考核合格后方可授予访问权限，并每年定期举行数据保护演练，包括应对系统弱点和人为因素引发的事故。他提出第三方数据安全服务提供商须建立获准接触客户数据的人员名单，应要求提供给数据主体，这些人员须签署个人保密承诺并依法直接承担责任。在事故通知方面，他建议通过多种信息渠道通知，为残疾人提供支持形式，必要时使用少数民族语言，以覆盖老年人、残疾人、少数民族、偏远地区居民和低收入者。

来自胡志明市的代表曹德胜（Tào Đức Thắng）建议删除第五条第三款中“数字经济”一词，认为草案集中调整数据安全领域，而数字经济发展的优惠支持政策已规定在2025年《数字化转型法》第三条第十二款，草案第三十七条也已规定对中小企业、合作社和经营户的数字经济支持政策，删除可避免重叠。就第十四条第三款c项，他建议按《个人数据保护法》的方向调整客户数据保密规定；就第十七条第一款b项列举的加密、密钥管理、访问控制、备份恢复、安全销毁、数据安全测试等技术措施，他建议改为根据第九条规定的数据安全风险等级来选择适用，以免法律列举跟不上技术变化。

公安部长梁三光（Lương Tam Quang）在解释报告中表示，数据安全风险分级机制是草案支柱之一，只有正确认定数据被侵害可能造成的危害程度，才能设定相应的保护义务，避免低风险领域过度保护而高风险领域留空。他说，草案设计5个风险等级，与《网络安全法》的5级信息系统相对应，第八条第四款允许沿用网络安全法律的风险等级认定结果，使同一系统不必重复评估；风险等级认定不替代《数据法》的核心数据和重要数据分类，也不产生新目录。

梁三光说明，保护义务按风险越低程序越简化的原则确定：1级不产生程序；2级只需简化的保护方案，并对经营户、微型企业、小型企业和创新初创企业设有豁免机制；从3级起才须进行影响评估和审计；审定仅适用于4级和5级，并与网络安全审定共用一份材料。对于在法中直接规定两套等级对应表的建议，他请求国会保留由政府在第8条第12款规定的方案，理由是技术标准变化快，写死在法中每次调整都须修法。

在公安部与国防部职责划分上，梁三光表示，规定企业在民事、经济活动中数据安全的国家管理权限并非新内容，而是落实越共中央书记处2025年12月31日第57号指示，公安部主持网络安全、信息保密和数据安全的国家管理，国防部主持管理其权限内的军事信息系统、数据库和密码工作。他说，划分标准是数据性质而非企业性质，草案不会改变两部在数据安全保障中的权利和责任。