越南数据安全法草案拟按风险分级管理

越南公安部主持起草的《数据安全法》草案共6章29条，拟建立按风险等级分级管理的数据安全机制。草案将数据安全风险分为5级，从最低的1级到最高的5级，依据事故可能性和潜在损害程度确定，保护义务按等级和活动规模区分，而非对所有数据处理活动适用统一要求。

草案规定，数据控制主体须自行确定所管理数据的风险等级，采取相应保护措施并承担法律责任。国家以事后检查为主，仅对高风险数据和系统进行事前审查。1级和2级数据几乎不产生行政手续，个体工商户、中小微企业和创新初创企业只需按一般指导采取基本保护措施；从3级起须进行影响评估和定期审计；4级和5级数据须在系统正式投入运行前接受数据安全与网络安全双重审查。

草案还就个人数据主体权利、独立安全专家善意发现漏洞的免责机制、与个人数据保护法和网络安全法的适用范围划分作出规定，并确立“一个对象、一项风险内容只评估检查一次”的原则，以减少重复手续。跨境数据流动按风险等级管控，低风险数据便利流通，高风险数据受更严格保护。

对于人工智能等新技术，草案要求高风险AI系统在设计阶段即纳入数据安全措施，相关评估并入人工智能法律的风险评估流程，不另设档案；主管部门不得要求移交源代码和模型权重，刑事侦查除外。草案还要求数据控制主体对供应链中的中介和第三方进行风险评估与合同约束，并规定限制性措施须有明确依据、优先采用限制最少的手段且限定具体期限，同时保障当事人的建议、投诉、诉讼和赔偿权利。