越南公安部長梁三光10月26日上午代表政府向國會提交《數據安全法》草案。草案提出按風險程度對數據分級管理，不再對所有類型數據統一設定義務。政府說明稱，現行規定分散，缺乏貫穿數據全生命週期的統一保護機制。

草案第8條將數據分為五級風險。一級為公開數據和開放數據，事故可能性和後果較低；二級為內部流通數據、經營數據及不屬於三級範圍的個人數據，風險中等；三級為重要數據、部分達到數量閾值的核心數據以及大規模處理的敏感個人數據，風險較高；四級為除三級和五級情形外的核心數據，風險很高；五級為涉及國防安全的核心數據及特別重要工程運行控制的核心數據，後果特別嚴重，直接侵害國家安全。分級不改變數據所有權、管理和開發利用權，政府將規定具體標準和認定方法。

在保護義務上，一級數據主體無需按該法建立檔案和辦理行政手續，但須履行事故相關義務。二級數據主體按簡化模板制定保護方案，可納入現有規章或檔案備查；個體工商戶、微型企業、小型企業和創新初創企業免於制定該方案，但須採取基本保護措施。三級及以上須建立數據目錄、開展影響評估和定期審計，控制訪問權限、留存日誌，並在人員換崗或終止工作關係時立即收回權限。四級和五級數據處理系統須按規定接受鑑定，審計須包含滲透測試，擁有特權訪問權限的人員須接受可靠性評估。五級數據的關鍵操作須由多名有權限人員共同確認。

跨境數據傳輸也按級別分流：一級和二級不產生該法規定的手續；三級自行評估並留存檔案；四級和五級中不屬於禁止情形的，須經鑑定和批准。數據主體自行確定級別並承擔法律責任，當處理規模、目的、技術發生變化，或數據聚合、關聯、推斷後符合其他級別標準時，須重新評估。

國會國防安全與對外委員會審查後同意按五級管理，但部分意見要求建立更嚴格的五級數據認定機制，不讓數據主體自行確定；有意見提出應以數據級別而非信息系統級別作為確定處理系統保護要求的依據，並對生物識別數據、基因數據作出更嚴格規定。政府提交的材料顯示，2025年越南信息系統記錄約55.2萬次網絡攻擊，5230個機關和企業受損，約60%至70%的數據洩露源自內部人員。