越南國會第十六屆第二次會議11月4日上午討論《數據安全法》草案，重點涉及風險分級、數據保護責任和保障民眾權益。多名代表在發言中基本認同立法的必要性，同時就分級標準、個人數據洩露後的通知義務以及減少重複應用程序提出具體修改建議。

來自芹苴市的代表黎氏清藍（Lê Thị Thanh Lam）在討論第四條保護原則時提出，應優先在國家已評估安全的共用平臺上部署服務民眾的數字系統，限制接入國家數據庫的孤立系統重複出現。她引用國會國防、安全與對外委員會的審查報告數據說，2025年越南記錄到約55.2萬起網絡攻擊、約300起數據出售事件，涉及超過170萬條數據記錄；在對7個與全國人口數據庫連接的部委和地方檢查中，發現1315個嚴重安全漏洞。

黎氏清藍還提到，民眾手機存儲空間有限，卻要安裝電子身份認證VNeID、社保、稅務、交通、證件管理、水電、移動網絡等多個應用，設備容易佔滿內存、運行變慢，連續通知也可能讓人錯過辦事期限和權益信息。她建議政府梳理面向民眾的應用，明確哪些服務應整合到共用平臺、哪些只需連接共享數據，並關注使用低配置手機的人群和困難地區居民，嚴格執行不得要求民眾重複提供已有信息的規定。

圍繞第八條數據安全風險等級，黎氏清藍認為風險不僅取決於數據本身，還與數據量、關聯能力、使用目的、集中程度和洩露後果有關。她建議明確風險分類標準、評估方法、責任主體和複核週期，並允許在處理目的、數據規模或技術變化時調整風險等級，建立對分類結果有異議時的檢查和說明機制。就第二十二條事故報告責任，她建議補充規定：個人數據洩露時，數據主體須及時通知受影響者，並附上防詐騙指引，與《個人數據保護法》保持一致。

來自同塔省的代表段雄武（Đoàn Hùng Vũ）贊同立法必要性，認為草案已規定保障數據完整性、保密性和可用性的多項措施。他提出應更明確規定數據安全保護中的人為因素，因為不少信息安全事件源於密碼被盜、使用簡單密碼、管理員權限過寬、幹部將數據複製到外部或第三方員工缺乏監督。他建議補充人員、培訓、考核、演練以及直接接觸數據者責任的規定，並主張風險等級5的系統須配備專職數據安全人員，具備相應信息安全專業水平和證書。

段雄武還建議，風險等級5的數據主體須組織對所有參與處理、開發數據人員的培訓和考核，考核合格後方可授予訪問權限，並每年定期舉行數據保護演練，包括應對系統弱點和人為因素引發的事故。他提出第三方數據安全服務提供商須建立獲准接觸客戶數據的人員名單，應要求提供給數據主體，這些人員須簽署個人保密承諾並依法直接承擔責任。在事故通知方面，他建議通過多種信息渠道通知，為殘疾人提供支持形式，必要時使用少數民族語言，以覆蓋老年人、殘疾人、少數民族、偏遠地區居民和低收入者。

來自胡志明市的代表曹德勝（Tào Đức Thắng）建議刪除第五條第三款中“數字經濟”一詞，認為草案集中調整數據安全領域，而數字經濟發展的優惠支持政策已規定在2025年《數字化轉型法》第三條第十二款，草案第三十七條也已規定對中小企業、合作社和經營戶的數字經濟支持政策，刪除可避免重疊。就第十四條第三款c項，他建議按《個人數據保護法》的方向調整客戶數據保密規定；就第十七條第一款b項列舉的加密、密鑰管理、訪問控制、備份恢復、安全銷燬、數據安全測試等技術措施，他建議改為根據第九條規定的數據安全風險等級來選擇適用，以免法律列舉跟不上技術變化。

公安部長梁三光（Lương Tam Quang）在解釋報告中表示，數據安全風險分級機制是草案支柱之一，只有正確認定數據被侵害可能造成的危害程度，才能設定相應的保護義務，避免低風險領域過度保護而高風險領域留空。他說，草案設計5個風險等級，與《網絡安全法》的5級信息系統相對應，第八條第四款允許沿用網絡安全法律的風險等級認定結果，使同一系統不必重複評估；風險等級認定不替代《數據法》的核心數據和重要數據分類，也不產生新目錄。

梁三光說明，保護義務按風險越低程序越簡化的原則確定：1級不產生程序；2級只需簡化的保護方案，並對經營戶、微型企業、小型企業和創新初創企業設有豁免機制；從3級起才須進行影響評估和審計；審定僅適用於4級和5級，並與網絡安全審定共用一份材料。對於在法中直接規定兩套等級對應表的建議，他請求國會保留由政府在第8條第12款規定的方案，理由是技術標準變化快，寫死在法中每次調整都須修法。

在公安部與國防部職責劃分上，梁三光表示，規定企業在民事、經濟活動中數據安全的國家管理權限並非新內容，而是落實越共中央書記處2025年12月31日第57號指示，公安部主持網絡安全、信息保密和數據安全的國家管理，國防部主持管理其權限內的軍事信息系統、數據庫和密碼工作。他說，劃分標準是數據性質而非企業性質，草案不會改變兩部在數據安全保障中的權利和責任。