越南數據安全法草案擬按風險分級管理

越南公安部主持起草的《數據安全法》草案共6章29條，擬建立按風險等級分級管理的數據安全機制。草案將數據安全風險分為5級，從最低的1級到最高的5級，依據事故可能性和潛在損害程度確定，保護義務按等級和活動規模區分，而非對所有數據處理活動適用統一要求。

草案規定，數據控制主體須自行確定所管理數據的風險等級，採取相應保護措施並承擔法律責任。國家以事後檢查為主，僅對高風險數據和系統進行事前審查。1級和2級數據幾乎不產生行政手續，個體工商戶、中小微企業和創新初創企業只需按一般指導採取基本保護措施；從3級起須進行影響評估和定期審計；4級和5級數據須在系統正式投入運行前接受數據安全與網絡安全雙重審查。

草案還就個人數據主體權利、獨立安全專家善意發現漏洞的免責機制、與個人數據保護法和網絡安全法的適用範圍劃分作出規定，並確立“一個對象、一項風險內容只評估檢查一次”的原則，以減少重複手續。跨境數據流動按風險等級管控，低風險數據便利流通，高風險數據受更嚴格保護。

對於人工智能等新技術，草案要求高風險AI系統在設計階段即納入數據安全措施，相關評估併入人工智能法律的風險評估流程，不另設檔案；主管部門不得要求移交源代碼和模型權重，刑事偵查除外。草案還要求數據控制主體對供應鏈中的中介和第三方進行風險評估與合同約束，並規定限制性措施須有明確依據、優先採用限制最少的手段且限定具體期限，同時保障當事人的建議、投訴、訴訟和賠償權利。