Vietnam Usulkan Lima Tingkat Risiko Data, Aturan Lebih Ketat untuk Transfer ke Luar Negeri, dan Perlindungan AI

Lima tingkat risiko akan menentukan cara Vietnam melindungi data

Pemerintah Vietnam mengajukan Rancangan Undang-Undang Keamanan Data kepada Majelis Nasional pada 26 Oktober 2026. Rancangan tersebut mengusulkan lima tingkat risiko, pemeriksaan lebih ketat atas data sensitif yang dikirim ke luar negeri, serta perlindungan untuk informasi yang digunakan oleh kecerdasan buatan. Rancangan ini terdiri atas enam bab dan 29 pasal, dengan hanya dua prosedur persetujuan administratif, keduanya berfokus pada data dengan tingkat risiko tertinggi.

Menteri Keamanan Publik Jenderal Luong Tam Quang, yang bertindak atas mandat Perdana Menteri, memaparkan usulan tersebut dalam sidang kedua Majelis Nasional ke-16. Pelaku usaha dan pengendali data lainnya akan melakukan penilaian awal atas data mereka sendiri, menerapkan perlindungan sesuai tingkat risikonya, dan tetap bertanggung jawab atas penilaian tersebut. Otoritas terutama akan memeriksa kepatuhan setelahnya.

Pemerintah mengusulkan 1 Juli 2027 sebagai tanggal mulai berlakunya undang-undang tersebut. Para anggota parlemen dijadwalkan membahasnya dalam kelompok-kelompok pada sore 26 Oktober. Rancangan ini masih berupa usulan, sementara para penelaah di parlemen menghendaki pengendalian yang lebih ketat atas informasi paling sensitif, prosedur penilaian yang lebih jelas, serta perlindungan lebih kuat untuk data biometrik dan genetik.

Rancangan undang-undang ini akan berlaku lebih luas daripada hanya untuk organisasi yang berbasis di Vietnam. Cakupannya meliputi lembaga, organisasi, dan individu Vietnam; organisasi dan individu asing di Vietnam; serta pihak-pihak di luar negeri yang memproses data di bawah yurisdiksi Vietnam atau bertindak mengancam keamanan data Vietnam.

Bagi pelaku usaha, perubahan utama adalah sistem berjenjang: pemrosesan rutin akan dikenai perlindungan dasar dan sedikit persyaratan administrasi, sedangkan kegiatan yang berpotensi menimbulkan kerugian serius akan memerlukan penilaian, audit, atau persetujuan sebelum dimulai. Bagi individu, usulan ini menambahkan kewajiban keamanan informasi saat data berpindah melalui sistem, pemasok, dan lintas batas negara.

Alasan pemerintah mengusulkan undang-undang tersendiri

Luong Tam Quang mengatakan kepada para anggota parlemen bahwa sistem informasi Vietnam mencatat sekitar 552.000 serangan siber pada 2025, dengan 5.230 lembaga dan pelaku usaha mengalami kerugian. Ia juga menyebut sekitar 300 kasus terdeteksi ketika data ditawarkan untuk dijual, yang melibatkan lebih dari 1,7 juta catatan, serta pencurian lebih dari 160 juta catatan pelanggan di sebuah lembaga kredit.

Menteri tersebut mengatakan 60% hingga 70% kebocoran data berasal dari personel di dalam organisasi. Karena itu, akses karyawan dan kontraktor menjadi persoalan utama di samping perlindungan dari serangan pihak luar. Pembatasan pihak yang dapat melihat informasi, pemantauan akses, dan pencabutan izin bila diperlukan merupakan langkah praktis dalam kerangka yang diusulkan.

Pemerintah berpendapat bahwa peraturan yang berlaku saat ini menangani bagian-bagian persoalan yang berbeda. Undang-Undang Data mengatur kegiatan seperti pembuatan, pengelolaan, pembagian, dan klasifikasi data. Peraturan perlindungan data pribadi mengatur ketentuan pemrosesan dan hak individu. Peraturan keamanan siber melindungi sistem informasi dari ancaman.

Rancangan Undang-Undang Keamanan Data yang diusulkan akan berfokus pada informasi itu sendiri di sepanjang proses pengumpulan, penyimpanan, pemrosesan, pengiriman, dan pemusnahan. Landasan kebijakannya mencakup Resolusi Politbiro No. 57-NQ/TW tanggal 22 Desember 2024 tentang ilmu pengetahuan, teknologi, inovasi, dan transformasi digital nasional.

Makna lima tingkat risiko

Pasal 8 akan mengelompokkan data berdasarkan kemungkinan terjadinya insiden dan dampak yang dapat ditimbulkannya terhadap pertahanan nasional, keamanan nasional, keselamatan publik, serta hak-hak sah organisasi dan individu. Tingkat 1 merupakan yang terendah dan tingkat 5 yang tertinggi.

Kategori yang diusulkan memberi pelaku usaha titik awal untuk mengenali kewajiban mereka:

• Tingkat 1 mencakup data publik dan terbuka, dengan kemungkinan insiden dan dampak yang rendah.
• Tingkat 2 mencakup informasi internal, data usaha, dan data pribadi yang tidak termasuk kategori lebih tinggi, dengan risiko sedang.
• Tingkat 3 mencakup data penting dan data pribadi sensitif yang diproses dalam skala besar, berdasarkan ambang batas yang ditetapkan pemerintah.
• Tingkat 4 umumnya mencakup data inti yang terkait dengan risiko sangat tinggi dan berpotensi menimbulkan kerugian berat.
• Tingkat 5 mencakup data inti pertahanan dan keamanan serta informasi yang digunakan untuk mengoperasikan atau mengendalikan fasilitas yang sangat penting dan terkait dengan keamanan nasional.

Penilaian risiko akan berlaku berdampingan dengan klasifikasi berdasarkan Undang-Undang Data. Organisasi dan individu tetap memiliki hak yang sah untuk memiliki, mengelola, dan menggunakan informasi mereka. Tingkat keamanan akan menentukan perlindungan yang diwajibkan.

Penerapan persyaratan administrasi dan pemeriksaan awal

Paparan pemerintah mengidentifikasi dua prosedur administratif: penilaian dokumen desain untuk sistem tingkat 4 dan 5 berdasarkan Pasal 11, serta penilaian dan persetujuan transfer ke luar negeri untuk tingkat tersebut berdasarkan Pasal 19.

Tingkat 1 tidak akan memerlukan prosedur administratif. Pengendali tingkat 2 akan menyusun rencana perlindungan ringkas dengan menggunakan templat dan menyimpannya sendiri. Pengendali tingkat 3 akan menilai kegiatannya sendiri tanpa mengajukannya untuk penilaian atau pemberitahuan. Mulai tingkat 3 ke atas, penilaian dampak dan audit keamanan berkala akan diwajibkan.

Sistem yang memproses data tingkat 4 atau 5 harus menjalani penilaian keamanan data sebelum mulai beroperasi secara resmi, yang dikoordinasikan dengan penilaian keamanan siber. Penilaian dampak mengkaji kemungkinan masalah dan pihak yang dapat dirugikan; audit memeriksa apakah perlindungan yang dijanjikan benar-benar berfungsi.

Usaha rumah tangga, usaha kecil dan mikro, serta perusahaan rintisan inovatif yang menangani data rutin pada umumnya akan mengikuti panduan perlindungan dasar. Kewajiban mereka tetap bergantung pada risiko pemrosesan, sehingga jenis dan skala informasi yang mereka tangani menjadi pertimbangan praktis dalam kepatuhan.

Rancangan ini juga berupaya mengurangi duplikasi. Jika beberapa undang-undang mewajibkan pemeriksaan terhadap objek dan risiko yang sama, organisasi cukup menggunakan satu rangkaian dokumen dan satu titik kontak. Hasil sah yang diperoleh berdasarkan undang-undang lain akan diakui. Penilaian keamanan data AI akan dimasukkan ke dalam proses penilaian risiko berdasarkan peraturan perundang-undangan AI.

Tiga mekanisme berbeda untuk transfer ke luar negeri

Data yang dikirim ke luar negeri akan diperlakukan berbeda sesuai tingkatnya. Transfer data tingkat 1 dan 2 tidak memerlukan prosedur berdasarkan undang-undang ini. Pengendali tingkat 3 akan menilai sendiri transfer tersebut dan menyimpan catatannya. Transfer data tingkat 4 dan 5 harus ditinjau dan disetujui oleh otoritas yang berwenang sebelum dilakukan.

Karena itu, layanan cloud, platform internasional, dan perusahaan yang beroperasi di beberapa negara perlu mengidentifikasi informasi yang dikirim ke luar negeri beserta tingkat risiko yang ditetapkan. Kewajiban yang berlaku berdasarkan undang-undang terkait lainnya tetap berlaku.

Komite Pertahanan Nasional, Keamanan, dan Hubungan Luar Negeri Majelis Nasional secara umum mendukung pengendalian berbasis risiko tanpa kewajiban umum untuk menyimpan seluruh data di Vietnam. Komite tersebut mengusulkan aturan yang lebih ketat untuk tingkat 5: transfer ke luar negeri dilarang kecuali Perdana Menteri memutuskan sebaliknya.

Komite itu juga mengusulkan pembatasan transfer ke luar negeri atas kunci dekripsi dan parameter kriptografi untuk sistem tingkat 4 dan 5. Kunci dekripsi membuka informasi yang dienkripsi, sehingga pengendalian atas kunci tersebut merupakan persoalan keamanan tersendiri, terpisah dari lokasi penyimpanan data.

Usulan lainnya akan memperjelas pihak yang berwenang membatasi atau menangguhkan sementara layanan lintas batas dan mewajibkan pemberitahuan jika terjadi perubahan kendali atas usaha yang mengelola data tingkat 4 atau lebih tinggi. Rancangan ini juga membahas permintaan informasi secara langsung dari pihak asing melalui mekanisme yang ditujukan untuk mewajibkan penggunaan jalur yang sah, termasuk pengaturan bantuan hukum.

Perlindungan AI dimulai dari data pelatihan

Organisasi yang meneliti, mengembangkan, atau menerapkan AI yang memproses data berisiko tinggi harus memasukkan keamanan sejak tahap desain. Mereka perlu memastikan asal-usul yang sah dan integritas data pelatihan serta informasi yang dihasilkan darinya.

Usulan ini membahas peracunan data, pengambilan data tanpa izin, dan kendali manusia atas keputusan otomatis. Peracunan data berarti dengan sengaja merusak informasi yang digunakan untuk melatih atau menjalankan sistem AI, yang berpotensi menghasilkan keluaran tidak andal atau dimanipulasi. Pengambilan tanpa izin berarti memperoleh informasi yang dilindungi tanpa persetujuan.

Intervensi dan pengawasan manusia harus tetap dimungkinkan untuk keputusan otomatis sesuai dengan hukum yang berlaku. Ketentuan ini menghubungkan perlindungan informasi yang mendasarinya dengan keputusan yang diambil sistem menggunakan informasi tersebut.

Otoritas dilarang meminta kode sumber atau bobot model AI, kecuali untuk penyidikan pidana. Kode sumber berisi instruksi suatu program; bobot model adalah pengaturan numerik yang dipelajari sistem AI selama pelatihan. Keduanya dapat mengandung pengetahuan komersial yang berharga.

Pelaku usaha AI akan menggunakan proses penilaian berdasarkan peraturan perundang-undangan AI, bukan menyiapkan berkas keamanan data tersendiri atau menjalani penilaian terpisah. Dengan demikian, pemeriksaan keamanan yang diusulkan akan terhubung dengan proses regulasi yang sudah ada, sementara kewajiban khusus terkait data itu sendiri tetap berlaku.

Pemasok akan menjadi bagian dari rencana keamanan

Pengendali data akan memiliki tanggung jawab yang mencakup pemasok, perantara, dan pihak lain yang terlibat dalam pemrosesan informasi. Sebelum menghubungkan produk atau layanan, mereka harus menilai risiko penyedia dan membatasi aksesnya sebatas yang diperlukan.

Kontrak harus menetapkan kewajiban kerahasiaan dan konsekuensi kebocoran data. Pengendali juga harus memantau akses selama kerja sama berlangsung dan mencabutnya ketika risiko atau insiden terdeteksi. Akses jarak jauh pemasok ke sistem yang menangani data berisiko lebih tinggi akan dikenai pengendalian lebih ketat.

Cakupannya meliputi infrastruktur digital kritis, infrastruktur data nasional, pemrosesan skala besar, serta sistem yang menghubungkan kendali digital dengan peralatan fisik. Dalam lingkungan tersebut, data yang rusak atau dimanipulasi dapat memengaruhi pengoperasian mesin dan fasilitas, selain membocorkan informasi.

Komite meminta agar tanggung jawab setiap pihak disesuaikan dengan kewenangan pengambilan keputusan dan kendali nyata mereka atas data. Hal ini akan membantu membedakan kewajiban pengendali yang menentukan cara penggunaan informasi dari kewajiban penyedia yang menjalankan layanan dengan cakupan lebih terbatas.

Kewenangan darurat akan dibatasi oleh hukum

Rancangan ini akan membentuk mekanisme pemantauan, peringatan dini, pelaporan insiden, dan respons terkoordinasi. Perubahan yang dijelaskan dalam paparan pemerintah juga mencakup pemberitahuan kepada pihak yang terdampak saat insiden terjadi serta pembatasan cakupan penangguhan sementara transfer data.

Tindakan teknis darurat harus memiliki dasar hukum, pengambil keputusan yang berwenang, cakupan yang ditetapkan, dan jangka waktu tertentu. Otoritas akan diarahkan untuk memilih tindakan yang paling sedikit membatasi hak dan mengakhirinya ketika dasar penerapannya tidak lagi berlaku.

Organisasi dan individu yang terdampak tetap memiliki hak untuk mengajukan pengaduan, menempuh jalur hukum, dan meminta ganti rugi berdasarkan undang-undang. Para penelaah di parlemen juga menghendaki ketentuan dan pengaturan kompensasi yang lebih jelas ketika otoritas memobilisasi personel, peralatan, atau sumber daya lain milik swasta.

Rancangan ini mendorong penanggung jawab keamanan data dan spesialis independen untuk mendeteksi, menguji, dan melaporkan kerentanan dengan iktikad baik, disertai perlindungan atas identitas dan kepentingan sah mereka serta pengecualian tanggung jawab yang sesuai. Komite juga mengusulkan latihan respons insiden untuk sistem tingkat 4 dan 5.

Penelaah menghendaki aturan lebih ketat untuk risiko tertinggi

Letnan Jenderal Senior Le Tan Toi, ketua Komite Pertahanan Nasional, Keamanan, dan Hubungan Luar Negeri Majelis Nasional, menyampaikan laporan penilaian. Komite mendukung perlunya undang-undang tersebut dan menilai usulannya siap untuk dibahas di parlemen.

Meski demikian, para penelaah menghendaki kriteria yang lebih jelas untuk setiap tingkat risiko. Sebagian mengusulkan agar otoritas khusus meninjau dan memperbarui penetapan tingkat secara berkala, dengan proses yang lebih ketat untuk tingkat 5, alih-alih menyerahkan keputusan itu kepada pengendali sendiri.

Komite juga menghendaki aturan yang lebih jelas bahwa risiko data menentukan perlindungan yang wajib diterapkan pada sistem pemrosesannya. Komite meminta perlindungan yang lebih kuat untuk informasi biometrik dan genetik, seperti informasi tentang ciri-ciri tubuh atau sifat bawaan.

Sejumlah persoalan prosedural masih dibahas, termasuk tenggat penilaian sistem tingkat 4 dan 5 yang tidak termasuk dalam penilaian keamanan siber. Komite meminta batas yang lebih jelas antara kriptografi keamanan, sistem sandi pemerintah, dan kriptografi sipil, serta aturan koordinasi insiden untuk sistem sandi militer dan pemerintah.

Kementerian Keamanan Publik akan memimpin pengelolaan keamanan data oleh negara, Kementerian Pertahanan Nasional akan mengawasi data dan sistem informasi militer, sementara Komite Sandi Pemerintah akan mengelola sistem informasi persandian. Tidak ada badan baru yang akan dibentuk.

Perubahan dan langkah berikutnya

Usulan yang disampaikan kepada para anggota parlemen bertambah dari 25 menjadi 29 pasal, menghapus rencana pembentukan Pusat Tata Kelola Keamanan Data Nasional, dan membatalkan denda yang dihitung berdasarkan persentase pendapatan. Uraian sebelumnya tertanggal 7 September memuat rancangan dengan empat tingkat data, kemungkinan denda hingga 5% dari pendapatan tahun fiskal sebelumnya, serta kewajiban penyimpanan di dalam negeri untuk data kritis dan inti. Usulan yang diajukan kepada parlemen kini menggunakan lima tingkat risiko dan pengendalian transfer yang berbeda-beda.

Pemerintah juga menghapus tenggat tetap untuk beralih ke kriptografi yang tahan terhadap komputasi kuantum, dan menyerahkan penetapan jadwalnya kepada aturan pemerintah di kemudian hari. Insentif investasi dan pajak yang diusulkan akan mendukung riset keamanan, layanan cloud berdaulat, pusat data aman, dan teknologi kriptografi, serta bantuan bagi usaha kecil dan perusahaan rintisan. Rancangan ini menyerukan agar kebijakan tidak memberikan monopoli kepada produk atau pemasok tertentu.

Kriptografi tahan kuantum dirancang untuk menghadapi serangan menggunakan komputer kuantum di masa depan. Pemerintah mengkhawatirkan informasi yang dikumpulkan dalam bentuk terenkripsi saat ini dapat diuraikan kelak seiring meningkatnya kemampuan komputasi.

Jadwal legislasi berubah selama proses penyusunan:

• Agustus 2026: Konsultasi publik berakhir, menurut jadwal penyusunan sebelumnya.
• 7 September 2026: Uraian sebelumnya menyebut rancangan tersebut sedang ditinjau Kementerian Kehakiman.
• 26 Oktober 2026: Pemerintah mengajukan usulan tersebut, dengan pembahasan kelompok dijadwalkan pada sore hari.
• 1 Juli 2027: Tanggal mulai berlaku yang ditargetkan dalam usulan kepada parlemen, menggantikan tanggal 1 Desember 2027 yang disebutkan sebelumnya.

Rancangan undang-undang ini akan mengubah Undang-Undang Keamanan Siber dan Undang-Undang Data serta mempertahankan catatan dan hasil penilaian sah yang sudah ada melalui ketentuan peralihan. Sistem yang sudah berjalan akan diberi jalur untuk memenuhi persyaratan baru. Kewajiban final akan bergantung pada naskah yang disetujui Majelis Nasional dan aturan pelaksanaannya.

Poin-Poin Utama

• Vietnam mengusulkan lima tingkat risiko keamanan data, dengan perlindungan yang meningkat seiring besarnya potensi kerugian.
• Dua prosedur persetujuan administratif akan mencakup desain sistem dan transfer ke luar negeri yang melibatkan data tingkat 4 dan 5.
• Perlindungan AI akan mencakup data pelatihan, pengambilan tanpa izin, dan pengawasan manusia, dengan penilaian yang diintegrasikan ke dalam prosedur AI.
• Para penelaah di parlemen menghendaki pengendalian tingkat 5 yang lebih ketat serta perlindungan lebih kuat untuk data biometrik dan genetik.
• Usulan yang direvisi menghapus denda berbasis pendapatan dan rencana pembentukan pusat nasional baru.
• Pemerintah mengusulkan 1 Juli 2027 sebagai tanggal mulai berlaku, dengan persetujuan parlemen sebagai syarat.