Chuẩn hóa công tác quản lý, xác thực tài khoản và bảo vệ an ninh mạng trên không gian số

Nghị định cụ thể hóa nhiều nghĩa vụ gắn liền với hoạt động cung cấp, sử dụng dịch vụ trên không gian mạng, tập trung vào ba nhóm nội dung then chốt được dư luận, người dân và doanh nghiệp đặc biệt quan tâm gồm: xác thực tài khoản người dùng; ngăn chặn, gỡ bỏ thông tin vi phạm và hạn chế tài khoản, trang, nhóm, kênh vi phạm; cùng nghĩa vụ lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện của doanh nghiệp nước ngoài tại Việt Nam.

Đối với quy định xác thực tài khoản người sử dụng dịch vụ trên không gian mạng, Điều 16 Nghị định số 333/2026/NĐ-CP bắt buộc các doanh nghiệp trong nước và nước ngoài khi cung cấp dịch vụ trên mạng viễn thông, mạng Internet và các dịch vụ gia tăng tại Việt Nam phải tiến hành xác thực thông tin ngay tại thời điểm người dùng đăng ký tài khoản số. Việc xác thực được triển khai qua ba phương thức cụ thể: xác thực bằng số điện thoại di động tại Việt Nam đối với người dùng sở hữu số thuê bao trong nước; xác thực bằng số định danh cá nhân hoặc phương thức định danh điện tử hợp pháp khác đối với người dùng không có số điện thoại di động tại Việt Nam; và bắt buộc xác thực bằng số định danh cá nhân đối với người sử dụng tính năng phát trực tiếp (livestream) nhằm mục đích thương mại. 

Bên cạnh yêu cầu xác thực, các doanh nghiệp cung cấp dịch vụ phải áp dụng các biện pháp quản lý nhà nước và biện pháp kỹ thuật cần thiết để bảo đảm an toàn, bảo mật thông tin tài khoản, đồng thời chỉ cho phép các tài khoản đã được xác thực mới được thực hiện đăng tải, chia sẻ thông tin và sử dụng các tính năng tương tác trên không gian mạng. Quy định này nhằm nâng cao tính xác thực và trách nhiệm của các chủ thể, hạn chế tình trạng sử dụng tài khoản ẩn danh, giả mạo để vi phạm pháp luật, bảo vệ người dùng trước nguy cơ bị chiếm đoạt tài khoản hay giả danh; đồng thời Nghị định cũng làm rõ việc xác thực không đồng nghĩa với công khai danh tính người dùng và doanh nghiệp vẫn có trách nhiệm bảo mật thông tin tài khoản theo quy định.

Về trách nhiệm ngăn chặn, gỡ bỏ nội dung vi phạm pháp luật, Nghị định số 333/2026/NĐ-CP quy định doanh nghiệp cung cấp dịch vụ phải thực hiện ngăn chặn, gỡ bỏ thông tin, nội dung, dịch vụ, ứng dụng vi phạm khi có yêu cầu của cơ quan có thẩm quyền, bảo đảm việc xử lý có căn cứ, đúng thẩm quyền và thời hạn. Theo Điều 11, các loại thông tin thuộc diện phải xóa bỏ bao gồm thông tin xâm phạm an ninh quốc gia, tuyên truyền chống Nhà nước, kích động bạo loạn, phá rối an ninh, gây rối trật tự công cộng, làm nhục, vu khống, xâm phạm trật tự quản lý kinh tế, bịa đặt sai sự thật gây hoang mang trong nhân dân hoặc gây thiệt hại nghiêm trọng cho hoạt động kinh tế - xã hội. 

Về thời hạn xử lý, Điều 16 quy định khi có yêu cầu hợp lệ từ lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an, doanh nghiệp phải ngăn chặn, gỡ bỏ thông tin vi phạm chậm nhất trong vòng 24 giờ kể từ khi nhận yêu cầu, và thời hạn này được rút ngắn còn chậm nhất 06 giờ trong trường hợp khẩn cấp đe dọa xâm hại an ninh quốc gia. Đối với yêu cầu cung cấp thông tin người sử dụng dịch vụ phục vụ xác minh, điều tra, thời hạn xử lý tối đa là 24 giờ, riêng trường hợp khẩn cấp đe dọa an ninh quốc gia hoặc tính mạng con người thì thời hạn cung cấp chậm nhất là 03 giờ. Việc ấn định thời hạn cụ thể nhằm bảo đảm khả năng xử lý nhanh chóng các nội dung có nguy cơ gây hậu quả trên diện rộng trong môi trường số.

Song song với việc gỡ bỏ nội dung, Nghị định thiết lập cơ chế xử lý phân tầng đối với các tài khoản, trang, nhóm cộng đồng hoặc kênh nội dung vi phạm pháp luật về an ninh mạng nhiều lần. Cụ thể, nếu tài khoản, trang, nhóm đăng tải từ 03 lần trở lên thông tin vi phạm trong thời hạn 30 ngày, doanh nghiệp phải thực hiện hạn chế hiển thị tại Việt Nam hoặc khóa tạm thời tối đa 60 ngày. Trường hợp đăng tải từ 10 lần trở lên thông tin vi phạm trong thời hạn 90 ngày, doanh nghiệp phải hạn chế hiển thị hoặc khóa tạm thời tối đa 180 ngày. Đặc biệt, tài khoản cá nhân, trang, nhóm cộng đồng hoặc kênh nội dung có thể bị hạn chế hiển thị hoặc khóa vô thời hạn tại Việt Nam trong ba trường hợp: đăng tải, phát tán thông tin xâm phạm an ninh quốc gia; đã bị khóa tạm thời từ 03 lần trở lên theo yêu cầu mà vẫn tiếp tục vi phạm; hoặc có căn cứ xác định tài khoản tiếp tục được sử dụng làm công cụ vi phạm và việc khóa vô thời hạn là cần thiết, phù hợp. Để bảo đảm tính khách quan, Nghị định cũng quy định rõ cơ chế xem xét khôi phục đối với tài khoản đã bị khóa vô thời hạn khi không còn căn cứ áp dụng, có nhầm lẫn trong quá trình xử lý, xuất hiện tình tiết mới hoặc cơ quan có thẩm quyền xác định tài khoản không vi phạm.

Về nghĩa vụ lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam, Điều 19 và Điều 20 Nghị định quy định chi tiết đối tượng, loại dữ liệu, điều kiện và thời gian thực hiện. Theo đó, hai nhóm dữ liệu bắt buộc phải lưu trữ gồm thông tin cá nhân của người sử dụng dịch vụ tại Việt Nam và dữ liệu do người sử dụng tại Việt Nam tạo ra (bao gồm tên tài khoản, thời gian sử dụng, thông tin thẻ tín dụng, địa chỉ email, IP đăng nhập/đăng xuất gần nhất, số điện thoại đăng ký gắn với tài khoản). 

Đối với doanh nghiệp trong nước, toàn bộ dữ liệu thuộc phạm vi quy định phải lưu trữ tại Việt Nam. Đối với doanh nghiệp nước ngoài hoạt động trong các lĩnh vực như viễn thông, lưu trữ chia sẻ dữ liệu, tên miền, thương mại điện tử, thanh toán trực tuyến, trung gian thanh toán, kết nối vận chuyển, mạng xã hội, trò chơi điện tử, ứng dụng trực tuyến và các dịch vụ truyền thông, nghĩa vụ lưu trữ dữ liệu và đặt chi nhánh/văn phòng đại diện chỉ phát sinh khi dịch vụ bị sử dụng để vi phạm pháp luật an ninh mạng và đã được lực lượng chuyên trách thuộc Bộ Công an thông báo, yêu cầu phối hợp xử lý bằng văn bản 03 lần trong tối đa 06 tháng nhưng doanh nghiệp không khắc phục, không chấp hành hoặc cản trở biện pháp bảo vệ. Khi đó, Bộ trưởng Bộ Công an sẽ ra quyết định yêu cầu thực hiện.

Trong trường hợp không thể chấp hành do hoàn cảnh bất khả kháng, doanh nghiệp phải thông báo cho lực lượng chuyên trách bảo vệ an ninh mạng thuộc Bộ Công an trong 03 ngày làm việc để kiểm tra và sẽ có 25 ngày làm việc để tìm phương án khắc phục nếu được xác định là bất khả kháng. Kể từ ngày Bộ trưởng Bộ Công an ra quyết định, doanh nghiệp thuộc diện áp dụng có thời hạn 12 tháng để hoàn thành việc lưu trữ dữ liệu và đặt chi nhánh hoặc văn phòng đại diện tại Việt Nam. Thời gian đặt chi nhánh/văn phòng đại diện duy trì cho đến khi doanh nghiệp ngừng hoạt động hoặc dịch vụ không còn được cung cấp tại Việt Nam, còn thời gian lưu trữ dữ liệu tối thiểu là 24 tháng đối với dữ liệu người dùng và tối thiểu 12 tháng đối với nhật ký hệ thống phục vụ điều tra. 

Nhìn một cách tổng thể, Nghị định số 333/2026/NĐ-CP đã tạo thành một cơ chế quản lý thống nhất, phân định rõ trách nhiệm của các bên, nâng cao khả năng phòng ngừa, phát hiện và xử lý vi phạm, hướng tới xây dựng một không gian mạng an toàn, minh bạch và có trách nhiệm tại Việt Nam.