该法案规定了数据安全风险的5个等级，由数据主管方自行确定风险等级，采取相应的保护措施，并对等级确定结果负责，主要实行事后监管机制。对于风险等级达到3级及以上的数据主管方，须开展影响评估并定期进行数据安全审计；处理4级、5级数据的系统须依法接受评估审查。保护措施贯穿系统设计直至数据销毁的全过程。
同塔省国会代表段雄武高度评价按照风险等级实施管理的方式及相关预防措施，但认为法律有必要进一步明确数据安全领域的一些关键问题，其中包括人的因素。
实践表明，许多信息安全事件并非源于技术解决方案存在缺陷，而可能始于账户密码遭诈骗窃取、简单密码的账户被扫描破解、管理员获得过大的权限、工作人员将数据复制到外部，或第三方人员缺乏监管等情况。
段雄武建议补充规定，针对风险等级为5级的系统，负责数据安全工作的人员必须是专职人员，并具备相应的信息安全专业水平和资格证书。
强调应将受影响人员置于事件应对工作的中心，胡志明市国会代表阮武忠建议，3级及以上风险事件须在发现后最迟24小时内报告；对于存在特别严重风险的事件，必须立即报告，并在核查结果出炉后及时更新信息。应及时通知受影响个人，使其了解哪些数据可能已经泄露、目前面临哪些风险、应采取哪些措施锁定账户、更改密码或阻止交易，以及应联系哪个责任部门。
芹苴市国会代表黎明南指出，选民关心个人数据将如何得到保护，以及民众能否真正对此放心。黎明南认可数据库互联互通、不要求民众重复提供已有信息的方向。但要使这一主张落到实处，技术平台和组织实施工作必须做到协调统一、安全、便捷。
黎明南还建议，个人数据发生泄露时，数据主管方必须及时通知受影响人员，并提供防范诈骗的指引。民众需要了解哪些类型的数据可能已经泄露，以便警惕利用真实个人信息实施诈骗的电话和短信，甚至警惕伪造亲属声音或图像的诈骗手段。在会场就《数据安全法》草案作说明时，公安部部长梁三光表示，数据安全风险分级机制是该法律草案的支柱。只有准确确定数据遭到侵害时可能造成的危害程度，才能设定相应义务，避免在低风险领域过度配置保护措施，却在高风险领域留下监管空白。
在吸收国会常务委员会结论的基础上，法律草案设计了5个风险等级，与《网络安全法》规定的信息系统5个等级相衔接。其中，草案规定，可以直接采用网络安全法律规定的等级认定结果，避免同一系统接受两次评估。风险等级也不取代《数据法》规定的核心数据、重要数据分类，不会因此新增数据目录，而仅作为选择保护措施的依据。
在此基础上，相关义务按照风险越低、程序越简化的原则确定。具体而言，1级数据无需履行数据相关程序；2级数据只需制定简化版保护方案，个体工商户、小型企业和创新型初创企业可获豁免。从3级起才须开展影响评估和审计。评估审查则仅适用于4级和5级，并与网络安全审查合并使用同一份材料。
梁三光表示，法律草案起草牵头机构将与国防、安全与对外委员会常务机构密切配合，充分吸收各位代表的意见，并在完善法律草案前向国会常务委员会报告，确保该法律既能坚决维护国家主权，又能为数字经济发展营造安全、便利的法律环境。
