Các công ty sản xuất camera giám sát cần lưu ý những vấn đề gì khi QCVN 11:2026/BCA có hiệu lực?

Ngày 12/05/2026, Bộ Công an ban hành Thông tư 48/2026/TT-BCA kèm theo QCVN 11:2026/BCA quy định các yêu cầu an ninh mạng cơ bản cho thiết bị camera giám sát có sử dụng giao thức Internet (sau đây gọi tắt là “camera giám sát”). Quy chuẩn kỹ thuật này sẽ chính thức có hiệu lực từ ngày 01/07/2026, thay thế hoàn toàn QCVN 135:2024/BTTTT do Bộ Thông tin và Truyền thông ban hành trước đó.;

Điều này có nghĩa, kể từ thời điểm có hiệu lực, tất cả các thiết bị camera giám sát kết nối Internet được sản xuất, kinh doanh, nhập khẩu và sử dụng tại Việt Nam đều cần đáp ứng các yêu cầu kỹ thuật về an ninh mạng theo quy chuẩn QCVN 11:2026/BCA. Đánh giá một cách tổng thể, quy chuẩn mới không chỉ thắt chặt các tiêu chuẩn kỹ thuật phần cứng, phần mềm mà còn được thiết kế để đồng bộ hóa với hệ thống pháp luật về bảo vệ dữ liệu cá nhân mới được ban hành và có hiệu lực gần đây, do đó đặt ra thách thức tuân thủ lớn cho các doanh nghiệp tham gia chuỗi sản xuất và phân phối camera giám sát tại Việt Nam.

1. Những nội dung quan trọng trong QCVN 11:2026/BCA

Những nội dung đáng chú ý của QCVN 11:2026/BCA mà các doanh nghiệp có liên quan đến chuỗi cung ứng camera giám sát cần lưu ý như sau:

1.1. Thay đổi cơ quan có thẩm quyền quản lý đối với camera giám sát

Khi so với tên quy chuẩn QCVN 135:2024/BTTTT trước đó, có thể thấy có sự thay đổi cơ quan ban hành từ Bộ Thông tin và Truyền thông (viết tắt là BTTTT) sang Bộ Công an (viết tắt là BCA). Ngoài ra, Điều 3 Thông tư 48/2026/TT-BCA cho thấy các đơn vị trực thuộc Bộ Công an và các cơ quan Công an cấp tỉnh sẽ chịu trách nhiệm thi hành các công việc liên quan đến Thông tư 48/2026/TT-BCA và QCVN 11:2026/BCA, thay thế hoàn toàn BTTTT và các đơn vị trực thuộc như trước đây.

Việc chuyển giao này phản ánh tư duy quản lý mới, theo đó camera giám sát được nhìn nhận là một mắt xích quan trọng trong an ninh quốc gia và trật tự xã hội. Dự kiến các sản phẩm camera giám sát được bán tại thị trường Việt Nam và các doanh nghiệp tham gia vào chuỗi cung ứng camera giám sát sẽ được đặt dưới sự giám sát và kiểm tra nghiêm ngặt hơn từ phía lực lượng Công an trong thời gian sắp tới. Do đó, doanh nghiệp có thể chủ động nghiên cứu, nắm bắt được xu hướng quản lý có thể ảnh hưởng đến lĩnh vực kinh doanh của mình trong thời gian tới.

1.2. Gắn kết kỹ thuật với nghĩa vụ bảo vệ dữ liệu cá nhân

Yêu cầu 2.11.1 của QCVN 11:2026/BCA buộc nhà sản xuất camera giám sát phải cung cấp đầy đủ thông tin về mục đích, cách thức thu thập, xử lý và lưu trữ dữ liệu cá nhân (thu thập bởi camera, dịch vụ liên kết hoặc bên thứ ba). Ngoài ra, thiết bị camera phải có chức năng xác nhận sự đồng ý của người sử dụng đối với việc cho phép thiết bị camera thu thập và xử lý dữ liệu cá nhân, và phải cho phép người dùng thu hồi sự đồng ý này¹.

Yêu cầu này được ban hành nhằm tuân thủ và tạo sự thống nhất với khung pháp lý về bảo vệ dữ liệu cá nhân được ban hành trong thời gian qua, đặc biệt là Luật Bảo vệ dữ liệu cá nhân 2025 và các văn bản hướng dẫn thi hành. Một số yêu cầu kỹ thuật được siết chặt đáng chú ý như:

• Lưu trữ dữ liệu trong nước: Các sản phẩm camera giám sát phải cho phép thiết lập cấu hình để hệ thống và các dịch vụ liên kết chỉ kết nối, lưu trữ dữ liệu tại máy chủ đặt tại Việt Nam².
• Phương án khắc phục lỗ hổng phần mềm: Nhà sản xuất bắt buộc công bố chính sách lỗ hổng bảo mật, bao gồm thông tin liên hệ và thời gian xác nhận, xử lý ³.
• Cập nhật phần mềm: Thiết bị phải có cơ chế thông báo cho người sử dụng khi có bản cập nhật mới và hỗ trợ cài đặt an toàn⁴.
• Loại trừ mật khẩu mặc định: Mật khẩu ở trạng thái không phải mặc định xuất xưởng phải là duy nhất cho mỗi thiết bị hoặc do người dùng thiết lập⁵.
• Bảo vệ truy cập: Phải có cơ chế thay đổi giá trị xác thực và ngăn chặn tấn công vét cạn (brute-force attack) qua giao diện mạng⁶.

1.3. Cơ chế quản lý và công bố hợp quy theo rủi ro

QCVN 11:2026/BCA yêu cầu các thiết bị camera có mức độ rủi ro trung bình và mức độ rủi ro cao phải công bố hợp quy và gắn dấu CR (Conformity to Regulation)⁷. Việc xác định mức độ rủi ro trung bình hoặc cao sẽ dựa trên Danh mục sản phẩm, hàng hóa có mức độ rủi ro trung bình và cao do Bộ Công an ban hành trong thời gian sắp tới⁸.

Tuỳ thuộc vào việc sản phẩm camera giám sát thuộc nhóm rủi ro trung bình hoặc rủi ro cao mà có điều kiện công bố hợp quy tương ứng như sau⁹:

• Rủi ro trung bình: Dựa trên kết quả tự đánh giá của tổ chức/cá nhân từ kết quả thử nghiệm của tổ chức được chỉ định, hoặc tổ chức quốc tế được thừa nhận.
• Rủi ro cao: Dựa trên kết quả chứng nhận hợp quy (theo Phương thức 5 hoặc Phương thức 7 được quy định trong QCVN này) của tổ chức chứng nhận được chỉ định¹⁰.

2. Khuyến nghị đối với các doanh nghiệp liên quan

2.1. Đối với các doanh nghiệp tham gia vào chuỗi cung ứng camera giám sát

Nhằm đảm bảo tuân thủ QCVN 11:2026/BCA, và loại trừ rủi ro pháp lý về an ninh mạng và bảo vệ dữ liệu cá nhân theo quy định của pháp luật, các doanh nghiệp sản xuất, nhập khẩu hoặc phân phối camera giám sát cần phối hợp thực hiện rà soát toàn diện tính tuân thủ của các phần mềm, ứng dụng quản lý camera giám sát. Ví dụ, hệ thống phần mềm phải được chuẩn hóa để đáp ứng các yêu cầu bắt buộc về: bảo vệ dữ liệu người sử dụng (tích hợp tính cho phép người dùng đồng ý chia sẻ thông tin cá nhân và cấu hình lưu trữ dữ liệu tại Việt Nam), xác thực người dùng (buộc người dùng khởi tạo mật khẩu ngay từ lần đầu sử dụng), quản lý cập nhật an toàn (thiết lập chức năng thông báo bản cập nhật phần mềm)…

Trong đó, với đặc thù các camera giám sát không chỉ là thiết bị ghi hình mà còn là thiết bị kết nối internet, có khả năng lưu trữ và truyền tải dữ liệu của người được ghi hình, do đó, các đơn vị có liên quan đến việc sản xuất, phân phối thiết bị này cần phân định rõ ràng trách nhiệm xử lý dữ liệu cá nhân đối với những dữ liệu thu thập được giữa các bên liên quan, từ đó giúp xác định vai trò và nghĩa vụ cần tuân thủ (nếu có) theo quy định của Luật Bảo vệ dữ liệu cá nhân hiện hành. Tăng tính minh bạch luôn là điều kiện tiên quyết giúp củng cố vị trí pháp lý của các doanh nghiệp trước các đợt kiểm tra của cơ quan có thẩm quyền.

Ví dụ, đối với nhà sản xuất camera giám sát, dữ liệu cá nhân thu thập được có được xử lý hay lưu trữ trên hệ thống nội bộ của bên này hay không? Nếu có, đặt ra yêu cầu tuân thủ về bảo vệ dữ liệu cá nhân cần lưu tâm.

Bên cạnh đó, các doanh nghiệp Việt Nam có hoạt động kinh doanh nhập khẩu camera giám sát từ các thị trường nước ngoài cần chuẩn bị nguồn lực cho việc kiểm thử và chứng nhận hợp quy theo phương thức phù hợp.

2.2. Đối với người sử dụng hệ thống camera giám sát

Đối với các cá nhân, cơ quan và tổ chức ử dụng camera giám sát thì cần phải đảm bảo các camera do đơn vị của mình mua và lắp đặt đáp ứng QCVN 11:2026/BCA để loại trừ rủi ro liên đới do rò rỉ dữ liệu cá nhân.

3. Kết luận

Sự ra đời của QCVN 11:2026/BCA cho thấy quyết tâm mạnh mẽ của cơ quan chức năng trong việc thiết lập hành lang an toàn cho thiết bị camera giám sát, đặc biệt là trong bối cảnh việc bảo vệ dữ liệu cá nhân ngày càng được chú trọng. Thời điểm ngày 01/07/2026 đang đến gần, đòi hỏi các doanh nghiệp tham gia chuỗi cung ứng phải lập tức hành động để bắt kịp lộ trình tuân thủ. Việc chủ động rà soát, nâng cấp hệ thống và hoàn thiện hồ sơ hợp quy ngay từ bây giờ không chỉ giúp doanh nghiệp loại trừ rủi ro pháp lý, rủi ro gián đoạn kinh doanh mà còn tạo ra lợi thế cạnh tranh trước các đối thủ trên thị trường.

Dentons LuatViet sẵn sàng đồng hành cùng quý doanh nghiệp thông qua các giải pháp pháp lý chuyên sâu, với phạm vi dịch vụ cung cấp trải dài từ tư vấn pháp lý tuân thủ, bảo vệ dữ liệu, nhân sự và lao động, quy trình nhập khẩu và phân phối, lưu hành sản phẩm tại thị trường Việt Nam. Cụ thể, chúng tôi hỗ trợ tư vấn chiến lược tuân thủ quy định pháp luật, đánh giá và chuẩn hóa tính hợp pháp của các hệ thống văn bản liên quan đến chuỗi cung ứng camera, cũng như định hướng giải quyết rủi ro pháp lý có thể xảy ra cho khách hàng, từ đó giúp quý khách hàng tự tin đưa ra quyết định kinh doanh phù hợp và phát triển bền vững trong bối cảnh pháp lý mới này.

1. Yêu cầu 2.11.2 và 2.11.3 Mục 2.11 QCVN 11:2026/BCA.↩
2. Yêu cầu 2.11.5 QCVN 11:2026/BCA.↩
3. Yêu cầu 2.2.1 QCVN 11:2026/BCA.↩
4. Yêu cầu 2.3.1 QCVN 11:2026/BCA.↩
5. Yêu cầu 2.1.1 QCVN 11:2026/BCA.↩
6. Tấn công vét cạn (brute-force attack) là phương pháp tin tặc sử dụng các chương trình tự động (bot) để thử mọi tổ hợp ký tự có thể có cho đến khi đoán đúng mật khẩu, mã PIN hoặc khóa bảo mật. Yêu cầu 2.1.4 và 2.1.5 QCVN 11:2026/BCA.↩
7. Mục 4.1 QCVN 11:2026/BCA.↩
8. Khoản 3 Điều 2 Thông tư 48/2026/TT-BCA.↩
9. Mục 4.2.1, 4.2.2 và 4.2.3 QCVN 11:2026/BCA.↩
10. Phương thức 5: Chứng nhận thông qua thử nghiệm mẫu đại diện cho kiểu, loại sản phẩm, hàng hóa và đánh giá quá trình sản xuất hoặc hệ thống quản lý. Giám sát thông qua thử nghiệm mẫu và đánh giá quá trình sản xuất hoặc hệ thống quản lý. Mẫu thử nghiệm có thể được lấy tại nơi sản xuất, trên thị trường hoặc tại cả hai địa điểm. Phương thức 7: Chứng nhận thông qua thử nghiệm, đánh giá lô sản phẩm, hàng hóa.↩

Dentons Luật Việt chân thành cảm ơn và ghi nhận những đóng góp của Luật sư Cộng sự Khưu Hồng Linh, Luật sư Cộng sự Võ Thị Thúy Hiền trong việc thực hiện bài viết này.

Miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích cung cấp thông tin chung và không cấu thành ý kiến tư vấn pháp lý, hay thiết lập mối quan hệ luật sư và khách hàng. Quý độc giả không nên sử dụng nội dung bài viết như sự thay thế cho tư vấn pháp lý từ luật sư. Dentons Luật Việt không chịu trách nhiệm đối với bất kỳ tổn thất hay thiệt hại nào phát sinh từ việc sử dụng hoặc dựa vào nội dung bài viết này. Vui lòng liên hệ: bd.vietnam@dentons.com để được tư vấn phù hợp.