Bảo vệ suốt vòng đời dữ liệu
Sáng 26/10, tiếp tục chương trình Kỳ họp thứ 2 - Quốc hội khóa XVI, Quốc hội nghe Tờ trình và Báo cáo thẩm tra dự án Luật An ninh dữ liệu.
Trình bày Tờ trình của Chính phủ, Bộ trưởng Bộ Công an Lương Tam Quang cho biết, dự thảo Luật gồm 6 chương, 29 điều, quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu.
Dự án Luật nhằm xác lập cơ sở pháp lý để Nhà nước quản lý, bảo vệ dữ liệu thuộc quyền tài phán của Việt Nam, bảo vệ quyền và lợi ích hợp pháp của tổ chức, cá nhân, đồng thời tạo điều kiện phát triển kinh tế dữ liệu.
Một nội dung đáng chú ý của dự thảo là thiết lập 5 cấp độ rủi ro an ninh dữ liệu. Chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu.
Chủ quản dữ liệu từ cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu cấp độ 4, cấp độ 5 phải được thẩm định theo quy định.
Các biện pháp bảo vệ được áp dụng xuyên suốt vòng đời dữ liệu, từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.
Cách tiếp cận này gắn trách nhiệm của chủ quản dữ liệu với việc đánh giá rủi ro và tổ chức bảo vệ dữ liệu, thay vì áp dụng đồng loạt các nghĩa vụ đối với mọi loại dữ liệu. Theo định hướng xây dựng Luật, dữ liệu có rủi ro thấp không phát sinh thủ tục, qua đó hạn chế nghĩa vụ không tương xứng đối với tổ chức, doanh nghiệp.
Dự thảo cũng quy định trách nhiệm bảo vệ an ninh dữ liệu đối với hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hệ thống vật lý - số, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu.
Đối với hoạt động nghiên cứu, phát triển và ứng dụng trí tuệ nhân tạo (AI), dự thảo yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát hoạt động ra quyết định tự động theo quy định của pháp luật.
Với hoạt động chuyển dữ liệu ra nước ngoài, dự thảo thiết kế cơ chế phân luồng theo cấp độ rủi ro. Cụ thể, dữ liệu cấp độ 1 và cấp độ 2 không phải thực hiện thủ tục theo Luật này khi chuyển ra nước ngoài; dữ liệu cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4 và cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển.
Dự thảo đồng thời thiết lập cơ chế theo dõi, cảnh báo sớm, báo cáo và điều phối ứng cứu sự cố an ninh dữ liệu. Bộ Công an chủ trì quản lý nhà nước về an ninh dữ liệu; Bộ Quốc phòng quản lý đối với dữ liệu, hệ thống thông tin quân sự; hệ thống thông tin cơ yếu do Ban Cơ yếu Chính phủ quản lý.
Dự án Luật cũng sửa đổi, bổ sung Luật An ninh mạng và Luật Dữ liệu nhằm bảo đảm tính thống nhất của hệ thống pháp luật, dự kiến có hiệu lực từ ngày 1/7/2027.
Phân định trách nhiệm theo quyền quyết định và phạm vi kiểm soát dữ liệu
Trình bày Báo cáo thẩm tra, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới cho biết, cơ quan thẩm tra nhất trí với sự cần thiết ban hành Luật An ninh dữ liệu; cơ bản nhất trí với phạm vi điều chỉnh, đối tượng áp dụng và các quy định về cấp độ rủi ro an ninh dữ liệu.
 |
Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới |
Tuy nhiên, cơ quan thẩm tra đề nghị thống nhất khái niệm 'rủi ro an ninh dữ liệu' với cấp độ rủi ro; quy định rõ tiêu chí đối với từng cấp độ, đồng thời xác định cấp độ rủi ro là căn cứ để xác định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu.
Đối với trách nhiệm của các chủ thể tham gia hoạt động dữ liệu, cơ quan thẩm tra cơ bản nhất trí với quy định phân định trách nhiệm giữa chủ quản dữ liệu, bên xử lý dữ liệu và bên cung cấp sản phẩm, dịch vụ. Tuy nhiên, cần làm rõ hơn việc phân định trách nhiệm gắn với quyền quyết định đối với dữ liệu và phạm vi kiểm soát của từng chủ thể.
Đây là nội dung liên quan trực tiếp đến việc xác định trách nhiệm khi xảy ra sự cố, cũng như khả năng thực hiện các nghĩa vụ bảo vệ dữ liệu của từng bên. Việc quy định rõ trách nhiệm theo quyền quyết định và phạm vi kiểm soát sẽ giúp hạn chế tình trạng trách nhiệm không tương xứng với vai trò thực tế của các chủ thể trong quá trình xử lý dữ liệu.
Về chuyển dữ liệu ra nước ngoài, cơ quan thẩm tra cơ bản nhất trí với cơ chế phân luồng theo cấp độ rủi ro. Tuy nhiên, đề nghị quy định rõ dữ liệu cấp độ 5 không được chuyển ra nước ngoài, trừ trường hợp Thủ tướng Chính phủ quyết định.
Cơ quan thẩm tra cũng đề nghị bổ sung khóa giải mã tham số mật mã của hệ thống cấp độ 4, cấp độ 5 vào phạm vi không được chuyển; xác định rõ chủ thể có thẩm quyền quyết định biện pháp hạn chế, tạm dừng dịch vụ xuyên biên giới; đồng thời bổ sung cơ chế thông báo khi thay đổi quyền kiểm soát đối với doanh nghiệp quản lý dữ liệu từ cấp độ 4 trở lên.
Bên cạnh đó, cần phân định ranh giới giữa an ninh dữ liệu với an ninh mạng, an ninh thông tin và bảo vệ dữ liệu cá nhân để bảo đảm tính khả thi khi áp dụng. Cơ quan thẩm tra cũng đề nghị bổ sung trình tự, thời hạn thẩm định đối với hệ thống cấp độ 4, cấp độ 5 không thuộc diện thẩm định an ninh mạng.
Đối với các quy định về hạ tầng số, trung tâm dữ liệu và điện toán đám mây, cơ quan thẩm tra cơ bản nhất trí với dự thảo. Đồng thời, đề nghị làm rõ thêm một số nội dung về mật mã an ninh, mật mã cơ yếu, mật mã dân sự; cơ chế điều phối sự cố và diễn tập ứng phó sự cố đối với hệ thống cấp độ 4, cấp độ 5.
Việc hoàn thiện các quy định về trách nhiệm chủ quản dữ liệu, phân loại rủi ro và chuyển dữ liệu xuyên biên giới là cơ sở để vừa bảo đảm an ninh dữ liệu, vừa tạo điều kiện cho hoạt động xử lý, khai thác dữ liệu phục vụ sản xuất, kinh doanh.
Theo định hướng của dự thảo, quản lý dựa trên mức độ rủi ro sẽ giúp tập trung nguồn lực bảo vệ các dữ liệu có nguy cơ cao, đồng thời tránh phát sinh nghĩa vụ không cần thiết đối với dữ liệu rủi ro thấp.