Các Dự án luật do Bộ Công an chủ trì soạn thảo rất có chất lượng

Phân biệt rõ mã định danh, thông tin cốt lõi với các thuộc tính dữ liệu phát sinh

Cho ý kiến về dự thảo Luật Định danh và xác thực điện tử, về thu thập dữ liệu (Điều 11), đại biểu cho biết, Khoản 1 quy định nguồn thu thập từ cơ sở dữ liệu do chủ thể cung cấp hoặc thu thập trực tiếp, khoản 2 quy định việc kiểm tra, đối chiếu, chuẩn hóa dữ liệu, khoản 5 cấm thu thập loại thông tin đã đầy đủ, chính xác trong cơ sở dữ liệu quốc gia, chuyên ngành.

Tuy nhiên, theo đại biểu, nhiều nguồn dữ liệu không đồng nghĩa được phép thu thập mọi thông tin có thể tiếp cận. Do vậy, đại biểu đề nghị bổ sung vào Khoản 3 Điều 11 nguyên tắc chỉ thu thập thông tin cần thiết, xác định mục đích, nguồn dữ liệu và trách nhiệm thực hiện. Khi thu thập trực tiếp, phải thông báo cho chủ thể về loại thông tin và căn cứ thu thập đồng thời ghi nhận nguồn, thời điểm tiếp nhận và lịch sử chỉnh sửa.

Đại biểu Nguyễn Thị Sửu (đoàn Thành phố Huế) phát biểu

Về lưu trữ dữ liệu, đại biểu nhận định, Khoản 1 Điều 14 dự thảo quy định danh tính điện tử quốc gia được lưu trữ tập trung tại cơ sở dữ liệu quốc gia về định danh và xác thực điện tử. Khoản 4 quy định danh tính điện tử quốc gia được lưu trữ vĩnh viễn…

Theo đại biểu, cần phân biệt mã định danh và thông tin cốt lõi với các thuộc tính dữ liệu phát sinh, lịch sử sử dụng vì chúng có nhu cầu lưu trữ khác nhau. Do đó, đại biểu đề nghị chỉnh lý Khoản 4 Điều 14 theo hướng xác định thời hạn theo từng loại thông tin, mục đích và pháp luật chuyên ngành. Nếu lưu trữ vĩnh viễn, phải chỉ rõ dữ liệu nào được lưu và giới hạn truy cập, tránh hiểu là lưu giữ vô thời hạn mọi dữ liệu gắn với danh tính.

Về khai thác, sử dụng và chia sẻ dữ liệu, điểm c Khoản 3 Điều 34 dự thảo Luật quy định, tổ chức, cá nhân khai thác thông tin danh tính điện tử phải có sự đồng ý của cơ quan quản lý định danh và xác thực điện tử quốc gia và chủ thể danh tính điện tử. Khoản 1 quy định cơ quan nhà nước được khai thác danh tính điện tử, kết quả xác thực để thay thế yêu cầu cung cấp giấy tờ, tài liệu.

Về nội dung này, đại biểu đề nghị làm rõ 3 giới hạn: Sự đồng ý phải cụ thể về dữ liệu, mục đích, bên tiếp nhận và thời hạn; Bên khai thác chỉ tiếp cận thông tin cần thiết; Chia sẻ cho bên thứ ba hoặc đổi mục đích phải có căn cứ pháp luật hoặc sự đồng ý hợp lệ.

Đồng thời đề nghị bổ sung vào Khoản 3, Khoản 4 Điều 34 và các Khoản 2-4 Điều 16 nội dung “hoạt động truy cập, khai thác, chia sẻ phải ghi nhật ký về người truy cập, thời điểm, mục đích và dữ liệu tiếp cận, chủ thể được tra cứu lịch sử khai thác”…

Theo đại biểu, Điều 16 dự thảo Luật cần phân biệt rõ giá trị sử dụng của từng nhóm danh tính tương ứng với các loại dữ liệu cấu thành danh tính. Danh tính có giá trị trong giao dịch, thủ tục hành chính không có nghĩa là mọi thông tin kèm theo đều được cung cấp.

Đại biểu đề nghị chỉ xác nhận thuộc tính cần thiết ở từng thời điểm, hạn chế chuyển giao toàn bộ hồ sơ; cơ quan tiếp nhận phải nêu căn cứ, mục đích yêu cầu. Cách tiếp cận này tạo thuận lợi cho giao dịch điện tử, giảm nguy cơ lộ lọt thông tin không liên quan.

Cần bổ sung thẩm quyền có giới hạn cho Chủ tịch UBND cấp tỉnh

Cho ý kiến vào dự thảo Luật An ninh dữ liệu, đại biểu Nguyễn Thị Sửu quan tâm đến Điều 23 về cơ chế ứng phó khẩn cấp. Theo đại biểu, điều luật này đã được thiết kế rất sâu, toàn diện, đồng bộ, thể hiện tính chuyên nghiệp.

Khoản 1 Điều 23 quy định căn cứ áp dụng biện pháp khẩn cấp; Khoản 2 liệt kê các biện pháp từ phong tỏa đến quyền truy cập, vô hiệu hóa tài khoản, thiết bị kết nối, tạm dừng luồng truyền dữ liệu xuyên biên giới đến tạm dừng vận hành hệ thống; Khoản 4 giao trách nhiệm cho Bộ Công an, Bộ Quốc phòng quyết định biện pháp…

Quy định trên nhằm bảo đảm kiểm soát tập trung nhưng việc chờ quyết định cấp Bộ khi sự cố tại địa phương cần khoanh vùng ngay có thể làm chậm phản ứng. Khi hành vi truy cập trái phép, sửa đổi hoặc xóa dữ liệu đang diễn ra, cần khóa quyền truy cập, cô lập tài khoản hoặc phong tỏa phần dữ liệu liên quan, không nhất thiết chờ sự cố lan rộng.

Quang cảnh phiên họp

Vì vậy, đại biểu đề nghị sửa Khoản 4 Điều 23 theo hướng bổ sung thẩm quyền có giới hạn cho Chủ tịch UBND cấp tỉnh đối với sự cố phát sinh trong địa phương thuộc phạm vi quản lý, không liên quan hệ thống dữ liệu trọng yếu hoặc vụ việc liên tỉnh, xuyên biên giới. Thẩm quyền chỉ giới hạn ở biện pháp phong tỏa một phần dữ liệu, hạn chế hoặc vô hiệu hóa quyền truy cập theo Điểm a, Điểm b Khoản 2, đồng thời phải thông báo ngay cho cơ quan chuyên trách thuộc Bộ Công an hoặc Bộ Quốc phòng để phối hợp kiểm tra;

Không giao địa phương quyết định đình chỉ vận hành hệ thống; thẩm quyền đối với Điểm c Khoản 2 tiếp tục thuộc Bộ trưởng Bộ Công an hoặc Bộ trưởng Bộ Quốc phòng. Quy định này giúp ứng phó linh hoạt tại chỗ mà vẫn giữ tính thống nhất, đồng thời phải quy định rõ trách nhiệm báo cáo, kiểm tra và chấm dứt biện pháp khi căn cứ không còn.