ĐBQH: Khi dữ liệu bị lộ, người dân phải được cảnh báo để bảo vệ tài khoản

Góp ý vào dự án Luật An ninh dữ liệu tại phiên thảo luận sáng 4/11, đại biểu Quốc hội Nguyễn Vũ Trung (Đoàn TP.HCM) quan tâm đến quy định về theo dõi, cảnh báo và ứng phó sự cố an ninh dữ liệu, nhằm bảo vệ quyền lợi của người dân khi xảy ra tình trạng lộ, lọt thông tin.

Đại biểu Quốc hội Nguyễn Vũ Trung.

Theo đại biểu, với sự cố từ cấp 3 trở lên phải được báo cáo chậm nhất trong vòng 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo ngay.

“Cần bổ sung nghĩa vụ thông báo kịp thời cho cá nhân bị ảnh hưởng, làm rõ dữ liệu có thể bị lộ, nguy cơ phát sinh và hướng dẫn các biện pháp bảo vệ như khóa tài khoản, đổi mật khẩu, chặn giao dịch”, ông Trung góp ý.

Liên quan đến việc phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro, đại biểu Nguyễn Vũ Trung đề nghị làm rõ trách nhiệm của cơ quan, tổ chức, cá nhân và chủ quản hệ thống dữ liệu.

Theo đó, các chủ thể này phải tự đánh giá, xác định cấp độ rủi ro an ninh dữ liệu trong phạm vi quản lý, đồng thời lập và lưu giữ hồ sơ chứng minh căn cứ phân loại. Việc tự đánh giá phải đi kèm trách nhiệm thực hiện đầy đủ các biện pháp bảo đảm an ninh tương ứng với từng cấp độ rủi ro.

Đối với vấn đề bảo vệ an ninh dữ liệu trong chuyển và xử lý dữ liệu xuyên biên giới, đại biểu đề nghị quy định ba cơ chế: rủi ro thấp được tự đánh giá và hậu kiểm; rủi ro trung bình thực hiện thông báo; rủi ro cao mới phải xin chấp thuận trước.

Với các luồng dữ liệu được chuyển định kỳ, nếu mục đích sử dụng, bên tiếp nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại.

Theo ông Nguyễn Vũ Trung, cơ quan có thẩm quyền cũng cần quy định rõ thời hạn xử lý, trách nhiệm nêu lý do khi từ chối và bảo đảm quyền khiếu nại.

Nếu thiếu những quy định này, các bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng dịch vụ điện toán đám mây có thể phải thực hiện thêm nhiều thủ tục không cần thiết.

Liên quan đến các biện pháp kỹ thuật khẩn cấp khi xảy ra sự cố, đại biểu đề nghị quyết định áp dụng phải nêu rõ căn cứ, phạm vi, thời hạn và phương án khôi phục hoạt động.

Đặc biệt, trước khi đình chỉ những hệ thống thiết yếu như bệnh viện, điện, nước, thanh toán, cần đánh giá đầy đủ tác động và ưu tiên phương án cô lập phần hệ thống bị xâm nhập nếu khả thi, tránh làm gián đoạn hoạt động của toàn bộ hệ thống.

Không để sự cố an ninh dữ liệu ảnh hưởng đến an toàn người bệnh

Nêu ý kiến, đại biểu Phạm Thu Xanh (Đoàn Hải Phòng) đề nghị hoàn thiện các quy định theo hướng vừa bảo vệ dữ liệu y tế, vừa bảo đảm hoạt động khám chữa bệnh liên tục, tạo điều kiện khai thác dữ liệu phục vụ nghiên cứu và phát triển y học hiện đại.

Đại biểu Quốc hội Phạm Thu Xanh

Theo bà Xanh, thực tiễn cho thấy: y tế, ngân hàng, bảo hiểm là ba lĩnh vực tiềm ẩn nguy cơ cao về lộ, lọt, mua bán dữ liệu. Năm 2025, cơ quan chức năng phát hiện khoảng 300 vụ rao bán dữ liệu với hơn 1,7 triệu bản ghi thuộc một số lĩnh vực, trong đó có dữ liệu y tế.

Từ thực tiễn ngành y tế, đại biểu nhấn mạnh bảo vệ an ninh dữ liệu phải gắn với bảo đảm an toàn người bệnh và tính liên tục của hoạt động khám, chữa bệnh.

Theo Luật Khám bệnh, chữa bệnh, hồ sơ bệnh án phải được lưu trữ, bảo mật với thời hạn từ 10 năm đến 30 năm, 70 năm hoặc vĩnh viễn. Đây không chỉ là dữ liệu chuyên môn mà còn chứa đựng lịch sử sức khỏe và bí mật riêng tư của mỗi người.

“Tuy nhiên, bảo vệ dữ liệu không đồng nghĩa với hạn chế việc khai thác dữ liệu hợp pháp phục vụ điều trị. Người bệnh ung thư có thể cần hội chẩn quốc tế, thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp, bệnh nhân cấp cứu cần được truy cập tiền sử bệnh án”, đại biểu nói.

Do đó, đại biểu đề nghị quy định rõ cơ chế chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc sự đồng ý của người bệnh. Với dữ liệu đã mã hóa, có kiểm soát truy cập và lưu vết, cần có quy trình, thời hạn xử lý phù hợp, tránh thủ tục không cần thiết.

Đặc biệt, khi áp dụng biện pháp kỹ thuật khẩn cấp, cần bảo đảm không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và các dịch vụ y tế thiết yếu. Bởi sự cố an ninh dữ liệu tại bệnh viện không chỉ là sự cố công nghệ mà còn có thể trực tiếp ảnh hưởng đến an toàn người bệnh.