Dự án Luật An ninh dữ liệu: Phân định rõ tiêu chí xác định cấp độ rủi ro của dữ liệu

Góp ý về dự thảo Luật An ninh dữ liệu, Đại biểu (ĐB) Nguyễn Thị Việt Nga (Phó Trưởng Đoàn ĐB Quốc hội TP Hải Phòng) đề nghị phân định rõ tiêu chí xác định cấp độ rủi ro của dữ liệu với yêu cầu bảo vệ hệ thống thông tin lưu trữ, xử lý dữ liệu. Theo ĐB, khoản 1 Điều 9 mô tả 5 cấp độ dựa trên hậu quả khi dữ liệu xảy ra sự cố hoặc bị xâm phạm là hướng tiếp cận phù hợp. Tuy nhiên, việc tiếp tục gắn cấp độ 3, 4 và 5 của dữ liệu với cấp độ hệ thống có thể khiến người áp dụng hiểu cấp độ hệ thống là căn cứ xác định cấp độ dữ liệu. Vì vậy, Luật nên quy định tiêu chí phân loại dữ liệu theo tính chất và hậu quả có thể xảy ra; còn cấp độ tối thiểu và biện pháp bảo vệ hệ thống cần được quy định riêng, áp dụng sau khi xác định cấp độ dữ liệu. Đồng thời, cần làm rõ việc kế thừa kết quả phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu.

Quan tâm đến yêu cầu bảo vệ dữ liệu, ĐB Ngô Sĩ Cường (Đoàn Vĩnh Long) đề nghị quy định tiêu chuẩn về phẩm chất, đạo đức nghề nghiệp, năng lực chuyên môn và yêu cầu bảo mật đối với nhân sự trực tiếp quản trị, vận hành, quản lý khóa mật mã hoặc có quyền truy cập đặc biệt đối với dữ liệu quốc gia từ cấp độ 3, cấp độ 4; đồng thời tăng cường đào tạo, kiểm tra năng lực, giám sát quyền truy cập và phân tách nhiệm vụ.

Đặc biệt, ĐB đề nghị bổ sung nguyên tắc tích hợp yêu cầu an ninh dữ liệu ngay từ khâu lập đề án, thiết kế kiến trúc, lựa chọn công nghệ đến vận hành, nâng cấp và chấm dứt xử lý dữ liệu. Những thay đổi trọng yếu làm gia tăng rủi ro cần được đánh giá lại trước khi triển khai. Theo ĐB, bảo vệ dữ liệu không thể chỉ dựa vào các biện pháp kỹ thuật mà phải được tính đến xuyên suốt vòng đời của hệ thống và gắn với trách nhiệm của từng chủ thể.

Phát biểu tiếp thu, giải trình ý kiến ĐB, Bộ trưởng Bộ Công an Lương Tam Quang khẳng định, cơ chế phân cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo, bởi chỉ khi xác định đúng mức độ nguy hại mà dữ liệu có thể gây ra khi bị xâm phạm thì mới đặt ra được nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.

Tiếp thu kết luận Ủy ban Thường vụ Quốc hội, dự thảo thiết kế 5 cấp độ rủi ro tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Trong đó, khoản 4 Điều 8 dự thảo Luật cho phép sử dụng ngay kết quả xác định cấp độ theo pháp luật về an ninh mạng để cùng một hệ thống không phải đánh giá hai lần. Cấp độ rủi ro cũng không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới mà chỉ là căn cứ để lựa chọn biện pháp bảo vệ. Trên cơ sở đó, nghĩa vụ được xác định theo hướng rủi ro càng thấp thì thủ tục càng đơn giản.

Đối với đề nghị quy định ngay trong Luật bảng tương ứng giữa hai hệ thống cấp độ, Bộ trưởng Bộ Công an đề nghị Quốc hội cho giữ phương án giao Chính phủ quy định tại khoản 12 Điều 8 vì tiêu chuẩn kỹ thuật thay đổi nhanh, nếu quy định cứng trong Luật thì mỗi lần điều chỉnh lại phải sửa luật. Khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng để doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa tự xác định đúng cấp độ, không bị đặt nghĩa vụ vượt mức cần thiết.