Dự án Luật An ninh dữ liệu: Rõ tiêu chí để đánh giá đúng mức độ rủi ro

Quốc hội Khóa XVI

Xác định rõ trách nhiệm tự đánh giá và kiểm tra của cơ quan Nhà nước

Qua thảo luận, các đại biểu cơ bản nhất trí cao với sự cần thiết ban hành Luật An ninh dữ liệu. Đồng thời, đánh giá cao cơ quan soạn thảo đã tiếp thu rất nhiều ý kiến; dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Để hoàn thiện dự án Luật, đại biểu Nguyễn Vũ Trung (Đoàn đại biểu Quốc hội TP. Hồ Chí Minh) cho rằng, cần làm rõ ranh giới giữa trách nhiệm tự xác định cấp độ rủi ro của chủ quản dữ liệu và quyền kiểm tra của cơ quan Nhà nước.

Đại biểu Nguyễn Vũ Trung phát biểu (ảnh QH).

Theo đại biểu, khoản 1 Điều 9 đã phân loại dữ liệu thành các cấp độ cụ thể, nhưng khoản 2 lại giao chủ quản tự xác định mà chưa nêu rõ tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm. Điều này có thể dẫn đến cách hiểu chủ quản được tự lựa chọn cấp độ, khiến cùng một loại dữ liệu có thể bị xếp ở những mức độ khác nhau.

Để khắc phục, đại biểu đề nghị quy định rõ trách nhiệm của cơ quan, tổ chức, cá nhân chủ quản hệ thống dữ liệu trong việc tổ chức đánh giá, xác định cấp độ rủi ro theo tiêu chí của luật và quy định của Chính phủ; lập, lưu giữ hồ sơ làm căn cứ xác định cấp độ và thực hiện đầy đủ yêu cầu bảo đảm an ninh tương ứng.

Đặc biệt, việc chủ quản tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan Nhà nước có thẩm quyền. Theo đại biểu, làm rõ nội dung này sẽ giúp bảo đảm tính thống nhất trong áp dụng, đồng thời xác định cụ thể trách nhiệm của các chủ thể liên quan.

Tiêu chí phân loại phải rõ ràng, đánh giá đúng mức độ rủi ro

Cũng quan tâm đến quy định về phân loại cấp độ rủi ro, đại biểu Lê Thị Thanh Lam (Đoàn đại biểu Quốc hội thành phố Cần Thơ) cho rằng đây là công cụ quan trọng để xác định mức độ bảo vệ phù hợp. Tuy nhiên, rủi ro dữ liệu không chỉ phụ thuộc vào loại dữ liệu mà còn liên quan đến khối lượng, khả năng liên kết, mục đích sử dụng, mức độ tập trung và hậu quả khi bị xâm phạm.

Đại biểu Lê Thị Thanh Lam phát biểu (ảnh QH).

Đại biểu dẫn chứng, một bộ dữ liệu riêng lẻ có thể không nhạy cảm, nhưng khi liên kết với nhiều nguồn khác lại có thể làm phát sinh nguy cơ nhận diện, suy luận thông tin hoặc gây ảnh hưởng lớn đến cá nhân, tổ chức. Vì vậy, nếu tiêu chí phân loại chưa cụ thể, việc đánh giá có thể thiếu thống nhất giữa các cơ quan và doanh nghiệp.

Đại biểu đề nghị cơ quan soạn thảo quy định rõ tiêu chí phân loại, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát cấp độ. Việc đánh giá cần tính đến khả năng xảy ra sự cố, mức độ thiệt hại, quy mô và độ nhạy cảm của dữ liệu, khả năng liên kết cũng như mức độ phụ thuộc của các hoạt động thiết yếu vào dữ liệu.

Đồng thời, cần có cơ chế điều chỉnh cấp độ khi mục đích xử lý, quy mô dữ liệu hoặc công nghệ thay đổi; thiết lập cơ chế kiểm tra, giải trình khi có bất đồng về kết quả phân loại. Cách tiếp cận này giúp tập trung nguồn lực bảo vệ vào những hệ thống có nguy cơ cao, thay vì phân bổ chi phí đồng đều cho mọi loại dữ liệu.

Đại biểu Sùng A Lềnh phát biểu (ảnh QH).

Đại biểu Sùng A Lềnh (Đoàn đại biểu Quốc hội tỉnh Lào Cai) cũng tán thành sự cần thiết ban hành luật và đề nghị hoàn thiện các quy định tại khoản 1, khoản 12 Điều 8 theo hướng tiêu chí phân cấp phải rõ ràng, có thể kiểm chứng và áp dụng thống nhất.

Theo đại biểu, việc phân cấp rủi ro quyết định chủ thể phải thực hiện đánh giá tác động, kiểm toán hay thẩm định. Vì vậy, mỗi thay đổi cấp độ đều gắn với trách nhiệm và chi phí. Nếu tiêu chí còn định tính, cùng một loại dữ liệu có thể được đánh giá khác nhau, dẫn đến nơi bảo vệ chưa đủ, nơi lại phải thực hiện yêu cầu vượt mức cần thiết.

Đại biểu nhấn mạnh, tiêu chí cần đánh giá đầy đủ hậu quả khi dữ liệu bị lộ, bị làm sai lệch hoặc không thể truy cập đúng thời điểm. Chẳng hạn, thông tin cảnh báo thiên tai vốn được công khai nhưng nếu bị sửa đổi trái phép vẫn có thể gây hậu quả nghiêm trọng; trong khi dung lượng dữ liệu lớn không đồng nghĩa với rủi ro cao.

Từ thực tế đó, đại biểu đề nghị luật xác định các tiêu chí nền tảng về tính chất, độ nhạy cảm, phạm vi ảnh hưởng và hậu quả khi dữ liệu bị xâm phạm; giao Chính phủ cụ thể hóa ngưỡng định lượng, phương pháp đánh giá và tình huống áp dụng. Đồng thời, cần phân biệt rõ nguy cơ phát sinh do tích tụ, liên kết dữ liệu với trường hợp chỉ tăng số lượng bản ghi.