Dự thảo Luật An ninh dữ liệu: Hoàn thiện thế 'kiềng ba chân' bảo vệ dữ liệu quốc gia

Ban hành Luật An ninh dữ liệu là đúng lúc và cần thiết

- Trong bối cảnh Việt Nam đã có Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, theo bà, việc ban hành Luật An ninh dữ liệu có ý nghĩa thế nào và sẽ bổ sung những khoảng trống nào trong quản trị, bảo vệ an ninh dữ liệu quốc gia?

- Việc ban hành Luật An ninh dữ liệu tại thời điểm này là hoàn toàn đúng lúc và cần thiết, nhằm hoàn thiện cấu trúc pháp lý số của quốc gia. Nếu nhìn vào các luật hiện hành, chúng ta sẽ thấy sự phân công nhiệm vụ rất rõ ràng.

Bà Lê Nguyễn Thiên Nga. Ảnh: Tường Minh

Luật An ninh mạng tập trung bảo vệ hạ tầng mạng, hệ thống thông tin trọng yếu và phòng ngừa tội phạm trên không gian mạng; trọng tâm điều chỉnh là hạ tầng, đường truyền và thiết bị. Luật Dữ liệu đóng vai trò là đạo luật khung về quản trị, xây dựng hạ tầng kỹ thuật, liên thông dữ liệu công và phát triển kinh tế dữ liệu. Luật Bảo vệ dữ liệu cá nhân hướng đến bảo vệ quyền riêng tư, nhân phẩm và quyền hiến định của cá nhân đối với thông tin đời tư.

Tuy nhiên, khoảng trống lớn nhất hiện nay là thiếu cơ chế bảo vệ chuyên biệt đối với an ninh dữ liệu trong toàn bộ vòng đời, từ tạo lập, xử lý, lưu trữ đến chia sẻ và tiêu hủy. Đó là dữ liệu phi cá nhân, dữ liệu công nghiệp, dữ liệu chuỗi cung ứng và dữ liệu cảm biến tại các hạ tầng trọng yếu. Nếu bị rò rỉ, thao túng hoặc mã hóa tống tiền, những dữ liệu này có thể khiến hoạt động điều hành của nền kinh tế tê liệt.

Sự ra đời của Luật An ninh dữ liệu sẽ hoàn thiện mô hình “kiềng ba chân”: quản trị, phát triển (Luật Dữ liệu) - bảo vệ quyền con người (Luật Bảo vệ dữ liệu cá nhân) - phòng thủ, bảo đảm an ninh tài nguyên quốc gia (Luật An ninh dữ liệu). Đạo luật này sẽ lấp đầy khoảng trống bảo vệ dữ liệu phi cá nhân, dữ liệu chiến lược quốc gia và kiểm soát dòng dữ liệu xuyên biên giới mà không chồng chéo thẩm quyền hay phát sinh thủ tục trùng lặp cho doanh nghiệp.

Ba giá trị thiết thực khi phân tầng quản lý theo cấp độ rủi ro

- Dự thảo Luật lựa chọn cách tiếp cận quản lý theo 5 cấp độ rủi ro, thay vì áp dụng một cơ chế bảo vệ đồng nhất cho mọi loại dữ liệu. Bà đánh giá thế nào về định hướng này?

- Đây là một đột phá trong kỹ thuật lập pháp, với cách tiếp cận hiện đại dựa trên rủi ro, phù hợp với tinh thần đổi mới tư duy xây dựng pháp luật của Quốc hội: từ bỏ tư duy “không quản được thì cấm”, chuyển mạnh từ “tiền kiểm” sang “hậu kiểm”.

Nếu áp dụng cơ chế “cào bằng”, với quy chuẩn an ninh tối đa cho mọi dữ liệu, chi phí tuân thủ sẽ tăng cao, phát sinh “giấy phép con”, ảnh hưởng đến sức cạnh tranh của doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa (DNNVV), startup công nghệ. Ngược lại, quy chuẩn quá lỏng lẻo sẽ tạo lỗ hổng cho an ninh quốc gia.

Việc phân tầng năm cấp độ rủi ro mang lại ba giá trị thiết thực. Thứ nhất, cắt giảm thủ tục hành chính: tổ chức, doanh nghiệp được tự xác định, bảo vệ và chịu trách nhiệm đối với dữ liệu Cấp độ 1 và 2 mà không phải xin cấp phép rườm rà. Thứ hai, tập trung nguồn lực bảo vệ trọng điểm: Nhà nước giám sát chặt chẽ dữ liệu Cấp độ 4 và 5, gồm dữ liệu cốt lõi, dữ liệu quan trọng quốc gia. Thứ ba, minh bạch hóa hành lang pháp lý: doanh nghiệp biết dữ liệu thuộc cấp độ nào để yên tâm đầu tư công nghệ, chia sẻ và kinh doanh.

- Dự thảo Luật nhấn mạnh việc bảo vệ an ninh dữ liệu không làm thay đổi quyền sở hữu, quyền khai thác hợp pháp của tổ chức, cá nhân, song không trở thành rào cản cho phát triển. Theo bà, cần giải quyết mối quan hệ giữa hai yêu cầu này như thế nào để vừa bảo vệ dữ liệu, vừa phát huy giá trị của dữ liệu đối với đổi mới sáng tạo và phát triển kinh tế số?

- An ninh dữ liệu không đối lập với phát triển, mà là điều kiện tiên quyết, là “dây an toàn” giúp kinh tế số tự tin tăng tốc. Không nhà đầu tư nào dám đầu tư xây dựng trung tâm dữ liệu trí tuệ nhân tạo (AI) hay giao dịch dữ liệu trên một thị trường bất an, nơi dữ liệu dễ bị đánh cắp hoặc thao túng.

Để nguyên tắc không làm thay đổi quyền sở hữu, không cản trở phát triển đi vào thực tiễn, luật cần thể chế hóa 3 giải pháp.

Thứ nhất, xác định rõ ranh giới can thiệp của Nhà nước. Luật phải phân định minh bạch quyền kiểm soát an ninh và quyền tự do kinh doanh. Nhà nước chỉ thực hiện các biện pháp can thiệp kỹ thuật khẩn cấp, phong tỏa hoặc yêu cầu cung cấp dữ liệu khi có nguy cơ xâm phạm trực tiếp đến an ninh quốc gia, trật tự xã hội hoặc phục vụ điều tra án hình sự theo trình tự tố tụng nghiêm ngặt.

Thứ hai, chuẩn hóa kỹ thuật thay cho mệnh lệnh hành chính. Luật cần khuyến khích các công nghệ tăng cường quyền riêng tư (PETs) như mã hóa nâng cao, ẩn danh hóa dữ liệu, tính toán an toàn nhiều bên và học liên kết (Federated Learning). Nhờ đó, dữ liệu có thể được phân tích, huấn luyện mô hình AI và tạo ra giá trị kinh tế mà không làm lộ dữ liệu gốc.

Thứ ba, cơ chế thử nghiệm có kiểm soát (sandbox). Cần luật hóa khung thử nghiệm có kiểm soát để các doanh nghiệp công nghệ, startup dữ liệu được thử nghiệm các mô hình kinh doanh dữ liệu mới dưới sự giám sát an ninh trước khi thương mại hóa rộng rãi.

Tạo điều kiện để doanh nghiệp Việt làm chủ công nghệ an ninh dữ liệu

- Dự thảo Luật đề xuất nhiều chính sách phát triển hạ tầng, công nghệ, nguồn nhân lực và hệ sinh thái công nghiệp an ninh dữ liệu trong nước, đồng thời hỗ trợ DNNVV, doanh nghiệp khởi nghiệp sáng tạo nâng cao năng lực bảo vệ dữ liệu. Theo bà, những chính sách này có ý nghĩa như thế nào đối với năng lực tự chủ dữ liệu quốc gia?

- Trong kỷ nguyên số, chủ quyền quốc gia gắn liền với chủ quyền số và tự chủ dữ liệu. Nếu hạ tầng lưu trữ, máy chủ và giải pháp bảo vệ dữ liệu của các cơ quan trọng yếu phụ thuộc hoàn toàn vào công nghệ ngoại nhập, chúng ta đối mặt với nguy cơ bị cài cắm mã độc hoặc ngắt kết nối dịch vụ khi xảy ra biến động địa chính trị. Vì vậy, xây dựng hệ sinh thái công nghiệp an ninh dữ liệu tự chủ là vấn đề an ninh quốc gia cấp bách.

Tôi kiến nghị Quốc hội và Chính phủ ưu tiên 3 điều kiện. Một là, tạo thị trường thông qua mua sắm công, quy định tiêu chí ưu tiên hoặc bắt buộc sử dụng sản phẩm, giải pháp an ninh dữ liệu đạt chuẩn “Make in Viet Nam” trong các dự án đầu tư công, hệ thống thông tin của cơ quan Đảng, Nhà nước và cơ sở dữ liệu quốc gia.

Hai là, có chính sách ưu đãi thuế đối với doanh nghiệp phát triển công nghệ an ninh dữ liệu lõi; hỗ trợ kinh phí kiểm định, chứng nhận tiêu chuẩn quốc tế và vốn mồi nghiên cứu công nghệ mã hóa kháng lượng tử.

Ba là, có chiến lược đào tạo và thu hút nhân tài. Cần đào tạo chuyên gia mật mã học, kiến trúc sư dữ liệu, kỹ sư an toàn thông tin và có cơ chế đãi ngộ đặc biệt để thu hút chuyên gia an ninh dữ liệu người Việt ở nước ngoài về nước.

- Xin cảm ơn bà!