Góc nhìn văn hoá: Dự án Luật An ninh dữ liệu và cơ chế bảo vệ người dân khi xảy ra sự cố

Vì thế, xây dựng hành lang pháp lý về an ninh dữ liệu không chỉ là câu chuyện kỹ thuật hay quản lý nhà nước, mà sâu xa hơn là câu chuyện về văn hóa ứng xử với dữ liệu và văn hóa bảo vệ con người trong xã hội số.

Tại Hội nghị đại biểu Quốc hội chuyên trách khóa XVI sáng 28/9/2026, những ý kiến góp ý đối với Dự án Luật An ninh dữ liệu cho thấy một yêu cầu đáng chú ý: pháp luật về dữ liệu phải vừa bảo đảm an ninh, vừa tạo thuận lợi cho người dân, doanh nghiệp; đồng thời phải có cơ chế đủ rõ ràng để người bị ảnh hưởng không trở thành bên phải tự xoay xở khi xảy ra sự cố.

Chủ tịch Quốc hội Trần Thanh Mẫn chủ trì Hội nghị đại biểu Quốc hội hoạt động chuyên trách lần thứ nhất, Quốc hội khóa XVI. Ảnh: quochoi.vn

Hai nhóm vấn đề được các đại biểu đặt ra – tránh chồng chéo thủ tục hành chính và tăng cường thông tin, bảo vệ người dân khi xảy ra sự cố – tưởng như thuộc hai lĩnh vực khác nhau, nhưng thực chất cùng hướng tới một nguyên tắc: Quản trị dữ liệu phải lấy con người làm trung tâm.

Khi cải cách thủ tục cũng là xây dựng văn hóa phục vụ

Đề nghị rà soát dứt điểm nguy cơ chồng chéo thủ tục, đại biểu Nguyễn Thị Việt Nga (Đoàn Hải Phòng) đã đặt vấn đề không chỉ ở kỹ thuật lập pháp mà còn ở cách thức bộ máy hành chính phục vụ người dân và doanh nghiệp.

Khoản 7 Điều 23 của dự thảo đã giao Bộ Công an làm đầu mối tiếp nhận và yêu cầu sử dụng lại thông tin, hồ sơ, kết quả đã có. Tuy nhiên, theo đại biểu, nếu vẫn chia thành hai nhóm thủ tục với các đối tượng, thành phần hồ sơ và thời hạn riêng, nguy cơ phát sinh những yêu cầu trùng lặp vẫn còn.

Đây là vấn đề đáng được nhìn từ góc độ văn hóa hành chính. Một nền hành chính hiện đại không chỉ được đánh giá bằng số lượng thủ tục được ban hành hay mức độ đầy đủ của hồ sơ, mà còn bằng khả năng không bắt người dân và doanh nghiệp phải làm lại những việc mà cơ quan nhà nước đã biết, đã xác nhận hoặc đã có dữ liệu.

Đề nghị của đại biểu Nguyễn Thị Việt Nga về việc lập danh mục đầy đủ các thủ tục, xác định căn cứ, đối tượng, thành phần hồ sơ, thời hạn, số lần thực hiện và chi phí tuân thủ vì vậy có ý nghĩa rộng hơn việc rà soát câu chữ của dự luật. Đó là cách lượng hóa “gánh nặng hành chính” để nhìn thấy chi phí mà một quy định có thể tạo ra trong đời sống thực tế.

Đáng chú ý, đại biểu đề nghị đối chiếu các quy định với Luật Dữ liệu, Luật An ninh mạng và Luật Bảo vệ dữ liệu cá nhân; những nội dung trùng thì sử dụng chung một lần đánh giá, một bộ hồ sơ và một kết quả. Những yêu cầu đặc thù về an ninh dữ liệu nếu cần thiết phải được chỉ rõ.

Tinh thần này có thể được xem như một yêu cầu về văn hóa phối hợp giữa các cơ quan quản lý. Khi dữ liệu đã được xác nhận ở một khâu, trách nhiệm phối hợp phải thuộc về hệ thống, thay vì chuyển sang cho người dân nhiệm vụ chứng minh rằng mình đã hoàn thành nghĩa vụ ở một nơi khác.

Nếu nguyên tắc “không yêu cầu tổ chức, cá nhân lặp lại việc thẩm định, chứng nhận hoặc cung cấp thông tin đối với cùng một đối tượng, cùng nội dung đã được xác nhận” được thể hiện đủ rõ trong luật, giá trị của nó không chỉ nằm ở việc giảm giấy tờ. Nó góp phần tạo dựng niềm tin: Nhà nước sử dụng dữ liệu để phục vụ và quản lý hiệu quả hơn, chứ không biến dữ liệu thành thêm một tầng thủ tục đối với người dân.

Trong bối cảnh chuyển đổi số, đó chính là một biểu hiện quan trọng của văn hóa pháp quyền và văn hóa phục vụ.

Khi xảy ra sự cố, người dân không thể là người cuối cùng được biết

Nếu câu chuyện chồng chéo thủ tục đặt ra yêu cầu giảm gánh nặng trước khi dữ liệu được sử dụng, thì cơ chế thông tin khi xảy ra sự cố lại đặt ra yêu cầu bảo vệ con người sau khi rủi ro xuất hiện.

Góp ý về quyền và lợi ích của người bị ảnh hưởng tại Điều 20, đại biểu Nguyễn Đăng Ân (Đoàn Lạng Sơn) đề nghị nghiên cứu cơ chế thông tin để cá nhân bị ảnh hưởng biết được nguy cơ liên quan trực tiếp đến dữ liệu của mình, các biện pháp tự bảo vệ và khả năng nhận hỗ trợ khi cần thiết.

Đây là điểm có ý nghĩa đặc biệt về mặt văn hóa. Trong đời sống thực, một sự cố dữ liệu không chỉ là một sự cố của hệ thống công nghệ. Đằng sau việc lộ lọt dữ liệu, tấn công mã hóa hay chiếm đoạt tài khoản có thể là những tổn thất rất cụ thể đối với một cá nhân, một gia đình hoặc một tổ chức.

Bởi vậy, khi sự cố xảy ra, quyền được biết cần được nhìn nhận như một thành tố quan trọng của quyền được bảo vệ. Người dân không thể chủ động thay đổi mật khẩu, kiểm soát tài khoản, cảnh giác trước nguy cơ giả mạo hay thực hiện các biện pháp cần thiết nếu họ không biết dữ liệu của mình đã bị ảnh hưởng ở mức độ nào.

Điều đáng chú ý trong đề xuất của đại biểu Nguyễn Đăng Ân là yêu cầu về phương thức thông tin phải linh hoạt, nhất là đối với khu vực miền núi, biên giới, nơi một bộ phận người dân còn gặp khó khăn trong tiếp cận thông tin điện tử. Điều đó cho thấy bảo vệ dữ liệu không thể chỉ được thiết kế cho nhóm người sử dụng công nghệ thành thạo.

Một cơ chế thông tin tốt phải tính đến sự đa dạng của cộng đồng: người ở đô thị và nông thôn, người có điều kiện tiếp cận công nghệ và người còn hạn chế về kỹ năng số. Đồng thời, việc thông báo cũng phải được thực hiện theo cách không làm lộ thêm dữ liệu cá nhân, bí mật nhà nước hoặc thông tin phục vụ điều tra sự cố.

Ở đây xuất hiện một bài toán cân bằng quan trọng: Minh bạch đủ để người dân tự bảo vệ mình, nhưng thận trọng đủ để không tạo ra một rủi ro mới.

Cùng với đó, đề xuất quản lý theo mức độ rủi ro cần được cụ thể hóa về tiêu chí, trách nhiệm, quy trình xác định và xác nhận cấp độ. Đây cũng là một vấn đề của văn hóa quản trị hiện đại: không phải mọi dữ liệu, mọi hệ thống và mọi sự cố đều có mức độ nguy hiểm giống nhau; nghĩa vụ tuân thủ cần tương xứng với rủi ro.

Nếu làm được điều đó, pháp luật có thể tránh hai cực đoan: Hoặc quản lý quá nhẹ, không đủ sức bảo vệ dữ liệu; hoặc đặt ra quá nhiều yêu cầu đồng đều, làm gia tăng chi phí tuân thủ mà không tương xứng với nguy cơ thực tế.

Nhìn rộng hơn, Dự án Luật An ninh dữ liệu đang đặt ra một câu hỏi về cách xã hội ứng xử với tài sản đặc biệt này. Dữ liệu có thể thuộc về một hệ thống, được lưu trữ bởi một doanh nghiệp hay được quản lý bởi một cơ quan, nhưng phía sau dữ liệu vẫn là con người.

Vì vậy, một đạo luật về an ninh dữ liệu không chỉ cần trả lời dữ liệu được lưu ở đâu, ai được sử dụng và ai chịu trách nhiệm, mà còn phải trả lời một câu hỏi căn bản hơn: Khi dữ liệu gặp sự cố, người dân được bảo vệ như thế nào và ai có trách nhiệm đứng về phía họ?

Từ yêu cầu chống chồng chéo thủ tục đến quyền được thông tin khi xảy ra sự cố, điểm gặp nhau cuối cùng vẫn là niềm tin. Niềm tin rằng dữ liệu của mình được sử dụng có trách nhiệm; niềm tin rằng người dân không phải gánh thêm thủ tục không cần thiết; và khi rủi ro xảy ra, họ không bị bỏ lại một mình để tự tìm cách khắc phục.

Đó cũng chính là chiều sâu văn hóa của việc xây dựng pháp luật về an ninh dữ liệu: Xây dựng một môi trường số trong đó an ninh không tách rời quyền con người, quản lý không tách rời phục vụ và dữ liệu không tách rời trách nhiệm.

V.X.B