Hoàn thiện pháp luật về an ninh dữ liệu và định danh điện tử

Tiếp tục chương trình kỳ họp thứ 2, Quốc hội khóa XVI, sáng 4-11, Quốc hội thảo luận tại hội trường về các dự án: Luật An ninh dữ liệu, Luật Định danh và xác thực điện tử.

Phó Chủ tịch Quốc hội Nguyễn Thị Thanh điều hành phiên thảo luận ở hội trường. Ảnh: quochoi.vn

Phân loại rủi ro dữ liệu phải rõ ràng, có thể kiểm chứng

Góp ý dự án Luật An ninh dữ liệu, nhiều đại biểu cho rằng phân loại cấp độ rủi ro là công cụ quan trọng để xác định mức độ bảo vệ phù hợp. Tuy nhiên, rủi ro không chỉ phụ thuộc vào loại dữ liệu mà còn liên quan đến khối lượng, khả năng liên kết, mục đích sử dụng, mức độ tập trung và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm.

Đại biểu (ĐB) Lê Thị Thanh Lam (Đoàn ĐBQH TP. Cần Thơ) phân tích, một bộ dữ liệu riêng lẻ có thể không nhạy cảm, nhưng khi liên kết với nhiều nguồn khác có thể phát sinh nguy cơ nhận diện, suy luận thông tin hoặc gây ảnh hưởng lớn đến cá nhân, tổ chức. Vì vậy, nếu tiêu chí phân loại không cụ thể, việc đánh giá có thể thiếu thống nhất giữa các cơ quan và doanh nghiệp.

ĐB Lê Thị Thanh Lam góp ý vào dự án Luật An ninh dữ liệu. Ảnh: quochoi.vn

Đại biểu đề nghị quy định rõ tiêu chí phân loại rủi ro, phương pháp đánh giá, chủ thể chịu trách nhiệm và chu kỳ rà soát cấp độ. Các yếu tố cần xem xét gồm khả năng xảy ra sự cố, mức độ thiệt hại, quy mô và độ nhạy cảm của dữ liệu, khả năng liên kết cũng như mức độ phụ thuộc của các hoạt động thiết yếu vào dữ liệu. Đồng thời, cần có cơ chế điều chỉnh cấp độ khi mục đích xử lý, quy mô dữ liệu hoặc công nghệ thay đổi; thiết lập quy trình kiểm tra, giải trình khi có bất đồng về kết quả phân loại.

Cùng quan điểm, ĐB Sùng A Lềnh (Đoàn ĐBQH tỉnh Lào Cai) đề nghị hoàn thiện quy định tại Điều 8 theo hướng tiêu chí phân cấp phải rõ ràng, có thể kiểm chứng và áp dụng thống nhất. Bởi việc phân cấp quyết định chủ thể phải thực hiện đánh giá tác động, kiểm toán hay thẩm định, kéo theo những trách nhiệm và chi phí tương ứng.

ĐB Sùng A Lềnh đề nghị hoàn thiện quy định tại Điều 8 theo hướng tiêu chí phân cấp phải rõ ràng, có thể kiểm chứng và áp dụng thống nhất. Ảnh: quochoi.vn

Theo đại biểu, tiêu chí phân loại cần đánh giá đầy đủ hậu quả khi dữ liệu bị lộ, bị làm sai lệch hoặc không thể truy cập đúng thời điểm. Chẳng hạn, thông tin cảnh báo thiên tai dù được công khai nhưng nếu bị sửa đổi trái phép vẫn có thể gây hậu quả nghiêm trọng. Ngược lại, dung lượng dữ liệu lớn không đồng nghĩa với mức độ rủi ro cao.

Đại biểu đề nghị Luật xác định các tiêu chí nền tảng về tính chất, độ nhạy cảm, phạm vi ảnh hưởng và hậu quả khi dữ liệu bị xâm phạm; giao Chính phủ cụ thể hóa các ngưỡng định lượng, phương pháp đánh giá và tình huống hướng dẫn. Đồng thời, cần phân biệt nguy cơ phát sinh do tích tụ, liên kết dữ liệu với việc đơn thuần tăng số lượng bản ghi.

Giải trình trước Quốc hội, Bộ trưởng Bộ Công an, Đại tướng Lương Tam Quang khẳng định cơ chế phân cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo Luật. Việc xác định đúng mức độ nguy hại khi dữ liệu bị xâm phạm sẽ giúp đặt ra nghĩa vụ bảo vệ tương xứng, tránh tình trạng bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.

Tiếp thu kết luận của Ủy ban Thường vụ Quốc hội, dự thảo thiết kế 5 cấp độ rủi ro, tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Kết quả xác định cấp độ theo pháp luật về an ninh mạng có thể được sử dụng ngay để cùng một hệ thống không phải đánh giá hai lần.

Bộ trưởng Bộ Công an Lương Tam Quang giải trình một số nội dung đại biểu quan tâm về dự án Luật An ninh dữ liệu. Ảnh: quochoi.vn

Theo Bộ trưởng, cấp độ rủi ro không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới, mà là căn cứ lựa chọn biện pháp bảo vệ phù hợp.

Nghĩa vụ được thiết kế theo hướng rủi ro càng thấp, thủ tục càng đơn giản. Cụ thể, dữ liệu cấp độ 1 không phát sinh thủ tục dữ liệu; cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, nhỏ và doanh nghiệp khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải thực hiện đánh giá tác động, kiểm toán; việc thẩm định chỉ áp dụng với cấp độ 4 và 5, đồng thời thực hiện chung hồ sơ với thẩm định an ninh mạng.

Định danh, xác thực điện tử phải gắn với bảo vệ quyền riêng tư

Góp ý dự án Luật Định danh và xác thực điện tử, các đại biểu tập trung vào việc hoàn thiện cơ chế truy vết, quản lý dữ liệu nhật ký xác thực và kiểm soát hoạt động cung cấp dịch vụ.

ĐB Dương Khắc Mai tham gia góp ý vào dự thảo Luật Định danh và xác thực điện tử. Ảnh: Quang Khánh/baodaibieunhandan

ĐB Dương Khắc Mai (Đoàn ĐBQH tỉnh Lâm Đồng) đề nghị làm rõ ranh giới giữa trường hợp bắt buộc định danh và trường hợp thực hiện theo yêu cầu. Theo đó, chỉ nên bắt buộc định danh khi thật sự cần thiết cho quản lý nhà nước, có căn cứ pháp luật rõ ràng và tương xứng với mục đích; đồng thời kế thừa mã định danh, kết quả đăng ký chuyên ngành đã có, tránh phát sinh thủ tục, chi phí hoặc làm lộ bí mật kinh doanh.

Đối với tài sản và quyền tài sản, việc định danh chỉ nhằm nhận diện, không thay thế thủ tục xác lập quyền sở hữu theo pháp luật chuyên ngành.

Liên quan đến truy vết danh tính điện tử tại Điều 31, ĐB Phạm Thế Anh (Đoàn ĐBQH tỉnh Thanh Hóa) cho rằng, dự thảo chưa làm rõ chủ thể có quyền yêu cầu truy vết, cơ quan phê duyệt và cơ quan tổ chức thực hiện.

Đại biểu đề nghị quy định cụ thể ngay trong Luật để bảo đảm chặt chẽ về thẩm quyền, bởi quyền truy vết và quyền xác thực điện tử không mặc nhiên tương đương nhau. Phạm vi dữ liệu phục vụ truy vết có thể rộng hơn, bao gồm lịch sử nguồn gốc định danh, biến động và các quan hệ liên kết của đối tượng.

ĐB Triệu Thị Ngọc Diễm đề nghị nghiên cứu yêu cầu nhật ký khi lưu trữ, trích xuất phải có chữ ký số và dấu thời gian của hệ thống quản lý, bảo đảm tính toàn vẹn, chống chối bỏ. Ảnh: Hồ Long/baodaibieunhandan

Trong khi đó, ĐB Triệu Thị Ngọc Diễm (Đoàn ĐBQH TP. Cần Thơ) đề nghị bổ sung cơ chế tạm dừng hiệu lực khẩn cấp đối với danh tính điện tử và mã định danh khi phát hiện tài khoản bị chiếm quyền điều khiển, sử dụng để lừa đảo hoặc thực hiện hành vi xâm phạm an ninh quốc gia, trật tự, an toàn xã hội trên không gian mạng.

Theo đại biểu, có thể cho phép hệ thống tự động hoặc lực lượng chuyên trách bảo vệ an ninh mạng, cơ quan điều tra ra lệnh phong tỏa, tạm dừng tức thời trong thời hạn 24 - 48 giờ để xác minh, ngăn chặn hậu quả.

Đối với dữ liệu kết quả xác thực, đại biểu đề nghị nghiên cứu yêu cầu nhật ký khi lưu trữ, trích xuất phải có chữ ký số và dấu thời gian của hệ thống quản lý, bảo đảm tính toàn vẹn, chống chối bỏ. Qua đó, tạo cơ sở để cơ quan tiến hành tố tụng và cơ quan có thẩm quyền xử phạt vi phạm hành chính sử dụng làm chứng cứ.

Giải trình các nội dung đại biểu quan tâm, Bộ trưởng Bộ Công an Lương Tam Quang cho biết cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại của Quốc hội tiếp thu đầy đủ ý kiến, hoàn thiện dự thảo Luật, bảo đảm vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số.

Phát biểu kết luận phiên họp, Phó Chủ tịch Quốc hội Nguyễn Thị Thanh khẳng định những ý kiến tâm huyết, sâu sắc của các đại biểu là cơ sở quan trọng để cơ quan thẩm tra, cơ quan chủ trì soạn thảo tiếp tục nghiên cứu, tiếp thu, giải trình và hoàn thiện dự thảo luật, bảo đảm hiệu quả thực thi sau khi được Quốc hội thông qua.