Không để sự cố an ninh dữ liệu ảnh hưởng đến an toàn người bệnh

Không gian làm việc tại Trung tâm giám sát An ninh mạng. (Ảnh: Phạm Kiên/TTXVN)

Sáng 4/11, tiếp tục chương trình Kỳ họp thứ hai, Quốc hội khóa XVI, dưới sự chủ trì của Chủ tịch Quốc hội Trần Thanh Mẫn và sự điều hành của Phó Chủ tịch Quốc hội Nguyễn Thị Thanh, Quốc hội họp phiên toàn thể tại Hội trường, thảo luận về dự án Luật An ninh dữ liệu.

An ninh dữ liệu không phải chuyện riêng của máy chủ hay cơ quan quản lý, đó là tiền trong tài khoản, hồ sơ bệnh án, danh tính và sự an tâm của mỗi người. Vì vậy, trong buổi thảo luận tại hội trường, dự án Luật An ninh dữ liệu nhận được nhiều góp ý của các đại biểu quốc hội. Dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Bảo đảm dữ liệu được khai thác an toàn, kịp thời

Thảo luận về dự án Luật An ninh dữ liệu tại Quốc hội, Đại biểu Phạm Thu Xanh - Đoàn Đại biểu Quốc hội Thành phố Hải Phòng đề nghị hoàn thiện các quy định theo hướng vừa bảo vệ dữ liệu y tế, vừa bảo đảm hoạt động khám chữa bệnh liên tục, tạo điều kiện khai thác dữ liệu phục vụ nghiên cứu và phát triển y học hiện đại.

Đại biểu Phạm Thu Xanh nhấn mạnh: “Thực tiễn cho thấy y tế, ngân hàng, bảo hiểm là ba lĩnh vực tiềm ẩn nguy cơ cao về lộ, lọt, mua bán dữ liệu. Năm 2025, cơ quan chức năng phát hiện khoảng 300 vụ rao bán dữ liệu với hơn 1,7 triệu bản ghi thuộc một số lĩnh vực, trong đó có dữ liệu y tế.”

Từ thực tiễn ngành y tế, đại biểu nhấn mạnh bảo vệ an ninh dữ liệu phải gắn với bảo đảm an toàn người bệnh và tính liên tục của hoạt động khám chữa bệnh. Theo Luật Khám bệnh, chữa bệnh, hồ sơ bệnh án phải được lưu trữ, bảo mật với thời hạn từ 10 năm đến 30 năm, 70 năm hoặc vĩnh viễn. Đây không chỉ là dữ liệu chuyên môn mà còn chứa đựng lịch sử sức khỏe và bí mật riêng tư của mỗi người.

Tuy nhiên, bảo vệ dữ liệu không đồng nghĩa với hạn chế việc khai thác dữ liệu hợp pháp phục vụ điều trị. Người bệnh ung thư có thể cần hội chẩn quốc tế, thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp, bệnh nhân cấp cứu cần được truy cập tiền sử bệnh án.

Đại biểu Quốc hội TP Hải Phòng Phạm Thu Xanh phát biểu. (Ảnh: Doãn Tấn/TTXVN)

Do đó, đại biểu Phạm Thu Xanh đề nghị rà soát khoản 7, khoản 9 Điều 19, quy định rõ cơ chế chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc sự đồng ý của người bệnh. Với dữ liệu đã mã hóa, có kiểm soát truy cập và lưu vết, cần có quy trình, thời hạn xử lý phù hợp, tránh thủ tục không cần thiết.

Đặc biệt, khi áp dụng biện pháp kỹ thuật khẩn cấp theo Điều 23, cần bảo đảm không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và các dịch vụ y tế thiết yếu. Bởi sự cố an ninh dữ liệu tại bệnh viện không chỉ là sự cố công nghệ mà còn có thể trực tiếp ảnh hưởng đến an toàn người bệnh.

Về phân loại dữ liệu và xác định cấp độ an ninh, đại biểu Phạm Thu Xanh đề nghị phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã khử nhận dạng, không thể tái nhận dạng. Nếu chỉ một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng cấp độ an ninh cao nhất, chi phí tuân thủ sẽ tăng đáng kể, nhất là với cơ sở y tế công lập.

Đại biểu đề nghị việc xác định dữ liệu cốt lõi phải căn cứ vào tính chất, quy mô, khả năng gây thiệt hại và ngưỡng rủi ro của chính tập dữ liệu; đồng thời hướng dẫn cụ thể việc phân vùng cách ly hệ thống theo Điều 12.

Đại biểu Phạm Thu Xanh nhấn mạnh, dữ liệu y tế bị lộ, lọt có thể gây tổn thương lâu dài đến quyền riêng tư và cuộc sống người bệnh. Nhưng nếu dữ liệu không được kết nối kịp thời hoặc hệ thống bị gián đoạn, người bệnh có thể mất đi cơ hội được cứu chữa. Vì vậy, bảo vệ an ninh dữ liệu và bảo đảm dữ liệu được khai thác an toàn, kịp thời phải được đặt ra đồng thời.

Phải bảo đảm chống lạm dụng và giảm thiệt hại

Góp ý về Điều 22 theo dõi, cảnh báo và ứng phó sự cố an ninh dữ liệu, đại biểu Nguyễn Vũ Trung - Đoàn Đại biểu Quốc hội Thành phố Hồ Chí Minh nhấn mạnh việc phải đặt người bị ảnh hưởng vào trung tâm của ứng phó sự cố.

Đại biểu Nguyễn Vũ Trung đề nghị sửa điểm a khoản 6 theo hướng: Sự cố từ cấp độ 3 trở lên phải báo cáo sớm, chậm nhất 24 giờ kể từ khi phát hiện; trường hợp nguy cơ đặc biệt nghiêm trọng phải báo ngay; báo cáo được cập nhật khi có kết quả xác minh. Đồng thời, bổ sung nghĩa vụ thông báo không chậm trễ cho cá nhân bị ảnh hưởng, nêu rõ dữ liệu nào có thể bị lộ, nguy cơ gì, cần làm gì để khóa tài khoản, đổi mật khẩu hoặc chặn giao dịch và liên hệ ở đâu. Cơ quan đầu mối phải có quy trình phối hợp với ngân hàng, viễn thông và nền tảng số để cảnh báo, ngăn nguy cơ tiếp diễn.

Đại biểu Nguyễn Vũ Trung (đoàn Thành phố Hồ Chí Minh). (Ảnh: Hải Ngọc/TTXVN)

Về Điều 23: Biện pháp kỹ thuật khẩn cấp, đại biểu Nguyễn Vũ Trung cho rằng cần thêm “phải bảo đảm chống lạm dụng và giảm thiệt hại cho người dân, doanh nghiệp, cơ quan, tổ chức.”

“Đề nghị quyết định áp dụng các biện pháp kỹ thuật khẩn cần phải ghi rõ căn cứ, phạm vi, thời hạn và phương án khôi phục; chỉ áp dụng biện pháp cần thiết ít hạn chế nhất; việc gia hạn phải được rà soát độc lập. Trước khi đình chỉ hệ thống ảnh hưởng đến bệnh viện, điện, nước, thanh toán, dịch vụ thiết yếu, phải đánh giá tác động và ưu tiên cô lập phần bị xâm nhập hoặc bị ảnh hưởng nếu khả thi. Bảo đảm an ninh dữ liệu nhưng không làm tê liệt chính dịch vụ thiết yếu mà người dân, cơ quan, tổ chức đang cần,” Đại biểu Nguyễn Vũ Trung phân tích.

Đại biểu đề nghị chính phủ tiếp tục hoàn thiện Dự thảo để Luật giúp ngăn chặn kẻ gian lợi dụng dữ liệu để lừa đảo, cảnh báo sớm cho người dân khi dữ liệu bị xâm phạm và tạo điều kiện để doanh nghiệp tuân thủ mà không phải làm đi làm lại thủ tục. Khi dữ liệu được bảo vệ an toàn và phục vụ nhu cầu phát triển, luật sẽ thật sự đi vào cuộc sống.

Đại biểu Trần Mạnh Huy - Đoàn đại biểu Quốc hội thành phố Đà Nẵng góp ý một vấn đề có tính hệ thống là trách nhiệm đối với rủi ro phát sinh giữa nhiều hệ thống dữ liệu, khi từng cơ quan, doanh nghiệp không thể tự nhìn thấy toàn bộ rủi ro đó. Nhiều bệnh viện, ngân hàng và cơ quan cung cấp dịch vụ công cùng phụ thuộc vào một nền tảng kỹ thuật. Từng đơn vị đều có thể phân loại dữ liệu đúng, đánh giá rủi ro đúng, bảo vệ đúng quy định. Nhưng nếu nền tảng chung gặp sự cố, nhiều dịch vụ thiết yếu vẫn có thể gián đoạn đồng thời.

“Một bệnh viện chỉ đánh giá được phần phụ thuộc của bệnh viện. Một ngân hàng chỉ đánh giá được phần phụ thuộc của ngân hàng. Không thể yêu cầu mỗi đơn vị tự biết có bao nhiêu ngành, bao nhiêu địa phương đang phụ thuộc vào cùng một mắt xích… Nghịch lý là chúng ta có thể có nhiều hồ sơ đánh giá an ninh đều đúng, nhưng chưa có bức tranh đầy đủ về một điểm rủi ro chung có khả năng gây gián đoạn trên diện rộng,” Đại biểu Trần Mạnh Huy nhấn mạnh.

Về Điều 22 và Điều 26 đã quy định về cảnh báo, điều phối ứng cứu và quản lý nhà nước, đại biểu đề nghị không lập thêm bộ máy, mà nối các trách nhiệm hiện có thành một cơ chế phòng ngừa rủi ro liên ngành.

“Tôi kiến nghị hai nội dung. Thứ nhất, tại Điều 26, bổ sung nhiệm vụ của cơ quan đầu mối, phối hợp với các bộ quản lý ngành, nhận diện những phụ thuộc chung có khả năng ảnh hưởng đồng thời đến nhiều hệ thống dữ liệu trọng yếu hoặc dịch vụ thiết yếu. Tiêu chí nhận diện phải xét hậu quả gián đoạn, mức độ phụ thuộc và khả năng thay thế, phục hồi; không chỉ dựa vào quy mô nhà cung cấp. Kết quả đánh giá phải dẫn đến cảnh báo và phương án phối hợp, không dừng ở báo cáo,” Đại biểu Trần Mạnh Huy cho hay.

Thứ hai, tại Điều 18, làm rõ nghĩa vụ của nhà cung cấp phục vụ hệ thống trọng yếu: hỗ trợ bàn giao dữ liệu ở định dạng sử dụng được và phối hợp kiểm chứng khả năng khôi phục các chức năng thiết yếu khi dịch vụ bị gián đoạn hoặc hợp đồng chấm dứt.

Đại biểu Trần Mạnh Huy nhấn mạnh, trách nhiệm của từng cơ quan, doanh nghiệp phải rõ. Nhưng trách nhiệm đối với rủi ro nằm giữa các cơ quan, doanh nghiệp cũng phải có chủ thể chịu trách nhiệm.

Dự thảo Luật Luật An ninh dữ liệu gồm 06 chương, 29 điều quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; tổ chức, cá nhân nước ngoài ở ngoài lãnh thổ Việt Nam có hoạt động xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.

Dự thảo Luật quy định 05 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu. Chủ quản dữ liệu từ Cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu Cấp độ 4, Cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu./.