Loạt dữ liệu dự kiến bị cấm chuyển ra nước ngoài

Dự thảo Luật An ninh dữ liệu đề xuất cấm chuyển một số nhóm dữ liệu quan trọng ra nước ngoài, trong đó có dữ liệu sinh trắc học quy mô lớn của công dân. Ảnh: Bộ Công an.

Thông tin liên quan đến chủ quyền lãnh thổ, quốc phòng, hạ tầng thông tin trọng yếu và dữ liệu định danh sinh trắc học quy mô lớn của công dân có thể bị cấm chuyển ra nước ngoài theo dự thảo Luật An ninh dữ liệu.

Nội dung được đề cập tại Điều 17, trong đó hoạt động chuyển dữ liệu xuyên biên giới được phân chia thành các nhóm với yêu cầu kiểm soát khác nhau, tùy theo mức độ rủi ro.

Nhóm chịu kiểm soát nghiêm ngặt nhất là dữ liệu cấp độ 4, bao gồm thông tin liên quan đến biên giới, chủ quyền lãnh thổ, công trình quân sự, quốc phòng, mật mã cơ yếu và hạ tầng thông tin trọng yếu.

Đáng chú ý, dữ liệu định danh sinh trắc học quy mô lớn của công dân cũng nằm trong danh sách này. Đây là loại thông tin gắn với các đặc điểm sinh học như khuôn mặt, vân tay hoặc mống mắt, được sử dụng để nhận diện và xác minh danh tính.

Dù vậy, dự thảo vẫn cho phép xem xét một số trường hợp ngoại lệ. Nếu việc chuyển dữ liệu phục vụ lợi ích quốc gia về đối ngoại, quốc phòng hoặc các cam kết hợp tác quốc tế, Thủ tướng có thể cho phép bằng văn bản.

Hoạt động chuyển dữ liệu trong những trường hợp này vẫn phải trải qua thẩm định và được Bộ Công an chấp thuận trước khi thực hiện.

Với dữ liệu cấp độ 3, yêu cầu được đề xuất theo hướng đơn giản hơn. Tổ chức có nhu cầu chuyển dữ liệu ra nước ngoài phải thông báo cho cơ quan chức năng ít nhất 15 ngày trước khi thực hiện.

Tuy nhiên, cơ quan quản lý có thể yêu cầu tạm dừng nếu phát hiện nguy cơ xâm phạm an ninh quốc gia, rò rỉ dữ liệu quy mô lớn hoặc vi phạm nghĩa vụ bảo vệ dữ liệu.

Thời hạn tạm dừng tối đa 30 ngày, có thể gia hạn thêm một lần không quá 30 ngày nếu nguy cơ chưa được khắc phục.

Tổ chức có nhu cầu chuyển dữ liệu ra nước ngoài phải thông báo cho cơ quan chức năng ít nhất 15 ngày trước khi thực hiện. Ảnh: Nikkei.

Riêng dữ liệu là bí mật kinh doanh, dự thảo đưa ra ngoại lệ về thủ tục thẩm định trong một số trường hợp. Doanh nghiệp có thể được miễn thẩm định trước nếu dữ liệu được chuyển đến quốc gia có cơ chế bảo vệ tương đương hoặc các bên có hợp đồng đáp ứng tiêu chuẩn bảo vệ được công nhận.

Dù vậy, đơn vị chuyển dữ liệu vẫn phải tự phân loại, lập hồ sơ và chịu trách nhiệm nếu có sai phạm. Việc kiểm soát cũng không chỉ giới hạn ở dữ liệu nguyên bản.

Nếu dữ liệu được trích xuất từ nhóm cấp độ 3 hoặc 4 vẫn có khả năng khôi phục, suy ngược hoặc làm lộ thông tin ban đầu, hoạt động chuyển giao tiếp tục phải tuân thủ các điều kiện tương ứng.

Ngược lại, dữ liệu đã được khử nhận dạng theo cách không thể khôi phục sẽ không chịu những hạn chế này. Ngoài hoạt động chuyển dữ liệu xuyên biên giới, dự thảo còn đặt ra yêu cầu lưu trữ trong nước với một số nhóm dữ liệu quan trọng.

Theo đó, dữ liệu cấp độ 3 có tác động trực tiếp đến quốc phòng, an ninh, tài chính - ngân hàng, năng lượng và viễn thông được đề xuất lưu tại trung tâm dữ liệu trên lãnh thổ Việt Nam. Dữ liệu cấp độ 4 phải được lưu trữ tại hạ tầng dữ liệu quốc gia trọng yếu.

Những trường hợp sử dụng dịch vụ điện toán đám mây quốc tế thuộc phạm vi áp dụng cũng có thể phải duy trì bản sao dữ liệu tại Việt Nam để phục vụ kiểm tra và ứng phó sự cố.

Các đề xuất này có thể ảnh hưởng đến hoạt động lưu trữ và xử lý dữ liệu của doanh nghiệp, đặc biệt với những đơn vị sử dụng hạ tầng ở nước ngoài. Tuy nhiên, dự thảo không đặt ra lệnh cấm chung đối với mọi dữ liệu cá nhân hay toàn bộ dữ liệu doanh nghiệp.

Các nội dung trên hiện mới là đề xuất trong dự thảo Luật An ninh dữ liệu và có thể tiếp tục được điều chỉnh trước khi được thông qua.