Những vấn đề cốt lõi của dự thảo Luật An ninh dữ liệu

Về phạm vi điều chỉnh, nguyên tắc áp dụng pháp luật và ranh giới với các luật chuyên ngành có liên quan, dự thảo phân định rõ các lĩnh vực điều chỉnh.

Theo đó, nguyên tắc, điều kiện xử lý dữ liệu cá nhân và quyền của chủ thể dữ liệu cá nhân tiếp tục được thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân.

Hoạt động xây dựng, quản trị, khai thác, chia sẻ và phân loại dữ liệu theo tính chất quan trọng được thực hiện theo pháp luật về dữ liệu; việc bảo vệ an ninh mạng đối với hệ thống thông tin được thực hiện theo pháp luật về an ninh mạng; trong khi việc bảo vệ an ninh của chính dữ liệu trong suốt vòng đời được thực hiện theo Luật An ninh dữ liệu.

Cách phân định này góp phần tránh tình trạng một tổ chức, doanh nghiệp phải thực hiện nhiều thủ tục trùng lặp đối với cùng một nội dung quản lý. Dự thảo cũng quy định nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần.

Về cơ chế quản lý theo cấp độ rủi ro, dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu, từ Cấp độ 1 (thấp nhất) đến Cấp độ 5 (cao nhất). Việc xác định cấp độ dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội cũng như quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Theo đó, cấp độ rủi ro càng cao, nghĩa vụ bảo vệ càng chặt chẽ. Đối với dữ liệu Cấp độ 1 và Cấp độ 2, hầu như không phát sinh thủ tục hành chính. Từ Cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động và kiểm toán định kỳ. Đối với dữ liệu Cấp độ 4 và Cấp độ 5, việc thẩm định an ninh dữ liệu phải được thực hiện trước khi hệ thống được đưa vào vận hành chính thức.

Việc phân cấp độ rủi ro không thay thế việc phân loại dữ liệu theo pháp luật về dữ liệu, đồng thời không làm thay đổi quyền sở hữu, quyền quản lý, khai thác và sử dụng dữ liệu của tổ chức, cá nhân. Quy định này nhằm bảo đảm các công cụ quản lý an ninh không ảnh hưởng đến quyền tài sản hợp pháp đối với dữ liệu.

Ảnh minh họa

Dự thảo Luật xác lập định hướng bảo vệ an ninh dữ liệu xuyên suốt toàn bộ vòng đời, từ thu thập, lưu trữ, xử lý, truyền đưa đến tiêu hủy; đồng thời kiểm soát chặt chẽ việc chuyển dữ liệu xuyên biên giới theo hướng phân hóa dựa trên cấp độ rủi ro, nhằm bảo vệ chủ quyền dữ liệu quốc gia.

Theo định hướng chung, yêu cầu bảo vệ và kiểm soát tăng dần theo cấp độ rủi ro của dữ liệu. Phần lớn dữ liệu có mức độ rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế tối đa việc phát sinh thủ tục hành chính; trong khi đó, dữ liệu có mức độ rủi ro cao được quản lý chặt chẽ hơn, tương xứng với mức độ rủi ro.

Dự thảo cũng bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước các yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài mà không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, bảo đảm an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.

Dự thảo Luật xác lập định hướng chủ động phòng ngừa, theo dõi và ứng phó khi xảy ra sự cố an ninh dữ liệu, bảo đảm Nhà nước có công cụ phản ứng kịp thời trước các sự cố nghiêm trọng, đồng thời giới hạn chặt chẽ phạm vi và điều kiện áp dụng để không ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Theo định hướng chung, các biện pháp hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, trên nguyên tắc ưu tiên biện pháp ít hạn chế nhất, có thời hạn áp dụng cụ thể, kèm theo cơ chế báo cáo, giám sát và bảo đảm quyền kiến nghị, khiếu nại, khởi kiện, được bồi thường của tổ chức, cá nhân trong trường hợp biện pháp được áp dụng trái pháp luật.

Dự thảo Luật xác lập định hướng bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo, phù hợp với xu thế phát triển công nghệ hiện nay. Tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới và hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao có trách nhiệm tích hợp các biện pháp bảo vệ an ninh ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.

Đồng thời, dự thảo quy định rõ định hướng tránh chồng chéo thủ tục. Việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp vào quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng, không tổ chức thẩm định riêng. Cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự. Qua đó, dự thảo vừa hướng đến kiểm soát rủi ro, vừa bảo vệ bí mật kinh doanh và bí mật công nghệ của doanh nghiệp.

Dự thảo Luật xác lập định hướng kiểm soát an ninh dữ liệu trong toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, không chỉ giới hạn trong phạm vi nội bộ một tổ chức.

Theo đó, chủ quản dữ liệu có trách nhiệm đánh giá rủi ro, giới hạn phạm vi tiếp cận dữ liệu của bên cung cấp sản phẩm, dịch vụ trước khi kết nối; quy định rõ nghĩa vụ bảo mật và chế tài xử lý trường hợp để xảy ra rò rỉ dữ liệu ngay trong hợp đồng; đồng thời chủ động giám sát, thu hồi quyền tiếp cận khi phát hiện nguy cơ hoặc sự cố.

Đối với các hệ thống xử lý dữ liệu có mức độ rủi ro cao, định hướng chung là kiểm soát chặt chẽ hơn việc tiếp cận từ xa của bên cung cấp. Đây là định hướng nhằm đặt trách nhiệm quản lý rủi ro xuyên suốt cả các khâu trung gian và các bên thứ ba tham gia xử lý dữ liệu, vốn là một trong những điểm yếu phổ biến hiện nay trong thực tiễn bảo đảm an ninh dữ liệu.

Dự thảo Luật quy định các chính sách của Nhà nước nhằm thúc đẩy phát triển hạ tầng, công nghệ và nguồn nhân lực về an ninh dữ liệu, gắn kết chặt chẽ với mục tiêu bảo đảm an ninh.

Nhà nước có chính sách ưu tiên phát triển điện toán đám mây chủ quyền, hạ tầng dữ liệu, trung tâm dữ liệu an toàn, xanh, có khả năng chống chịu và phục hồi; áp dụng chính sách ưu đãi về đầu tư, thuế đối với hoạt động nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu, mật mã an ninh và mật mã kháng lượng tử.

Bên cạnh đó, Nhà nước hỗ trợ doanh nghiệp nhỏ và vừa, doanh nghiệp khởi nghiệp sáng tạo nâng cao năng lực bảo vệ an ninh dữ liệu thông qua các công cụ tự đánh giá, hướng dẫn, đào tạo và dịch vụ dùng chung. Dự thảo đồng thời quy định nguyên tắc không được áp dụng các biện pháp tạo vị trí độc quyền cho một sản phẩm hoặc một nhà cung cấp cụ thể, nhằm bảo đảm môi trường cạnh tranh bình đẳng trong quá trình hình thành hệ sinh thái công nghiệp an ninh dữ liệu trong nước.

Những nội dung cốt lõi nêu trên cho thấy dự thảo Luật An ninh dữ liệu được thiết kế theo hướng vừa bảo đảm chặt chẽ về an ninh, chủ quyền dữ liệu quốc gia, vừa hạn chế tối đa tác động đến hoạt động sản xuất, kinh doanh hợp pháp của tổ chức, cá nhân, doanh nghiệp; qua đó tạo nền tảng pháp lý cho phát triển kinh tế dữ liệu, kinh tế số trong giai đoạn tới.

Theo chương trình Kỳ họp thứ 2, Quốc hội khóa XVI, ngày 26.10, Quốc hội sẽ nghe tờ trình, báo cáo thẩm tra và thảo luận tại tổ về dự án Luật An ninh dữ liệu.