Tránh trùng lặp thủ tục, giảm thực chất chi phí cho doanh nghiệp tại dự án Luật An ninh dữ liệu

Phiên thảo luận tại Tổ 13 chiều 26/10 - Ảnh: Quochoi.vn

Chiều 26/10, Quốc hội thảo luận ở Tổ về dự án Luật An ninh dữ liệu; dự án Luật Định danh và xác thực điện tử; dự án Luật Xử lý vi phạm hành chính (sửa đổi). Đóng góp ý kiến vào dự án Luật An ninh dữ liệu, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên nhấn mạnh, trong bối cảnh chuyển đổi số diễn ra mạnh mẽ, dữ liệu ngày càng trở thành nguồn lực chiến lược, yếu tố quan trọng đối với phát triển kinh tế số, xã hội số và năng lực cạnh tranh quốc gia.

Vì vậy, việc hoàn thiện Luật An ninh dữ liệu lần này cần bảo đảm hài hòa giữa yêu cầu bảo vệ chủ quyền, an ninh dữ liệu với khai thác, lưu chuyển và sử dụng hiệu quả nguồn lực dữ liệu, quản lý theo mức độ rủi ro thực tế, tránh chồng chéo, không làm gia tăng chi phí tuân thủ; đồng thời tạo môi trường pháp lý thuận lợi cho đổi mới sáng tạo, phát triển và hội nhập quốc tế.

CỤ THỂ HÓA TIÊU CHÍ MỨC ĐỘ RỦI RO DỮ LIỆU

Cho ý kiến về dự án Luật An ninh dữ liệu, đại biểu Nguyễn Hải Dũng - Đoàn ĐBQH tỉnh Ninh Bình (tại Tổ 3) đề nghị rà soát, hoàn thiện một số quy định của dự thảo Luật An ninh dữ liệu nhằm bảo đảm tính thống nhất, đồng bộ với hệ thống pháp luật hiện hành. Liên quan đến quy định về bảo vệ an ninh dữ liệu theo vòng đời tại Điều 9, đại biểu đề nghị làm rõ trường hợp doanh nghiệp chấm dứt tồn tại do chia, tách, hợp nhất hoặc sáp nhập, đồng thời nghiên cứu dẫn chiếu đến pháp luật về doanh nghiệp, phá sản để bảo đảm cơ sở pháp lý khi áp dụng.

Đại biểu cũng đề nghị nghiên cứu bổ sung lực lượng bảo vệ an ninh dữ liệu ở cấp xã, đáp ứng yêu cầu bảo vệ dữ liệu liên quan trực tiếp đến cá nhân, đơn vị và cộng đồng tại Điều 24 của dự thảo Luật.

Về quy định về phân cấp rủi ro an ninh dữ liệu tại Điều 8, đại biểu Nguyễn Thị Bích Đào – Đoàn ĐBQH tỉnh Ninh Bình cơ bản đồng tình với việc xác định năm cấp độ rủi ro, nhưng đề nghị tiếp tục hoàn thiện các tiêu chí để bảo đảm tính khoa học, thống nhất và khả thi trong thực tiễn.

Đại biểu đề nghị làm rõ tiêu chí xác định cấp độ rủi ro; đánh giá đầy đủ hậu quả khi các thuộc tính bảo mật, toàn vẹn và khả dụng của dữ liệu bị xâm phạm; cần có cơ chế bảo vệ phù hợp đối với dữ liệu cá nhân nhạy cảm; cần cụ thể hóa tiêu chí phân cấp để bảo đảm áp dụng thống nhất, tránh phát sinh chi phí tuân thủ không cần thiết; cần quy định rõ nguyên tắc phân cấp đối với tập dữ liệu có nhiều thành phần với mức độ rủi ro khác nhau.

Đại biểu Nguyễn Thị Bích Đào, Đoàn ĐBQH tỉnh Ninh Bình - Ảnh: Quochoi.vn

Theo đại biểu Nguyễn Thị Bích Đào, việc phân cấp cần chủ yếu căn cứ vào tính chất, mức độ quan trọng của dữ liệu và hậu quả tiềm tàng khi bị xâm phạm. Khả năng xảy ra sự cố nên được xem xét trong quá trình đánh giá, quản trị rủi ro để lựa chọn biện pháp bảo vệ phù hợp, không nên làm thay đổi cấp độ dữ liệu chỉ vì điều kiện bảo vệ của hệ thống tốt hơn hoặc kém đi.

“Dữ liệu công khai vẫn có thể gây hậu quả nghiêm trọng nếu bị sửa đổi trái phép; tương tự, dữ liệu phục vụ các dịch vụ thiết yếu nếu không thể truy cập, sử dụng đúng thời điểm cũng có thể ảnh hưởng lớn đến hoạt động quản lý và đời sống xã hội. Vì vậy, tiêu chí phân cấp cần xem xét hậu quả khi bất kỳ thuộc tính nào trong ba thuộc tính này bị xâm phạm, thay vì chỉ chú trọng nguy cơ lộ lọt thông tin”, đại biểu bày tỏ.

Đại biểu Nguyễn Thị Bích Đào cũng nhấn mạnh việc hoàn thiện Điều 8 dự thảo Luật cần bảo đảm đồng thời hai yêu cầu: dữ liệu có nguy cơ gây hậu quả nghiêm trọng khi bị xâm phạm phải được bảo vệ đầy đủ; đồng thời, không tạo ra nghĩa vụ bảo vệ vượt quá mức cần thiết đối với dữ liệu có rủi ro thấp. Các tiêu chí phân cấp cần rõ ràng, có khả năng kiểm chứng và áp dụng thống nhất, qua đó nâng cao hiệu quả bảo vệ an ninh dữ liệu, bảo đảm quyền, lợi ích hợp pháp của người dân, doanh nghiệp và thúc đẩy chuyển đổi số quốc gia.

Đối với vấn đề hoàn thiện cơ chế quản lý an ninh dữ liệu theo mức độ rủi ro, bảo đảm tính thống nhất của pháp luật và giảm thực chất chi phí tuân thủ, các quan hệ liên quan đến dữ liệu đồng thời chịu sự điều chỉnh của Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật An ninh mạng và pháp luật chuyên ngành liên quan, do vậy yêu cầu đặt ra là phải bảo đảm tính thống nhất, tránh chồng chéo trong tổ chức thực hiện.

Thảo luận tại Tổ 13, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên ghi nhận dự thảo Luật đã có những quy định tích cực nhằm giải quyết vấn đề trên. Điều 8 quy định việc xác định, cập nhật cấp độ rủi ro dữ liệu. Điều 3, Điều 10 và Điều 11 đã thiết lập nguyên tắc công nhận, kế thừa kết quả đánh giá, tích hợp hồ sơ và thẩm định, nhằm hạn chế thủ tục trùng lặp.

Tuy nhiên, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên cho rằng, còn hai vấn đề cần tiếp tục nghiên cứu làm rõ. Theo đó, về phân cấp rủi ro, tiêu chí xác định, điều chỉnh cấp độ và cơ chế xử lý khi có sự khác biệt giữa kết quả phân cấp của tổ chức, doanh nghiệp với đánh giá của cơ quan có thẩm quyền chưa được quy định rõ.

Về công nhận kết quả đánh giá tương đương, chưa làm rõ đầy đủ tiêu chí xác định tính tương đương, trách nhiệm công nhận và phạm vi đánh giá bổ sung. Những bất cập này có thể dẫn đến áp dụng nghĩa vụ quản lý không tương xứng hoặc đánh giá trùng lặp, làm gia tăng chi phí tuân thủ. Vì vậy, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên đề nghị tiếp tục hoàn thiện Dự thảo Luật theo hướng cụ thể hóa tiêu chí xác định cấp độ rủi ro trên cơ sở tính chất, mức độ quan trọng của dữ liệu; quy định cụ thể căn cứ điều chỉnh cấp độ và cơ chế xem xét lại kết quả, phân cấp khi có sự khác biệt trong đánh giá.

Ông Diên cũng đề nghị quy định rõ tiêu chí xác định nội dung đánh giá tương đương, trách nhiệm công nhận kết quả và giới hạn phạm vi được yêu cầu đánh giá bổ sung, bảo đảm cùng một nội dung rủi ro đã được đánh giá hợp pháp, đáp ứng yêu cầu thì không phải đánh giá lại, trừ trường hợp phát sinh rủi ro mới hoặc có thay đổi trọng yếu. Mục tiêu không chỉ là giảm số lượng thủ tục hành chính, mà phải giảm thực chất nghĩa vụ tuân thủ trùng lặp, kết hợp giữa tiền kiểm, hậu kiểm và trách nhiệm giải trình.

HAI “ĐIỂM NGHẼN” LỚN CẦN THÁO GỠ

Thảo luận tại Tổ 1 về Dự án Luật An ninh dữ liệu, đại biểu Lê Nhật Thành- Đoàn ĐBQH thành phố Hà Nội, cho rằng mối quan tâm lớn nhất của cộng đồng doanh nghiệp và cử tri khi theo dõi dự thảo luật này là liệu có phát sinh thêm gánh nặng tuân thủ hay không.

Qua nghiên cứu hồ sơ, đại biểu ghi nhận dự thảo Luật An ninh dữ liệu đã được thiết kế nghĩa vụ theo đúng nguyên tắc tương xứng với 5 cấp độ rủi ro, và phần lớn các tổ chức, doanh nghiệp sẽ không phải gánh thêm thủ tục mới, chỉ một số ít cơ quan, tổ chức xử lý dữ liệu có rủi ro cao nhất từ Cấp độ 4, Cấp độ 5 trở lên (đa số thuộc các cơ sở dữ liệu chuyên ngành quan trọng của các cơ quan, tổ chức của Ban, Bộ, ngành) mới phải tuân thủ các nghĩa vụ chặt chẽ, cao hơn; điều này hoàn toàn hợp lý nhằm bảo vệ an ninh, quốc phòng và bảo đảm chủ quyền dữ liệu quốc gia. Đây chính là minh chứng rõ nét cho tinh thần "quản lý theo rủi ro, không quản lý cào bằng" mà dự thảo Luật theo đuổi.

Đại biểu Lê Nhật Thành, Đoàn ĐBQH thành phố Hà Nội - Ảnh: Quochoi.vn

Để nâng cao hiệu lực thực thi, đại biểu Lê Nhật Thành đề nghị cơ quan chủ trì soạn thảo tính toán hoàn thiện dự thảo luật theo hướng gắn quy định cụ thể nghĩa vụ, trách nhiệm đối với từng nhóm chủ thể liên quan bảo đảm thống nhất, đồng bộ, dễ hình dung, dễ áp dụng. Cơ chế này vừa mang tính bắt buộc, vừa khuyến khích tự nguyện tuân thủ; đồng thời bảo đảm công bằng, bình đẳng giữa doanh nghiệp trong nước và doanh nghiệp nước ngoài cung cấp dịch vụ tại Việt Nam.

Nhờ phương châm “rõ việc, rõ thời hạn, rõ đầu mối”, luật sẽ tạo cơ sở nâng cao hiệu lực quản lý nhà nước, khắc phục tình trạng né tránh trách nhiệm, nhất là với các nền tảng xuyên biên giới. Đồng thời, cần bổ sung quy định mang tính nguyên tắc nhằm bảo đảm thống nhất áp dụng pháp luật với Luật An ninh mạng, Luật Dữ liệu và các quy định về bảo vệ dữ liệu cá nhân, tránh tạo quy trình song hành không cần thiết.

Góp ý nhằm hoàn thiện tiêu chí phân loại cấp độ rủi ro và bảo vệ quyền tự chủ của doanh nghiệp, đại biểu Đỗ Đức Hồng Hà, Đoàn ĐBQH thành phố Hà Nội, chỉ rõ hai "điểm nghẽn" lớn cần tháo gỡ.

Thứ nhất, nguy cơ xung đột thể chế và làm suy giảm giá trị pháp lý của Danh mục dữ liệu cốt lõi khi Luật Dữ liệu quy định "dữ liệu cốt lõi" là dữ liệu quan trọng trực tiếp tác động đến quốc phòng, an ninh, đối ngoại, kinh tế vĩ mô, ổn định xã hội, sức khỏe và an toàn cộng đồng thuộc Danh mục do Thủ tướng Chính phủ ban hành nhưng dự thảo Luật An ninh dữ liệu lại phân tán dữ liệu cốt lõi vào cả 3 cấp độ (Cấp độ 3, 4 và 5), điều này dẫn đến tình trạng: cùng một tập dữ liệu đã được Thủ tướng Chính phủ định danh là dữ liệu cốt lõi, nhưng sang luật này lại bị coi là Cấp độ 3, gây lúng túng trong việc xác định chuẩn bảo vệ.

Thứ hai, còn thiếu cơ chế bảo đảm thủ tục khi cơ quan chuyên trách đơn phương áp đặt cấp độ rủi ro. Theo đại biểu, việc bị cơ quan chuyên trách nâng cấp độ hành chính (đặc biệt từ Cấp độ 3 lên Cấp độ 4 hoặc 5) lập tức kích hoạt hàng loạt nghĩa vụ can thiệp sâu: bắt buộc thẩm định thiết kế hệ thống trước khi vận hành, kiểm thử xâm nhập định kỳ, xin chấp thuận trước khi chuyển dữ liệu xuyên biên giới. Nếu áp đặt không chính xác, doanh nghiệp vừa gánh chi phí khổng lồ, vừa đối mặt nguy cơ đình trệ dòng chảy dữ liệu kinh doanh mà không có cơ chế bù đắp kịp thời.

Từ những phân tích trên, đại biểu Đỗ Đức Hồng Hà đề nghị quy định rõ về tiêu chí phân loại cấp độ rủi ro và cơ chế đảm bảo thủ tục khi áp đặt cấp độ rủi ro; dữ liệu thuộc Danh mục dữ liệu cốt lõi do Thủ tướng Chính phủ ban hành theo quy định của Luật Dữ liệu phải được bảo đảm an ninh tương xứng từ Cấp độ 4 trở lên.

LÀM RÕ CƠ CHẾ ÁP DỤNG ĐỐI VỚI CÁC HOẠT ĐỘNG XỬ LÝ DỮ LIỆU XUYÊN BIÊN GIỚI

Đối với hoàn thiện cơ chế kiểm soát chuyển dữ liệu xuyên biên giới theo rủi ro thực tế, bảo đảm hài hòa giữa an ninh dữ liệu với phát triển và hội nhập quốc tế, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên thống nhất cần kiểm soát chặt việc chuyển ra nước ngoài đối với dữ liệu quan trọng liên quan đến quốc phòng, an ninh và chủ quyền quốc gia. Báo cáo thẩm tra cũng đề nghị rà soát cơ chế chuyển, xử lý dữ liệu xuyên biên giới, bảo đảm thống nhất với pháp luật có liên quan và tính khả thi khi thực hiện.

Điều 19 dự thảo Luật đã phân tầng quản lý theo cấp độ dữ liệu, đồng thời phân biệt các hình thức chuyển, xử lý dữ liệu xuyên biên giới. Đặc biệt, khoản 4 Điều 19 đã quy định việc xem xét nguy cơ, phạm vi, mức độ tác động, bên tiếp nhận và biện pháp bảo vệ đối với dữ liệu Cấp độ 4, Cấp độ 5.

Phó Chủ tịch Quốc hội Nguyễn Hồng Diên tham gia thảo luận tại Tổ 13 - Ảnh: Quochoi.vn

Tuy nhiên, Phó Chủ tịch Nguyễn Hồng Diên cho rằng cần tiếp tục hoàn thiện cơ chế này theo hướng không đồng nhất cấp độ quan trọng của dữ liệu với mức độ rủi ro của từng hoạt động chuyển dữ liệu xuyên biên giới. Bởi lẽ, rủi ro không chỉ phụ thuộc vào cấp độ dữ liệu mà còn phụ thuộc vào mục đích chuyển, chủ thể tiếp nhận, phạm vi xử lý, biện pháp mã hóa, khả năng kiểm soát, truy xuất và thu hồi dữ liệu. (Ví dụ, cùng một loại dữ liệu, nhưng việc chuyển dữ liệu đã mã hóa để xử lý kỹ thuật, có giới hạn quyền truy cập và khả năng thu hồi sẽ có mức độ rủi ro khác với việc chuyển toàn bộ dữ liệu gốc ra nước ngoài để lưu trữ, khai thác lâu dài).

Mặc dù khoản 1 Điều 19 đã xác định các hình thức chuyển, xử lý dữ liệu xuyên biên giới và khoản 10 quy định riêng đối với một số trường hợp mang dữ liệu ra nước ngoài, truy cập dữ liệu từ nước ngoài, nhưng tiêu chí đánh giá rủi ro và điều kiện kiểm soát tương ứng với từng hình thức vẫn cần được tiếp tục làm rõ để bảo đảm áp dụng thống nhất. Vì vậy, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên đề nghị tiếp tục nghiên cứu, hoàn thiện Điều 19 theo hướng: quy định rõ tiêu chí đánh giá rủi ro và điều kiện kiểm soát tương ứng với từng hình thức chuyển, xử lý dữ liệu; đặc biệt phân biệt hoạt động lưu trữ, khai thác dữ liệu ở nước ngoài với truy cập kỹ thuật từ xa có kiểm soát.

Đồng thời, làm rõ cơ chế áp dụng đối với các hoạt động xử lý dữ liệu xuyên biên giới thường xuyên, đã đáp ứng yêu cầu bảo vệ an ninh dữ liệu. Đây là vấn đề có ý nghĩa thực tiễn đối với hoạt động thanh toán quốc tế, điện toán đám mây, dịch vụ công nghệ và vận hành hệ thống tập trung.

Phó Chủ tịch Quốc hội Nguyễn Hồng Diên nhấn mạnh, bảo vệ chủ quyền và an ninh dữ liệu không đồng nghĩa với hạn chế tối đa lưu chuyển dữ liệu, mà phải kiểm soát đúng rủi ro, đúng đối tượng và đúng mức độ cần thiết.

Góp ý về hoàn thiện điều kiện áp dụng và cơ chế kiểm soát các biện pháp kỹ thuật khẩn cấp, bảo đảm tính tương xứng và hạn chế tác động đến hoạt động kinh tế-xã hội, Phó Chủ tịch Nguyễn Hồng Diên cho rằng đây không chỉ là vấn đề kỹ thuật về an ninh dữ liệu mà còn liên quan trực tiếp đến giới hạn thực thi quyền lực nhà nước và bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân. Báo cáo thẩm tra đề nghị tiếp tục hoàn thiện các quy định liên quan đến vấn đề này.

Điều 23 dự thảo Luật cho phép áp dụng các biện pháp có mức độ can thiệp mạnh như bóc gỡ dữ liệu, vô hiệu hóa quyền truy cập, tạm dừng luồng truyền dữ liệu, tạm dừng vận hành một phần hoặc toàn bộ hệ thống thông tin, dịch vụ.

Dự thảo Luật đã có những quy định cần thiết về nguyên tắc ưu tiên biện pháp ít hạn chế quyền nhất, thẩm quyền, thời hạn áp dụng, quyền khiếu nại, khởi kiện và yêu cầu bồi thường. Tuy nhiên, khoản 6 Điều 23 cho phép gia hạn biện pháp khẩn cấp trong trường hợp đặc biệt nghiêm trọng, với tổng thời gian không quá 90 ngày, nhưng chưa quy định rõ tiêu chí xác định trường hợp đặc biệt nghiêm trọng, căn cứ đánh giá việc tiếp tục duy trì và gia hạn biện pháp hạn chế quyền.

Vì vậy, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên đề nghị tiếp tục hoàn thiện Điều 23 theo hướng quy định rõ tiêu chí xác định trường hợp đặc biệt nghiêm trọng, căn cứ gia hạn và trách nhiệm đánh giá lại tính cần thiết, tương xứng của biện pháp trong thời gian áp dụng; bảo đảm biện pháp khẩn cấp chỉ được duy trì trong phạm vi và thời gian thực sự cần thiết.

Đối với biện pháp áp dụng kéo dài, tác động trên diện rộng hoặc có nguy cơ gián đoạn dịch vụ thiết yếu, cần quy định cơ chế phối hợp với cơ quan quản lý chuyên ngành và cơ chế giám sát ngoài cơ quan trực tiếp thực thi, bảo đảm quyền lực khẩn cấp luôn đi cùng với kiểm soát quyền lực, trách nhiệm giải trình và quyền, lợi ích hợp pháp của tổ chức, cá nhân.