Dự thảo Luật An ninh dữ liệu: Chủ động kiểm soát rủi ro, bảo vệ chủ quyền số quốc gia

Yêu cầu chiến lược trong chuyển đổi số

Trong kỷ nguyên số, dữ liệu đã trở thành tài sản chiến lược, gắn với năng lực cạnh tranh, sự ổn định kinh tế và an ninh quốc gia. Vì vậy, bảo vệ chủ quyền quốc gia trên không gian mạng không chỉ dừng ở bảo vệ hạ tầng mạng mà còn phải mở rộng sang quản lý, kiểm soát và bảo vệ dữ liệu.

Thực tiễn cho thấy, các cuộc tấn công mạng có chủ đích ngày càng tập trung vào xâm nhập sâu, âm thầm thu thập dữ liệu. Tình trạng dữ liệu cá nhân bị rao bán trái phép, thiệt hại do lừa đảo trực tuyến và mã độc tống tiền đặt ra yêu cầu nâng cao năng lực phòng ngừa, phát hiện và ứng phó sự cố.

Ủy ban Quốc phòng, An ninh và Đối ngoại thẩm tra dự án Luật An ninh dữ liệu. Ảnh: Đắc Trường

Hệ thống pháp luật hiện hành đã có Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân và các quy định chuyên ngành liên quan. Tuy nhiên, chưa có khuôn khổ pháp lý toàn diện bảo vệ an ninh của chính dữ liệu trong suốt vòng đời. Những hoạt động tiềm ẩn rủi ro cao như xử lý dữ liệu quy mô lớn, sử dụng dữ liệu nhạy cảm để huấn luyện trí tuệ nhân tạo hay chuyển dữ liệu xuyên biên giới đòi hỏi cơ chế quản lý tương xứng.

Việc xây dựng Luật An ninh dữ liệu nhằm thể chế hóa Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia, trong đó xác định bảo đảm chủ quyền quốc gia trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết của tiến trình chuyển đổi số. Với bố cục 6 chương, 29 điều, dự thảo Luật hướng tới thiết lập khuôn khổ pháp lý chuyên biệt, phân định trách nhiệm và xác lập các biện pháp bảo vệ phù hợp với từng cấp độ rủi ro.

Điểm đáng chú ý của dự thảo Luật là cơ chế quản lý an ninh dữ liệu theo 5 cấp độ, từ thấp nhất đến cao nhất, căn cứ vào khả năng xảy ra sự cố và mức độ thiệt hại đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội cũng như quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Dự thảo Luật quy định cơ chế quản lý an ninh dữ liệu theo 5 cấp độ: từ thấp nhất đến cao nhất, căn cứ vào khả năng xảy ra sự cố và mức độ thiệt hại đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội cũng như quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Theo đó, dữ liệu cấp độ 1 và cấp độ 2 gần như không phát sinh thủ tục hành chính. Từ cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động, kiểm toán định kỳ; dữ liệu cấp độ 4 và cấp độ 5 phải được thẩm định an ninh dữ liệu trước khi hệ thống chính thức vận hành.

Cách tiếp cận này giúp tập trung nguồn lực vào những dữ liệu, hệ thống tiềm ẩn nguy cơ cao, tránh kiểm soát đồng loạt gây tốn kém và tạo gánh nặng tuân thủ không cần thiết, đồng thời tạo thuận lợi cho hoạt động xử lý dữ liệu thông thường.

Dự thảo Luật cũng khẳng định việc xác định cấp độ rủi ro không thay thế việc phân loại dữ liệu theo pháp luật về dữ liệu, không làm thay đổi quyền sở hữu, quản lý, khai thác và sử dụng dữ liệu hợp pháp. Bảo đảm chủ quyền dữ liệu quốc gia không đồng nghĩa với việc Nhà nước xác lập quyền sở hữu đối với dữ liệu không thuộc sở hữu nhà nước. Qua đó, dự thảo phân định thẩm quyền quản lý an ninh của Nhà nước với quyền, lợi ích hợp pháp của các chủ thể dữ liệu.

Bảo đảm an ninh, không tạo gánh nặng tuân thủ

Dự thảo Luật đặt ra yêu cầu bảo vệ an ninh dữ liệu từ khâu thu thập, tạo lập, lưu trữ, xử lý, truyền đưa, chia sẻ đến tiêu hủy. Các biện pháp gồm đánh giá rủi ro, kiểm toán, mã hóa, quản lý truy cập, sao lưu, phục hồi, tiêu hủy an toàn và ứng phó sự cố.

Đối với hoạt động chuyển dữ liệu xuyên biên giới, dự thảo định hướng kiểm soát theo cấp độ rủi ro: dữ liệu rủi ro thấp được tạo điều kiện lưu thông thuận lợi, trong khi dữ liệu có nguy cơ cao phải chịu yêu cầu bảo vệ chặt chẽ hơn. Dự thảo đồng thời bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.

Bảo vệ dữ liệu là yêu cầu chiến lược trong chuyển đổi số. Ảnh: Trọng Nghĩa

Trách nhiệm bảo vệ còn được mở rộng tới chuỗi cung ứng sản phẩm, dịch vụ dữ liệu. Chủ quản dữ liệu phải đánh giá rủi ro, giới hạn phạm vi tiếp cận của nhà cung cấp, quy định nghĩa vụ bảo mật trong hợp đồng và thu hồi quyền truy cập khi phát hiện nguy cơ. Với hệ thống xử lý dữ liệu rủi ro cao, việc kiểm soát truy cập từ xa của nhà cung cấp được đặt ra chặt chẽ hơn.

Dự thảo Luật xác định Chính phủ thống nhất quản lý nhà nước về an ninh dữ liệu; cơ quan, tổ chức, doanh nghiệp có trách nhiệm tự xác định cấp độ rủi ro và áp dụng biện pháp bảo vệ tương ứng. Nhà nước thực hiện hậu kiểm là chủ yếu, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao.

Để tránh chồng chéo, dự thảo phân định rõ phạm vi điều chỉnh giữa Luật An ninh dữ liệu với pháp luật về bảo vệ dữ liệu cá nhân, an ninh mạng và dữ liệu. Trường hợp nhiều luật cùng quy định thủ tục đánh giá, thẩm định, kiểm tra hoặc báo cáo đối với cùng một đối tượng, cùng một nội dung, tổ chức, cá nhân chỉ phải lập một bộ hồ sơ, thực hiện thủ tục qua một đầu mối tiếp nhận. Kết quả đã được thực hiện hợp pháp theo luật khác và còn hiệu lực được công nhận, không yêu cầu thực hiện lại.

Đối với trí tuệ nhân tạo và công nghệ mới, dự thảo Luật yêu cầu tích hợp biện pháp bảo vệ an ninh dữ liệu ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu. Việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp trong quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ hay tổ chức thẩm định riêng. Cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự, qua đó bảo vệ bí mật kinh doanh và bí mật công nghệ của doanh nghiệp.

Việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp trong quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ hay tổ chức thẩm định riêng. Cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự, qua đó bảo vệ bí mật kinh doanh và bí mật công nghệ của doanh nghiệp.

Song song với yêu cầu quản lý, dự thảo Luật đề xuất phát triển điện toán đám mây chủ quyền, hạ tầng và trung tâm dữ liệu an toàn; ưu đãi đầu tư, thuế đối với nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu, mật mã an ninh, mật mã kháng lượng tử và mật mã lượng tử. Nhà nước cũng hỗ trợ doanh nghiệp nhỏ và vừa, doanh nghiệp khởi nghiệp sáng tạo nâng cao năng lực bảo vệ dữ liệu, thúc đẩy hệ sinh thái công nghiệp an ninh dữ liệu tự chủ, tin cậy.

Với cơ chế quản lý theo rủi ro, dự thảo Luật hướng tới chuyển từ ứng phó bị động sang chủ động phòng ngừa, kiểm soát nguy cơ từ sớm. Việc kết hợp bảo vệ chủ quyền dữ liệu quốc gia với đơn giản hóa thủ tục và bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân sẽ góp phần củng cố niềm tin số, nâng cao năng lực tự chủ công nghệ, tạo nền tảng cho phát triển kinh tế dữ liệu và kinh tế số.

Nhật Trường