Dự thảo Luật An ninh dữ liệu đề xuất phân chia 5 cấp độ rủi ro, hạn chế phát sinh thủ tục hành chính

Cán bộ làm việc tại Trung tâm giám sát An ninh mạng - Ảnh: Phạm Kiên/TTXVN

Theo kế hoạch, tại kỳ họp thứ 2, Quốc hội khóa XVI sẽ thảo luận về dự án Luật An ninh dữ liệu. Dự thảo gồm 6 chương, 29 điều, hướng tới bảo vệ dữ liệu trong toàn bộ vòng đời, đồng thời phân định trách nhiệm của Nhà nước, tổ chức, doanh nghiệp và cá nhân.

Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu, từ cấp độ 1 thấp nhất đến cấp độ 5 cao nhất. Việc xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Theo đó, dữ liệu cấp độ 1 và 2 gần như không phát sinh thủ tục hành chính. Từ cấp độ 3 trở lên, chủ quản dữ liệu phải đánh giá tác động, kiểm toán định kỳ. Dữ liệu cấp độ 4 và 5 phải được thẩm định an ninh dữ liệu trước khi hệ thống vận hành chính thức.

Nghĩa vụ bảo vệ được phân hóa theo mức độ rủi ro, thay vì áp dụng đồng loạt cho mọi loại dữ liệu. Chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm trước pháp luật. Nhà nước chủ yếu hậu kiểm, chỉ tiền kiểm đối với dữ liệu và hệ thống có rủi ro cao.

Hộ kinh doanh, doanh nghiệp nhỏ, siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo chỉ cần áp dụng biện pháp bảo vệ cơ bản theo hướng dẫn chung.

Giảm thủ tục trùng lặp giữa các luật

Dự thảo phân định rõ phạm vi áp dụng giữa Luật An ninh dữ liệu với các luật chuyên ngành. Nguyên tắc, điều kiện xử lý dữ liệu cá nhân và quyền của chủ thể dữ liệu tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân. Việc bảo vệ an ninh mạng đối với hệ thống thông tin thực hiện theo pháp luật về an ninh mạng; hoạt động xây dựng, quản trị, khai thác, chia sẻ và phân loại dữ liệu thực hiện theo pháp luật về dữ liệu.

Các nội dung về trí tuệ nhân tạo, công nghiệp công nghệ số, chuyển đổi số, giao dịch điện tử và lưu trữ tiếp tục thực hiện theo pháp luật chuyên ngành tương ứng. Luật An ninh dữ liệu bổ sung biện pháp bảo vệ an ninh dữ liệu phát sinh trong những hoạt động này.

Để tránh doanh nghiệp phải thực hiện nhiều thủ tục cho cùng một nội dung, dự thảo quy định khi các luật cùng yêu cầu đánh giá, thẩm định, kiểm tra hoặc báo cáo đối với một đối tượng và nội dung, tổ chức, cá nhân chỉ phải lập một bộ hồ sơ, thực hiện một thủ tục qua một đầu mối tiếp nhận.

Kết quả đánh giá, thẩm định, chứng nhận đã thực hiện hợp pháp theo luật khác và còn hiệu lực được công nhận, không phải thực hiện lại. Báo cáo sự cố được gửi qua hệ thống điện tử.

Không gian làm việc tại Trung tâm giám sát An ninh mạng - Ảnh: Phạm Kiên/TTXVN

Kiểm soát dữ liệu xuyên biên giới và trí tuệ nhân tạo

Dự thảo xác lập định hướng bảo vệ an ninh dữ liệu xuyên suốt vòng đời, từ thu thập, lưu trữ, xử lý, truyền đưa đến tiêu hủy. Các biện pháp bảo vệ gồm quản lý rủi ro, mã hóa, quản lý truy cập, sao lưu, phục hồi, bảo vệ hạ tầng lưu trữ, ứng phó sự cố và xử lý vi phạm.

Đối với dữ liệu xuyên biên giới, mức độ kiểm soát được phân hóa theo rủi ro. Phần lớn dữ liệu rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế thủ tục hành chính; dữ liệu rủi ro cao được quản lý chặt chẽ hơn.

Dự thảo cũng bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp.

Với trí tuệ nhân tạo, tổ chức, cá nhân nghiên cứu, phát triển hoặc triển khai hệ thống xử lý dữ liệu có mức độ rủi ro cao phải tích hợp biện pháp bảo vệ an ninh ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu sử dụng.

Dự thảo đồng thời hướng tới hạn chế thủ tục riêng đối với hệ thống trí tuệ nhân tạo: việc đánh giá an ninh dữ liệu được tích hợp vào quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ hoặc tổ chức thẩm định riêng. Cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự.

Mở rộng trách nhiệm bảo vệ dữ liệu

Dự thảo đặt trách nhiệm kiểm soát an ninh dữ liệu trong toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, không chỉ trong nội bộ tổ chức.

Chủ quản dữ liệu phải đánh giá rủi ro, giới hạn phạm vi tiếp cận dữ liệu của nhà cung cấp trước khi kết nối; quy định nghĩa vụ bảo mật, chế tài xử lý khi để rò rỉ dữ liệu trong hợp đồng; giám sát và thu hồi quyền tiếp cận khi phát hiện nguy cơ hoặc sự cố. Với hệ thống rủi ro cao, việc tiếp cận từ xa của nhà cung cấp phải được kiểm soát chặt chẽ hơn.

Dự thảo cũng đề cập chính sách phát triển hạ tầng, công nghệ và nguồn nhân lực an ninh dữ liệu, trong đó có ưu tiên phát triển điện toán đám mây chủ quyền, trung tâm dữ liệu an toàn, xanh, có khả năng chống chịu và phục hồi; ưu đãi đầu tư, thuế cho hoạt động nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu.

Doanh nghiệp nhỏ và vừa, doanh nghiệp khởi nghiệp sáng tạo được định hướng hỗ trợ thông qua công cụ tự đánh giá, hướng dẫn, đào tạo và dịch vụ dùng chung.

Bên cạnh trách nhiệm của doanh nghiệp, dự thảo khuyến khích cá nhân, chuyên gia và tổ chức xã hội - nghề nghiệp tham gia phát hiện, kiểm thử, thông báo lỗ hổng an ninh dữ liệu trên tinh thần thiện chí; đồng thời quy định cơ chế bảo vệ danh tính, quyền và lợi ích hợp pháp của những người này.

Dự thảo cũng xác lập nguyên tắc biện pháp hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, ưu tiên phương án ít hạn chế nhất, có thời hạn cụ thể và cơ chế giám sát. Tổ chức, cá nhân có quyền kiến nghị, khiếu nại, khởi kiện và được bồi thường nếu biện pháp được áp dụng trái pháp luật.

Việc bảo đảm chủ quyền dữ liệu quốc gia không làm phát sinh quyền sở hữu của Nhà nước đối với dữ liệu không thuộc sở hữu nhà nước, không làm thay đổi quyền của chủ thể dữ liệu.

Các quy định trên hướng tới tăng cường phòng ngừa rủi ro, bảo vệ quyền hợp pháp của tổ chức, cá nhân và tạo điều kiện cho hoạt động khai thác dữ liệu, phát triển kinh tế số.

Mai Vàng