Hoàn thiện Luật An ninh dữ liệu: Giảm chi phí tuân thủ, kiểm soát đúng mức độ rủi ro

Làm rõ tiêu chí rủi ro, tránh đánh giá dữ liệu trùng lặp

Theo Phó Chủ tịch Quốc hội Nguyễn Hồng Diên, trong bối cảnh chuyển đổi số, dữ liệu là nguồn lực chiến lược đối với phát triển kinh tế số, xã hội số và năng lực cạnh tranh quốc gia. Vì vậy, Luật An ninh dữ liệu cần hài hòa giữa yêu cầu bảo vệ chủ quyền, an ninh dữ liệu với việc khai thác, lưu chuyển và sử dụng dữ liệu hiệu quả; quản lý dựa trên rủi ro thực tế, không tạo thêm gánh nặng cho hoạt động sản xuất, kinh doanh.

Dữ liệu hiện chịu sự điều chỉnh của nhiều luật, trong đó có Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật An ninh mạng và pháp luật chuyên ngành. Do đó, dự thảo cần bảo đảm tính thống nhất, hạn chế tình trạng một nội dung phải thực hiện nhiều thủ tục đánh giá.

Phó Chủ tịch Quốc hội Nguyễn Hồng Diên phát biểu tại phiên thảo luận Tổ 13 chiều 26/10.

Phó Chủ tịch Quốc hội Nguyễn Hồng Diên ghi nhận dự thảo đã có quy định về xác định, cập nhật cấp độ rủi ro dữ liệu và nguyên tắc công nhận, kế thừa kết quả đánh giá, tích hợp hồ sơ. Tuy nhiên, tiêu chí phân loại, điều chỉnh cấp độ và cách xử lý khi có khác biệt giữa kết quả đánh giá của doanh nghiệp với cơ quan có thẩm quyền vẫn chưa rõ. Quy định về công nhận kết quả đánh giá tương đương cũng cần xác định cụ thể tiêu chí, trách nhiệm công nhận và phạm vi đánh giá bổ sung.

Phó Chủ tịch Quốc hội đề nghị hoàn thiện Điều 8 theo hướng xác định rõ căn cứ phân loại, điều chỉnh cấp độ rủi ro và cơ chế xem xét lại khi có ý kiến khác nhau. Với kết quả đánh giá tương đương, cần quy định rõ điều kiện công nhận, bảo đảm dữ liệu đã được đánh giá hợp pháp và đáp ứng yêu cầu thì không phải đánh giá lại, trừ khi xuất hiện rủi ro mới hoặc thay đổi trọng yếu.

Theo ông, mục tiêu không chỉ là cắt giảm số lượng thủ tục hành chính, mà phải giảm thực chất nghĩa vụ tuân thủ trùng lặp, kết hợp hợp lý giữa tiền kiểm, hậu kiểm và trách nhiệm giải trình.

Về chuyển dữ liệu xuyên biên giới, Phó Chủ tịch Quốc hội thống nhất cần kiểm soát chặt dữ liệu quan trọng liên quan đến quốc phòng, an ninh và chủ quyền quốc gia. Tuy nhiên, mức độ rủi ro không chỉ phụ thuộc vào cấp độ dữ liệu mà còn liên quan đến mục đích chuyển, chủ thể tiếp nhận, phạm vi xử lý và khả năng mã hóa, kiểm soát, truy xuất hoặc thu hồi dữ liệu.

Ông đề nghị hoàn thiện Điều 19 theo hướng quy định rõ tiêu chí đánh giá rủi ro và điều kiện kiểm soát đối với từng hình thức chuyển, xử lý dữ liệu; phân biệt việc lưu trữ, khai thác dữ liệu ở nước ngoài với hoạt động truy cập kỹ thuật từ xa có kiểm soát. Đồng thời, cần làm rõ cơ chế áp dụng đối với các hoạt động xuyên biên giới thường xuyên đã đáp ứng yêu cầu an ninh dữ liệu.

Những quy định này có ý nghĩa thực tiễn đối với thanh toán quốc tế, điện toán đám mây, dịch vụ công nghệ và vận hành các hệ thống tập trung. Theo Phó Chủ tịch Quốc hội, bảo vệ chủ quyền, an ninh dữ liệu không đồng nghĩa với hạn chế tối đa việc lưu chuyển dữ liệu, mà phải kiểm soát đúng rủi ro, đúng đối tượng và ở mức cần thiết.

Siết điều kiện áp dụng biện pháp kỹ thuật khẩn cấp

Đối với Điều 23, dự thảo cho phép áp dụng các biện pháp như bóc gỡ dữ liệu, vô hiệu hóa quyền truy cập, tạm dừng luồng truyền dữ liệu hoặc ngừng vận hành một phần hay toàn bộ hệ thống thông tin, dịch vụ. Dự thảo đã đề cập nguyên tắc ưu tiên biện pháp ít hạn chế quyền nhất, thẩm quyền, thời hạn áp dụng và quyền khiếu nại, khởi kiện, yêu cầu bồi thường.

Tuy nhiên, quy định cho phép gia hạn biện pháp khẩn cấp trong trường hợp đặc biệt nghiêm trọng, với tổng thời gian không quá 90 ngày, chưa làm rõ tiêu chí xác định mức độ nghiêm trọng và căn cứ đánh giá việc tiếp tục áp dụng.

Phó Chủ tịch Quốc hội Nguyễn Hồng Diên đề nghị bổ sung các tiêu chí, điều kiện gia hạn và trách nhiệm đánh giá lại tính cần thiết, tương xứng trong suốt thời gian thực hiện. Với biện pháp kéo dài, tác động trên diện rộng hoặc có nguy cơ làm gián đoạn dịch vụ thiết yếu, cần có cơ chế phối hợp với cơ quan quản lý chuyên ngành và giám sát độc lập với đơn vị trực tiếp thực thi.

Theo ông, các biện pháp khẩn cấp phải được giới hạn trong phạm vi, thời gian thực sự cần thiết, đồng thời gắn với trách nhiệm giải trình và cơ chế kiểm soát quyền lực, bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Huy Tùng