 |
| Bộ trưởng Bộ Công an Lương Tam Quang cho biết, cơ chế phân cấp rủi ro an ninh dữ liệu là trụ cột của dự thảo Luật An ninh dữ liệu. Ảnh: VPQH |
Phân loại rủi ro rõ ràng, không để phát sinh thủ tục chồng chéo
Sáng ngày 4/11, Quốc hội thảo luận tại hội trường về dự án Luật An ninh dữ liệu. Tại phiên thảo luận, các đại biểu tập trung góp ý về phân loại dữ liệu theo cấp độ rủi ro, chuyển và xử lý dữ liệu xuyên biên giới, trách nhiệm của các chủ thể tham gia quản lý, vận hành hệ thống dữ liệu và cơ chế bảo vệ quyền lợi của người dân khi xảy ra sự cố.
Đại biểu Nguyễn Thị Việt Nga (Đoàn đại biểu Quốc hội TP. Hải Phòng) cho rằng, dự thảo Luật An ninh dữ liệu cần phân định rõ tiêu chí xác định rủi ro của dữ liệu và yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu.
Theo đại biểu, nếu đặt cả 2 nội dung trong cùng định nghĩa cấp độ dữ liệu, người áp dụng có thể hiểu cấp độ của hệ thống là điều kiện để nhận diện cấp độ của dữ liệu. Khi đó, cùng một tập dữ liệu có thể bị đánh giá khác nhau tùy nơi lưu trữ, trong khi hậu quả nếu dữ liệu bị lộ, bị sửa đổi hoặc bị mất không nhất thiết thay đổi theo nơi lưu trữ.
Đại biểu đề nghị chỉnh lý khoản 1 Điều 9 theo hướng chỉ quy định tiêu chí phân biệt 5 cấp độ dựa trên tính chất dữ liệu và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm. Quy định về cấp độ tối thiểu và biện pháp bảo vệ của hệ thống xử lý cần được tách thành 1 khoản riêng, áp dụng sau khi cấp độ dữ liệu đã được xác định.
Đối với việc chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga đề nghị làm rõ phạm vi dữ liệu cấp độ 5 bị cấm chuyển và cơ chế áp dụng đối với phần dữ liệu còn lại.
Theo đại biểu, các ngoại lệ đối với hoạt động nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số cần được giới hạn bằng những điều kiện có thể kiểm chứng, như loại và cấp độ dữ liệu, mục đích xử lý, quyền tiếp cận của bên ở nước ngoài và khả năng kiểm soát dữ liệu của chủ quản.
Đại biểu nhấn mạnh: “Điều 9 xác định mức rủi ro; Điều 19 đặt ra hệ quả pháp lý đối với việc chuyển dữ liệu. Nếu căn cứ phân cấp chưa rõ hoặc ngoại lệ chuyển dữ liệu quá rộng, chúng ta có thể vừa bảo vệ chưa đủ những dữ liệu hệ trọng, vừa gây khó cho những hoạt động hợp pháp cần được lưu thông”.
 |
| Đại biểu Nguyễn Thị Việt Nga (Đoàn đại biểu Quốc hội TP. Hải Phòng) cho rằng, dự thảo Luật An ninh dữ liệu cần phân định rõ tiêu chí xác định rủi ro của dữ liệu. Ảnh: VPQH |
Đại biểu Nguyễn Vũ Trung (Đoàn đại biểu Quốc hội TP. Hồ Chí Minh) cũng đề nghị làm rõ ranh giới giữa việc chủ quản tự xác định cấp độ rủi ro an ninh dữ liệu và quyền kiểm tra của cơ quan nhà nước. Theo đại biểu, cần quy định rõ tiêu chí, hồ sơ minh chứng và cơ chế hậu kiểm để tránh tình trạng chủ quản tự lựa chọn cấp độ thấp hơn nhằm giảm nghĩa vụ bảo vệ dữ liệu.
Đối với dữ liệu xuyên biên giới, đại biểu đề xuất thiết kế thủ tục theo mức độ rủi ro: Dữ liệu rủi ro thấp được tự đánh giá và hậu kiểm, rủi ro trung bình thực hiện thông báo, rủi ro cao mới phải xin chấp thuận trước.
Đại biểu cũng kiến nghị bổ sung nghĩa vụ thông báo kịp thời cho cá nhân bị ảnh hưởng khi xảy ra sự cố, nêu rõ dữ liệu có thể bị lộ, nguy cơ phát sinh và biện pháp người dân cần thực hiện để tự bảo vệ.
Đặc biệt, khi áp dụng biện pháp kỹ thuật khẩn cấp, cần đánh giá tác động và ưu tiên cô lập phần bị xâm nhập nếu khả thi, tránh làm gián đoạn các dịch vụ thiết yếu.
“Bảo đảm an ninh dữ liệu nhưng không làm tê liệt chính dịch vụ thiết yếu mà người dân, cơ quan, tổ chức đang cần”, đại biểu Nguyễn Vũ Trung nhấn mạnh.
Làm rõ trách nhiệm giữa các chủ thể, bảo đảm quyền lợi người dân
Đại biểu Trần Mạnh Huy (Đoàn đại biểu Quốc hội TP. Đà Nẵng) đề nghị bổ sung cơ chế phòng ngừa rủi ro liên ngành, nhất là đối với những hệ thống dữ liệu có sự phụ thuộc chung vào 1 nền tảng kỹ thuật.
Theo đại biểu, nhiều bệnh viện, ngân hàng và cơ quan cung cấp dịch vụ công có thể cùng phụ thuộc vào 1 nền tảng. Dù từng đơn vị đã thực hiện đầy đủ việc phân loại, đánh giá và bảo vệ dữ liệu, sự cố tại nền tảng chung vẫn có thể khiến nhiều dịch vụ thiết yếu gián đoạn đồng thời.
“Nghịch lý là: Chúng ta có thể có nhiều hồ sơ đánh giá an ninh đều đúng, nhưng chưa có bức tranh đầy đủ về một điểm rủi ro chung có khả năng gây gián đoạn trên diện rộng”, đại biểu Trần Mạnh Huy nêu.
Đại biểu đề nghị bổ sung nhiệm vụ cho cơ quan đầu mối phối hợp với các bộ quản lý ngành để nhận diện những phụ thuộc chung có khả năng ảnh hưởng đồng thời đến nhiều hệ thống dữ liệu trọng yếu hoặc dịch vụ thiết yếu.
Đồng thời, cần làm rõ nghĩa vụ của nhà cung cấp dịch vụ đối với hệ thống trọng yếu, trong đó có việc hỗ trợ bàn giao dữ liệu ở định dạng sử dụng được và phối hợp kiểm chứng khả năng khôi phục các chức năng thiết yếu khi dịch vụ bị gián đoạn hoặc hợp đồng chấm dứt.
Đại biểu lưu ý, việc bổ sung cơ chế quản trị rủi ro không nên trở thành thủ tục đại trà, gây phát sinh hồ sơ trùng lặp cho doanh nghiệp.
Cùng quan tâm đến vấn đề trách nhiệm, đại biểu Trịnh Ngọc Phương (Đoàn đại biểu Quốc hội Tây Ninh) đề nghị phân định rõ nghĩa vụ của chủ quản dữ liệu, đơn vị vận hành và nhà cung cấp dịch vụ theo phạm vi quản lý, quyền hạn và khả năng kiểm soát của từng chủ thể.
Đại biểu cho rằng, một cơ quan có thể trực tiếp thu thập, khai thác dữ liệu nhưng hệ thống lưu trữ, máy chủ và các biện pháp kỹ thuật lại do đơn vị khác quản lý. Nếu chỉ căn cứ vào tư cách chủ quản dữ liệu để quy trách nhiệm thì chưa phản ánh đầy đủ quyền hạn và khả năng kiểm soát của từng chủ thể.
 |
| Đại biểu Trần Mạnh Huy (Đoàn đại biểu Quốc hội TP. Đà Nẵng) đề nghị bổ sung cơ chế phòng ngừa rủi ro liên ngành. Ảnh: VPQH |
Đối với chính quyền cấp xã trong mô hình chính quyền địa phương 2 cấp, đại biểu đề nghị làm rõ trách nhiệm gắn với phạm vi quản lý, khai thác và sử dụng dữ liệu được giao; đồng thời xác định trách nhiệm của cơ quan cấp tỉnh, đơn vị vận hành và nhà cung cấp đối với hệ thống dùng chung.
Đại biểu cũng kiến nghị bổ sung quy định về thông báo kịp thời cho cá nhân, tổ chức bị ảnh hưởng khi sự cố có nguy cơ gây thiệt hại đáng kể.
“Báo cáo sự cố cho cơ quan quản lý nhà nước và thông báo sự cố cho người dân là hai nghĩa vụ khác nhau nhưng không thể thay thế cho nhau”, đại biểu Trịnh Ngọc Phương nhấn mạnh.
Về xử lý vi phạm, đại biểu đề nghị không đồng nhất việc xảy ra sự cố an ninh dữ liệu với việc chủ thể quản lý đương nhiên có hành vi vi phạm pháp luật. Việc xác định trách nhiệm cần căn cứ vào hành vi vi phạm nghĩa vụ pháp lý, mức độ lỗi, khả năng kiểm soát và mối quan hệ nhân quả với hậu quả xảy ra.
Bộ trưởng Lương Tam Quang: Rủi ro càng thấp, thủ tục càng đơn giản
Giải trình, làm rõ ý kiến đại biểu Quốc hội, Bộ trưởng Bộ Công an Lương Tam Quang cho biết, cơ chế phân cấp rủi ro an ninh dữ liệu là trụ cột của dự thảo Luật.
Theo Bộ trưởng, việc xác định đúng mức độ nguy hại mà dữ liệu có thể gây ra khi bị xâm phạm là cơ sở để đặt ra nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.
Dự thảo thiết kế 5 cấp độ rủi ro tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Trong đó, khoản 4 Điều 8 cho phép sử dụng kết quả xác định cấp độ theo pháp luật về an ninh mạng để tránh việc 1 hệ thống phải đánh giá 2 lần.
Bộ trưởng khẳng định, cấp độ rủi ro không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới, mà chỉ là căn cứ để lựa chọn biện pháp bảo vệ.
“Trên cơ sở đó, nghĩa vụ được xác định theo hướng rủi ro càng thấp thì thủ tục càng đơn giản”, Bộ trưởng Lương Tam Quang cho biết.
Cụ thể, dữ liệu cấp độ 1 không phát sinh thủ tục; cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp siêu nhỏ, nhỏ và khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải đánh giá tác động và kiểm toán; việc thẩm định chỉ áp dụng đối với cấp độ 4 và cấp độ 5, đồng thời được thực hiện chung 1 hồ sơ với thẩm định an ninh mạng.
Đối với đề nghị quy định ngay trong Luật bảng tương ứng giữa 2 hệ thống cấp độ, Bộ trưởng đề nghị Quốc hội cho giữ phương án giao Chính phủ quy định, do tiêu chuẩn kỹ thuật thay đổi nhanh, nếu quy định cứng trong :uật thì mỗi lần điều chỉnh lại phải sửa Luật.
Bộ trưởng cho biết, khi xây dựng nghị định, Chính phủ sẽ quy định bộ tiêu chí định lượng, định tính có thể kiểm chứng để doanh nghiệp, nhất là doanh nghiệp nhỏ và vừa tự xác định đúng cấp độ, không bị đặt nghĩa vụ vượt mức cần thiết.
Về phân định trách nhiệm quản lý nhà nước giữa Bộ Công an và Bộ Quốc phòng, Bộ trưởng cho biết, Bộ Công an chịu trách nhiệm trước Chính phủ, chủ trì quản lý nhà nước về an ninh mạng, bảo mật thông tin, an ninh dữ liệu; Bộ Quốc phòng chủ trì quản lý hệ thống thông tin, cơ sở dữ liệu quân sự và cơ yếu thuộc phạm vi của Bộ Quốc phòng. Tiêu chí phân định là tính chất của dữ liệu, không phải tính chất của doanh nghiệp.
Bộ trưởng Lương Tam Quang khẳng định, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với các cơ quan của Quốc hội, tiếp thu đầy đủ ý kiến đại biểu để hoàn thiện dự thảo Luật, bảo đảm vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số.
