Bảo đảm an ninh quốc gia là quan điểm xuyên suốt trong dự thảo Luật An ninh dữ liệu do Bộ Công an chủ trì soạn thảo. Trong đó, dữ liệu cấp độ 4 sẽ được bảo vệ ở mức cao nhất, đồng thời việc quản lý được thực hiện linh hoạt theo cấp độ rủi ro nhằm hạn chế tối đa thủ tục hành chính không cần thiết...

Bảo đảm an ninh dữ liệu là điều kiện để phát triển kinh tế số, Chính phủ số, xã hội số bền vững, đồng thời là nội dung của bảo vệ an ninh quốc gia trên không gian mạng.

Hiện nay, công tác bảo đảm an ninh dữ liệu đang đối mặt với các nguy cơ, thách thức hiện hữu. Với gần 80 triệu người dùng Internet tại Việt Nam, khối lượng dữ liệu cá nhân và dữ liệu chuyên ngành phát sinh hằng ngày là rất lớn; trong khi việc quản lý còn phân tán, thiếu tiêu chuẩn bảo vệ thống nhất.

QUẢN LÝ DỮ LIỆU THEO CẤP ĐỘ RỦI RO

Bên cạnh đó còn là nguy cơ phụ thuộc công nghệ mật mã và hạ tầng lưu trữ nước ngoài và thách thức từ trí tuệ nhân tạo, công nghệ mật mã lượng tử. Một số tổ chức công nghệ xuyên quốc gia vận hành thuật toán điều phối nội dung theo cơ chế khép kín, gây khó khăn cho công tác quản lý nhà nước đối với nội dung có nguy cơ ảnh hưởng an ninh quốc gia.

Theo Bộ Công an, điểm hạn chế nữa là quy định về dữ liệu và an ninh dữ liệu hiện nằm rải rác tại các luật như Luật Dữ liệu, Luật An ninh mạng, Luật Bảo vệ dữ liệu cá nhân, Luật Giao dịch điện tử…

Thực tế, pháp luật hiện hành chưa có quy định tập trung, thống nhất về bảo vệ bản thân dữ liệu xuyên suốt vòng đời từ khởi tạo đến tiêu hủy, về kiểm soát chuyển dữ liệu xuyên biên giới theo mức độ rủi ro và chế tài đủ mức răn đe đối với tổ chức có quy mô doanh thu lớn vi phạm nghiêm trọng.

Kinh nghiệm của các nước cũng cho thấy điểm chung là phân loại dữ liệu theo cấp độ rủi ro, kiểm soát chặt chẽ dữ liệu quan trọng khi chuyển ra nước ngoài và quy định trách nhiệm cụ thể của tổ chức, cá nhân xử lý dữ liệu.

Do đó, việc hoàn thiện pháp luật về an ninh dữ liệu là yêu cầu cần thiết để thể chế hóa đầy đủ các chủ trương của Đảng và Nhà nước.

Tại dự thảo Luật An ninh dữ liệu mới nhất, Bộ Công an đã thể chế hóa thành 6 chính sách trong đó tập trung hoàn thiện thể chế quản lý tài nguyên dữ liệu và xác lập chủ quyền dữ liệu quốc gia.

Đồng thời, bảo đảm an ninh dữ liệu theo cấp độ rủi ro, xuyên suốt vòng đời dữ liệu; trong lưu trữ và chuyển giao dữ liệu xuyên biên giới… Cùng với đó, đa dạng hóa nguồn lực tài chính, phát triển nhân lực và thúc đẩy hợp tác quốc tế về an ninh dữ liệu.

DỮ LIỆU CẤP ĐỘ 4 ĐƯỢC BẢO VỆ Ở MỨC CAO NHẤT

Theo Bộ Công an, quan điểm xuyên suốt trong xây dựng luật là bảo đảm an ninh quốc gia. Dữ liệu cấp độ 4 phải được lưu trữ và áp dụng biện pháp bảo vệ ở mức cao nhất. Việc quản lý dữ liệu theo mức độ rủi ro, không áp dụng đồng loạt một mức nghĩa vụ cho mọi loại dữ liệu; hạn chế tối đa việc phát sinh thủ tục hành chính không cần thiết đối với dữ liệu có rủi ro thấp.

Đặc biệt là kế thừa kết quả phân loại dữ liệu đã có theo Luật Dữ liệu đối với dữ liệu cấp độ 3, cấp độ 4; không xây dựng hệ thống phân loại dữ liệu song song.

Như vậy, theo dự thảo luật, cấp độ 1 là dữ liệu được phép tiếp cận công khai hoặc không giới hạn đối tượng truy cập; nếu bị xâm phạm chỉ gây rủi ro thấp, không gây thiệt hại đáng kể.

Cấp độ 2 là dữ liệu lưu hành trong phạm vi nội bộ cơ quan, tổ chức, doanh nghiệp hoặc là bí mật kinh doanh; nếu bị rò rỉ gây tổn thất cho hoạt động, uy tín của tổ chức nhưng chưa gây nguy hại cho an ninh quốc gia, trật tự, an toàn xã hội hoặc lợi ích công cộng.

Còn cấp độ 3 là dữ liệu thuộc Danh mục dữ liệu quan trọng do Thủ tướng Chính phủ ban hành theo Luật Dữ liệu. Đối với dữ liệu thuộc Danh mục dữ liệu cốt lõi do Thủ tướng Chính phủ ban hành theo Luật Dữ liệu thuộc cấp độ 4.

Về nguyên tắc bảo vệ, đối với dữ liệu cấp độ 1 và 2 thì chủ quản dữ liệu tự xác định cấp độ, tự tổ chức bảo vệ theo tiêu chuẩn, quy chuẩn kỹ thuật hiện hành và tự chịu trách nhiệm, không phải báo cáo hoặc xin xác nhận của cơ quan nhà nước.

Còn với dữ liệu cấp độ 3 và 4, chủ quản dữ liệu phải thiết lập cơ chế quản trị rủi ro, bố trí nhân sự phụ trách an ninh dữ liệu và áp dụng biện pháp bảo vệ quy định tại Điều 6 của Luật này, theo quy định của Chính phủ.

Doanh nghiệp nhỏ, doanh nghiệp siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo không xử lý dữ liệu quy mô lớn, không xử lý dữ liệu cấp độ 3, cấp độ 4 được miễn thực hiện nghĩa vụ quy định tại điểm b khoản này.

CẦN LÀM RÕ CÁC CẤP ĐỘ DỮ LIỆU

Tại buổi thẩm định dự thảo Luật An ninh dữ liệu sáng 24/8, đại diện Ban Cơ yếu Chính phủ đề nghị ban soạn thảo tiếp tục rà soát kỹ lưỡng để bảo đảm tính thống nhất, đồng bộ của hệ thống pháp luật; tránh chồng chéo, giao thoa hoặc phát sinh xung đột trong tổ chức thực hiện giữa các cơ quan quản lý nhà nước.

Trong đó, cần nghiên cứu, bảo đảm phù hợp với các quy định của Luật Cơ yếu, Luật An ninh mạng, Luật Dữ liệu, Luật Giao dịch điện tử... và các quy định pháp luật có liên quan về bảo vệ bí mật nhà nước, bảo vệ hạ tầng thông tin quan trọng, an toàn thông tin mạng và bảo vệ dữ liệu.

Đề cập đến cấp độ dữ liệu, đại diện Bộ Khoa học và Công nghệ cho rằng nội dung dữ liệu có thể chồng lấn và giao thoa với nhau trong cơ sở dữ liệu. Một hệ thống có thể có nhiều loại dữ liệu với nhiều cấp độ khác nhau nên cần làm rõ để đáp ứng việc tuân thủ.

Còn theo đại diện Hiệp hội dữ liệu quốc gia cần thống nhất quy định khái niệm trong luật này và Luật Bảo vệ dữ liệu cá nhân như khái niệm về “ẩn danh hóa”, “giả danh hóa”… Ngoài ra, cần làm rõ về trách nhiệm giữa chủ quản dữ liệu và chủ quản hệ thống thông tin.

Dự thảo luật đã đặt ra nghĩa vụ thiết lập cơ chế quản trị rủi ro và phương án ứng cứu cho chủ quản dữ liệu và nghĩa vụ thông báo của chủ quản hệ thống lưu trữ dữ liệu. Tuy nhiên trong mô hình hiện nay thì chủ yếu là thuê điện toán đám mây và thuê đặt máy chủ, thuê vận hành. Chủ quản hệ thống thông tin là nhà cung cấp dịch vụ, còn chủ quản dữ liệu là khách hàng.

Việc xác định xem ai là người báo cáo và ai chịu trách nhiệm đối với việc tài khoản dữ liệu báo cáo thì chưa rõ ràng.

Do đó, đại diện Hiệp hội dữ liệu quốc gia kiến nghị bổ sung các nguyên tắc về chủ quản dữ liệu là chủ thể chịu trách nhiệm chính và là đầu mối thực hiện các nghĩa vụ về báo cáo, đánh giá. Còn chủ quản hệ thống thông tin có nghĩa vụ phối hợp, cung cấp thông tin và chịu trách nhiệm trong phạm vi hạ tầng mà mình quản lý.

Ngoài ra, đại diện Hiệp hội dữ liệu quốc gia cũng đề nghị rà soát, xem xét quy định về việc miễn trừ trách nhiệm hình sự cho người phát hiện lỗ hổng tại khoản 4, điều 22 dự thảo luật…