Phó Chủ tịch Quốc hội Nguyễn Hồng Diên: Bảo đảm an ninh dữ liệu gắn với khai thác hiệu quả nguồn lực dữ liệu

Làm rõ tiêu chí phân cấp rủi ro, tránh đánh giá trùng lặp

Phó Chủ tịch Quốc hội Nguyễn Hồng Diên cho rằng, trong bối cảnh chuyển đổi số diễn ra mạnh mẽ trên phạm vi toàn cầu, dữ liệu ngày càng trở thành nguồn lực chiến lược, yếu tố quan trọng đối với phát triển kinh tế số, xã hội số và năng lực cạnh tranh của mỗi quốc gia. Vì vậy, việc hoàn thiện Luật An ninh dữ liệu cần bảo đảm hài hòa giữa yêu cầu bảo vệ chủ quyền, an ninh dữ liệu với khai thác, lưu chuyển và sử dụng hiệu quả nguồn lực này; quản lý theo mức độ rủi ro thực tế, tránh chồng chéo, không làm gia tăng chi phí tuân thủ, đồng thời tạo được môi trường pháp lý thuận lợi cho đổi mới sáng tạo, phát triển và hội nhập quốc tế.

Đối với cơ chế quản lý an ninh dữ liệu, Phó Chủ tịch Quốc hội lưu ý, các quan hệ liên quan đến dữ liệu đồng thời chịu sự điều chỉnh của Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật An ninh mạng và pháp luật chuyên ngành có liên quan. Yêu cầu đặt ra là phải bảo đảm tính thống nhất của pháp luật, tránh chồng chéo trong tổ chức thực hiện.

Ghi nhận dự thảo Luật đã có những quy định tích cực nhằm giải quyết vấn đề này, Phó Chủ tịch Quốc hội dẫn chứng: Điều 8 quy định việc xác định, cập nhật cấp độ rủi ro dữ liệu; Điều 3, Điều 10 và Điều 11 thiết lập nguyên tắc công nhận, kế thừa kết quả đánh giá, tích hợp hồ sơ và thẩm định nhằm hạn chế thủ tục trùng lặp.

Tuy nhiên, còn hai vấn đề cần tiếp tục nghiên cứu, làm rõ. Về phân cấp rủi ro, dự thảo chưa quy định rõ tiêu chí xác định, điều chỉnh cấp độ và cơ chế xử lý khi có sự khác biệt giữa kết quả phân cấp của tổ chức, doanh nghiệp với đánh giá của cơ quan có thẩm quyền. Về công nhận kết quả đánh giá tương đương, dự thảo chưa làm rõ đầy đủ tiêu chí xác định tính tương đương, trách nhiệm công nhận và phạm vi đánh giá bổ sung.

Theo Phó Chủ tịch Quốc hội, những bất cập này có thể dẫn đến việc áp dụng nghĩa vụ quản lý không tương xứng hoặc đánh giá trùng lặp, làm gia tăng chi phí tuân thủ.

Từ đó, Phó Chủ tịch Quốc hội đề nghị hoàn thiện Điều 8 theo hướng cụ thể hóa tiêu chí xác định cấp độ rủi ro trên cơ sở tính chất, mức độ quan trọng của dữ liệu; quy định cụ thể căn cứ điều chỉnh cấp độ và cơ chế xem xét lại kết quả phân cấp khi có sự khác biệt trong đánh giá. Quy định rõ tiêu chí, trách nhiệm công nhận kết quả tương đương và giới hạn phạm vi đánh giá bổ sung. Cùng một nội dung rủi ro đã được đánh giá hợp pháp, đáp ứng yêu cầu thì không phải đánh giá lại, trừ trường hợp phát sinh rủi ro mới hoặc có thay đổi trọng yếu.

Phó Chủ tịch Quốc hội nhấn mạnh, mục tiêu không chỉ là giảm số lượng thủ tục hành chính mà phải giảm thực chất nghĩa vụ tuân thủ trùng lặp, kết hợp giữa tiền kiểm, hậu kiểm và trách nhiệm giải trình.

Kiểm soát đúng rủi ro, quy định chặt chẽ biện pháp khẩn cấp

Về chuyển dữ liệu xuyên biên giới, Phó Chủ tịch Quốc hội Nguyễn Hồng Diên thống nhất cần kiểm soát chặt việc chuyển ra nước ngoài đối với dữ liệu quan trọng liên quan đến quốc phòng, an ninh và chủ quyền quốc gia. Báo cáo thẩm tra cũng đề nghị rà soát cơ chế chuyển, xử lý dữ liệu xuyên biên giới, bảo đảm thống nhất với pháp luật có liên quan và tính khả thi khi thực hiện.

Phó Chủ tịch Quốc hội ghi nhận Điều 19 dự thảo Luật đã phân tầng quản lý theo cấp độ dữ liệu, đồng thời phân biệt các hình thức chuyển, xử lý dữ liệu xuyên biên giới. Đặc biệt, khoản 4 Điều 19 quy định việc xem xét nguy cơ, phạm vi, mức độ tác động, bên tiếp nhận và biện pháp bảo vệ đối với dữ liệu cấp độ 4, cấp độ 5.

Tuy nhiên, cần tiếp tục hoàn thiện cơ chế này theo hướng không đồng nhất cấp độ quan trọng của dữ liệu với mức độ rủi ro của từng hoạt động chuyển dữ liệu xuyên biên giới. Bởi rủi ro còn phụ thuộc vào mục đích chuyển, chủ thể tiếp nhận, phạm vi xử lý, biện pháp mã hóa, khả năng kiểm soát, truy xuất và thu hồi dữ liệu.

Cùng một loại dữ liệu, việc chuyển dữ liệu đã mã hóa để xử lý kỹ thuật, có giới hạn quyền truy cập và khả năng thu hồi sẽ có mức độ rủi ro khác với việc chuyển toàn bộ dữ liệu gốc ra nước ngoài để lưu trữ, khai thác lâu dài.

Mặc dù khoản 1 Điều 19 đã xác định các hình thức chuyển, xử lý dữ liệu xuyên biên giới và khoản 10 quy định riêng đối với một số trường hợp mang dữ liệu ra nước ngoài, truy cập dữ liệu từ nước ngoài, nhưng tiêu chí đánh giá rủi ro và điều kiện kiểm soát tương ứng với từng hình thức vẫn cần tiếp tục được làm rõ để bảo đảm áp dụng thống nhất.

Phó Chủ tịch Quốc hội đề nghị hoàn thiện Điều 19 theo hướng quy định rõ các tiêu chí, điều kiện này; đặc biệt phân biệt hoạt động lưu trữ, khai thác dữ liệu ở nước ngoài với truy cập kỹ thuật từ xa có kiểm soát. Đồng thời, làm rõ cơ chế áp dụng đối với các hoạt động xử lý dữ liệu xuyên biên giới thường xuyên, đã đáp ứng yêu cầu bảo vệ an ninh dữ liệu. Đây là vấn đề có ý nghĩa thực tiễn đối với hoạt động thanh toán quốc tế, điện toán đám mây, dịch vụ công nghệ và vận hành hệ thống tập trung.

Theo Phó Chủ tịch Quốc hội, bảo vệ chủ quyền và an ninh dữ liệu không đồng nghĩa với hạn chế tối đa lưu chuyển dữ liệu, mà phải kiểm soát đúng rủi ro, đúng đối tượng và đúng mức độ cần thiết.

Đối với các biện pháp kỹ thuật khẩn cấp, Phó Chủ tịch Quốc hội đề nghị hoàn thiện điều kiện áp dụng và cơ chế kiểm soát, bảo đảm tính tương xứng, hạn chế tác động đến hoạt động kinh tế - xã hội. Đây không chỉ là vấn đề kỹ thuật về an ninh dữ liệu mà còn liên quan trực tiếp đến giới hạn thực thi quyền lực nhà nước và bảo đảm quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Điều 23 dự thảo Luật cho phép áp dụng các biện pháp có mức độ can thiệp mạnh như bóc gỡ dữ liệu, vô hiệu hóa quyền truy cập, tạm dừng luồng truyền dữ liệu, tạm dừng vận hành một phần hoặc toàn bộ hệ thống thông tin, dịch vụ. Dự thảo đã có những quy định cần thiết về nguyên tắc ưu tiên biện pháp ít hạn chế quyền nhất, thẩm quyền, thời hạn áp dụng, quyền khiếu nại, khởi kiện và yêu cầu bồi thường.

Tuy nhiên, khoản 6 Điều 23 cho phép gia hạn biện pháp khẩn cấp trong trường hợp đặc biệt nghiêm trọng, với tổng thời gian không quá 90 ngày, nhưng chưa quy định rõ tiêu chí xác định trường hợp đặc biệt nghiêm trọng, căn cứ đánh giá việc tiếp tục duy trì và gia hạn biện pháp hạn chế quyền.

Phó Chủ tịch Quốc hội đề nghị quy định rõ tiêu chí xác định trường hợp đặc biệt nghiêm trọng, căn cứ gia hạn và trách nhiệm đánh giá lại tính cần thiết, tương xứng của biện pháp trong thời gian áp dụng; bảo đảm biện pháp khẩn cấp chỉ được duy trì trong phạm vi và thời gian thực sự cần thiết.

Đối với biện pháp áp dụng kéo dài, tác động trên diện rộng hoặc có nguy cơ gián đoạn dịch vụ thiết yếu, cần quy định cơ chế phối hợp với cơ quan quản lý chuyên ngành và cơ chế giám sát ngoài cơ quan trực tiếp thực thi. Qua đó, bảo đảm quyền lực khẩn cấp luôn đi cùng với kiểm soát quyền lực, trách nhiệm giải trình và bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân.