Làm rõ ranh giới giữa tự xác định cấp độ rủi ro và quyền kiểm tra của Nhà nước

Tiếp tục chương trình Kỳ họp thứ Hai, sáng 4/11, dưới sự chủ trì của Chủ tịch Quốc hội Trần Thanh Mẫn và sự điều hành của Phó Chủ tịch Quốc hội Nguyễn Thị Thanh, Quốc hội tiến hành thảo luận ở hội trường về Dự án Luật An ninh dữ liệu và dự án Luật Định danh và xác thực điện tử.

Không loại trừ quyền kiểm tra của Nhà nước

Cho ý kiến vào dự án Luật An ninh dữ liệu, các ĐBQH cơ bản tán thành với sự cần thiết ban hành cũng như nội dung dự thảo Luật.

ĐBQH Nguyễn Vũ Trung (TP. Hồ Chí Minh) cho rằng, đối với tiêu chí phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro an ninh dữ liệu, điểm cần làm rõ là ranh giới giữa việc tự xác định và quyền kiểm tra của cơ quan Nhà nước.

Nếu Khoản 1 Điều 9 đã phân loại dữ liệu thành cấp độ cụ thể, nhưng Khoản 2 lại giao chủ quản tự xác định mà không nêu tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm, có thể phát sinh cách hiểu rằng, chủ quản được tự chọn cấp độ. Khi đó, cùng một loại dữ liệu có thể bị xếp thành các cấp độ khác nhau. Chủ quản có thể xếp thấp hơn để giảm nghĩa vụ, còn cơ quan quản lý thiếu căn cứ thống nhất để yêu cầu điều chỉnh.

Do vậy, đại biểu đề nghị sửa khoản 2 như sau: “Cơ quan, tổ chức, cá nhân chủ quản hệ thống dữ liệu có trách nhiệm tổ chức đánh giá, xác định cấp độ rủi ro an ninh dữ liệu đối với dữ liệu và hệ thống dữ liệu thuộc phạm vi quản lý theo tiêu chí quy định tại khoản 1 Điều này và quy định của Chính phủ; lập, lưu giữ hồ sơ về căn cứ xác định cấp độ và áp dụng đầy đủ yêu cầu bảo đảm an ninh dữ liệu tương ứng. Việc tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan nhà nước có thẩm quyền”.

Cũng liên quan đến tiêu chí phân loại rủi ro, ĐBQH Sùng A Lềnh (Lào Cai) đề nghị hoàn thiện tiêu chí phân loại rủi ro để xác định đúng yêu cầu bảo vệ và nghĩa vụ tuân thủ.

Theo đại biểu, tiêu chí cần đánh giá đầy đủ hậu quả khi dữ liệu bị lộ, bị làm sai lệch hoặc không thể truy cập đúng thời điểm. Chẳng hạn, thông tin cảnh báo thiên tai được công khai, nhưng nếu bị sửa đổi trái phép vẫn có thể gây hậu quả nghiêm trọng. Với địa phương miền núi và biên giới, cần phân biệt rõ dữ liệu phục vụ cung cấp thông tin cho người dân với dữ liệu điều khiển công trình hoặc dữ liệu liên quan trực tiếp đến quốc phòng, an ninh.

Vì vậy, đại biểu Sùng A Lềnh đề nghị cần xác định các tiêu chí nền tảng về tính chất, độ nhạy cảm, phạm vi ảnh hưởng, hậu quả khi bị xâm phạm, và giao Chính phủ cụ thể hóa mức định lượng, phương pháp đánh giá. Có như vậy, chủ quản dữ liệu mới xác định được nghĩa vụ và cơ quan kiểm tra có căn cứ để thống nhất.

Điều 22 dự thảo Luật quy định về theo dõi, cảnh báo và ứng phó sự cố an ninh dữ liệu. Đại biểu Nguyễn Vũ Trung nhấn mạnh, phải đặt người bị ảnh hưởng vào trung tâm của giải quyết sự cố.

Theo đó, đại biểu đề nghị sửa điểm a khoản 6 theo hướng: Sự cố thuộc cấp độ 3 trở lên phải báo cáo sớm, chậm nhất 24 giờ kể từ khi phát hiện. Trường hợp nguy cơ đặc biệt nghiêm trọng phải báo cáo ngay, báo cáo phải cập nhật kết quả xác định. Đồng thời, bổ sung nghĩa vụ thông báo kịp thời cho cá nhân, tổ chức biết dữ liệu nào có thể lộ, có nguy cơ gì, cần làm gì để khóa tài khoản, đổi mật khẩu hoặc liên hệ ở đâu. Cơ quan đầu mối phải có quy trình phối hợp với ngân hàng, viễn thông và nền tảng số để cảnh báo và ngăn chặn nguy cơ tiếp diễn.

Bảo vệ an ninh dữ liệu phải gắn với an toàn người bệnh

Nêu dẫn chứng từ thực tiễn, ĐBQH Phạm Thu Xanh (TP. Hải Phòng) cho rằng, y tế, ngân hàng, bảo hiểm là những lĩnh vực tiềm ẩn nguy cơ cao về lộ, lọt, mua bán dữ liệu. Cơ quan chức năng đã phát hiện khoảng 300 vụ rao bán dữ liệu với hơn 1,7 triệu bản ghi thuộc nhiều lĩnh vực, trong đó có dữ liệu y tế. Đây cũng là những lĩnh vực chịu tác động trực tiếp của các quy định về an ninh dữ liệu.

Từ thực tế đó, đại biểu lưu ý, trong lĩnh vực y tế, bảo vệ an ninh dữ liệu phải gắn với bảo đảm an toàn người bệnh và tính liên tục của hoạt động khám, chữa bệnh.

Khoản 1, khoản 2 Điều 69 Luật Khám bệnh, chữa bệnh quy định hồ sơ bệnh án phải được lưu giữ, bảo mật; nhiều loại hồ sơ có thời hạn lưu trữ từ 10 đến 30 năm, 70 năm hoặc vĩnh viễn. Đây không chỉ là dữ liệu chuyên môn mà còn là lịch sử sức khỏe và bí mật riêng tư của mỗi người.

“Tuy nhiên, bảo vệ dữ liệu không có nghĩa là hạn chế việc khai thác dữ liệu hợp pháp phục vụ điều trị. Người bệnh ung thư cần hội chẩn quốc tế; thai phụ cần kết quả xét nghiệm di truyền để quyết định can thiệp; bệnh nhân cấp cứu cần được truy cập kịp thời tiền sử bệnh án”.

Do vậy, đại biểu đề nghị rà soát khoản 7, khoản 9 Điều 19 theo hướng quy định rõ cơ chế chuyển, chia sẻ dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị và thanh toán theo yêu cầu hợp pháp hoặc có sự đồng ý của người bệnh. Đối với dữ liệu đã mã hóa, có kiểm soát truy cập và lưu vết, cần có quy trình, thời hạn xử lý phù hợp, tránh phát sinh thủ tục không cần thiết.

Đồng thời, khi áp dụng biện pháp kỹ thuật khẩn cấp theo Điều 23 dự thảo Luật, cần có cơ chế bảo đảm không làm gián đoạn hoạt động cấp cứu, điều trị nội trú và các dịch vụ y tế thiết yếu. Bởi sự cố an ninh dữ liệu trong bệnh viện không chỉ là sự cố công nghệ mà có thể trực tiếp ảnh hưởng đến an toàn người bệnh.

Cũng theo đại biểu Phạm Thu Xanh, Khoản 3 Điều 8 xác định dữ liệu cốt lõi, trong đó có dữ liệu sinh trắc học, dữ liệu di truyền; khoản 2 Điều 12 quy định việc xác định cấp độ hệ thống căn cứ vào dữ liệu có mức độ rủi ro cao nhất, trừ trường hợp được phân vùng, cách ly.

Đại biểu cho rằng, cần phân biệt dữ liệu di truyền gắn trực tiếp với danh tính cá nhân, dữ liệu đã mã hóa và dữ liệu đã khử nhận dạng, không thể tái nhận dạng. Nếu chỉ cần một phân hệ chứa dữ liệu nhạy cảm mà toàn bộ hệ thống bệnh viện phải áp dụng cấp độ an ninh cao nhất thì sẽ làm tăng đáng kể chi phí tuân thủ, nhất là đối với các cơ sở y tế công lập.

Do vậy, đại biểu đề nghị làm rõ khoản 3 Điều 8 theo hướng việc xác định dữ liệu cốt lõi phải căn cứ vào tính chất, quy mô, khả năng gây thiệt hại và ngưỡng rủi ro của chính tập dữ liệu; đồng thời hướng dẫn cụ thể việc phân vùng, cách ly hệ thống theo khoản 2 Điều 12.

Hiện nay, một số xét nghiệm chuyên sâu về di truyền phải gửi mẫu sinh phẩm ra nước ngoài, do đó đại biểu Phạm Thu Xanh đề nghị cần phân biệt mẫu sinh phẩm với dữ liệu được tạo ra từ việc phân tích mẫu và thông tin định danh gắn với mẫu để có biện pháp quản lý phù hợp. Đối với mẫu đã mã hóa, khóa liên kết được lưu giữ trong nước, cần áp dụng cơ chế quản lý theo mức độ rủi ro, đồng thời quy định rõ trách nhiệm bảo quản, hoàn trả hoặc tiêu hủy mẫu và dữ liệu sau xét nghiệm.

Theo đó, cần làm rõ khoản 7 Điều 19 về chuyển dữ liệu phục vụ hội chẩn, chẩn đoán, điều trị; bổ sung tại khoản 4 Điều 9 căn cứ sử dụng dữ liệu đối với các nghiên cứu đã được Hội đồng đạo đức chấp thuận và thử nghiệm lâm sàng được cơ quan có thẩm quyền phê duyệt. Tại khoản 4 Điều 15, cần quy định cơ chế xác định cấp độ phù hợp đối với dữ liệu tổng hợp, dữ liệu dẫn xuất đã được khử nhận dạng và không thể tái nhận dạng.

Đồng thời, cần bảo đảm tính thống nhất giữa luật này với Luật Bảo vệ dữ liệu cá nhân về lưu trữ đám mây, chuyển dữ liệu xuyên biên giới và đánh giá tác động đối với hoạt động xử lý dữ liệu y tế.

“Nếu thiếu hành lang pháp lý phù hợp, có thể vô tình hạn chế cơ hội phát triển y học chính xác, nghiên cứu ung thư, tim mạch, tế bào gốc và ứng dụng trí tuệ nhân tạo trong y tế”, đại biểu Phạm Thu Xanh nhấn mạnh.

Đan Thanh