Xác lập cơ sở pháp lý để quản lý, kiểm soát và bảo vệ dữ liệu

Hoàn thiện thể chế quản lý, xác lập chủ quyền dữ liệu quốc gia

Dự thảo luật được xây dựng hiện gồm 6 chương với 25 điều, quy định về an ninh dữ liệu; bảo vệ an ninh dữ liệu theo cấp độ rủi ro và vòng đời dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân có liên quan đến bảo vệ an ninh dữ liệu; quản lý nhà nước về an ninh dữ liệu.

Báo cáo tại phiên họp, Thượng tướng Phạm Thế Tùng, Thứ trưởng Bộ Công an cho biết, Luật được xây dựng và ban hành nhằm xác lập cơ sở pháp lý để Nhà nước quản lý, kiểm soát và bảo vệ dữ liệu phát sinh trên lãnh thổ Việt Nam hoặc liên quan đến lợi ích quốc gia; hoàn thiện pháp luật về an ninh phi truyền thống đối với dữ liệu; bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân trước hành vi tấn công mạng, chiếm đoạt, lộ lọt dữ liệu; đồng thời tạo điều kiện phát triển kinh tế dữ liệu trên cơ sở quản lý theo mức độ rủi ro, hạn chế tối đa việc áp đặt nghĩa vụ không tương xứng đối với dữ liệu có rủi ro thấp.

Luật được xây dựng trên quan điểm: An ninh quốc gia là yêu cầu chi phối xuyên suốt quá trình xây dựng và thi hành Luật, với chế độ bảo vệ ở mức cao nhất đối với dữ liệu Cấp độ 4; việc quản lý được thực hiện theo mức độ rủi ro của từng loại dữ liệu, không áp đặt đồng loạt một mức nghĩa vụ cho mọi chủ thể xử lý dữ liệu; dự thảo Luật bảo đảm tính thống nhất, đồng bộ với Hiến pháp và hệ thống pháp luật có liên quan, không đặt ra yêu cầu thành lập tổ chức, bộ máy mới; kế thừa kết quả phân loại dữ liệu Cấp độ 3, Cấp độ 4 đã xác lập theo Luật Dữ liệu, không xây dựng thêm hệ thống phân loại song song; tham khảo có chọn lọc kinh nghiệm pháp luật quốc tế phù hợp điều kiện thực tiễn Việt Nam và các điều ước quốc tế mà Việt Nam là thành viên.

Dự thảo luật có 6 chính sách lớn: 1. Hoàn thiện thể chế quản lý tài nguyên dữ liệu, xác lập chủ quyền dữ liệu quốc gia; 2. Bảo đảm an ninh dữ liệu theo cấp độ rủi ro, xuyên suốt vòng đời dữ liệu; 3. Bảo đảm an ninh trong lưu trữ và chuyển giao dữ liệu xuyên biên giới; 4. Bảo đảm an ninh dữ liệu trong nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo và công nghệ mới; 5. Bảo đảm an ninh dữ liệu trong phát triển kinh tế dữ liệu, đổi mới sáng tạo, tự chủ công nghệ; 6. Đa dạng hóa nguồn lực tài chính, phát triển nhân lực và thúc đẩy hợp tác quốc tế về an ninh dữ liệu.

Hồ sơ dự án Luật được chuẩn bị cơ bản đầy đủ theo quy định

Thẩm tra về dự án luật, Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại (UBQPANĐN) nhất trí về sự cần thiết ban hành Luật An ninh dữ liệu nhằm thể chế hóa kịp thời, đầy đủ các chủ trương, quan điểm chỉ đạo của Đảng về bảo đảm an ninh mạng, an ninh dữ liệu, an ninh thông tin, chuyển đổi số quốc gia và đổi mới tư duy lập pháp tại Nghị quyết Đại hội XIV và các nghị quyết, chỉ thị, kết luận của Ban Chấp hành Trung ương, Bộ Chính trị, Ban Bí thư; cụ thể hóa quy định tại khoản 2 Điều 14 Hiến pháp năm 2013; khắc phục tình trạng quy định phân tán, chồng chéo; chủ động kiểm soát, phòng ngừa, ứng phó nguy cơ lộ lọt, tấn công dữ liệu, đầu độc dữ liệu, nguy cơ từ điện toán lượng tử và rủi ro chuỗi cung ứng; thiết lập khung pháp lý bảo vệ tài nguyên dữ liệu quốc gia từ sớm, từ xa.

Nội dung dự thảo Luật phù hợp với Hiến pháp năm 2013 và cơ bản bảo đảm tính thống nhất trong hệ thống pháp luật. Tuy nhiên, có ý kiến đề nghị tiếp tục quán triệt, thực hiện các chủ trương, chỉ đạo của Đảng có liên quan; bảo đảm tính hợp hiến đối với các biện pháp kỹ thuật khẩn cấp và hạn chế quyền cơ quan, tổ chức, doanh nghiệp và người dân; bảo đảm tính thống nhất, đồng bộ của dự thảo Luật với các luật chuyên ngành có liên quan; đánh giá kỹ hơn tính khả thi về nguồn nhân lực.

Hồ sơ dự án Luật được Chính phủ chuẩn bị cơ bản đầy đủ theo quy định, đủ điều kiện trình Ủy ban Thường vụ Quốc hội cho ý kiến.

Nhất trí với tên gọi của Luật, Thường trực UBQPANĐN đề nghị chỉnh lý phạm vi điều chỉnh tại Điều 1 theo hướng khái quát, tập trung vào nguyên tắc, biện pháp bảo đảm an ninh dữ liệu và quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân; bổ sung quy định bao quát đối tượng áp dụng ngoài lãnh thổ nhưng xử lý dữ liệu thuộc quyền tài phán hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam; lược bỏ các giải thích từ ngữ trùng lặp với các luật chuyên ngành và chuyển các giải thích từ ngữ quy định mang tính chính sách, quy phạm về các điều luật nội dung tương ứng.

Về cấp độ rủi ro an ninh dữ liệu (Điều 8), Thường trực UBQPANĐN cơ bản nhất trí với cách tiếp cận quản lý theo mức độ rủi ro tại Điều 8. Tuy nhiên, nhiều ý kiến đề nghị thiết kế các cấp độ rủi ro an ninh dữ liệu bảo đảm tính liên thông, tương thích hoàn toàn với 5 cấp độ an toàn hệ thống thông tin theo quy định của Luật An ninh mạng và phân loại dữ liệu theo quy định của Luật Dữ liệu; thống nhất cơ chế đánh giá, thẩm định dựa trên bản chất tập dữ liệu, không phân biệt tổ chức công hay tư; bổ sung cơ chế công nhận chứng nhận an ninh quốc tế tương đương để giảm chi phí tuân thủ cho doanh nghiệp; quy định rõ trách nhiệm đánh giá lại cấp độ rủi ro khi có sự biến động về quy mô, tính chất dữ liệu.

Về bảo đảm an ninh dữ liệu đối với công nghệ mới, trí tuệ nhân tạo (Điều 15), Thường trực UBQPANĐN ghi nhận dự thảo Luật đã đặt ra yêu cầu bảo mật dài hạn trước điện toán lượng tử và bảo đảm an ninh dữ liệu huấn luyện trí tuệ nhân tạo (AI). Tuy nhiên, có ý kiến đề nghị điều chỉnh lộ trình chuyển đổi mật mã kháng lượng tử theo hướng quy định khung chính sách định hướng, ưu tiên kiểm kê, chuyển đổi trước đối với mật mã bất đối xứng; mở rộng phạm vi áp dụng lộ trình cho các chủ quản dữ liệu ngoài khu vực nhà nước.

Về bảo vệ an ninh dữ liệu trong lưu chuyển dữ liệu xuyên biên giới (Điều 17), Thường trực UBQPANĐN cơ bản nhất trí với nguyên tắc phân luồng rủi ro tại Điều 17. Tuy nhiên, có ý kiến đề nghị làm rõ phạm vi "chuyển dữ liệu ra nước ngoài" đối với dữ liệu xử lý qua nền tảng xuyên biên giới; khẳng định rõ nguyên tắc tự do lưu chuyển đối với dữ liệu Cấp độ 1, Cấp độ 2; cho phép áp dụng giải pháp kiểm soát khóa mật mã độc lập nội địa thay cho quy định bắt buộc duy trì bản sao lưu vật lý song song tốn kém tại Việt Nam nhằm tối ưu hóa chi phí tuân thủ; quy định chặt chẽ cơ chế xử lý khi nhận được yêu cầu cung cấp dữ liệu trực tiếp từ cơ quan nước ngoài không qua kênh tương trợ tư pháp.

Về thủ tục hành chính và một số nội dung khác, Thường trực UBQPANĐN ghi nhận dự thảo Luật đã bước đầu quán triệt tinh thần cải cách hành chính, thiết lập các cơ chế hạn chế trùng lặp thủ tục đối với các lĩnh vực an ninh mạng, dữ liệu và bảo vệ dữ liệu cá nhân. Tuy nhiên, có ý kiến đề nghị tiếp tục rà soát, cắt giảm triệt để các thủ tục rườm rà; lược bỏ quy định gom nhóm thủ tục hành chính để quy định quy trình, hồ sơ một cửa liên thông ngay tại từng điều luật; bổ sung cơ chế liên thông, công nhận kết quả giữa cấp độ rủi ro an ninh dữ liệu với cấp độ an toàn hệ thống thông tin theo pháp luật an ninh mạng, tránh phát sinh thủ tục đăng ký, đánh giá trùng lặp.

Đối với các chính sách ưu đãi thuế, bảo hiểm rủi ro an ninh dữ liệu và phát triển trung tâm dữ liệu xanh, cần đánh giá kỹ tác động ngân sách và bảo đảm đồng bộ với các luật chuyên ngành về thuế, kinh doanh bảo hiểm, tiêu chuẩn quy chuẩn kỹ thuật.

Đồng thời, rà soát toàn bộ dự thảo Luật để bảo đảm văn phong quy phạm và kỹ thuật lập pháp, bảo đảm các quy định thể hiện đúng tính chất quy phạm pháp luật, tránh diễn đạt mang tính giải thích kỹ thuật, mô tả thuần túy hoặc diễn giải dưới dạng đoạn văn xuôi; chỉnh lý Điều 24 bảo đảm tính chính xác, cụ thể về tên văn bản, điều, khoản, điểm của các luật có liên quan cần sửa đổi, bổ sung, bảo đảm tính thống nhất, đồng bộ của hệ thống pháp luật.

Nguyễn Hoàng