Phân loại rủi ro từ tính chất dữ liệu, bảo đảm thống nhất trong áp dụng
Đối với Điều 9 về phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro, đại biểu Nguyễn Thị Việt Nga đánh giá việc dự thảo quy định 5 cấp độ dựa trên hậu quả có thể xảy ra khi dữ liệu gặp sự cố hoặc bị xâm phạm là hướng tiếp cận phù hợp.
Tuy nhiên, tại các quy định về cấp độ 3, 4 và 5, dự thảo đồng thời gắn dữ liệu với cấp độ của hệ thống thông tin lưu trữ, xử lý dữ liệu. Theo đại biểu, hai nội dung này có mối quan hệ mật thiết nhưng cần được phân định rõ: tiêu chí xác định rủi ro của dữ liệu và yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu.
Bởi cùng một hệ thống có thể xử lý cả dữ liệu công khai và dữ liệu nhạy cảm, không thể mặc nhiên coi tất cả dữ liệu trên hệ thống đều có cùng mức độ rủi ro. Ngược lại, một tập dữ liệu dù có quy mô nhỏ nhưng nếu bị xâm phạm có thể gây tổn hại nghiêm trọng đến quyền con người hoặc an ninh quốc gia thì vẫn cần được nhận diện đúng mức độ rủi ro.
Từ đó, đại biểu đề nghị chỉnh lý khoản 1 Điều 9 theo hướng xác định 5 cấp độ dựa trên tính chất dữ liệu và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm. Quy định về cấp độ tối thiểu và biện pháp bảo vệ của hệ thống xử lý nên được tách thành khoản riêng, áp dụng sau khi cấp độ dữ liệu đã được xác định, đồng thời bảo đảm thống nhất với pháp luật về an ninh mạng.
Đại biểu cũng đề nghị khoản 3 Điều 9 giao Chính phủ hướng dẫn phương pháp, ngưỡng đánh giá và tình huống áp dụng; đồng thời, luật cần xác lập rõ nguyên tắc kế thừa kết quả phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu. Qua đó, chủ quản dữ liệu có căn cứ xác định kết quả phân loại đã có được kế thừa đến đâu, trường hợp nào cần đánh giá bổ sung về rủi ro an ninh.
Làm rõ điều kiện chuyển dữ liệu xuyên biên giới, bảo đảm kiểm soát thực chất
Về Điều 19 quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga đồng tình với việc dự thảo đặt ra các điều kiện khác nhau theo cấp độ rủi ro. Tuy nhiên, theo đại biểu, cần làm rõ ranh giới giữa các nhóm dữ liệu và từng trường hợp ngoại lệ để quy định có thể được áp dụng thống nhất.
Đối với điểm c khoản 2 Điều 19, dự thảo quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ.
Đại biểu cho rằng cần xác định rõ dữ liệu nào thuộc diện bị cấm chuyển và cơ chế áp dụng đối với những dữ liệu cấp độ 5 còn lại. Theo đó, có thể quy định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định; hoặc nếu chỉ hạn chế một nhóm dữ liệu trong cấp độ này thì cần xác định cụ thể tiêu chí nhận diện nhóm bị hạn chế. Những nội dung về trình tự, hồ sơ, tiêu chuẩn bảo vệ và kiểm chứng điều kiện có thể giao Chính phủ quy định chi tiết trên cơ sở nguyên tắc đã được luật xác lập.
Một vấn đề khác được đại biểu lưu ý là khoản 3 Điều 19 về các trường hợp loại trừ đối với công việc nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số. Đại biểu nhìn nhận nhu cầu bảo đảm giao dịch thường xuyên, thông suốt là chính đáng, song việc xác định ngoại lệ không nên chỉ dựa vào tên gọi hoạt động mà cần căn cứ vào loại dữ liệu được chuyển, chủ thể có quyền tiếp cận và khả năng kiểm soát dữ liệu của chủ quản.
Đại biểu đề nghị giới hạn ngoại lệ bằng những điều kiện có thể kiểm chứng, gồm loại và cấp độ dữ liệu; mục đích, phạm vi xử lý; quyền tiếp cận của bên ở nước ngoài; khả năng quản lý khóa giải mã và duy trì quyền kiểm soát của chủ quản dữ liệu. Đồng thời, cần khẳng định việc áp dụng ngoại lệ không làm mất đi nghĩa vụ tuân thủ Luật Dữ liệu, pháp luật về bảo vệ dữ liệu cá nhân và các luật có liên quan.
Nhấn mạnh mối liên hệ giữa Điều 9 và Điều 19, đại biểu Nguyễn Thị Việt Nga cho rằng, nếu căn cứ phân cấp chưa rõ hoặc ngoại lệ chuyển dữ liệu quá rộng, có thể dẫn tới tình trạng vừa bảo vệ chưa đầy đủ dữ liệu hệ trọng, vừa gây khó khăn cho những hoạt động hợp pháp cần được lưu thông.
