Tiếp tục chương trình làm việc Kỳ họp thứ 2, Quốc hội khóa XVI, sáng 26/10, Quốc hội nghe tóm tắt Tờ trình về dự án Luật An ninh dữ liệu. Tổng Bí thư, Chủ tịch nước Tô Lâm tham dự phiên họp.
Thừa ủy quyền của Thủ tướng Chính phủ, Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an, trình bày tóm tắt Tờ trình về dự án Luật.
Việc xây dựng Luật nhằm hoàn thiện hệ thống pháp luật về an ninh dữ liệu, khắc phục những khó khăn, vướng mắc trong thực tiễn; đồng thời đơn giản hóa thủ tục hành chính, điều kiện kinh doanh, giảm chi phí tuân thủ cho người dân, doanh nghiệp và tạo môi trường đầu tư, kinh doanh minh bạch.
Bảo vệ dữ liệu theo 5 cấp độ rủi ro
Dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, quy định về nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu.
Một trong những nội dung đáng chú ý là cơ chế bảo vệ an ninh dữ liệu theo mức độ rủi ro. Dự thảo quy định 5 cấp độ rủi ro; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu.
Đối với chủ quản dữ liệu từ cấp độ 3 trở lên, dự thảo quy định trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ. Hệ thống xử lý dữ liệu cấp độ 4 và cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt vòng đời dữ liệu, từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.
Đáng chú ý, dự thảo không yêu cầu thực hiện thủ tục theo Luật này khi chuyển dữ liệu cấp độ 1, cấp độ 2 ra nước ngoài. Với dữ liệu cấp độ 3, chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4, cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển.
Cách tiếp cận theo mức độ rủi ro nhằm tránh áp dụng nghĩa vụ đồng loạt, giảm thủ tục không cần thiết đối với dữ liệu rủi ro thấp, đồng thời tăng cường kiểm soát đối với dữ liệu có mức độ rủi ro cao.
Dự thảo cũng quy định trách nhiệm bảo vệ an ninh dữ liệu trong các lĩnh vực chuyển đổi số và công nghệ mới, bao gồm hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu.
Đối với hoạt động nghiên cứu, phát triển và ứng dụng trí tuệ nhân tạo, dự thảo yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát hoạt động ra quyết định tự động theo quy định của pháp luật.
Đơn giản hóa thủ tục, bảo đảm quyền và lợi ích hợp pháp
Bên cạnh các biện pháp bảo vệ dữ liệu, dự thảo Luật hướng tới đơn giản hóa thủ tục hành chính và giảm chi phí tuân thủ cho tổ chức, cá nhân. Theo đó, dự thảo quy định nguyên tắc một bộ hồ sơ, một thủ tục, một đầu mối đối với những nội dung trùng lặp giữa các luật có liên quan; công nhận kết quả đã thực hiện hợp pháp theo pháp luật khác và tích hợp hoạt động thẩm định, báo cáo qua hệ thống điện tử thống nhất.
Dự thảo không đặt ra việc thành lập tổ chức, bộ máy mới. Lực lượng bảo vệ an ninh dữ liệu được bố trí trên cơ sở tổ chức, biên chế hiện có. Bộ Công an chủ trì thực hiện quản lý nhà nước về an ninh dữ liệu; Bộ Quốc phòng quản lý đối với dữ liệu, hệ thống thông tin quân sự; hệ thống thông tin cơ yếu do Ban Cơ yếu Chính phủ quản lý.
Đối với ứng phó sự cố, dự thảo thiết lập cơ chế theo dõi, cảnh báo sớm, báo cáo và điều phối ứng cứu sự cố an ninh dữ liệu. Căn cứ, thẩm quyền, phạm vi và thời hạn áp dụng biện pháp kỹ thuật khẩn cấp được quy định cụ thể trong Luật. Việc áp dụng ưu tiên biện pháp ít hạn chế quyền nhất và phải chấm dứt ngay khi căn cứ áp dụng không còn. Tổ chức, cá nhân bị áp dụng biện pháp được bảo đảm quyền khiếu nại, khởi kiện và được bồi thường thiệt hại theo quy định của pháp luật.
Dự thảo đồng thời quy định chính sách phát triển công nghiệp an ninh dữ liệu, phát triển nguồn nhân lực và hỗ trợ doanh nghiệp; sửa đổi, bổ sung Luật An ninh mạng và Luật Dữ liệu để bảo đảm tính thống nhất của hệ thống pháp luật.
Theo định hướng xây dựng, an ninh quốc gia là yêu cầu xuyên suốt, việc quản lý phải phù hợp với mức độ rủi ro, đồng thời bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân và tạo điều kiện phát triển kinh tế dữ liệu.
