Theo nghị trình, ngày 26/10, Quốc hội sẽ nghe tờ trình, báo cáo thẩm tra và thảo luận tại tổ về dự án Luật An ninh dữ liệu.
Bảo vệ dữ liệu từ gốc, khắc phục khoảng trống pháp luật
Trong kỷ nguyên chuyển đổi số, dữ liệu không chỉ là thông tin được lưu trữ, xử lý mà còn là tài sản chiến lược, ảnh hưởng trực tiếp đến năng lực cạnh tranh, sự ổn định kinh tế và an ninh quốc gia. Các nguy cơ đánh cắp, mua bán trái phép dữ liệu, lừa đảo trực tuyến và tấn công mạng ngày càng phức tạp, đặt ra yêu cầu phải chuyển từ ứng phó sau sự cố sang chủ động phòng ngừa, kiểm soát rủi ro ngay từ đầu.
Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị xác định bảo đảm chủ quyền quốc gia trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết trong tiến trình chuyển đổi số. Tuy nhiên, dù hệ thống pháp luật hiện hành đã có các quy định về an ninh mạng, dữ liệu, bảo vệ dữ liệu cá nhân và trí tuệ nhân tạo, vẫn chưa có một khuôn khổ pháp lý toàn diện bảo vệ an ninh của chính dữ liệu trong suốt quá trình thu thập, lưu trữ, xử lý, truyền đưa, chia sẻ đến tiêu hủy.
Khoảng trống này đặt ra yêu cầu xây dựng một luật chuyên ngành, tạo cơ sở pháp lý thống nhất để quản lý rủi ro an ninh dữ liệu, nhất là đối với hoạt động xử lý dữ liệu quy mô lớn, sử dụng dữ liệu nhạy cảm để huấn luyện trí tuệ nhân tạo và chuyển dữ liệu xuyên biên giới.
Quản lý theo rủi ro, tránh chồng chéo thủ tục
Dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, xác lập cơ chế quản lý theo 5 cấp độ rủi ro, từ thấp nhất đến cao nhất. Cấp độ rủi ro được xác định căn cứ vào khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội cũng như quyền, lợi ích hợp pháp của tổ chức, cá nhân.
Theo đó, dữ liệu có mức độ rủi ro càng cao thì yêu cầu bảo vệ càng chặt chẽ. Với dữ liệu thuộc cấp độ 1 và 2, hoạt động xử lý thông thường gần như không phát sinh thủ tục hành chính. Từ cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động, kiểm toán định kỳ; dữ liệu cấp độ 4 và 5 phải được thẩm định an ninh dữ liệu trước khi hệ thống được đưa vào vận hành chính thức.
Cách tiếp cận này nhằm tránh áp dụng một cơ chế kiểm soát đồng loạt, vừa bảo đảm an ninh, vừa hạn chế gánh nặng tuân thủ không cần thiết. Hộ kinh doanh, doanh nghiệp nhỏ, doanh nghiệp siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo được định hướng áp dụng các biện pháp bảo vệ cơ bản theo hướng dẫn chung.
Dự thảo cũng phân định rõ phạm vi điều chỉnh với các luật liên quan. Quyền của chủ thể dữ liệu cá nhân tiếp tục được thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; việc bảo vệ an ninh mạng đối với hệ thống thông tin, quản trị và khai thác dữ liệu thực hiện theo các luật tương ứng. Luật An ninh dữ liệu tập trung bổ sung các biện pháp bảo vệ an ninh dữ liệu, tránh trùng lặp với quy định chuyên ngành.
Đáng chú ý, khi các luật cùng quy định thủ tục đánh giá, thẩm định, kiểm tra hoặc báo cáo đối với cùng một đối tượng, cùng một nội dung, dự thảo đặt ra nguyên tắc chỉ lập một bộ hồ sơ, thực hiện một thủ tục qua một đầu mối tiếp nhận. Kết quả đánh giá, thẩm định, chứng nhận đã thực hiện hợp pháp theo luật khác và còn hiệu lực được công nhận, không yêu cầu thực hiện lại.
Bảo đảm an ninh, tạo dư địa phát triển kinh tế số
Dự thảo Luật xác định trách nhiệm bảo vệ an ninh dữ liệu thuộc cả Nhà nước, cơ quan, tổ chức, doanh nghiệp và cá nhân. Chính phủ thống nhất quản lý nhà nước về an ninh dữ liệu; chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro, áp dụng biện pháp bảo vệ tương ứng và chịu trách nhiệm trước pháp luật. Hoạt động quản lý chủ yếu theo hướng hậu kiểm, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao.
Các biện pháp bảo vệ được triển khai xuyên suốt vòng đời dữ liệu, từ quản lý rủi ro, mã hóa, kiểm soát truy cập, sao lưu, phục hồi, tiêu hủy an toàn đến ứng phó, khắc phục sự cố. Đối với công nghệ mới và trí tuệ nhân tạo, dự thảo định hướng yêu cầu tích hợp biện pháp bảo vệ ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng. Việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp vào quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ hay tổ chức thẩm định riêng.
Đồng thời, dự thảo đặt ra các cơ chế bảo đảm quyền và lợi ích hợp pháp của tổ chức, cá nhân. Biện pháp kỹ thuật khẩn cấp hoặc biện pháp hạn chế quyền phải có căn cứ, ưu tiên phương án ít hạn chế quyền nhất, có thời hạn rõ ràng và bảo đảm cơ chế kiến nghị, khiếu nại, khởi kiện, bồi thường khi áp dụng trái pháp luật.
Không chỉ tập trung kiểm soát rủi ro, dự thảo còn định hướng phát triển hạ tầng, công nghệ và nguồn nhân lực an ninh dữ liệu. Nhà nước có chính sách ưu tiên phát triển điện toán đám mây chủ quyền, hạ tầng dữ liệu, trung tâm dữ liệu an toàn; ưu đãi đầu tư, thuế đối với nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu và hỗ trợ doanh nghiệp nhỏ, vừa, doanh nghiệp khởi nghiệp sáng tạo nâng cao năng lực bảo vệ dữ liệu.
Việc xây dựng Luật An ninh dữ liệu vì vậy hướng tới hai mục tiêu song hành: bảo vệ vững chắc chủ quyền dữ liệu quốc gia, đồng thời không biến yêu cầu an ninh thành rào cản đối với hoạt động sản xuất, kinh doanh hợp pháp. Đây là cơ sở để củng cố niềm tin trong môi trường số, thúc đẩy kinh tế dữ liệu và tạo điều kiện cho doanh nghiệp công nghệ trong nước phát triển các giải pháp bảo vệ an ninh dữ liệu.
