Tiếp tục Kỳ họp thứ hai, sáng 4/11 Quốc hội thảo luận tại hội trường về dự án Luật An ninh dữ liệu với một trong những vấn đề được quan tâm là chuyển, xử lý dữ liệu xuyên biên giới.

Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu, dữ liệu cấp độ 1, cấp độ 2 không phải thực hiện thủ tục theo Luật này khi chuyển ra nước ngoài; dữ liệu cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4, cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển.

Nêu ý kiến, đại biểu Nguyễn Vũ Trung (TP.HCM) đề nghị ghi ngay trong luật ba cơ chế: rủi ro thấp thì tự đánh giá và hậu kiểm; rủi ro trung bình thì thông báo; rủi ro cao mới phải xin chấp thuận trước.

Đối với luồng dữ liệu chuyển định kỳ, theo đại biểu Trung, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại. Cơ quan có thẩm quyền cần có thời hạn xử lý rõ ràng; nếu từ chối, phải nêu lý do và bảo đảm quyền khiếu nại.

Nếu thiếu những quy định này, bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng điện toán đám mây có thể phải gánh thêm thủ tục, trong khi việc đó chưa chắc ngăn được các đối tượng lừa đảo hoạt động bên ngoài hệ thống, vị đại biểu TP.HCM nhấn mạnh.

Cũng góp ý về quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga (Hải Phòng) đồng tình với việc đặt điều kiện khác nhau theo cấp độ rủi ro trong dự thảo. Nhưng theo đại biểu, chính vì điều kiện khác nhau, luật phải xác định được ranh giới của từng nhóm dữ liệu và từng ngoại lệ.

Bà Nga phân tích, tại điểm c khoản 2 Điều 19, dự thảo quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, theo điểm đ khoản 1 Điều 9, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ. Dự thảo chưa chỉ rõ trong cấp độ này, dữ liệu nào bị cấm chuyển và vì sao dữ liệu cấp độ 5 còn lại có thể được chuyển theo một cơ chế khác.

Nhấn mạnh đây là ranh giới của một biện pháp hạn chế quan trọng, vị đại biểu Hải Phòng đề nghị quyết định rõ ngay trong luật: hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định. Hoặc, nếu chỉ cấm một nhóm trong cấp độ 5, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại. Khoản 5 Điều 19 chỉ nên giao Chính phủ quy định chi tiết trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng điều kiện đã được luật xác lập.

Về quy định phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro (điều 9), bà Nga nói, Khoản 1 Điều 9 mô tả 5 cấp độ thông qua hậu quả khi dữ liệu bị sự cố hoặc bị xâm phạm, là hướng tiếp cận phù hợp. Tuy nhiên, ngay trong các điểm quy định cấp độ 3, cấp độ 4 và cấp độ 5, dự thảo tiếp tục gắn dữ liệu với cấp độ của hệ thống thông tin lưu trữ, xử lý dữ liệu. Hai nội dung này có quan hệ mật thiết, nhưng cần phân định rõ trong luật: đâu là tiêu chí xác định rủi ro của dữ liệu, đâu là yêu cầu bảo vệ đối với hệ thống sau khi đã xác định rủi ro ấy, theo đại biểu Nga.

Cho rằng dữ liệu có rủi ro cao không thể được xử lý trên một hệ thống thiếu an toàn, bà Nga băn khoăn nếu đặt cả hai quy tắc trong cùng định nghĩa cấp độ dữ liệu, người áp dụng có thể hiểu cấp độ của hệ thống là một điều kiện để nhận diện cấp độ của dữ liệu. Khi đó, cùng một tập dữ liệu có thể bị đánh giá khác nhau tùy nơi lưu trữ, trong khi hậu quả nếu dữ liệu bị lộ, bị sửa đổi hoặc bị mất không nhất thiết thay đổi theo nơi lưu trữ.

Chẳng hạn, một hệ thống có thể xử lý đồng thời dữ liệu công khai và dữ liệu nhạy cảm. Không vì chúng cùng nằm trên một hệ thống mà mọi dữ liệu đều có cùng mức rủi ro. Ngược lại, một tập dữ liệu nhỏ nhưng có khả năng gây tổn hại nghiêm trọng đến quyền của con người hoặc an ninh quốc gia vẫn cần được nhận diện đúng, dù hệ thống đang xử lý chưa được xếp ở cấp độ tương ứng, đại biểu Nga phân tích.

Vì vậy, bà Nga đề nghị chỉnh lý khoản 1 Điều 9 chỉ để quy định tiêu chí phân biệt 5 cấp độ theo tính chất dữ liệu và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm. Quy định về cấp độ tối thiểu, biện pháp bảo vệ của hệ thống xử lý nên tách thành một khoản riêng và được áp dụng sau khi cấp độ dữ liệu đã được xác định, đồng thời bảo đảm thống nhất với pháp luật về an ninh mạng.

Theo bà, khoản 3 Điều 9 giao Chính phủ hướng dẫn phương pháp, ngưỡng đánh giá và tình huống áp dụng, nhưng luật cần xác lập rõ nguyên tắc sử dụng kết quả phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu. Chủ quản dữ liệu phải biết một kết quả phân loại đã có được kế thừa đến đâu và khi nào phải đánh giá bổ sung về rủi ro an ninh. Điều này giúp bảo vệ đúng trọng tâm và tránh kết luận thiếu thống nhất đối với cùng một tập dữ liệu.