Sáng 26/10, tiếp tục Kỳ họp thứ hai, Quốc hội nghe Bộ trưởng Bộ Công an Lương Tam Quang thừa ủy quyền Thủ tướng trình dự án Luật An ninh dữ liệu.

Quản lý theo mức độ rủi ro, không áp đặt đồng loạt nghĩa vụ

Tờ trình nêu rõ, mục đích xây dựng luật nhằm xác lập cơ sở pháp lý để Nhà nước quản lý, bảo vệ dữ liệu thuộc quyền tài phán của Việt Nam; bảo vệ quyền, lợi ích hợp pháp của tổ chức, cá nhân; tạo điều kiện phát triển kinh tế dữ liệu. Quan điểm xây dựng: an ninh quốc gia là yêu cầu xuyên suốt; quản lý theo mức độ rủi ro, không áp đặt đồng loạt nghĩa vụ, dữ liệu rủi ro thấp không phát sinh thủ tục; thống nhất với Luật An ninh mạng, Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, kế thừa phân loại dữ liệu quan trọng, dữ liệu cốt lõi theo Luật Dữ liệu; không thành lập tổ chức, bộ máy mới; tham khảo có chọn lọc kinh nghiệm quốc tế.

Bộ trưởng Bộ Công an Lương Tam Quang cho biết, Dự thảo Luật gồm 6 chương, 29 điều, quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; tổ chức, cá nhân nước ngoài ở ngoài lãnh thổ Việt Nam có hoạt động xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.

Đáng chú ý, Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu. Chủ quản dữ liệu từ cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu cấp độ 4, cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.

Theo Bộ trưởng, Dự thảo Luật quy định trách nhiệm bảo vệ an ninh dữ liệu đối với hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hệ thống vật lý - số, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu. Đối với hoạt động nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo, dự thảo Luật yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát đối với hoạt động ra quyết định tự động theo quy định của pháp luật.

Về bảo mật mã bảo vệ dữ liệu, Bộ trưởng đề cập, Dự thảo Luật quy định mật mã an ninh do Bộ Công an thống nhất quản lý, sử dụng để bảo vệ dữ liệu và bí mật nhà nước.

Về chuyển, xử lý dữ liệu xuyên biên giới, Bộ trưởng cho biết, Dự thảo Luật quy định dữ liệu cấp độ 1, cấp độ 2 không phải thực hiện thủ tục theo Luật này khi chuyển ra nước ngoài; dữ liệu cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4, cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển. Dự thảo Luật đồng thời quy định việc cung cấp dữ liệu theo yêu cầu của nước ngoài, trách nhiệm của bên cung cấp dịch vụ xuyên biên giới, và việc tích hợp đánh giá an ninh dữ liệu trong thủ tục đầu tư, chuyển giao công nghệ hiện hành.

Dự thảo Luật thiết lập cơ chế theo dõi, cảnh báo sớm, báo cáo và điều phối ứng cứu sự cố an ninh dữ liệu. Căn cứ, thẩm quyền, phạm vi và thời hạn áp dụng biện pháp kỹ thuật khẩn cấp được quy định cụ thể ngay trong Luật; việc áp dụng ưu tiên biện pháp ít hạn chế quyền nhất và phải chấm dứt ngay khi căn cứ áp dụng không còn. Tổ chức, cá nhân bị áp dụng biện pháp được bảo đảm quyền khiếu nại, khởi kiện và được bồi thường thiệt hại theo quy định của pháp luật.

Về nguồn lực, quản lý nhà nước và thủ tục hành chính, Dự thảo Luật quy định Bộ Công an chủ trì thực hiện quản lý nhà nước về an ninh dữ liệu; Bộ Quốc phòng quản lý đối với dữ liệu, hệ thống thông tin quân sự; hệ thống thông tin cơ yếu do Ban Cơ yếu Chính phủ quản lý.

Dự thảo Luật sửa đổi, bổ sung Luật An ninh mạng, Luật Dữ liệu để bảo đảm tính thống nhất của hệ thống pháp luật; dự kiến có hiệu lực thi hành từ ngày 1/7/2027, đồng thời quy định điều khoản chuyển tiếp, kế thừa hồ sơ, kết quả đã thực hiện và lộ trình đáp ứng yêu cầu đối với hệ thống thông tin đang vận hành.

Đề nghị quy định dữ liệu Cấp độ 5 không được chuyển ra nước ngoài

Thẩm tra, Ủy ban Quốc phòng, an ninh và đối ngoại nhất trí với việc quản lý theo 5 cấp độ rủi ro tương ứng với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng, đồng thời tích hợp kết quả phân loại dữ liệu theo Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân.

Tuy nhiên, có ý kiến đề nghị bổ sung quy định cơ quan chuyên trách thường xuyên rà soát, cập nhật; thiết lập cơ chế xác định dữ liệu Cấp độ 5 chặt chẽ hơn (không để chủ quản dữ liệu tự xác định); bổ sung nguyên tắc cấp độ dữ liệu là căn cứ xác định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu đó, không nên dùng cấp độ hệ thống thông tin để xác định cấp độ dữ liệu; quy định chặt chẽ hơn đối với dữ liệu sinh trắc học, dữ liệu gen.

 Ủy ban thẩm tra cũng cơ bản nhất trí với cơ chế phân luồng chuyển dữ liệu ra nước ngoài theo cấp độ rủi ro, không đặt yêu cầu lưu trữ dữ liệu tại Việt Nam mà tập trung kiểm soát khóa giải mã; cơ chế xử lý yêu cầu cung cấp dữ liệu trực tiếp của cơ quan nước ngoài; giới hạn thời hạn áp dụng biện pháp kỹ thuật đối với dịch vụ xuyên biên giới không quá 90 ngày.

Tuy nhiên, có ý kiến đề nghị: quy định rõ trong Luật dữ liệu Cấp độ 5 không được chuyển ra nước ngoài, trừ trường hợp Thủ tướng Chính phủ quyết định; bổ sung khóa giải mã, tham số mật mã của hệ thống Cấp độ 4, Cấp độ 5 vào phạm vi không được chuyển; xác định rõ chủ thể có thẩm quyền quyết định biện pháp hạn chế, tạm dừng dịch vụ xuyên biên giới tại khoản 3 Điều 20; bổ sung cơ chế thông báo khi thay đổi quyền kiểm soát đối với doanh nghiệp quản lý dữ liệu từ Cấp độ 4 trở lên và rà soát Điều 21 để bảo đảm phù hợp với pháp luật về đầu tư, cạnh tranh, doanh nghiệp, cam kết quốc tế về đầu tư.

Dự án Luật An ninh dữ liệu sẽ được Quốc hội thảo luận tại tổ vào chiều 26/10, cùng với Dự án Luật Định danh và xác thực điện tử, Dự án Luật Xử lý vi phạm hành chính (sửa đổi).

Điều 8 dự thảo quy định:

1. Cấp độ rủi ro an ninh dữ liệu được xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội, quyền và lợi ích hợp pháp của cơ quan, tổ chức, cá nhân, bao gồm 05 cấp độ từ thấp đến cao như sau:

a) Cấp độ 1: khả năng xảy ra và hậu quả ở mức thấp, ít gây tổn hại đến quyền, lợi ích hợp pháp của tổ chức, cá nhân; không xâm hại an ninh quốc gia, trật tự, an toàn xã hội; bao gồm dữ liệu công khai, dữ liệu mở theo quy định của pháp luật;

b) Cấp độ 2: khả năng xảy ra và hậu quả ở mức trung bình, gây tổn hại nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc đe dọa trật tự, an toàn xã hội; bao gồm dữ liệu lưu hành nội bộ, dữ liệu kinh doanh và dữ liệu cá nhân không thuộc điểm c khoản này;

c) Cấp độ 3: khả năng xảy ra và hậu quả ở mức cao, gây tổn hại rất nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân, gây tổn hại đến trật tự, an toàn xã hội và đe dọa phương hại an ninh quốc gia; bao gồm dữ liệu quan trọng không thuộc dữ liệu cốt lõi, dữ liệu cốt lõi quy định tại khoản 3 Điều này và dữ liệu cá nhân nhạy cảm được xử lý đạt ngưỡng quy mô lớn theo quy định của Chính phủ;

d) Cấp độ 4: khả năng xảy ra và hậu quả ở mức rất cao, gây tổn hại đặc biệt nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân, gây tổn hại nghiêm trọng trật tự, an toàn xã hội và gây phương hại an ninh quốc gia; bao gồm dữ liệu cốt lõi, trừ dữ liệu thuộc điểm đ khoản này và dữ liệu cốt lõi quy định tại khoản 3 Điều này;

đ) Cấp độ 5: hậu quả ở mức đặc biệt nghiêm trọng, trực tiếp xâm phạm an ninh quốc gia; bao gồm dữ liệu cốt lõi thuộc lĩnh vực quốc phòng, an ninh và dữ liệu cốt lõi về vận hành, điều khiển công trình quan trọng đặc biệt liên quan đến an ninh quốc gia theo tiêu chí do Chính phủ quy định.