Đề nghị xác định ba cơ chế trong chuyển và xử lý dữ liệu xuyên biên giới

Dữ liệu có rủi ro cao không thể được xử lý trên một hệ thống thiếu an toàn

Ngày 4/11 dưới sự chủ trì của Chủ tịch Quốc hội Trần Thanh Mẫn, sự điều hành của Phó Chủ tịch Quốc hội Nguyễn Thị Thanh, Quốc hội thảo luận ở hội trường về dự án Luật An ninh dữ liệu, dự án Luật Định danh và xác thực điện tử.

Đề cập đến dự án Luật An ninh dữ liệu, đại biểu Quốc hội Nguyễn Thị Việt Nga (Đoàn TP. Hải Phòng) tập trung phân tích về Điều 9 quy định phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro. Cụ thể, Khoản 1 Điều 9 mô tả 5 cấp độ thông qua hậu quả khi dữ liệu bị sự cố hoặc bị xâm phạm.

Theo bà Nga, đây là hướng tiếp cận phù hợp. Tuy nhiên, ngay trong các điểm quy định cấp độ 3, cấp độ 4 và cấp độ 5, dự thảo tiếp tục gắn dữ liệu với cấp độ của hệ thống thông tin lưu trữ, xử lý dữ liệu. Hai nội dung này có quan hệ mật thiết, nhưng cần phân định rõ trong luật: đâu là tiêu chí xác định rủi ro của dữ liệu, đâu là yêu cầu bảo vệ đối với hệ thống sau khi đã xác định rủi ro ấy.

“Dữ liệu có rủi ro cao không thể được xử lý trên một hệ thống thiếu an toàn”, bà Nga nói và băn khoăn nếu đặt cả hai quy tắc trong cùng định nghĩa cấp độ dữ liệu, người áp dụng có thể hiểu cấp độ của hệ thống là một điều kiện để nhận diện cấp độ của dữ liệu. Khi đó, cùng một tập dữ liệu có thể bị đánh giá khác nhau tùy nơi lưu trữ, trong khi hậu quả nếu dữ liệu bị lộ, bị sửa đổi hoặc bị mất không nhất thiết thay đổi theo nơi lưu trữ.

Bà Nga đưa ra phân tích rằng, một hệ thống có thể xử lý đồng thời dữ liệu công khai và dữ liệu nhạy cảm. Không vì chúng cùng nằm trên một hệ thống mà mọi dữ liệu đều có cùng mức rủi ro. Ngược lại, một tập dữ liệu nhỏ nhưng có khả năng gây tổn hại nghiêm trọng đến quyền của con người hoặc an ninh quốc gia vẫn cần được nhận diện đúng, dù hệ thống đang xử lý chưa được xếp ở cấp độ tương ứng.

Từ đó, bà Nga đề nghị chỉnh lý khoản 1 Điều 9 chỉ để quy định tiêu chí phân biệt 5 cấp độ theo tính chất dữ liệu và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm. Quy định về cấp độ tối thiểu, biện pháp bảo vệ của hệ thống xử lý nên tách thành một khoản riêng và được áp dụng sau khi cấp độ dữ liệu đã được xác định, đồng thời bảo đảm thống nhất với pháp luật về an ninh mạng.

Theo đại biểu Quốc hội Nguyễn Vũ Trung (Đoàn TPHCM) an ninh dữ liệu không phải chuyện riêng của máy chủ hay cơ quan quản lý. Đó là tiền trong tài khoản, hồ sơ bệnh án, danh tính và sự an tâm của mỗi người. Dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Liên quan đến điều 9 về phân loại và bảo vệ an ninh dữ liệu theo cấp độ rủi ro an ninh dữ liệu, ông Trung cho hay, điểm cần làm rõ ranh giới giữa việc tự xác định và quyền kiểm tra của cơ quan nhà nước. Nếu Khoản 1 đã phân loại dữ liệu thành cấp độ cụ thể, nhưng Khoản 2 lại giao chủ quản tự xác định mà không nêu tiêu chí, hồ sơ chứng minh và cơ chế hậu kiểm.

Theo ông Trung, điều này có thể phát sinh cách hiểu rằng, chủ quản được tự chọn cấp độ. Khi đó, cùng một loại dữ liệu có thể bị xếp thành các cấp độ khác nhau. Chủ quản có thể xếp thấp hơn để giảm nghĩa vụ, còn cơ quan quản lý thiếu căn cứ thống nhất để yêu cầu điều chỉnh.

Do đó, ông Trung đề nghị sửa khoản 2 theo hướng: “Cơ quan, tổ chức, cá nhân chủ quản hệ thống dữ liệu có trách nhiệm tổ chức đánh giá, xác định cấp độ rủi ro an ninh dữ liệu đối với dữ liệu và hệ thống dữ liệu thuộc phạm vi quản lý theo tiêu chí quy định tại khoản 1 Điều này và quy định của Chính phủ; lập, lưu giữ hồ sơ về căn cứ xác định cấp độ và áp dụng đầy đủ yêu cầu bảo đảm an ninh dữ liệu tương ứng. Việc tự đánh giá, xác định cấp độ không loại trừ trách nhiệm kiểm tra, yêu cầu điều chỉnh cấp độ của cơ quan nhà nước có thẩm quyền.”

Xác định ranh giới từng nhóm dữ liệu

Liên quan đến Điều 19 quy định chuyển, xử lý dữ liệu xuyên biên giới, bà Nga đề nghị luật phải xác định được ranh giới của từng nhóm dữ liệu và từng ngoại lệ.

Tại điểm c khoản 2 Điều 19, dự thảo quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, theo điểm đ khoản 1 Điều 9, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ.

Với phân tích trên, bà Nga đánh giá dự thảo chưa chỉ rõ trong cấp độ này, dữ liệu nào bị cấm chuyển và vì sao dữ liệu cấp độ 5 còn lại có thể được chuyển theo một cơ chế khác.

Bà Nga đề nghị quyết định rõ ngay trong luật: hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định; hoặc, nếu chỉ cấm một nhóm trong cấp độ 5, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại. Khoản 5 Điều 19 chỉ nên giao Chính phủ quy định chi tiết trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng điều kiện đã được luật xác lập.

Trong khi đó, ông Nguyễn Vũ Trung đề nghị ghi ngay trong luật ba cơ chế: rủi ro thấp thì tự đánh giá và hậu kiểm; rủi ro trung bình thì thông báo; rủi ro cao mới phải xin chấp thuận trước. Đối với luồng dữ liệu chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại. Cơ quan có thẩm quyền cần có thời hạn xử lý rõ ràng; nếu từ chối, phải nêu lý do và bảo đảm quyền khiếu nại.

“Nếu thiếu những quy định này, bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng điện toán đám mây có thể phải gánh thêm thủ tục, trong khi việc đó chưa chắc ngăn được các đối tượng lừa đảo hoạt động bên ngoài hệ thống”, ông Trung nói.