Theo kế hoạch, tại Kỳ họp thứ 2, Quốc hội khóa XVI, Chính phủ trình Quốc hội xem xét, cho ý kiến về dự thảo Luật An ninh dữ liệu do Bộ Công an chủ trì soạn thảo.
Theo Bộ Công an, thực tiễn cho thấy công tác bảo đảm an ninh mạng, an ninh dữ liệu tại Việt Nam thời gian qua cho thấy mức độ rủi ro ngày càng gia tăng cả về quy mô lẫn tính chất.
Tình trạng dữ liệu cá nhân bị rao bán trái phép trên các diễn đàn ngầm diễn ra ở quy mô lớn; thiệt hại kinh tế do lừa đảo trực tuyến, mã độc tống tiền gây ra là rất đáng kể. Quy mô và tốc độ gia tăng của rủi ro an ninh dữ liệu đang vượt xa năng lực ứng phó hiện có.
Vì vậy, nếu không có một thể chế đủ mạnh để quản lý rủi ro ngay từ gốc, nguy cơ bị động, lúng túng trong ứng phó sự cố sẽ ngày càng lớn, gây thiệt hại cho cơ quan, tổ chức, cá nhân, thậm chí ảnh hưởng nghiêm trọng đến an ninh quốc gia.
Ngày mai (26/10), Chính phủ sẽ trình Quốc hội dự án Luật An ninh dữ liệu. Ảnh: QH
Phân chia 5 cấp độ rủi ro
Cơ quan soạn thảo cho biết, dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, quy định về bảo vệ an ninh dữ liệu và trách nhiệm của Nhà nước, cơ quan, tổ chức, doanh nghiệp, cá nhân trong bảo đảm an ninh dữ liệu. Trọng tâm của dự thảo là thiết lập cơ chế quản lý theo cấp độ rủi ro, xác định trách nhiệm bảo vệ tương ứng thay vì áp dụng yêu cầu như nhau đối với mọi hoạt động xử lý dữ liệu.
Dự thảo quy định 5 cấp độ rủi ro an ninh dữ liệu, từ cấp độ 1, thấp nhất, đến cấp độ 5, cao nhất, được xác định theo khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Các nghĩa vụ bảo vệ được phân định theo cấp độ và áp dụng trong hoạt động chuyển đổi số, vận hành hạ tầng số, xử lý dữ liệu quy mô lớn, sử dụng công nghệ mới, trí tuệ nhân tạo cũng như các hoạt động xuyên biên giới.
Dữ liệu ở cấp độ càng cao, nghĩa vụ bảo vệ càng chặt chẽ, trong đó dữ liệu Cấp độ 1, Cấp độ 2 gần như không phát sinh thủ tục hành chính. Từ Cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động, kiểm toán định kỳ; dữ liệu Cấp độ 4, Cấp độ 5 phải được thẩm định an ninh dữ liệu trước khi hệ thống được đưa vào vận hành chính thức.
Trên cơ sở đó, dự thảo phân định trách nhiệm của từng chủ thể. Chính phủ thống nhất quản lý nhà nước về an ninh dữ liệu. Cơ quan, tổ chức, doanh nghiệp với tư cách chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro của dữ liệu do mình quản lý, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm trước pháp luật. Nhà nước thực hiện hậu kiểm là chủ yếu, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao.
Quản lý chặt chẽ rủi ro, hạn chế phát sinh thủ tục hành chính
Đối với việc bảo vệ an ninh dữ liệu theo vòng đời và chuyển dữ liệu xuyên biên giới, dự thảo Luật xác lập định hướng bảo vệ an ninh dữ liệu xuyên suốt toàn bộ vòng đời - từ khâu thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy - đồng thời kiểm soát chặt chẽ, có phân hóa theo cấp độ rủi ro đối với việc chuyển dữ liệu xuyên biên giới nhằm bảo vệ chủ quyền dữ liệu quốc gia.
Theo cơ quan soạn thảo, dự thảo Luật An ninh dữ liệu tập trung vào việc bảo vệ an ninh của chính dữ liệu trong suốt vòng đời giúp phần lớn dữ liệu có mức độ rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế tối đa phát sinh thủ tục hành chính, trong khi dữ liệu có mức độ rủi ro cao được quản lý chặt chẽ hơn tương xứng.
Một nội dung đáng chú ý khác là việc dự thảo cũng bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.
Cùng với bảo vệ dữ liệu trong quá trình xử lý, dự thảo đề cao chủ động phòng ngừa. Theo đó, tại dự thảo Luật xác lập định hướng chủ động phòng ngừa, theo dõi và ứng phó khi xảy ra sự cố an ninh dữ liệu, bảo đảm Nhà nước có công cụ phản ứng kịp thời đối với sự cố nghiêm trọng
Biện pháp mang tính hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, theo nguyên tắc ưu tiên biện pháp ít hạn chế nhất, có thời hạn áp dụng cụ thể, có cơ chế báo cáo, giám sát và bảo đảm quyền kiến nghị, khiếu nại, khởi kiện, được bồi thường của tổ chức, cá nhân trong trường hợp biện pháp được áp dụng trái pháp luật.
Phát triển công nghệ gắn với bảo vệ an ninh dữ liệu trong AI
Tại dự thảo Luật cũng quy định chi tiết về bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo (AI). Cụ thể, cơ quan soạn thảo xác lập định hướng bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo, gắn với xu thế phát triển công nghệ hiện nay.
Tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới, hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao có trách nhiệm tích hợp biện pháp bảo vệ an ninh ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.
Đồng thời, dự thảo quy định rõ định hướng không chồng chéo thủ tục, việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp trong quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng, không tổ chức thẩm định riêng.
Dự thảo cũng quy định cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự. Cách tiếp cận này nhằm kiểm soát rủi ro nhưng vẫn bảo vệ bí mật kinh doanh và bí mật công nghệ của doanh nghiệp.
Đối với chính sách phát triển hạ tầng, công nghệ và nguồn nhân lực, dự thảo còn đưa ra nguyên tắc không áp dụng biện pháp tạo vị trí độc quyền cho một sản phẩm hoặc nhà cung cấp cụ thể, qua đó bảo đảm môi trường cạnh tranh bình đẳng trong quá trình phát triển hệ sinh thái công nghiệp an ninh dữ liệu trong nước.