Sáng 26/10, tiếp tục chương trình Kỳ họp thứ 2, Quốc hội nghe Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an thừa uỷ quyền của Thủ tướng Chính phủ trình bày Tờ trình về dự án Luật An ninh dữ liệu.
Bảo vệ an ninh dữ liệu theo cấp độ rủi ro và vòng đời dữ liệu
Dự thảo Luật gồm 6 chương, 29 điều, quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý Nhà nước về an ninh dữ liệu.
Về bảo vệ an ninh dữ liệu theo cấp độ rủi ro và vòng đời dữ liệu, dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu.
Chủ quản dữ liệu từ cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu cấp độ 4, cấp độ 5 phải được thẩm định theo quy định.
Đại tướng Lương Tam Quang, Bộ trưởng Bộ Công an (Ảnh: Media Quốc hội).
Về bảo vệ an ninh dữ liệu trong chuyển đổi số, công nghệ mới. Dự thảo Luật quy định trách nhiệm bảo vệ an ninh dữ liệu đối với hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hệ thống vật lý - số, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu.
Đối với hoạt động nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo, dự thảo Luật yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát đối với hoạt động ra quyết định tự động theo quy định của pháp luật.
Về chuyển, xử lý dữ liệu xuyên biên giới, dự thảo Luật quy định dữ liệu cấp độ 1, cấp độ 2 không phải thực hiện thủ tục theo Luật này khi chuyển ra nước ngoài; dữ liệu cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu cấp độ 4, cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển.
Về ứng phó sự cố và biện pháp khẩn cấp, dự thảo Luật thiết lập cơ chế theo dõi, cảnh báo sớm, báo cáo và điều phối ứng cứu sự cố an ninh dữ liệu.
Căn cứ, thẩm quyền, phạm vi và thời hạn áp dụng biện pháp kỹ thuật khẩn cấp được quy định cụ thể ngay trong Luật; việc áp dụng ưu tiên biện pháp ít hạn chế quyền nhất và phải chấm dứt ngay khi căn cứ áp dụng không còn.
Tổ chức, cá nhân bị áp dụng biện pháp được bảo đảm quyền khiếu nại, khởi kiện và được bồi thường thiệt hại theo quy định.
Dự thảo Luật quy định Bộ Công an chủ trì thực hiện quản lý Nhà nước về an ninh dữ liệu; Bộ Quốc phòng quản lý đối với dữ liệu, hệ thống thông tin quân sự; hệ thống thông tin cơ yếu do Ban Cơ yếu Chính phủ quản lý. Lực lượng bảo vệ an ninh dữ liệu được bố trí trên cơ sở tổ chức, biên chế hiện có, không hình thành tổ chức, bộ máy mới.
Quy định chặt chẽ dữ liệu sinh trắc học, dữ liệu gen
Thẩm tra dự án luật, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới cho biết, Ủy ban nhất trí về sự cần thiết ban hành Luật An ninh dữ liệu nhằm thể chế hóa kịp thời các chủ trương, quan điểm chỉ đạo của Đảng về bảo đảm an ninh mạng, an ninh dữ liệu, chủ quyền số, chủ quyền dữ liệu tại Nghị quyết Đại hội XIV, Nghị quyết số 22-NQ/TW về Chiến lược An ninh quốc gia, Chỉ thị số 57-CT/TW và các nghị quyết, chỉ thị, kết luận khác của Ban Chấp hành Trung ương, Bộ Chính trị, Ban Bí thư.
Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới (Ảnh: Media Quốc hội).
Cùng với đó, khắc phục tình trạng quy định về an ninh dữ liệu còn phân tán tại một số luật chuyên ngành; thiết lập khung pháp lý quản lý rủi ro, xác định trách nhiệm đối với bản thân dữ liệu và chủ quản dữ liệu, chủ động bảo vệ tài nguyên dữ liệu quốc gia từ sớm, từ xa trước các nguy cơ tấn công, rủi ro lộ lọt dữ liệu, sự cố dữ liệu tài chính, năng lượng, viễn thông và đe dọa từ điện toán lượng tử.
Về cấp độ rủi ro an ninh dữ liệu, Ủy ban Quốc phòng, An ninh và Đối ngoại nhất trí với việc quản lý theo 5 cấp độ rủi ro tương ứng với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng, đồng thời tích hợp kết quả phân loại dữ liệu theo Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân.
Tuy nhiên, có ý kiến đề nghị: bổ sung quy định cơ quan chuyên trách thường xuyên rà soát, cập nhật; thiết lập cơ chế xác định dữ liệu cấp độ 5 chặt chẽ hơn (không để chủ quản dữ liệu tự xác định).
Bổ sung nguyên tắc cấp độ dữ liệu là căn cứ xác định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu đó, không nên dùng cấp độ hệ thống thông tin để xác định cấp độ dữ liệu; quy định chặt chẽ hơn đối với dữ liệu sinh trắc học, dữ liệu gen.
