Dự án Luật An ninh dữ liệu do Bộ Công an chủ trì xây dựng với nhiều điểm nổi bật dự kiến trình tại Kỳ họp thứ 2, Quốc hội khóa XVI.
Một trong những điểm đáng chú ý của dự thảo Luật là quy định nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần, qua đó giảm chi phí tuân thủ, tạo thuận lợi cho hoạt động sản xuất, kinh doanh của tổ chức, cá nhân, doanh nghiệp.
Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu, từ Cấp độ 1 (thấp nhất) đến Cấp độ 5 (cao nhất), được xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân.
Theo cơ quan soạn thảo, dữ liệu ở cấp độ càng cao thì nghĩa vụ bảo vệ càng chặt chẽ. Đối với dữ liệu Cấp độ 1, Cấp độ 2, dự thảo Luật quy định gần như không phát sinh thủ tục hành chính. Từ Cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động, kiểm toán định kỳ. Đối với dữ liệu Cấp độ 4, Cấp độ 5, việc thẩm định được thực hiện cùng với thẩm định an ninh mạng trước khi hệ thống được đưa vào vận hành chính thức.
Đáng chú ý, việc phân cấp độ rủi ro theo quy định của dự thảo Luật không thay thế việc phân loại dữ liệu theo pháp luật về dữ liệu và không làm thay đổi quyền sở hữu, quyền quản lý, khai thác, sử dụng dữ liệu của tổ chức, cá nhân, bảo đảm công cụ quản lý an ninh không ảnh hưởng đến quyền tài sản hợp pháp đối với dữ liệu.
Trong dự thảo Luật, bảo vệ an ninh dữ liệu được thực hiện xuyên suốt toàn bộ vòng đời, từ khâu thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy. Đồng thời quy định việc kiểm soát chặt chẽ, có phân hóa theo cấp độ rủi ro đối với hoạt động chuyển, xử lý dữ liệu xuyên biên giới nhằm bảo vệ chủ quyền dữ liệu quốc gia.
Dữ liệu có mức độ rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế tối đa phát sinh thủ tục hành chính, trong khi dữ liệu có mức độ rủi ro cao được quản lý chặt chẽ hơn, tương xứng với nguy cơ có thể xảy ra.
Bên cạnh đó, dự thảo Luật bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.
Chủ động ứng phó khi xảy ra sự cố an ninh dữ liệu
Một nội dung đáng chú ý khác của dự thảo Luật là xác lập định hướng chủ động phòng ngừa, theo dõi và ứng phó khi xảy ra sự cố an ninh dữ liệu, bảo đảm Nhà nước có công cụ phản ứng kịp thời đối với các sự cố nghiêm trọng.
Dự thảo Luật cũng giới hạn chặt chẽ phạm vi, điều kiện áp dụng các biện pháp bảo vệ để không ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.
Các biện pháp mang tính hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, theo nguyên tắc ưu tiên biện pháp ít hạn chế nhất, có thời hạn áp dụng cụ thể, có cơ chế báo cáo, giám sát và bảo đảm quyền kiến nghị, khiếu nại, khởi kiện, được bồi thường của tổ chức, cá nhân trong trường hợp biện pháp được áp dụng trái pháp luật.
Đối với tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới, hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao có trách nhiệm tích hợp biện pháp bảo vệ an ninh ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.
Đồng thời, dự thảo Luật quy định rõ việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp trong quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng, không tổ chức thẩm định riêng.
Đáng chú ý, cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự. Quy định này nhằm vừa quản lý được rủi ro an ninh dữ liệu, vừa bảo vệ bí mật kinh doanh, bí mật công nghệ của doanh nghiệp.
Dự thảo Luật quy định chủ quản dữ liệu có trách nhiệm đánh giá rủi ro, giới hạn phạm vi tiếp cận dữ liệu đối với bên cung cấp sản phẩm, dịch vụ trước khi kết nối; quy định rõ nghĩa vụ bảo mật, chế tài xử lý khi để rò rỉ dữ liệu ngay trong hợp đồng; chủ động giám sát và thu hồi quyền tiếp cận khi phát hiện nguy cơ, sự cố.
Nhà nước có chính sách ưu tiên phát triển điện toán đám mây chủ quyền, hạ tầng dữ liệu, trung tâm dữ liệu an toàn, xanh, có khả năng chống chịu, phục hồi; áp dụng chính sách ưu đãi về đầu tư, thuế đối với hoạt động nghiên cứu, phát triển công nghệ bảo vệ an ninh dữ liệu, mật mã an ninh, mật mã kháng lượng tử.
Theo cơ quan soạn thảo, dự thảo Luật An ninh dữ liệu được xây dựng theo hướng vừa bảo đảm chặt chẽ về an ninh, chủ quyền dữ liệu quốc gia, vừa hạn chế tối đa tác động đến hoạt động sản xuất, kinh doanh hợp pháp của tổ chức, cá nhân, doanh nghiệp. Qua đó, tạo nền tảng pháp lý để bảo đảm an ninh dữ liệu, thúc đẩy phát triển kinh tế dữ liệu, kinh tế số trong giai đoạn tới.
Điều 8 dự thảo Luật quy định về Cấp độ rủi ro an ninh dữ liệu:
a) Cấp độ 1: khả năng xảy ra và hậu quả ở mức thấp, ít gây tổn hại đến quyền, lợi ích hợp pháp của tổ chức, cá nhân; không xâm hại an ninh quốc gia, trật tự, an toàn xã hội; bao gồm dữ liệu công khai, dữ liệu mở theo quy định của pháp luật;
b) Cấp độ 2: khả năng xảy ra và hậu quả ở mức trung bình, gây tổn hại nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân hoặc đe dọa trật tự, an toàn xã hội; bao gồm dữ liệu lưu hành nội bộ, dữ liệu kinh doanh và dữ liệu cá nhân không thuộc điểm c khoản này;
c) Cấp độ 3: khả năng xảy ra và hậu quả ở mức cao, gây tổn hại rất nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân, gây tổn hại đến trật tự, an toàn xã hội và đe dọa phương hại an ninh quốc gia; bao gồm dữ liệu quan trọng không thuộc dữ liệu cốt lõi, dữ liệu cốt lõi quy định tại khoản 3 Điều này và dữ liệu cá nhân nhạy cảm được xử lý đạt ngưỡng quy mô lớn theo quy định của Chính phủ;
d) Cấp độ 4: khả năng xảy ra và hậu quả ở mức rất cao, gây tổn hại đặc biệt nghiêm trọng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân, gây tổn hại nghiêm trọng trật tự, an toàn xã hội và gây phương hại an ninh quốc gia; bao gồm dữ liệu cốt lõi, trừ dữ liệu thuộc điểm đ khoản này và dữ liệu cốt lõi quy định tại khoản 3 Điều này;
đ) Cấp độ 5: hậu quả ở mức đặc biệt nghiêm trọng, trực tiếp xâm phạm an ninh quốc gia; bao gồm dữ liệu cốt lõi thuộc lĩnh vực quốc phòng, an ninh và dữ liệu cốt lõi về vận hành, điều khiển công trình quan trọng đặc biệt liên quan đến an ninh quốc gia theo tiêu chí do Chính phủ quy định.