Luật An ninh dữ liệu: Bảo vệ vững chắc chủ quyền dữ liệu quốc gia

Quy định 5 cấp độ rủi ro an ninh dữ liệu

Trong kỷ nguyên chuyển đổi số, dữ liệu không còn đơn thuần là thông tin được lưu trữ, xử lý mà đã trở thành một loại tư liệu sản xuất đặc biệt, một tài sản chiến lược quyết định năng lực cạnh tranh, sự ổn định kinh tế và an ninh của mỗi quốc gia.

Chủ quyền quốc gia trên không gian số, theo đó, không chỉ dừng lại ở việc bảo vệ hạ tầng mạng mà còn mở rộng sang quyền quản lý, kiểm soát và bảo vệ dữ liệu.

Mỗi thao tác giao dịch, truy cập, chia sẻ thông tin diễn ra hằng ngày trên không gian mạng đều có thể trở thành mục tiêu bị đánh cắp, trục lợi hoặc bị lợi dụng để xâm phạm an ninh quốc gia nếu không được bảo vệ đúng cách.

Nghị quyết số 57-NQ/TW ngày 22/12/2024 của Bộ Chính trị về đột phá phát triển khoa học, công nghệ, đổi mới sáng tạo và chuyển đổi số quốc gia xác định bảo đảm chủ quyền quốc gia trên không gian mạng và an ninh dữ liệu là điều kiện tiên quyết, không thể tách rời trong tiến trình chuyển đổi số. Đây là định hướng chính trị quan trọng hàng đầu, đặt ra yêu cầu phải sớm thể chế hóa thành luật chuyên ngành, toàn diện về an ninh dữ liệu, thay vì tiếp tục xử lý vấn đề này bằng các quy định tản mạn, nằm rải rác trong nhiều văn bản khác nhau.

Công tác bảo đảm an ninh mạng, an ninh dữ liệu tại Việt Nam thời gian qua cho thấy mức độ rủi ro ngày càng gia tăng cả về quy mô lẫn tính chất.

Số vụ tấn công mạng có chủ đích, phần lớn nhằm thẳng vào dữ liệu, có xu hướng tăng nhanh qua từng năm; xuất hiện sự chuyển dịch rõ rệt từ các đợt tấn công dàn trải sang những chiến dịch tấn công có chủ đích, kéo dài, xâm nhập sâu và âm thầm thu thập dữ liệu trong thời gian dài trước khi bị phát hiện.

Tình trạng dữ liệu cá nhân bị rao bán trái phép trên các diễn đàn ngầm diễn ra ở quy mô lớn; thiệt hại kinh tế do lừa đảo trực tuyến, mã độc tống tiền gây ra là rất đáng kể.

Quy mô và tốc độ gia tăng của rủi ro an ninh dữ liệu đang vượt xa năng lực ứng phó hiện có; nếu không có một thể chế đủ mạnh để quản lý rủi ro ngay từ gốc, nguy cơ bị động, lúng túng trong ứng phó sự cố sẽ ngày càng lớn, gây thiệt hại cho cơ quan, tổ chức, cá nhân, thậm chí ảnh hưởng nghiêm trọng đến an ninh quốc gia.

Dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, phân định nguyên tắc, điều kiện xử lý dữ liệu cá nhân, quyền của chủ thể dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân; hoạt động xây dựng, quản trị, khai thác, chia sẻ, phân loại dữ liệu theo tính chất quan trọng thực hiện theo pháp luật về dữ liệu; bảo vệ an ninh mạng đối với hệ thống thông tin thực hiện theo pháp luật về an ninh mạng, còn việc bảo vệ an ninh của chính dữ liệu, xuyên suốt vòng đời, thực hiện theo Luật An ninh dữ liệu.

Cách phân định này giúp tránh tình trạng một tổ chức, doanh nghiệp phải thực hiện nhiều thủ tục trùng lặp cho cùng một nội dung quản lý; dự thảo còn quy định nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần.

Về cơ chế quản lý theo cấp độ rủi ro. Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu, từ cấp thấp nhất đến cấp độ cao nhất, xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Dữ liệu ở cấp độ càng cao, nghĩa vụ bảo vệ càng chặt chẽ: dữ liệu cấp độ 1, cấp độ 2 gần như không phát sinh thủ tục hành chính; từ cấp độ 3 trở lên, chủ quản dữ liệu phải thực hiện đánh giá tác động, kiểm toán định kỳ; dữ liệu cấp độ 4, cấp độ 5 phải được thẩm định an ninh dữ liệu trước khi hệ thống được đưa vào vận hành chính thức.

Việc phân cấp độ rủi ro, theo quy định của dự thảo, không thay thế việc phân loại dữ liệu theo pháp luật về dữ liệu và không làm thay đổi quyền sở hữu, quyền quản lý, khai thác, sử dụng dữ liệu của tổ chức, cá nhân, bảo đảm công cụ quản lý an ninh không ảnh hưởng đến quyền tài sản hợp pháp đối với dữ liệu.

Về bảo vệ an ninh dữ liệu theo vòng đời và chuyển dữ liệu xuyên biên giới. Dự thảo Luật xác lập định hướng bảo vệ an ninh dữ liệu xuyên suốt toàn bộ vòng đời - từ khâu thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy - đồng thời kiểm soát chặt chẽ, có phân hóa theo cấp độ rủi ro đối với việc chuyển dữ liệu xuyên biên giới nhằm bảo vệ chủ quyền dữ liệu quốc gia.

Mức độ yêu cầu bảo vệ và kiểm soát tăng dần theo cấp độ rủi ro của dữ liệu; phần lớn dữ liệu có mức độ rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế tối đa phát sinh thủ tục hành chính, trong khi dữ liệu có mức độ rủi ro cao được quản lý chặt chẽ hơn tương xứng.

Dự thảo cũng bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.

Chủ động phòng ngừa, kiểm soát rủi ro ngay từ đầu

Về phòng ngừa, theo dõi và ứng phó sự cố an ninh dữ liệu. Dự thảo Luật xác lập định hướng chủ động phòng ngừa, theo dõi và ứng phó khi xảy ra sự cố an ninh dữ liệu, bảo đảm Nhà nước có công cụ phản ứng kịp thời đối với sự cố nghiêm trọng, đồng thời giới hạn chặt chẽ phạm vi, điều kiện áp dụng để không ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.

Theo định hướng chung, biện pháp mang tính hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, theo nguyên tắc ưu tiên biện pháp ít hạn chế nhất, có thời hạn áp dụng cụ thể, có cơ chế báo cáo, giám sát và bảo đảm quyền kiến nghị, khiếu nại, khởi kiện, được bồi thường của tổ chức, cá nhân trong trường hợp biện pháp được áp dụng trái pháp luật.

Về bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo. Dự thảo Luật xác lập định hướng bảo vệ an ninh dữ liệu đối với công nghệ mới và trí tuệ nhân tạo, gắn với xu thế phát triển công nghệ hiện nay.

Tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới, hệ thống trí tuệ nhân tạo xử lý dữ liệu có mức độ rủi ro cao có trách nhiệm tích hợp biện pháp bảo vệ an ninh ngay từ khâu thiết kế, bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.

Đồng thời, dự thảo quy định rõ định hướng không chồng chéo thủ tục: việc đánh giá an ninh dữ liệu đối với hệ thống trí tuệ nhân tạo được tích hợp trong quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng, không tổ chức thẩm định riêng; cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự - qua đó vừa quản lý được rủi ro, vừa bảo vệ bí mật kinh doanh, bí mật công nghệ của doanh nghiệp.

Ngoài ra, dự thảo Luật xác lập định hướng trách nhiệm kiểm soát an ninh dữ liệu trong toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, không chỉ dừng lại trong phạm vi nội bộ một tổ chức; quy định chính sách của Nhà nước nhằm thúc đẩy phát triển hạ tầng, công nghệ và nguồn nhân lực về an ninh dữ liệu, gắn kết chặt chẽ với mục tiêu an ninh…

Có thể khẳng định, việc xây dựng, ban hành Luật An ninh dữ liệu không đơn thuần là hoàn thiện một mảnh ghép còn thiếu trong hệ thống pháp luật, mà là một bước đi tất yếu, có tính chiến lược, nhằm chuyển dịch mô hình quản trị quốc gia về dữ liệu từ trạng thái bị động, ứng phó sau sự cố sang chủ động phòng ngừa, kiểm soát rủi ro ngay từ đầu. 

Bảo vệ vững chắc chủ quyền dữ liệu quốc gia trong tiến trình chuyển đổi số; đồng thời tạo nền tảng niềm tin và không gian phát triển để người dân, doanh nghiệp, ngành công nghiệp bảo vệ dữ liệu trong nước yên tâm tham gia, đóng góp vào nền kinh tế số của đất nước.