Theo Bộ Công an, cơ quan chủ trì soạn thảo, dự thảo Luật An ninh dữ liệu gồm 6 chương, 29 điều, quy định về bảo vệ an ninh dữ liệu và trách nhiệm của Nhà nước, cơ quan, tổ chức, doanh nghiệp, cá nhân trong bảo đảm an ninh dữ liệu. Trọng tâm của dự thảo là thiết lập cơ chế quản lý theo cấp độ rủi ro, xác định trách nhiệm bảo vệ tương ứng thay vì áp dụng yêu cầu như nhau đối với mọi hoạt động xử lý dữ liệu.
Dự thảo quy định 5 cấp độ rủi ro an ninh dữ liệu, từ cấp độ 1, thấp nhất, đến cấp độ 5, cao nhất, được xác định theo khả năng xảy ra sự cố và mức độ thiệt hại có thể gây ra. Các nghĩa vụ bảo vệ được phân định theo cấp độ và áp dụng trong hoạt động chuyển đổi số, vận hành hạ tầng số, xử lý dữ liệu quy mô lớn, sử dụng công nghệ mới, trí tuệ nhân tạo cũng như các hoạt động xuyên biên giới.
Trên cơ sở đó, dự thảo phân định trách nhiệm của từng chủ thể. Chính phủ thống nhất quản lý nhà nước về an ninh dữ liệu. Cơ quan, tổ chức, doanh nghiệp với tư cách chủ quản dữ liệu có trách nhiệm tự xác định cấp độ rủi ro của dữ liệu do mình quản lý, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm trước pháp luật. Nhà nước thực hiện hậu kiểm là chủ yếu, chỉ tiền kiểm đối với dữ liệu, hệ thống có rủi ro cao.
Nghĩa vụ của chủ quản dữ liệu còn được phân hóa theo quy mô hoạt động. Đối với dữ liệu cấp độ 1 và 2, vốn chiếm phần lớn các hoạt động xử lý thông thường, dự thảo định hướng gần như không phát sinh thủ tục hành chính. Hộ kinh doanh, doanh nghiệp nhỏ, siêu nhỏ và doanh nghiệp khởi nghiệp sáng tạo chỉ cần thực hiện các biện pháp bảo vệ cơ bản theo hướng dẫn chung.
Từ cấp độ 3 trở lên, chủ quản dữ liệu mới phải thực hiện đánh giá tác động và kiểm toán định kỳ. Riêng dữ liệu cấp độ 4 và 5 phải được thẩm định an ninh dữ liệu cùng với thẩm định an ninh mạng trước khi hệ thống được đưa vào vận hành chính thức. Cách tiếp cận này nhằm tập trung nguồn lực quản lý vào những hoạt động có nguy cơ gây thiệt hại lớn, đồng thời hạn chế gánh nặng tuân thủ đối với các hoạt động ít rủi ro.
Dự thảo cũng xác định trách nhiệm và cơ chế bảo vệ đối với cá nhân ở hai tư cách khác nhau. Khi là chủ thể dữ liệu, quyền và lợi ích hợp pháp của cá nhân tiếp tục được bảo vệ theo pháp luật về bảo vệ dữ liệu cá nhân; nếu dữ liệu được xử lý trong hệ thống có mức độ rủi ro cao, cá nhân còn được hưởng lớp bảo vệ an ninh bổ sung tương ứng.
Đối với cá nhân phụ trách an ninh dữ liệu hoặc chuyên gia hoạt động độc lập, dự thảo khuyến khích việc chủ động phát hiện, kiểm thử và thông báo lỗ hổng an ninh dữ liệu với thiện chí. Người thực hiện được định hướng bảo vệ danh tính, quyền và lợi ích hợp pháp, đồng thời được loại trừ trách nhiệm pháp lý tương ứng. Cơ chế này nhằm huy động thêm nguồn lực xã hội tham gia phát hiện, phòng ngừa nguy cơ, thay vì chỉ dựa vào năng lực của bộ máy nhà nước.
Tránh chồng chéo thủ tục, phân định rõ phạm vi quản lý dữ liệu
Một nội dung quan trọng khác là phân định phạm vi điều chỉnh của Luật An ninh dữ liệu với các luật liên quan. Các nguyên tắc, điều kiện xử lý dữ liệu cá nhân và quyền của chủ thể dữ liệu cá nhân tiếp tục thực hiện theo pháp luật về bảo vệ dữ liệu cá nhân. Hoạt động xây dựng, quản trị, khai thác, chia sẻ, phân loại dữ liệu theo tính chất quan trọng thuộc phạm vi pháp luật về dữ liệu; bảo vệ an ninh mạng đối với hệ thống thông tin thực hiện theo pháp luật về an ninh mạng.
Trong khi đó, dự thảo Luật An ninh dữ liệu tập trung vào việc bảo vệ an ninh của chính dữ liệu trong suốt vòng đời. Để hạn chế một tổ chức, doanh nghiệp phải thực hiện nhiều thủ tục trùng lặp cho cùng nội dung quản lý, dự thảo xác lập nguyên tắc một đối tượng, một nội dung rủi ro chỉ được đánh giá, thẩm định, kiểm tra một lần.
Theo định hướng này, dữ liệu phải được bảo vệ từ khâu thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy. Việc chuyển dữ liệu xuyên biên giới cũng được kiểm soát theo cấp độ rủi ro nhằm bảo vệ chủ quyền dữ liệu quốc gia. Phần lớn dữ liệu có mức độ rủi ro thấp được tạo điều kiện lưu thông thuận lợi, hạn chế tối đa thủ tục hành chính, trong khi dữ liệu có rủi ro cao chịu các yêu cầu bảo vệ và kiểm soát chặt chẽ hơn.
Dự thảo bổ sung cơ chế bảo vệ tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua kênh hợp pháp, phù hợp với nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp.
Cùng với bảo vệ dữ liệu trong quá trình xử lý, dự thảo đề cao chủ động phòng ngừa, theo dõi và ứng phó sự cố an ninh dữ liệu. Nhà nước được định hướng có công cụ phản ứng kịp thời đối với sự cố nghiêm trọng, song phạm vi và điều kiện áp dụng phải được giới hạn chặt chẽ để không ảnh hưởng đến quyền, lợi ích hợp pháp của tổ chức, cá nhân.
Theo đó, biện pháp mang tính hạn chế quyền chỉ được áp dụng khi có căn cứ rõ ràng, ưu tiên biện pháp ít hạn chế nhất và phải xác định thời hạn cụ thể. Việc áp dụng phải đi kèm cơ chế báo cáo, giám sát, bảo đảm quyền kiến nghị, khiếu nại, khởi kiện và được bồi thường của tổ chức, cá nhân nếu biện pháp được thực hiện trái pháp luật.
Bảo vệ dữ liệu trong AI và kiểm soát rủi ro chuỗi cung ứng
Đối với công nghệ mới và trí tuệ nhân tạo (AI), dự thảo xác lập yêu cầu bảo vệ an ninh dữ liệu phù hợp với mức độ rủi ro. Tổ chức, cá nhân nghiên cứu, phát triển, triển khai công nghệ mới hoặc hệ thống AI xử lý dữ liệu có mức độ rủi ro cao phải tích hợp các biện pháp bảo vệ an ninh ngay từ khâu thiết kế; bảo đảm nguồn gốc hợp pháp và tính nguyên vẹn của dữ liệu được sử dụng.
Để tránh phát sinh thêm thủ tục, việc đánh giá an ninh dữ liệu đối với hệ thống AI được dự kiến tích hợp vào quy trình đánh giá rủi ro theo pháp luật về trí tuệ nhân tạo, không lập hồ sơ riêng, không tổ chức thẩm định riêng. Dự thảo cũng quy định cơ quan có thẩm quyền không được yêu cầu bàn giao mã nguồn, trọng số mô hình, trừ trường hợp phục vụ điều tra vụ án hình sự. Cách tiếp cận này nhằm kiểm soát rủi ro nhưng vẫn bảo vệ bí mật kinh doanh và bí mật công nghệ của doanh nghiệp.
Trách nhiệm bảo đảm an ninh dữ liệu không chỉ giới hạn trong nội bộ một tổ chức mà còn được mở rộng ra toàn bộ chuỗi cung ứng sản phẩm, dịch vụ dữ liệu, bao gồm các bên trung gian và bên thứ ba tham gia xử lý dữ liệu.
Trước khi kết nối với đơn vị cung cấp sản phẩm, dịch vụ, chủ quản dữ liệu phải đánh giá rủi ro, giới hạn phạm vi tiếp cận dữ liệu; quy định rõ nghĩa vụ bảo mật và chế tài xử lý khi để xảy ra rò rỉ dữ liệu ngay trong hợp đồng. Trong quá trình hợp tác, chủ quản dữ liệu có trách nhiệm chủ động giám sát và thu hồi quyền tiếp cận khi phát hiện nguy cơ, sự cố.
Với hệ thống xử lý dữ liệu có mức độ rủi ro cao, việc tiếp cận từ xa của nhà cung cấp phải được kiểm soát chặt chẽ hơn. Quy định này nhằm quản lý rủi ro tại cả những khâu trung gian, vốn có thể trở thành điểm yếu trong bảo đảm an ninh dữ liệu nếu trách nhiệm và quyền truy cập không được kiểm soát đầy đủ.
Đối với chính sách phát triển hạ tầng, công nghệ và nguồn nhân lực, dự thảo còn đưa ra nguyên tắc không áp dụng biện pháp tạo vị trí độc quyền cho một sản phẩm hoặc nhà cung cấp cụ thể, qua đó bảo đảm môi trường cạnh tranh bình đẳng trong quá trình phát triển hệ sinh thái công nghiệp an ninh dữ liệu trong nước.
Anh Thơ
