Xây dựng Luật An ninh dữ liệu: hoàn thiện “lá chắn” pháp lý trong kỷ nguyên số

Theo dự thảo Luật An ninh dữ liệu, Luật được xây dựng nhằm quy định các nguyên tắc, chính sách và biện pháp bảo đảm an ninh dữ liệu toàn diện, xuyên suốt vòng đời dữ liệu; thiết lập hệ thống bảo đảm an ninh dữ liệu quốc gia theo cấp độ rủi ro; xác định quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân; đồng thời điều chỉnh việc chuyển giao dữ liệu xuyên biên giới, phát triển nguồn nhân lực, công nghệ và hợp tác quốc tế về an ninh dữ liệu.

An ninh dữ liệu - yêu cầu cấp thiết của quá trình chuyển đổi số

Sự phát triển nhanh chóng của khoa học, công nghệ, trí tuệ nhân tạo, dữ liệu lớn và các nền tảng số đang làm thay đổi sâu sắc cách thức dữ liệu được tạo lập, lưu trữ, khai thác và lưu chuyển. Trong bối cảnh đó, an ninh dữ liệu không còn đơn thuần là vấn đề kỹ thuật, mà ngày càng gắn trực tiếp với hoạt động của cơ quan nhà nước, tổ chức, doanh nghiệp, quyền và lợi ích hợp pháp của người dân, cũng như yêu cầu bảo đảm quốc phòng, an ninh quốc gia.

Theo Báo cáo đánh giá thực trạng quan hệ xã hội liên quan đến dự thảo Luật An ninh dữ liệu, qua công tác thanh tra, giám sát vận hành, một số hạn chế trong công tác bảo đảm an ninh dữ liệu đã được nhận diện. Trong đó, việc phối hợp thẩm định an ninh khi thay đổi cấu trúc kỹ thuật hoặc cập nhật tính năng của hệ thống ở một số đơn vị còn chưa chủ động; hoạt động bảo vệ có thời điểm mới tập trung vào các hệ thống cung cấp dịch vụ mà chưa quan tâm tương xứng đến hệ thống lõi và các cổng kết nối trung gian; quy chế, quy trình vận hành và bảo đảm an toàn theo tiêu chuẩn chưa được thực hiện đầy đủ.

Hồ sơ xây dựng dự thảo cũng cho thấy, trước yêu cầu của quá trình chuyển đổi số, việc bảo đảm an ninh dữ liệu cần được đặt trong một tổng thể thống nhất từ thể chế, quy trình quản trị, giải pháp kỹ thuật đến trách nhiệm của con người. Đây không chỉ là yêu cầu để phòng ngừa nguy cơ mất, lộ lọt dữ liệu, mà còn nhằm hình thành một hệ sinh thái dữ liệu an toàn, tin cậy, phục vụ phát triển kinh tế số và xã hội số.

Việc xây dựng dự thảo Luật đồng thời được đặt trong yêu cầu bảo đảm sự thống nhất, đồng bộ với Hiến pháp, hệ thống pháp luật Việt Nam, các điều ước quốc tế mà Việt Nam là thành viên và các định hướng của Đảng, Nhà nước về bảo vệ an ninh trên không gian mạng.

Theo Báo cáo rà soát các chủ trương, đường lối của Đảng, văn bản quy phạm pháp luật và điều ước quốc tế liên quan đến dự thảo Luật An ninh dữ liệu, quá trình rà soát được thực hiện nhằm xác định rõ những nội dung còn phù hợp, những nội dung mâu thuẫn, chồng chéo, không còn phù hợp hoặc còn thiếu quy định, qua đó làm rõ sự cần thiết ban hành Luật và bảo đảm tính hợp hiến, hợp pháp, thống nhất, đồng bộ khi áp dụng trong thực tiễn.

Đáng chú ý, kết quả rà soát của Bộ Công an xác định có 159 văn bản quy phạm pháp luật liên quan đến dự thảo Luật An ninh dữ liệu, gồm 72 luật, 47 nghị định, 05 quyết định của Thủ tướng Chính phủ và 35 thông tư. Đây là cơ sở quan trọng để nghiên cứu, xử lý mối quan hệ giữa dự thảo Luật với hệ thống pháp luật hiện hành.

Bảo vệ dữ liệu theo mức độ rủi ro

Một trong những nội dung đáng chú ý của dự thảo Luật là cách tiếp cận quản trị an ninh dữ liệu theo cấp độ rủi ro, thay vì áp dụng cùng một yêu cầu bảo vệ đối với mọi loại dữ liệu.
Theo Điều 6 dự thảo Luật, dữ liệu được phân thành 04 cấp độ từ thấp đến cao căn cứ vào tính chất, quy mô tích tụ và mức độ tác động đối với quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội và quyền, lợi ích hợp pháp của tổ chức, cá nhân. Bốn cấp độ gồm: Dữ liệu Thông thường - Cấp độ 1; Dữ liệu Nội bộ - Cấp độ 2; Dữ liệu Quan trọng - Cấp độ 3; Dữ liệu Cốt lõi - Cấp độ 4.

Theo các nguyên tắc được xác định trong dự thảo Luật, cấp độ rủi ro càng cao thì yêu cầu quản lý và kỹ thuật càng nghiêm ngặt. Cách tiếp cận này cho phép áp dụng các biện pháp bảo vệ tương xứng với mức độ nguy cơ và hậu quả có thể xảy ra khi dữ liệu bị xâm phạm.

Dự thảo cũng quy định dữ liệu thuộc cấp độ thấp hơn nhưng khi tích tụ đạt quy mô lớn, làm thay đổi bản chất rủi ro thì phải áp dụng cấp độ bảo vệ cao hơn tương ứng. Cơ quan, tổ chức vận hành hệ thống thông tin lưu trữ, xử lý dữ liệu phải thiết lập hệ thống công nghệ tự động để giám sát, phát hiện và cảnh báo khi tổng quy mô tích tụ dữ liệu đạt hoặc vượt ngưỡng theo quy định.

Quy định này cho thấy tư duy bảo vệ dữ liệu trong dự thảo không chỉ dựa vào tên gọi hoặc nơi lưu trữ dữ liệu, mà chú trọng đến mức độ rủi ro thực tế phát sinh trong quá trình dữ liệu được tích tụ và khai thác.

Bảo vệ dữ liệu xuyên suốt từ khi hình thành đến khi tiêu hủy

Theo dự thảo Luật, “vòng đời dữ liệu” được xác định là toàn bộ các giai đoạn tác động vật lý hoặc logic lên dữ liệu, bắt đầu từ khi thu thập, tạo lập, lưu trữ, sử dụng, chia sẻ, truyền đưa cho đến khi xóa bỏ, tiêu hủy vĩnh viễn.
Từ cách tiếp cận này, bảo đảm an ninh dữ liệu không chỉ được thực hiện ở khâu lưu trữ mà phải được duy trì xuyên suốt trong toàn bộ quá trình dữ liệu được tạo lập, sử dụng, chia sẻ và xử lý.

Điều 5 dự thảo Luật xác định nhiều chính sách của Nhà nước về an ninh dữ liệu, trong đó có hoàn thiện thể chế quản lý tài nguyên dữ liệu và xác lập chủ quyền dữ liệu quốc gia; bảo đảm an ninh dữ liệu theo cấp độ rủi ro và xuyên suốt vòng đời; bảo đảm an ninh trong lưu trữ và chuyển giao dữ liệu xuyên biên giới; bảo đảm an ninh dữ liệu trong nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo và công nghệ mới; đồng thời thúc đẩy phát triển kinh tế dữ liệu, đổi mới sáng tạo, tự chủ công nghệ, nguồn nhân lực và hợp tác quốc tế.

Kiểm soát rủi ro trong lưu chuyển dữ liệu xuyên biên giới

Trong nền kinh tế số, dữ liệu có thể được truyền đưa, lưu trữ và xử lý trên các hạ tầng đặt tại nhiều quốc gia khác nhau. Bởi vậy, bảo đảm an ninh trong hoạt động lưu chuyển dữ liệu xuyên biên giới là một trong những nội dung quan trọng được dự thảo Luật điều chỉnh.
Theo Điều 32 dự thảo Luật, hoạt động chuyển dữ liệu ra nước ngoài được thực hiện theo nguyên tắc phân luồng rủi ro, bảo đảm tối ưu hóa lợi ích kinh tế và không xâm phạm an ninh quốc gia, chủ quyền số của Việt Nam.

Đối với dữ liệu Quan trọng hoặc dữ liệu Cốt lõi, dự thảo quy định việc chuyển ra nước ngoài phải được Bộ Công an thẩm định và cấp văn bản chấp thuận về an ninh trước khi thực hiện.

Đối với dữ liệu là bí mật kinh doanh của doanh nghiệp, dự thảo thiết kế một số trường hợp không phải thẩm định trước nếu đáp ứng các điều kiện nhất định. Chẳng hạn, quốc gia hoặc vùng lãnh thổ tiếp nhận được Bộ Công an công nhận có hệ thống pháp luật bảo vệ dữ liệu ở mức độ tương đương; các bên ký kết hợp đồng tiêu chuẩn về bảo vệ dữ liệu; hoặc chủ thể chuyển giao đã được cấp chứng nhận hợp quy về an ninh dữ liệu xuyên biên giới.

Tuy nhiên, trong các trường hợp này, tổ chức chuyển dữ liệu vẫn phải tự lập hồ sơ đánh giá tác động an ninh dữ liệu và báo cáo định kỳ theo quy định của dự thảo; Bộ Công an thực hiện hậu kiểm và có quyền áp dụng biện pháp xử lý khi phát hiện nguy cơ đối với an ninh dữ liệu.

Cách thiết kế chính sách này cho thấy dự thảo hướng đến việc kiểm soát rủi ro trên cơ sở mức độ nhạy cảm của dữ liệu, đồng thời tính đến yêu cầu lưu chuyển dữ liệu phục vụ hoạt động sản xuất, kinh doanh và phát triển kinh tế số.

Trách nhiệm bảo vệ không dừng lại ở một cơ quan, doanh nghiệp

Một điểm mới đáng chú ý khác của dự thảo là yêu cầu bảo đảm an ninh dữ liệu trong toàn bộ chuỗi cung ứng.

Theo Điều 30 dự thảo Luật, tổ chức, cá nhân vận hành, xử lý dữ liệu có trách nhiệm kiểm soát và bảo đảm an ninh dữ liệu đối với các bên thứ ba tham gia trực tiếp hoặc gián tiếp, bao gồm nhà cung cấp dịch vụ điện toán đám mây, nhà cung cấp dịch vụ trí tuệ nhân tạo, đơn vị vận hành trung tâm dữ liệu, bên môi giới dữ liệu, bên nhận thuê ngoài xử lý dữ liệu và các bên thứ ba khác có quyền tiếp cận, lưu trữ hoặc xử lý dữ liệu.

Dự thảo cũng yêu cầu trước khi thiết lập quan hệ hợp tác và định kỳ hằng năm trong quá trình vận hành, tổ chức, cá nhân phải tiến hành đánh giá rủi ro an ninh dữ liệu đối với bên thứ ba. Nội dung đánh giá bao gồm năng lực kỹ thuật, biện pháp bảo vệ dữ liệu, nguy cơ và lỗ hổng có thể phát sinh trong quá trình chuyển giao, lưu trữ, xử lý dữ liệu, cũng như biện pháp giảm thiểu rủi ro và phương án ứng phó sự cố.

Quy định này phản ánh một thực tế: trong môi trường số, dữ liệu thường không chỉ nằm trong một hệ thống duy nhất mà có thể được chuyển qua nhiều nhà cung cấp, nền tảng và đơn vị trung gian. Do đó, chỉ một mắt xích thiếu an toàn cũng có thể ảnh hưởng đến toàn bộ chuỗi xử lý dữ liệu.

Chủ động đặt vấn đề an ninh dữ liệu trong phát triển trí tuệ nhân tạo

Sự phát triển nhanh chóng của trí tuệ nhân tạo đang đặt ra những vấn đề mới đối với hoạt động quản lý và bảo vệ dữ liệu.
Theo dự thảo Luật, “tập dữ liệu đào tạo cho hệ thống trí tuệ nhân tạo” được xác định là tập hợp thông tin, dữ liệu được cấu trúc hóa dùng để nạp vào mô hình trí tuệ nhân tạo và hệ thống thuật toán tự động nhằm tối ưu hóa, định hình tư duy logic và khả năng nhận thức của hệ thống.

Đồng thời, dự thảo xác định bảo đảm an ninh dữ liệu trong nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo và công nghệ mới là một trong những chính sách của Nhà nước về an ninh dữ liệu.

Việc đưa nội dung liên quan trực tiếp đến trí tuệ nhân tạo vào dự thảo cho thấy công tác xây dựng pháp luật đang từng bước tiếp cận những vấn đề mới phát sinh từ sự phát triển nhanh của công nghệ, thay vì chỉ tập trung xử lý các nguy cơ của hệ thống thông tin truyền thống.

An ninh để phát triển, phát triển phải đi đôi với an ninh

Dự thảo Luật xác định việc bảo đảm an ninh dữ liệu phải gắn chặt với phát triển kinh tế số, xã hội số.

Theo Điều 4 dự thảo Luật, việc bảo đảm an ninh dữ liệu phải tuân thủ Hiến pháp và pháp luật, bảo vệ chủ quyền số và lợi ích quốc gia; đồng thời không được lợi dụng lý do an ninh để cản trở trái phép dòng chảy dữ liệu hợp pháp và các cam kết quốc tế về thương mại số mà Việt Nam là thành viên.

Dự thảo cũng đặt ra yêu cầu bảo đảm trách nhiệm giải trình của chủ thể xử lý dữ liệu, tôn trọng quyền con người, quyền công dân và quyền riêng tư theo Hiến pháp.

Như vậy, tư duy xuyên suốt trong dự thảo Luật không phải là “đóng” dữ liệu để bảo vệ, mà là xây dựng cơ chế để dữ liệu được lưu chuyển, khai thác và phát huy giá trị trong một môi trường an toàn, có kiểm soát và có khả năng chống chịu trước các nguy cơ an ninh.

Trong bối cảnh dữ liệu ngày càng trở thành một nguồn lực quan trọng của quá trình phát triển đất nước, việc hoàn thiện khuôn khổ pháp lý về an ninh dữ liệu là yêu cầu cần thiết nhằm chủ động phòng ngừa, phát hiện và ứng phó với nguy cơ xâm phạm dữ liệu; bảo vệ quốc phòng, an ninh quốc gia, quyền và lợi ích hợp pháp của tổ chức, cá nhân; đồng thời tạo nền tảng an toàn, tin cậy cho chuyển đổi số.

Xây dựng “lá chắn” pháp lý cho dữ liệu, vì vậy, cũng chính là góp phần củng cố nền tảng an ninh, tạo dựng niềm tin số và mở đường cho những giá trị mới của dữ liệu được khai thác phục vụ phát triển đất nước trong kỷ nguyên số.

Xem chi tiết văn bản tại đây./.