Hoàn thiện cơ chế quản lý an ninh dữ liệu, tránh chồng chéo

Trong quá trình sửa đổi, hoàn thiện dự án Luật An ninh dữ liệu, việc xây dựng cơ chế quản lý dữ liệu phù hợp với yêu cầu bảo vệ an ninh và thực tiễn phát triển kinh tế số đang được đặt ra. Trong đó, các quy định về phân loại dữ liệu, kiểm soát hoạt động chuyển, xử lý dữ liệu xuyên biên giới được đại biểu quan tâm, với yêu cầu bảo đảm an ninh dữ liệu nhưng không cản trở các hoạt động sản xuất, kinh doanh hợp pháp.

Đối với quy định về phân cấp rủi ro an ninh dữ liệu tại Điều 8 Dự thảo Luật An ninh dữ liệu, đại biểu Nguyễn Thị Bích Đào, Đoàn ĐBQH tỉnh Ninh Bình, cơ bản đồng tình với phương án phân chia thành 5 cấp độ rủi ro, song đề nghị tiếp tục hoàn thiện các tiêu chí theo hướng khoa học, thống nhất và khả thi trong thực tiễn.

Theo đại biểu, việc xác định cấp độ rủi ro cần làm rõ mức độ quan trọng của dữ liệu và đánh giá đầy đủ hậu quả khi các thuộc tính bảo mật, tính toàn vẹn và khả năng truy cập, sử dụng dữ liệu bị xâm phạm. Đồng thời, Dự thảo cần có cơ chế bảo vệ phù hợp đối với dữ liệu cá nhân nhạy cảm, cụ thể hóa tiêu chí phân cấp để bảo đảm áp dụng thống nhất, tránh phát sinh chi phí tuân thủ không cần thiết. Đối với tập dữ liệu gồm nhiều thành phần có mức độ rủi ro khác nhau, cần quy định rõ nguyên tắc xác định cấp độ áp dụng.

Đại biểu Nguyễn Thị Bích Đào cho rằng, việc phân cấp nên chủ yếu căn cứ vào tính chất, mức độ quan trọng của dữ liệu và hậu quả tiềm tàng khi bị xâm phạm. Khả năng xảy ra sự cố cần được xem xét trong quá trình đánh giá, quản trị rủi ro để lựa chọn biện pháp bảo vệ phù hợp, thay vì làm thay đổi cấp độ dữ liệu chỉ vì điều kiện bảo vệ của hệ thống tốt hơn hoặc kém đi.

Theo đại biểu, dữ liệu công khai vẫn có thể gây hậu quả nghiêm trọng nếu bị sửa đổi trái phép. Tương tự, dữ liệu phục vụ các dịch vụ thiết yếu nếu không thể truy cập, sử dụng đúng thời điểm cũng có thể ảnh hưởng lớn đến hoạt động quản lý và đời sống xã hội. Vì vậy, tiêu chí phân cấp cần đánh giá hậu quả khi bất kỳ thuộc tính nào trong ba thuộc tính bảo mật, toàn vẹn và khả dụng bị xâm phạm, thay vì chỉ tập trung vào nguy cơ lộ, lọt thông tin.

Đại biểu nhấn mạnh, việc hoàn thiện Điều 8 cần bảo đảm đồng thời hai yêu cầu: dữ liệu có nguy cơ gây hậu quả nghiêm trọng khi bị xâm phạm phải được bảo vệ đầy đủ; trong khi dữ liệu có rủi ro thấp không phải chịu các nghĩa vụ bảo vệ vượt quá mức cần thiết. Các tiêu chí phân cấp cần rõ ràng, có khả năng kiểm chứng và áp dụng thống nhất, qua đó nâng cao hiệu quả bảo vệ an ninh dữ liệu, bảo đảm quyền, lợi ích hợp pháp của người dân, doanh nghiệp và thúc đẩy chuyển đổi số quốc gia.

Bên cạnh đó, việc hoàn thiện cơ chế quản lý an ninh dữ liệu theo mức độ rủi ro cần gắn với yêu cầu bảo đảm tính thống nhất của hệ thống pháp luật và giảm chi phí tuân thủ thực chất. Do dữ liệu đồng thời chịu sự điều chỉnh của Luật Dữ liệu, Luật Bảo vệ dữ liệu cá nhân, Luật An ninh mạng và các quy định pháp luật chuyên ngành, việc rà soát mối quan hệ giữa các quy định là cần thiết nhằm hạn chế chồng chéo, tránh phát sinh nghĩa vụ trùng lặp và tạo thuận lợi cho tổ chức, doanh nghiệp trong quá trình thực hiện.

Đối với quy định về phân cấp độ rủi ro an ninh dữ liệu tại Điều 8, Điều 9 và Điều 13, đại biểu Trịnh Ngọc Phương, Đoàn ĐBQH tỉnh Tây Ninh, cơ bản đồng tình với phương án phân chia thành 5 cấp độ. Tuy nhiên, đại biểu cho rằng việc xác định cấp độ cần dựa trên mức độ nhạy cảm của dữ liệu, khả năng xảy ra sự cố và hậu quả có thể phát sinh, thay vì chỉ căn cứ vào tên gọi dữ liệu, quy mô hệ thống hoặc lĩnh vực hoạt động.

Đại biểu đề nghị xây dựng tiêu chí đánh giá rủi ro rõ ràng, phù hợp với tính chất dữ liệu và mức độ ảnh hưởng có thể phát sinh. Việc phân loại cần đáp ứng yêu cầu bảo vệ an ninh dữ liệu nhưng không tạo thêm gánh nặng thủ tục không cần thiết cho tổ chức, doanh nghiệp.

Đối với hoạt động chuyển dữ liệu xuyên biên giới, đại biểu Trịnh Ngọc Phương đề nghị quy định cụ thể các điều kiện áp dụng, bảo đảm việc quản lý tương xứng với mức độ rủi ro. Theo đó, cơ chế kiểm soát cần vừa đáp ứng yêu cầu bảo vệ an ninh dữ liệu, vừa tạo thuận lợi cho hoạt động kinh doanh hợp pháp và các giao dịch quốc tế.

Trong bối cảnh trí tuệ nhân tạo (AI) phát triển nhanh chóng, đại biểu cũng lưu ý cần hoàn thiện quy định về quản lý dữ liệu được tạo ra trong quá trình ứng dụng công nghệ, làm rõ trách nhiệm của các chủ thể liên quan và tăng cường cơ chế kiểm soát phù hợp.

Đây là cơ sở để bảo đảm an ninh dữ liệu, đồng thời tạo điều kiện cho nghiên cứu, đổi mới sáng tạo và phát triển kinh tế số. Việc thiết kế các quy định theo hướng rõ ràng, minh bạch, tương xứng với mức độ rủi ro cũng giúp doanh nghiệp chủ động xác định nghĩa vụ tuân thủ, hạn chế phát sinh thủ tục và chi phí không cần thiết trong quá trình khai thác, xử lý dữ liệu.