Dự án Luật An ninh dữ liệu quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; tổ chức, cá nhân nước ngoài ở ngoài lãnh thổ Việt Nam có hoạt động xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.
Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu. Chủ quản dữ liệu từ Cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu Cấp độ 4, Cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.
Đại biểu Đoàn Hùng Vũ (Đồng Tháp) đánh giá cao cách tiếp cận quản lý theo cấp độ rủi ro và các biện pháp phòng ngừa, nhưng cho rằng luật cần quy định rõ hơn một số vấn đề then chốt trong an ninh dữ liệu, đó là yếu tố con người.
Thực tiễn cho thấy rất nhiều sự cố về an ninh thông tin không bắt đầu từ giải pháp kỹ thuật yếu kém mà có thể bắt đầu từ một tài khoản bị lừa mất mật khẩu, một tài khoản có mật khẩu đơn giản bị dò quét, một quản trị viên được cấp quyền quá rộng, một cán bộ sao chép dữ liệu ra ngoài hay một nhân viên của bên thứ ba không được giám sát.
Dự thảo quy định lực lượng bảo vệ an ninh dữ liệu trong cơ quan nhà nước được bố trí theo chế độ kiêm nhiệm hoặc chuyên trách để không làm phát sinh tổ chức, biên chế mới. Đại biểu đánh giá điều này phù hợp với chủ trương tinh gọn biên chế, giảm đầu mối nhưng cần xem xét lại trường hợp dữ liệu cấp độ 5.
Đại biểu đề nghị bổ sung quy định: riêng nhân sự phụ trách an ninh dữ liệu tại hệ thống rủi ro cấp độ 5 phải là nhân sự chuyên trách và có trình độ, chứng chỉ chuyên môn phù hợp về an ninh thông tin.
Đồng thời, theo đại biểu Quốc hội, cần tổ chức diễn tập bảo vệ dữ liệu định kỳ hằng năm, nội dung diễn tập bao gồm cả nội dung ứng phó sự cố do điểm yếu hệ thống lẫn sự cố do yếu tố con người.
Nhấn mạnh cần đặt người bị ảnh hưởng vào trung tâm ứng phó sự cố, đại biểu Nguyễn Vũ Trung (Thành phố Hồ Chí Minh) đề nghị sự cố từ cấp độ 3 trở lên phải được báo cáo chậm nhất 24 giờ kể từ khi phát hiện; trường hợp có nguy cơ đặc biệt nghiêm trọng phải báo ngay và cập nhật khi có kết quả xác minh. Cá nhân bị ảnh hưởng cần được thông báo không chậm trễ, biết dữ liệu nào có thể bị lộ, nguy cơ gì đang hiện hữu, cần làm gì để khóa tài khoản, đổi mật khẩu hoặc ngăn chặn giao dịch và liên hệ với đầu mối nào.
Theo đại biểu, cơ quan đầu mối cần phối hợp với ngân hàng, doanh nghiệp viễn thông và nền tảng số để cảnh báo, ngăn chặn nguy cơ tiếp diễn. Khi dữ liệu bị xâm phạm, phản ứng chậm có thể khiến thiệt hại lan rộng, nhất là trong các vụ giả mạo danh tính, chiếm đoạt tài khoản, lừa đảo tài chính. Đối với các biện pháp kỹ thuật khẩn cấp, đại biểu đề nghị phải có căn cứ, phạm vi, thời hạn và phương án khôi phục rõ ràng...
Đại biểu Lê Minh Nam (Cần Thơ) nêu ý kiến cử tri quan tâm dữ liệu cá nhân được bảo vệ thế nào và người dân có thực sự an tâm hay không. Đại biểu ghi nhận định hướng liên thông cơ sở dữ liệu, không yêu cầu người dân cung cấp lại thông tin đã có. Tuy nhiên, để chủ trương đi vào cuộc sống, nền tảng công nghệ và tổ chức thực hiện phải đồng bộ, an toàn, thuận tiện.
Đại biểu Lê Minh Nam cũng đề nghị khi dữ liệu cá nhân bị lộ lọt, chủ quản phải thông báo kịp thời cho người bị ảnh hưởng, kèm hướng dẫn phòng tránh lừa đảo. Người dân cần biết loại dữ liệu nào có thể đã bị lộ để cảnh giác trước cuộc gọi, tin nhắn giả mạo sử dụng đúng thông tin cá nhân, thậm chí giả giọng nói hoặc hình ảnh người thân. Thông báo vừa bảo đảm minh bạch, vừa giúp hạn chế thiệt hại tiếp theo.
Giải trình tại hội trường về dự án Luật An ninh dữ liệu, Bộ trưởng Bộ Công an Lương Tam Quang cho biết, cơ chế phân cấp độ rủi ro an ninh dữ liệu là trụ cột của dự thảo luật, bởi chỉ khi xác định đúng mức độ nguy hại có thể gây ra khi dữ liệu bị xâm hại thì mới đặt ra được nghĩa vụ tương xứng, tránh bảo vệ dàn trải ở nơi rủi ro thấp nhưng lại bỏ ngỏ ở nơi rủi ro cao.
Tiếp thu kết luận của Ủy ban Thường vụ Quốc hội, dự thảo luật thiết kế 5 cấp độ rủi ro tương thích với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng. Trong đó, quy định trong dự thảo luật cho phép sử dụng ngay kết quả xác định cấp độ theo pháp luật về an ninh mạng để cùng một hệ thống không phải đánh giá 2 lần. Cấp độ rủi ro cũng không thay thế việc phân loại dữ liệu cốt lõi, dữ liệu quan trọng theo Luật Dữ liệu và không làm phát sinh danh mục mới mà chỉ là căn cứ để lựa chọn biện pháp bảo vệ. Trên cơ sở đó, nghĩa vụ được xác định theo hướng rủi ro càng thấp thì thủ tục càng đơn giản. Theo đó, dữ liệu cấp độ 1 không phát sinh thủ tục dữ liệu, cấp độ 2 chỉ cần phương án bảo vệ rút gọn và được miễn đối với hộ kinh doanh, doanh nghiệp nhỏ, khởi nghiệp sáng tạo. Từ cấp độ 3 mới phải đánh giá tác động và kiểm toán. Còn thẩm định chỉ áp dụng với cấp độ 4, cấp độ 5 và được thực hiện chung một hồ sơ với thẩm định an ninh mạng.
Bộ trưởng Lương Tam Quang cho biết, cơ quan chủ trì soạn thảo sẽ phối hợp chặt chẽ với Thường trực Ủy ban Quốc phòng, An ninh và Đối ngoại, sẽ tiếp thu đầy đủ các ý kiến của các đại biểu, báo cáo Ủy ban Thường vụ Quốc hội trước khi hoàn thiện dự thảo luật, bảo đảm luật vừa bảo vệ vững chắc chủ quyền quốc gia, vừa tạo môi trường pháp lý an toàn, thuận lợi cho phát triển kinh tế số.
