Dự thảo Luật An ninh dữ liệu: Phân chia 5 cấp độ rủi ro, bảo vệ xuyên suốt vòng đời
Sáng ngày 26 tháng 10, theo chương trình kỳ họp quốc hội, Bộ trưởng Bộ Công an, thừa ủy quyền của Thủ tướng Chính phủ, sẽ chính thức trình trước Quốc hội dự án Luật An ninh dữ liệu. Văn bản lập pháp quan trọng này đánh dấu một bước tiến chiến lược trong nỗ lực bảo vệ chủ quyền quốc gia trên không gian mạng, quản lý tài nguyên thông tin và ứng phó với các nguy cơ an ninh phi truyền thống đang gia tăng mạnh mẽ tại Việt Nam và trên phạm vi toàn cầu.
Thực tiễn bảo đảm an ninh mạng và an ninh dữ liệu tại Việt Nam trong những năm gần đây cho thấy một bức tranh đáng lo ngại. Sự bùng nổ của công nghệ số, điện toán đám mây và trí tuệ nhân tạo mang lại nhiều lợi ích kinh tế – xã hội nhưng đồng thời cũng làm gia tăng đáng kể các lỗ hổng bảo mật. Tình trạng lộ lọt dữ liệu cá nhân, buôn bán trái phép thông tin trên các diễn đàn ngầm diễn ra với quy mô ngày càng lớn, tinh vi và khó kiểm soát. Những thiệt hại kinh tế từ các chiến dịch lừa đảo trực tuyến, mã độc tống tiền (ransomware) và các cuộc tấn công mạng nhắm vào cơ sở hạ tầng trọng yếu đang vượt xa năng lực ứng phó truyền thống của nhiều cơ quan, doanh nghiệp. Nếu không có một khung khổ pháp lý đủ mạnh để quản lý rủi ro ngay từ gốc, các nguy cơ này sẽ đe dọa trực tiếp đến sự phát triển kinh tế số, gây thiệt hại nghiêm trọng cho tổ chức, cá nhân và ảnh hưởng sâu sắc đến an ninh quốc gia.
Dự thảo Luật An ninh dữ liệu được xây dựng gồm 6 chương và 29 điều, thiết lập một hệ thống toàn diện các quy định về bảo vệ an ninh dữ liệu cũng như trách nhiệm của Nhà nước, cơ quan, tổ chức và cá nhân. Điểm cốt lõi và mang tính đột phá của dự thảo luật này là chuyển đổi từ phương thức quản lý hành chính cứng nhắc sang cơ chế quản lý dựa trên cấp độ rủi ro. Thay vì áp dụng các tiêu chuẩn bảo mật đồng loạt đối với mọi hoạt động xử lý dữ liệu, dự thảo đề xuất phân định rõ ràng các nghĩa vụ bảo vệ tương ứng với mức độ nguy cơ thực tế.
Cụ thể, dự thảo luật quy định 5 cấp độ rủi ro an ninh dữ liệu, được phân chia từ cấp độ 1 (thấp nhất) đến cấp độ 5 (cao nhất), xác định dựa trên khả năng xảy ra sự cố và mức độ thiệt hại tiềm tàng. Đối với dữ liệu thuộc cấp độ 1 và cấp độ 2, thủ tục hành chính được tối giản hóa nhằm tạo điều kiện thuận lợi cho dòng chảy lưu thông thông tin và thúc đẩy hoạt động kinh tế. Ngược lại, từ cấp độ 3 trở lên, các chủ quản dữ liệu phải thực hiện nghiêm ngặt các biện pháp đánh giá tác động và kiểm toán định kỳ. Đặc biệt, dữ liệu ở cấp độ 4 và cấp độ 5 đòi hỏi phải trải qua quy trình thẩm định an ninh khắt khe trước khi các hệ thống công nghệ thông tin chính thức được đưa vào vận hành.
Bên lề các quy định về phân cấp rủi ro, dự thảo luật cũng xác định rõ vai trò và trách nhiệm của từng chủ thể trong hệ sinh thái dữ liệu. Chính phủ đóng vai trò thống nhất quản lý nhà nước về an ninh dữ liệu, trong khi các cơ quan, tổ chức và doanh nghiệp với tư cách là chủ quản dữ liệu phải chịu trách nhiệm chính trong việc tự xác định cấp độ rủi ro của dữ liệu mình quản lý, áp dụng các biện pháp bảo vệ tương xứng và chịu trách nhiệm trước pháp luật. Về phía cơ quan nhà nước, phương thức quản lý chủ đạo sẽ là hậu kiểm, tập trung nguồn lực kiểm tra đối với các hệ thống và dữ liệu có mức độ rủi ro cao.
Một điểm nhấn quan trọng khác của dự thảo luật là nguyên tắc bảo vệ an ninh dữ liệu xuyên suốt vòng đời. Theo đó, hệ thống pháp luật mới thiết lập khung bảo vệ toàn diện từ khâu thu thập, lưu trữ, xử lý, truyền đưa cho đến khi tiêu hủy. Việc kiểm soát chặt chẽ các hoạt động chuyển dữ liệu xuyên biên giới cũng được thể chế hóa nhằm bảo vệ vững chắc chủ quyền dữ liệu quốc gia. Các dữ liệu có mức độ rủi ro thấp được tự do lưu chuyển, trong khi dữ liệu có rủi ro cao phải tuân thủ các quy định kiểm soát ngặt nghèo để ngăn chặn nguy cơ thất thoát tài nguyên thông tin chiến lược ra nước ngoài.
Bên cạnh đó, dự thảo luật bổ sung các cơ chế bảo vệ quan trọng đối với tổ chức, cá nhân trong nước trước yêu cầu cung cấp dữ liệu trực tiếp từ nước ngoài không thông qua các kênh pháp lý hợp pháp, đảm bảo tuân thủ nguyên tắc tôn trọng chủ quyền, an ninh quốc gia và thông lệ quốc tế về tương trợ tư pháp. Đồng thời, dự thảo cũng đề ra các tiêu chuẩn bảo vệ an ninh dữ liệu đối với các công nghệ mới và trí tuệ nhân tạo (AI). Các tổ chức, cá nhân nghiên cứu, phát triển và triển khai các hệ thống AI xử lý dữ liệu có rủi ro cao có trách nhiệm tích hợp các biện pháp bảo mật ngay từ giai đoạn thiết kế ban đầu, đảm bảo nguồn gốc hợp pháp và tính vẹn toàn của dữ liệu sử dụng.
Việc Quốc hội thảo luận và xem xét dự án Luật An ninh dữ liệu diễn ra trong bối cảnh Việt Nam đang đẩy mạnh chiến lược chuyển đổi số quốc gia, xây dựng chính phủ số, kinh tế số và xã hội số. Sự ra đời của đạo luật này kỳ vọng sẽ lấp đầy những khoảng trống pháp lý hiện hành, tạo lập một hành lang pháp lý vững chắc, minh bạch và an toàn, qua đó củng cố niềm tin số, thu hút đầu tư nước ngoài vào các lĩnh vực công nghệ cao và bảo vệ lợi ích hợp pháp của người dân cũng như doanh nghiệp trên không gian mạng trong kỷ nguyên hội nhập quốc tế sâu rộng.
