Sáng 26/10, tiếp tục chương trình Kỳ họp thứ 2, Đại tướng, Bộ trưởng Bộ Công an Lương Tam Quang trình bày tờ trình 5 dự án: Luật an ninh dữ liệu; Luật bảo vệ công trình quan trọng liên quan đến an ninh quốc gia; Luật định danh và xác thực điện tử; Luật sửa đổi, bổ sung một số điều của Luật quản lý, sử dụng vũ khí, vật liệu nổ và công cụ hỗ trợ; Luật phòng cháy, chữa cháy và cứu nạn, cứu hộ; Luật xử lý vi phạm hành chính (sửa đổi).
Phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép
Về dự án Luật an ninh dữ liệu, Bộ trưởng Bộ Công an cho biết, dự thảo quy định nguyên tắc, biện pháp bảo vệ an ninh dữ liệu; quyền, nghĩa vụ, trách nhiệm của cơ quan, tổ chức, cá nhân và nội dung quản lý nhà nước về an ninh dữ liệu. Luật áp dụng đối với cơ quan, tổ chức, cá nhân Việt Nam; cơ quan, tổ chức, cá nhân nước ngoài tại Việt Nam; tổ chức, cá nhân nước ngoài ở ngoài lãnh thổ Việt Nam có hoạt động xử lý dữ liệu thuộc quyền tài phán của Việt Nam hoặc có hành vi xâm phạm an ninh dữ liệu của Việt Nam.
Đại tướng, Bộ trưởng Bộ Công an trình bày tờ trình trước Quốc hội. (Ảnh: Như Ý)
Dự thảo Luật quy định 5 cấp độ rủi ro an ninh dữ liệu; chủ quản dữ liệu tự xác định cấp độ, áp dụng biện pháp bảo vệ tương xứng và chịu trách nhiệm về kết quả xác định, theo cơ chế hậu kiểm là chủ yếu. Chủ quản dữ liệu từ Cấp độ 3 trở lên có trách nhiệm đánh giá tác động, kiểm toán an ninh dữ liệu định kỳ; hệ thống xử lý dữ liệu Cấp độ 4, Cấp độ 5 phải được thẩm định theo quy định. Các biện pháp bảo vệ được áp dụng xuyên suốt từ khâu thiết kế hệ thống đến khi tiêu hủy dữ liệu.
Về bảo vệ an ninh dữ liệu trong chuyển đổi số, công nghệ mới, dự thảo luật quy định trách nhiệm bảo vệ an ninh dữ liệu đối với hạ tầng số, hạ tầng dữ liệu quốc gia trọng yếu, hệ thống vật lý - số, hoạt động xử lý dữ liệu quy mô lớn và chuỗi cung ứng sản phẩm, dịch vụ dữ liệu. Đối với hoạt động nghiên cứu, phát triển, ứng dụng trí tuệ nhân tạo, dự thảo luật yêu cầu kiểm soát nguồn gốc, bảo đảm tính nguyên vẹn của dữ liệu huấn luyện và dữ liệu dẫn xuất; phòng, chống hành vi đầu độc dữ liệu, trích xuất dữ liệu trái phép; bảo đảm con người có khả năng can thiệp, kiểm soát đối với hoạt động ra quyết định tự động theo quy định của pháp luật.
Về chuyển, xử lý dữ liệu xuyên biên giới, dự thảo luật quy định dữ liệu Cấp độ 1, Cấp độ 2 không phải thực hiện thủ tục theo luật này khi chuyển ra nước ngoài; dữ liệu Cấp độ 3 do chủ quản dữ liệu tự đánh giá và lưu giữ hồ sơ; dữ liệu Cấp độ 4, Cấp độ 5 phải được cơ quan có thẩm quyền thẩm định, chấp thuận trước khi chuyển. Dự thảo luật đồng thời quy định việc cung cấp dữ liệu theo yêu cầu của nước ngoài, trách nhiệm của bên cung cấp dịch vụ xuyên biên giới, và việc tích hợp đánh giá an ninh dữ liệu trong thủ tục đầu tư, chuyển giao công nghệ hiện hành.
Quy định thẩm định an ninh dữ liệu thực hiện một lần
Trình bày báo cáo thẩm tra về dự án Luật an ninh dữ liệu, Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới cho biết, ủy ban nhất trí với việc quản lý theo 5 cấp độ rủi ro tương ứng với 5 cấp độ hệ thống thông tin theo Luật An ninh mạng, đồng thời tích hợp kết quả phân loại dữ liệu theo Luật Dữ liệu và Luật Bảo vệ dữ liệu cá nhân.
Chủ nhiệm Ủy ban Quốc phòng, An ninh và Đối ngoại Lê Tấn Tới. (Ảnh: Như Ý)
Tuy nhiên, có ý kiến đề nghị bổ sung quy định cơ quan chuyên trách thường xuyên rà soát, cập nhật; thiết lập cơ chế xác định dữ liệu Cấp độ 5 chặt chẽ hơn (không để chủ quản dữ liệu tự xác định); bổ sung nguyên tắc cấp độ dữ liệu là căn cứ xác định yêu cầu bảo vệ đối với hệ thống xử lý dữ liệu đó, không nên dùng cấp độ hệ thống thông tin để xác định cấp độ dữ liệu; quy định chặt chẽ hơn đối với dữ liệu sinh trắc học, dữ liệu gen.
Ủy ban cũng cơ bản nhất trí với quy định phân định trách nhiệm giữa chủ quản dữ liệu, bên xử lý dữ liệu và bên cung cấp sản phẩm, dịch vụ; quy định thẩm định an ninh dữ liệu thực hiện một lần, đồng thời với thẩm định an ninh mạng, không yêu cầu bàn giao mã nguồn, trọng số mô hình; quy định về hạ tầng số, trung tâm dữ liệu, điện toán đám mây.
Về chuyển dữ liệu xuyên biên giới và các quy định có yếu tố nước ngoài, ủy ban cơ bản nhất trí với cơ chế phân luồng chuyển dữ liệu ra nước ngoài theo cấp độ rủi ro, không đặt yêu cầu lưu trữ dữ liệu tại Việt Nam mà tập trung kiểm soát khóa giải mã; cơ chế xử lý yêu cầu cung cấp dữ liệu trực tiếp của cơ quan nước ngoài; giới hạn thời hạn áp dụng biện pháp kỹ thuật đối với dịch vụ xuyên biên giới không quá 90 ngày.
Tuy nhiên, có ý kiến đề nghị, quy định rõ trong luật dữ liệu Cấp độ 5 không được chuyển ra nước ngoài, trừ trường hợp Thủ tướng Chính phủ quyết định; bổ sung khóa giải mã, tham số mật mã của hệ thống Cấp độ 4, Cấp độ 5 vào phạm vi không được chuyển…
