Bảo đảm an ninh dữ liệu, siết quy định chuyển và xử lý dữ liệu xuyên biên giới

Chủ tịch Quốc hội Trần Thanh Mẫn chủ trì, Phó Chủ tịch Quốc hội Nguyễn Thị Thanh điều hành phiên thảo luận (ảnh - quochoi.vn).

Không chuyển dữ liệu cấp độ 5 ra nước ngoài, trừ trường hợp đặc biệt được Thủ tướng quyết định.

Góp ý về Điều 19 quy định chuyển, xử lý dữ liệu xuyên biên giới, đại biểu Nguyễn Thị Việt Nga, Đoàn ĐBQH thành phố Hải Phòng cho rằng, tại điểm c khoản 2 Điều 19, dự thảo quy định “một số dữ liệu thuộc cấp độ 5” không được chuyển, xử lý xuyên biên giới, trừ trường hợp đặc biệt do Thủ tướng Chính phủ quyết định. Trong khi đó, theo điểm đ khoản 1 Điều 9, cấp độ 5 gắn với khả năng gây tổn hại đặc biệt nghiêm trọng đến quốc phòng, an ninh, đối ngoại, chủ quyền và toàn vẹn lãnh thổ. Dự thảo chưa chỉ rõ trong cấp độ này, dữ liệu nào bị cấm chuyển và vì sao dữ liệu cấp độ 5 còn lại có thể được chuyển theo một cơ chế khác.

“Đây là ranh giới của một biện pháp hạn chế quan trọng. Tôi đề nghị quy định rõ ngay trong luật: hoặc xác định nguyên tắc không chuyển dữ liệu cấp độ 5, trừ trường hợp đặc biệt do Thủ tướng quyết định; hoặc nếu chỉ cấm một nhóm trong cấp độ 5, phải quy định tiêu chí nhận diện nhóm bị cấm và cơ chế áp dụng đối với phần còn lại. Khoản 5 Điều 19 chỉ nên giao Chính phủ quy định chi tiết trình tự, hồ sơ, tiêu chuẩn bảo vệ và việc kiểm chứng điều kiện đã được luật xác lập”, đại biểu Nguyễn Thị Việt Nga kiến nghị.

Đại biểu Nguyễn Thị Việt Nga, Đoàn ĐBQH thành phố Hải Phòng phát biểu (ảnh - quochoi.vn).

Bên cạnh đó, đại biểu cũng đề nghị rà soát khoản 3 Điều 19. Khoản này loại trừ việc xử lý công việc nội bộ, giao dịch thông thường hoặc sử dụng dịch vụ số khỏi quy định tại điểm b và điểm c khoản 2. Theo đại biểu, nhu cầu bảo đảm giao dịch thường xuyên, thông suốt là chính đáng. Nhưng cách diễn đạt hiện nay dựa vào tên hoạt động, chưa dựa vào dữ liệu nào được chuyển, ai thực sự có quyền tiếp cận và chủ quản có còn kiểm soát được dữ liệu hay không.

Cho rằng một hoạt động được gọi là “nội bộ” vẫn có thể sử dụng hạ tầng ở nước ngoài; một dịch vụ số thông thường vẫn có thể cho bên cung cấp khả năng tiếp cận dữ liệu ở dạng có thể đọc được, đại biểu Nguyễn Thị Việt Nga đề nghị giới hạn ngoại lệ tại khoản 3 bằng các điều kiện kiểm chứng được: loại và cấp độ dữ liệu; mục đích, phạm vi xử lý; quyền tiếp cận của bên ở nước ngoài; khả năng quản lý khóa giải mã và duy trì kiểm soát của chủ quản dữ liệu.

“Điều 19 đặt ra hệ quả pháp lý đối với việc chuyển dữ liệu. Nếu căn cứ phân cấp chưa rõ hoặc ngoại lệ chuyển dữ liệu quá rộng, chúng ta có thể vừa bảo vệ chưa đủ những dữ liệu hệ trọng, vừa gây khó cho những hoạt động hợp pháp cần được lưu thông. Tôi đề nghị cơ quan soạn thảo xem xét chỉnh lý đồng thời giải trình chi tiết hơn phương án lựa chọn đối với dữ liệu cấp độ 5 trước khi Quốc hội xem xét thông qua”, đại biểu Nguyễn Thị Việt Nga nhấn mạnh.

Phó Chủ tịch Quốc hội Nguyễn Khắc Định và các đại biểu Quốc hội (ảnh - quochoi.vn).

Đại biểu phân tích, rất nhiều các sự cố về an ninh thông tin không bắt đầu từ giải pháp kỹ thuật yếu kém, mà có thể bắt đầu từ một tài khoản bị lừa mất mật khẩu, một tài khoản có mật khẩu đơn giản bị dò quét, một quản trị viên được cấp quyền quá rộng, một cán bộ sao chép dữ liệu ra ngoài hay một nhân viên của bên thứ ba không được giám sát.

Theo đại biểu Đoàn Hùng Vũ, về nhân sự phụ trách an ninh dữ liệu, khoản 2 Điều 24 quy định lực lượng bảo vệ an ninh dữ liệu trong cơ quan nhà nước được bố trí theo chế độ kiêm nhiệm hoặc chuyên trách để không làm phát sinh tổ chức biên chế mới. Điều này phù hợp với chủ trương tinh gọn y tế giảm đầu mối. Tuy nhiên, đề nghị cần xem xét lại trường hợp dữ liệu cấp độ 5, bởi vì dữ liệu cấp độ 5 liên quan trực tiếp đến vấn đề quan trọng của đất nước, nên cần phải được quan tâm đặc biệt.

“Vì vậy, tôi đề nghị bổ sung vào khoản 2 Điều 24 quy định nhân sự phụ trách an ninh dữ liệu tại hệ thống rủi ro cấp độ 5 phải là nhân sự chuyên trách và phải có trình độ, chứng chỉ chuyên môn phù hợp về an ninh thông tin”, đại biểu Đoàn Hùng Vũ đề nghị.

Bên cạnh đó, đại biểu cũng đề nghị bổ sung vào một khoản vào Điều 10 có nội dung như sau: Chủ quản dữ liệu cấp độ 5 có trách nhiệm tổ chức đào tạo, sát hạch toàn bộ những người tham gia xử lý khai thác dữ liệu. Người chưa đạt yêu cầu sát hạch không được giao quyền truy cập dữ liệu. Phải tổ chức diễn tập bảo vệ dữ liệu định kỳ hằng năm. Nội dung diễn tập bao gồm cả nội dung ứng phó sự cố do điểm yếu hệ thống, sự cố, do yếu tố con người.

Quy định trong luật 3 cơ chế để bảo vệ an ninh dữ liệu trong chuyển, xử lý dữ liệu xuyên biên giới

An ninh dữ liệu là một vấn đề hết sức là quan trọng, đó không phải chuyện riêng của máy chủ hay cơ quan quản lý, mà cụ thể có thể là tiền trong tài khoản, hồ sơ bệnh án, danh tính và sự an tâm của mỗi người. Nhấn mạnh tầm quan trọng của vấn đề này, đại biểu Nguyễn Vũ Trung, Đoàn ĐBQH Thành phố Hồ Chí Minh đánh giá cao dự thảo mới nhất đã đặt nền móng cho quản lý theo cấp độ rủi ro và bảo vệ dữ liệu trong toàn bộ vòng đời.

Đại biểu Nguyễn Vũ Trung, Đoàn ĐBQH Thành phố Hồ Chí Minh phát biểu (ảnh - quochoi.vn).

Góp ý vào Điều 19 về bảo vệ an ninh dữ liệu trong chuyển, xử lý dữ liệu xuyên biên giới, đại biểu đề nghị ghi ngay trong luật 3 cơ chế: rủi ro thấp thì tự đánh giá và hậu kiểm; rủi ro trung bình thì thông báo; rủi ro cao mới phải xin chấp thuận trước. “Đối với luồng dữ liệu chuyển định kỳ, nếu mục đích, bên nhận và biện pháp bảo vệ không thay đổi thì không phải xin chấp thuận lại. Cơ quan có thẩm quyền cần có thời hạn xử lý rõ ràng, nếu từ chối phải nêu lý do và bảo đảm quyền khiếu nại”, đại biểu Nguyễn Vũ Trung nêu rõ.

Đại biểu cũng cho rằng, nếu thiếu những quy định nêu trên, bệnh viện, cơ sở nghiên cứu và doanh nghiệp sử dụng điện toán đám mây có thể phải gánh thêm thủ tục, trong khi việc đó chưa chắc chắn ngăn được các đối tượng lừa đảo hoạt động bên ngoài hệ thống.

Ngăn chặn hành vi lợi dụng dữ liệu để lừa đảo, kịp thời cảnh báo người dân khi xảy ra sự cố xâm phạm dữ liệu

Trong khi đó, đại biểu Lê Thị Thanh Lam, Đoàn ĐBQH thành phố Cần Thơ lại nêu thực tế, không ít người nhận cuộc gọi, tin nhắn lừa đảo đọc đúng họ tên, số căn cước, đúng giọng nói và khuôn mặt của người thân. Đại biểu cho rằng, người dân phải biết dữ liệu mình bị lộ để tự bảo vệ mình. Tại Điều 22 về trách nhiệm báo cáo sự cố, đại biểu đề nghị bổ sung: khi dữ liệu cá nhân bị lộ, lọt, chủ quản dữ liệu phải thông báo kịp thời cho người bị ảnh hưởng, kèm hướng dẫn phòng tránh lừa đảo, bảo đảm thống nhất với Luật Bảo vệ dữ liệu cá nhân.

Đại biểu Lê Thị Thanh Lam, Đoàn ĐBQH thành phố Cần Thơ phát biểu (ảnh - quochoi.vn).

“Đề nghị Chính phủ chỉ đạo rà soát các ứng dụng phục vụ người dân: dịch vụ nào tích hợp lên nền tảng dùng chung, dịch vụ nào chỉ cần kết nối, chia sẻ dữ liệu; tránh đầu tư trùng lặp, tốn kém chi phí vận hành; quan tâm người dân dùng điện thoại cấu hình thấp và ở vùng khó khăn. Chỉ đạo các cơ quan thực hiện nghiêm việc không yêu cầu người dân nộp lại thông tin đã có; các ngành phối hợp phân loại thông báo, ưu tiên gửi qua VNeID những thông tin về hồ sơ hành chính, thời hạn giải quyết và quyền lợi của người dân. Vấn đề bảo vệ dữ liệu và phục vụ người dân là để người dân thuận tiện hơn. Ít ứng dụng trùng lặp, ít đầu mối nắm dữ liệu, thì dữ liệu an toàn hơn, người dân cũng đỡ vất vả hơn”, đại biểu Lê Thị Thanh Lam nhấn mạnh.

Còn về biện pháp kỹ thuật khẩn cấp (Điều 23), đại biểu Nguyễn Vũ Trung đề nghị cần bổ sung thêm “phải bảo đảm chống lạm dụng và giảm thiệt hại cho người dân, doanh nghiệp, cơ quan, tổ chức”. Cụ thể, đại biểu đề nghị quyết định áp dụng các biện pháp kỹ thuật khẩn cấp phải ghi rõ căn cứ, phạm vi, thời hạn và phương án khôi phục. Chỉ áp dụng biện pháp cần thiết, ít hạn chế nhất. Việc gia hạn phải được rà soát độc lập. Trước khi đình chỉ hệ thống ảnh hưởng đến bệnh viện, điện, nước, thanh toán, dịch vụ thiết yếu phải đánh giá tác động và ưu tiên cô lập phần bị xâm nhập hoặc bị ảnh hưởng nếu khả thi. Bảo đảm an ninh dữ liệu nhưng không làm tê liệt chính dịch vụ thiết yếu mà người dân, cơ quan, tổ chức đang cần.

“Tôi đề nghị Chính phủ tiếp tục hoàn thiện dự thảo để luật giúp ngăn chặn kẻ gian lợi dụng dữ liệu để lừa đảo, cảnh báo sớm cho người dân khi dữ liệu bị xâm phạm và tạo điều kiện để doanh nghiệp tuân thủ mà không phải làm đi làm lại thủ tục. Khi dữ liệu được bảo vệ an toàn và phục vụ nhu cầu phát triển, nó sẽ thực sự đi vào cuộc sống”, đại biểu Nguyễn Vũ Trung nhấn mạnh./.